Die Wirtschaftlichkeit von Zero Trust: Warum der "einfache" Weg mehr kostet

Von Nate Brady - Architekt für Cloud-Sicherheit

Juli 17, 2025 5 Minute gelesen

Die Cybersicherheitsbranche hat einen faszinierenden Konsens rund um Zero Trust Network Access (ZTNA) entwickelt: Man positioniert es als direkten Ersatz für die veraltete VPN-Infrastruktur, verspricht minimale Unterbrechungen und migriert die Richtlinien schrittweise im Laufe der Zeit. Die Botschaft ist überzeugend: Sie vermeiden die Komplexität organisatorischer Veränderungen und profitieren gleichzeitig von modernen Sicherheitsvorteilen. Die wirtschaftlichen Aspekte könnten jedoch eine andere Geschichte erzählen.

Ich sage voraus, dass Unternehmen, die diesen "einfachen" Weg gehen, feststellen werden, dass dieser Ansatz, der kurzfristige Störungen minimieren soll, in Wirklichkeit die langfristigen Kosten maximiert. In der Zwischenzeit werden diejenigen, die die ZTNA-Migration als Chance für eine grundlegende Umgestaltung der IT sehen, feststellen, dass sich ihr Arbeitseinsatz in Form von betrieblicher Effizienz auszahlt. Ich glaube fest an den Dreiklang gut-schnell-einfach (Sie können sich nur zwei aussuchen) und erkläre in diesem Blog, wie das für die Einführung von ZTNA gilt.

Die Krise des Anwendungsinventars

Die Wurzel dieses Paradoxons liegt in einem blinden Fleck, den die meisten Unternehmen teilen, aber nur selten zugeben: Sie wissen nicht, welche Anwendungen sie besitzen, wer sie (mit welchen Daten) nutzt oder welchen geschäftlichen Nutzen sie bieten. Jahrelanges organisches IT-Wachstum, Akquisitionen und abteilungsspezifische Initiativen haben zu ausufernden Anwendungsportfolios geführt, die sich nicht so einfach kategorisieren lassen.

Die traditionelle VPN-Infrastruktur hat diese Undurchsichtigkeit ermöglicht. Umfassende Netzwerkzugriffsrichtlinien verschleiern die tatsächlichen Nutzungsmuster von Anwendungen. Wenn Mitarbeiter auf "alles im Netzwerk" zugreifen können, muss niemand begründen, warum es bestimmte Anwendungen gibt oder wer Zugang benötigt. Das VPN wird zu einer bequemen Abstraktionsebene, die grundlegende Lücken in der Unternehmensführung verschleiert.

Der ZTNA-als-VPN-Ersatz-Ansatz setzt diese Dynamik fort. Die Anbieter versprechen, bestehende Zugriffsmuster mit minimalen organisatorischen Unterbrechungen zu replizieren. Die implizite Botschaft: Sie können Zero-Trust-Sicherheit erreichen, ohne die Unannehmlichkeiten zu verstehen, was Sie schützen. Dies schafft eine Marktanreizstruktur, in der Komplexität belohnt und Rationalisierung vermieden wird.

Bedenken Sie die wirtschaftlichen Auswirkungen. Unternehmen unterhalten routinemäßig Anwendungen, deren ursprüngliche geschäftliche Rechtfertigung abgelaufen ist. Sie zahlen Lizenzgebühren für Software, die von immer weniger Benutzern genutzt wird. Sie setzen Infrastrukturressourcen für Systeme ein, die konsolidiert oder stillgelegt werden könnten. Mit dem VPN-Ersatzmodell bleiben diese Ineffizienzen erhalten, während neue Technologiekosten hinzukommen.

Die falsche Wirtschaft der "Risikominderung"

Die Ironie wird noch deutlicher, wenn man untersucht, wie Unternehmen ihre Entscheidungsfindung gestalten. Der Prozess der Anwendungsinventarisierung und -rationalisierung wird als "riskant" bezeichnet - was, wenn wir versehentlich den Zugriff auf etwas Wichtiges einschränken? Was ist, wenn die Eigentümer der Anwendungen die Rechtfertigungsanforderungen zurückweisen? Was ist, wenn wir feststellen, dass unser IT-Portfolio chaotischer ist, als wir dachten?

Diese Bedenken spiegeln eine echte organisatorische Dynamik wider, aber das Risikokalkül ist verkehrt. Das eigentliche Risiko liegt in der ständigen Unwissenheit über Ihre IT-Umgebung. Sicherheitsteams können keine wirksamen Kontrollen für Anwendungen implementieren, die sie nicht verstehen. Die Bemühungen um die Einhaltung von Vorschriften werden eher zu Übungen im Dokumentationstheater als zu einem substanziellen Risikomanagement. Die Planung der Geschäftskontinuität beruht auf Annahmen und nicht auf Beweisen.

Der Markt hat auf diese falsch ausgerichteten Anreize vorhersehbar reagiert. Es ist ein Consulting-Ökosystem entstanden, das sich mit der Verwaltung der Komplexität befasst, anstatt sie zu reduzieren. Unternehmen engagieren teure professionelle Dienstleistungen, um Hunderte von Anwendungen auf ZTNA-Plattformen zu migrieren, ohne zu hinterfragen, ob diese Anwendungen überhaupt existieren sollten. Die Gebühren für diese "Risikominderung" übersteigen oft die Kosteneinsparungen, die eine richtige Rationalisierung bringen würde.

Die Zero Trust Dividende

Unternehmen, die sich für den Weg der Transformation entscheiden, entdecken etwas Unerwartetes: Die ordnungsgemäße Umsetzung von Zero Trust schafft eine Zwangsfunktion für die längst überfällige Optimierung des IT-Portfolios. Wenn jede Anwendung einen identifizierten Eigentümer, einen begründeten Geschäftszweck und klassifizierte Datenflüsse haben muss, geschieht die Bereinigung organisch.

Die Wirtschaftlichkeit wird schnell überzeugend. Durch die Ausmusterung von Anwendungen entfallen Lizenzkosten, die Anforderungen an die Infrastruktur werden reduziert und die Sicherheitsfläche wird verkleinert. Konsolidierungsmöglichkeiten ergeben sich, wenn Teams feststellen, dass sie mehrere Tools für identische Funktionen unterhalten. Die Reduzierung der technischen Schulden folgt ganz natürlich, wenn veraltete Systeme ihre schützende Anonymität verlieren.

Die quantifizierbaren Vorteile überraschen die Führungsteams oft. Allein die Lizenzoptimierung führt in der Regel zu Kostensenkungen von 20-40% bei den Softwareausgaben. Die Rationalisierung der Infrastruktur führt zu ähnlichen Einsparungen bei den Rechen- und Speicherkosten. Die Effizienzgewinne im Betrieb - weniger Systeme, die gepatcht, überwacht und gesichert werden müssen - führen zu laufenden Dividendenströmen, die sich im Laufe der Zeit summieren.

Vielleicht noch wichtiger ist, dass Unternehmen tatsächliches Wissen über ihre IT-Umgebungen entwickeln. Diese Fähigkeit ermöglicht eine schnellere Reaktion auf Vorfälle, genauere Bewertungen der Auswirkungen auf das Geschäft und datengestützte Entscheidungen über Technologieinvestitionen. Die Wettbewerbsvorteile für Unternehmen, die verstehen, was sie besitzen und wie es Wert schafft, häufen sich stetig an.

Den Business Case neu formulieren

Der traditionelle Business Case für Cybersicherheit stellt Sicherheitsverbesserungen als notwendige Ausgaben dar - Investitionen in die Risikominderung, die keine direkten Einnahmen generieren. Diese Sichtweise benachteiligt Sicherheitsteams systematisch, wenn sie im Wettbewerb um Budgets mit Initiativen konkurrieren, die offensichtliche finanzielle Erträge versprechen.

Die Dividende für das Anwendungsinventar ändert diese Dynamik völlig. Die Implementierung von Zero Trust wird zu einer Initiative zur Optimierung des IT-Portfolios, die zufällig auch Verbesserungen der Sicherheit beinhaltet. Der Business Case verlagert sich von "Wie viel wird dieses Sicherheitsprojekt kosten?" zu "Wie viel Geld werden wir durch diese Optimierungsmaßnahmen sparen?"

Die Überlegungen zum Zeitplan verstärken diese Neuausrichtung. Die Vorteile der Anwendungsrationalisierung beginnen sofort - stillgelegte Anwendungen verursachen im laufenden Monat keine Kosten mehr. Die Optimierung der Lizenzen macht sich im nächsten Erneuerungszyklus bemerkbar. Die Einsparungen bei der Infrastruktur schlagen sich in den vierteljährlichen Cloud-Rechnungen nieder. Diese Einsparungen finanzieren die ZTNA-Implementierung in der Regel innerhalb von 12 bis 18 Monaten, danach sind die Sicherheitsverbesserungen im Wesentlichen kostenlos.

Unternehmen, die sich diesen Rahmen zu eigen machen, stellen fest, dass ihre Zero-Trust-Initiativen von den Stakeholdern anders aufgenommen werden. CFOs werden eher zu Verbündeten als zu Skeptikern. Die Leiter der Geschäftsbereiche engagieren sich proaktiv, wenn sie die Effizienzvorteile verstehen. Technologie-Teams schätzen die Möglichkeit, technische Schulden zu beseitigen, die sich über Jahre angesammelt haben.

Die strategische Wahl

Die VPN-End-of-Life-Krise stellt einen strategischen Wendepunkt dar, der weit über den Technologieaustausch hinausgeht. Unternehmen können sich dafür entscheiden, bestehende Ineffizienzen mit neuen Tools aufrechtzuerhalten, oder sie können die Umstellungsanforderungen als Katalysator für grundlegende Verbesserungen nutzen.

Der "einfache" Weg bewahrt die Komfortzonen des Unternehmens und erhöht gleichzeitig die technologische Komplexität und die Kosten. Der Weg der Transformation erfordert kurzfristige Störungen, schafft aber nachhaltige Wettbewerbsvorteile durch ein verbessertes IT-Portfolio-Management, betriebliche Effizienz und echte Sicherheitsfunktionen.

Die Wirtschaft begünstigt den Wandel, aber nur für Unternehmen, die bereit sind, sich der Realität des Anwendungsinventars zu stellen, der sie bisher ausgewichen sind. Diejenigen, die diesen Weg wählen, entdecken, dass die schwierigsten Probleme oft die profitabelsten Lösungen haben. Die Marktdynamik belohnt diesen Mut - Unternehmen mit sauberen, gut verstandenen IT-Portfolios übertreffen ihre Mitbewerber in vielen Bereichen.

Die Frage ist nicht, ob Ihr Unternehmen irgendwann sein Anwendungsportfolio rationalisieren wird. Der Druck des Marktes, die Compliance-Anforderungen und die Betriebskosten werden Sie irgendwann zu dieser Entscheidung zwingen. Die Frage ist, ob Sie die derzeitige VPN-Umstellung als Chance nutzen, um strategisch zu handeln, oder ob Sie auf eine Krise warten, um reaktiv zu handeln.

Die Unternehmen, die heute diese Entscheidung treffen, werden morgen nachhaltige Wettbewerbsvorteile haben.

Zurück zu Blogs