Im Behördenflur steht ein neues Treppengeländer. Nicht weil jemand gestürzt ist, jedenfalls nicht offiziell. Sondern weil die alte Parole „drinnen ist sicher“ inzwischen klingt wie ein Haustürschlüssel unter der Fußmatte, nur mit Budgetnummer.
CISA hat am 24. Juni einen Leitfaden veröffentlicht, der US-Bundesbehörden beim Übergang zu modernisierten Zero-Trust-Architekturen helfen soll. Das ist kein lauter Produktstart und kein Modell mit Glitzerbenchmark. Es ist eher so ein Papier, das im Posteingang erst harmlos raschelt und dann feststellt: Vertrauen war hier bisher ein Möbelstück, kein Sicherheitskonzept.
Der alte Hausflur war viel zu gutgläubig
Zero Trust heißt, grob gesagt: Niemand bekommt Zutritt, nur weil er schon im Gebäude steht, eine Kaffeetasse trägt oder die richtige Teppichfarbe kennt. Identität, Gerät, Kontext, Zugriff — alles wird erneut geprüft. Nicht einmal, nicht feierlich, sondern dauernd, wie ein grantiger Pförtner mit API-Anschluss.
Für Behörden ist das besonders unangenehm, weil dort viele Systeme historisch gewachsen sind. Historisch gewachsen bedeutet in der IT meist: Irgendwann hat jemand ein Kabel verlegt, dann ging er in Rente, und heute trägt dieses Kabel offenbar kritische Infrastruktur. Zero Trust kommt nun nicht als Abrissbirne, sondern als Geländer, Absperrband und Brandschutzakte.
Vertrauen wird nicht verboten, es bekommt Öffnungszeiten
Der interessante Teil ist nicht die Modevokabel. Die ist schon lange genug unterwegs, um Kaffeeränder auf Whitepapers zu sammeln. Interessant ist, dass CISA den Umbau wieder sehr praktisch aufdröselt: Behörden sollen ihren Ist-Zustand kennen, Prioritäten setzen, Migrationen planen und Sicherheitsarchitektur nicht als heroischen Wochenendputz behandeln.
Das klingt trocken, ist aber der Punkt. Zero Trust scheitert selten daran, dass niemand den Slogan aussprechen kann. Es scheitert an alten Verzeichnisdiensten, Sonderrechten, Schattenzugängen, Fachverfahren mit Eigenleben und der einen Maschine im Keller, die nur startet, wenn man sie nicht streng anschaut.
Die Schwachstelle kommt mit Laufzettel
Passend dazu hatte CISA im Juni auch eine neue Direktive zur Priorisierung von Schwachstellenmitigationen angekündigt. Zusammen ergibt das ein Bild, das weniger nach Zukunftslabor aussieht als nach Werkstattplan: erst wissen, welche Schrauben wirklich locker sind; dann verhindern, dass jeder mit Blaumann automatisch an den Sicherungskasten darf.
Genau hier liegt die kleine, gemeine Behördenwahrheit: Sicherheit ist nicht nur ein Tool, das blinkt. Sicherheit ist eine Zuständigkeitsmaschine. Sie muss wissen, wer hineinwill, warum, womit, wohin und ob dieser Zugriff morgen noch genauso vernünftig aussieht wie heute um 14:37 Uhr nach der dritten Besprechung.
Der Pförtner hat jetzt Telemetrie
Natürlich wird daraus nicht automatisch gute Sicherheit. Man kann auch Zero Trust so schlecht einführen, dass am Ende nur mehr Anmeldefenster, mehr Frust und ein sehr zufriedener Beratungsordner übrig bleiben. Dann steht das Treppengeländer mitten im Flur, alle laufen dagegen, und im Abschlussbericht heißt es „Awareness erhöht“.
Aber der Ansatz hat einen nüchternen Wert: Er nimmt der Innenzone den Heiligenschein. Moderne Angriffe warten nicht brav am Empfang. Phishing, gestohlene Konten, kompromittierte Geräte und Lieferkettenfehler bewegen sich längst mit Besucherausweis durch die Etagen. Wer dann noch sagt „aber die Anfrage kam doch aus dem Netz“, hat den Flur mit dem Tresor verwechselt.
Am Ende quietscht das Geländer — aber es hält
Für europäische Verwaltungen und Unternehmen ist die CISA-Meldung kein eins zu eins übernehmbarer Bauplan. Aber sie ist ein nützlicher Zwischenruf aus einer Welt, in der Behördennetze, Cloud-Dienste, Identitäten und Altlasten nicht mehr sauber getrennt in beschrifteten Schubladen liegen. Die Schubladen haben WLAN bekommen. Schlimmer Fehler.
Die Blechpresse empfiehlt deshalb weder Panik noch Hochglanzfolie. Eher: Inventur machen, Sonderrechte kürzen, Identitäten pflegen, Geräte nicht wie Haustiere behandeln und dem alten Server im Keller endlich erklären, dass Vertrauen kein Erbrecht ist. Er wird beleidigt blinken. Das gehört zum Prozess.
Quellen und Werkstattnotiz
- CISA: „New CISA Guide Assists Federal Agencies with Transitioning to Modernized Zero Trust Architectures“, veröffentlicht am 24. Juni 2026.
- CISA: „CISA Issues New Directive Improving How Federal Agencies Prioritize the Mitigation of Cyber Vulnerabilities“, veröffentlicht am 10. Juni 2026.
- Einordnung: Der Beitrag nutzt die CISA-Veröffentlichungen als aktuellen Anlass und macht keine Hersteller- oder Produktbehauptungen. Zero Trust wird hier als Architektur-/Betriebsprinzip kommentiert, nicht als käuflicher Zauberstab.
Schreibe einen Kommentar