*Vertiefender Hintergrundartikel – Stand August 2026*
ISO 27001 und NIS2 sind für viele Unternehmen aktuell die zentralen Nachweise gelebter IT-Sicherheit. Beide sind wichtig – und beide beantworten eine andere Frage, als man im Ernstfall stellt. Ein Zertifikat bestätigt, dass Prozesse dokumentiert und Kontrollen definiert sind. Es misst nicht, wie schnell diese Kontrollen greifen, wenn ein Angriff bereits läuft. Genau diese Reaktionsgeschwindigkeit ist aber der Faktor, der 2026 über Schaden oder Nicht-Schaden entscheidet. Dieser Artikel geht der Frage nach, warum das so ist, und ordnet die drei technischen Antworten darauf – IAM, Zero Trust und Software Defined Networking (SDN) – im Detail ein: was sie leisten, was sie kosten, und wo ihre Grenzen liegen.
## Was ISO 27001 und NIS2 tatsächlich prüfen – und was nicht
ISO 27001 zertifiziert ein Informationssicherheits-Managementsystem: Richtlinien, Risikobewertungen, Verantwortlichkeiten, dokumentierte Kontrollen. NIS2 verpflichtet als EU-Richtlinie Betreiber wesentlicher und wichtiger Einrichtungen zu Risikomanagement, Meldepflichten und Mindeststandards in der Lieferkette. Beide Rahmenwerke sind Momentaufnahmen eines Audits – sie prüfen, ob Kontrollen existieren und dokumentiert sind, nicht, wie sie sich unter Last verhalten, wenn ein Angreifer bereits im Netz ist. Ein Unternehmen kann jede Anforderung technisch korrekt erfüllen und trotzdem eine flache, unsegmentierte Netzwerkarchitektur betreiben, solange diese dokumentiert und „risikobewertet“ ist. Die Lücke liegt also nicht im Regelwerk selbst, sondern darin, dass Compliance und operative Reaktionsfähigkeit zwei unterschiedliche Dinge sind, die in der Praxis oft verwechselt werden.
## Die Bedrohungslage: warum Reaktionsgeschwindigkeit jetzt entscheidet
Diese Tabelle ist der eigentliche Grund für den gesamten Rest dieses Artikels: Die Angriffsseite agiert in Sekunden und Minuten, die Verteidigungsseite in Wochen und Monaten. Kein Compliance-Rahmenwerk schließt diese Lücke von selbst – nur technische Architektur kann das.
## Säule 1: IAM – die Vertrauensbasis, die neu gedacht werden muss
Identity- und Access-Management ist die Grundlage jeder Zugriffsentscheidung, die Zero Trust oder SDN nachgelagert automatisiert durchsetzen. 2026 verschiebt sich der Schwerpunkt dabei spürbar: Non-Human Identities – Service-Accounts, API-Keys, Zertifikate, Maschinentoken – wachsen jährlich um über 40 % und übersteigen menschliche Identitäten in manchen Unternehmen bereits im Verhältnis 40:1 bis über 100:1. Mit autonomen KI-Agenten kommt eine völlig neue Identitätsklasse hinzu, die eigenständig handelt, statt nur einzuloggen.
Am Markt haben sich unterschiedliche Schwerpunkte herausgebildet: Microsoft Entra ID als Workforce-Identity-Rückgrat für M365-/Azure-Umgebungen, Okta als herstellerunabhängige Plattform für SSO und Lifecycle-Management über tausende Anwendungen, SailPoint für KI-gestützte Identity Governance, Ping Identity für hybride Umgebungen sowie CyberArk – seit der Übernahme durch Palo Alto Networks 2026 und Neupositionierung als „Idira“ – für die Verzahnung von Privileged Access Management mit einer breiteren Identity-Security-Plattform. ForgeRock gehört seit der 2,3-Milliarden-Dollar-Übernahme durch Thoma Bravo 2023 ebenfalls zu Ping Identity; beide Plattformen werden 2026 noch kommerziell getrennt weitergeführt, mit klarem Fahrplan Richtung PingOne für Neukunden – ForgeRock-Bestandskunden mit komplexen CIAM-Anforderungen bleiben aber vorerst eine eigene Option.
Das ist jedoch nur die klassische Workforce-/Customer-IAM-Schicht. Für die eingangs beschriebene Explosion an Non-Human Identities entsteht daneben ein eigenes, spezialisiertes Marktsegment: Saviynt und Veza governieren mit KI-gestützten Analysen bzw. einem Autorisierungs-Graphen menschliche und nicht-menschliche Zugriffe gleichermaßen und bieten inzwischen explizite Kontrollen für KI-Agenten. Aembit und Silverfort setzen tiefer an der Maschine-zu-Maschine-Kommunikation an: Aembit ersetzt langlebige, statische Credentials durch kurzlebige, attestierte Tokens zwischen Workloads, Silverfort bringt adaptive MFA und risikobasierte Zugriffskontrolle auch dorthin, wo klassische Agenten nicht installierbar sind (Legacy-Systeme, Service-Accounts). Oasis Security kombiniert NHI-Discovery mit „Agentic Access Management“ – zeitlich begrenzten, intentionsbewussten Sitzungsidentitäten speziell für autonome KI-Agenten. Astrix Security war hier lange ein Vorreiter für die Absicherung von OAuth-Apps und SaaS-Integrationen, wurde jedoch 2026 von Cisco übernommen und stellt den eigenständigen Vertrieb neuer Lizenzen zum 30. Juni 2026 ein – ein Beispiel dafür, wie schnell sich dieses noch junge Marktsegment konsolidiert.
Eine dritte Kategorie lohnt sich für Unternehmen mit hohem Individualisierungsbedarf oder Cloud-nativen Architekturen: Identity-Orchestrierungs- und Open-Source-Plattformen wie Keycloak, WSO2 Identity Server oder Ory entkoppeln Authentifizierung von einzelnen Anwendungen und lassen sich tief in eigene Entwicklungs-Pipelines integrieren. Strata Identity geht mit seiner Maverics-Plattform noch einen Schritt weiter und bietet explizit „Identity Orchestration for Agents“ an, um heterogene IAM-Landschaften über mehrere Anbieter hinweg zu vereinheitlichen, statt sie abzulösen.
Entscheidend ist also weniger die Wahl eines einzelnen Anbieters als die Frage, ob das eigene IAM-Modell überhaupt für maschinelle, hochfrequente Identitäten ausgelegt ist – klassische IAM-Systeme wurden für den menschlichen Achtstundentag gebaut, nicht für Agenten, die tausende Aktionen pro Minute ausführen. In der Praxis bedeutet das für viele Unternehmen eine Kombination: eine klassische Workforce-IAM-Plattform als Basis, ergänzt um ein spezialisiertes NHI-/Machine-Identity-Werkzeug für die Fälle, die das klassische System strukturell nicht abdeckt.
## Säule 2: Zero Trust – Build oder Buy
Zero Trust lässt sich grob auf zwei Wegen umsetzen, mit deutlich unterschiedlichem Aufwandsprofil:
Für die meisten Unternehmen ist der Cloud-Weg der pragmatischere Einstieg, insbesondere um das kritische Einfallstor VPN/Remote-Access zu schließen. Eine vollständige Eigenbau-Architektur mit tiefer Mikrosegmentierung bleibt sinnvoll, wenn Datenhoheit, sehr heterogene Legacy-Landschaften oder spezifische regulatorische Vorgaben dagegensprechen, extern zu gehen. Gartner erwartet, dass bis 2026 rund 80 % der Unternehmen eine SASE/ZTNA-Strategie verfolgen – der Markt hat sich also bereits mehrheitlich für den ersten Weg entschieden.
## Säule 3: SDN – das technische Fundament für Zero Trust in Echtzeit
Software Defined Networking trennt Steuerungsebene (Control Plane) und Datenebene (Data Plane) und macht das gesamte Netzwerk über eine zentrale, programmierbare Instanz steuerbar. Für Zero Trust ist das mehr als ein Implementierungsdetail: Ohne SDN bleiben Zero-Trust-Policies bestenfalls so schnell, wie ein Netzwerkteam manuell VLANs und Firewallregeln anpassen kann – typischerweise Tage bis Wochen. Mit SDN lassen sich Policies netzwerkweit in Sekunden ändern, verdächtige Segmente automatisiert isolieren und laterale Bewegung direkt unterbinden, sobald ein SOC oder ein angebundenes XDR-System eine Anomalie meldet.
Der Umsetzungsaufwand ist trotzdem real und wird in der Praxis regelmäßig unterschätzt, aus drei Gründen: Der SDN-Controller selbst wird durch die Trennung von Control- und Data-Plane zum kritischsten, am stärksten zu schützenden Bauteil im gesamten Netz. Die Integration mit gewachsener Legacy-Infrastruktur ist technisch anspruchsvoll – unterschiedliche Protokolle, Architekturen und Betriebsmodelle erzeugen Kompatibilitätsprobleme, weshalb eine Migration in der Praxis nur schrittweise über mehrere Phasen erfolgen kann, ohne Betriebsunterbrechungen oder SLA-Verletzungen zu riskieren. Und der Ressourcenaufwand ist erheblich: neue Hardware und Software, hohe Investitionskosten, vor allem aber Personal, das SDN-Betrieb beherrscht – ein Skillset, das am Arbeitsmarkt aktuell noch knapp ist.
Aus eigener Beobachtung bei der mehrjährigen Begleitung einer SDN-Einführung in einem sehr großen Unternehmen: Es handelt sich nicht um ein klassisches Infrastruktur-Upgrade, sondern um eine grundlegend neue Herangehensweise. Das Netzwerk muss organisatorisch und technisch neu gedacht werden – Change-Prozesse, Zuständigkeiten und das Selbstverständnis des Netzwerkteams verschieben sich in Richtung eines software-nahen Betriebsmodells. Wer SDN als reines Technologieprojekt plant, unterschätzt in aller Regel den organisatorischen Anteil der Transformation.
## Die Grenze, die alle drei Säulen gemeinsam haben
So wirksam IAM, Zero Trust und SDN zusammen sind – sie verhindern nicht die erste Ausnutzung einer unbekannten Schwachstelle. Ein Negativ-Day-Exploit trifft eine Lücke, bevor überhaupt ein Patch oder eine Signatur existiert; das kann keine der drei Säulen erkennen. Ihr Wert entfaltet sich erst danach, in der Eindämmung: Mikrosegmentierung verhindert die Ausbreitung, Least-Privilege-IAM begrenzt den Schaden eines kompromittierten Kontos, SDN setzt die daraus folgenden Isolationsmaßnahmen in Echtzeit um. Ergänzt werden muss das durch verhaltensbasierte Runtime-Erkennung (etwa Falco, Tetragon oder Sysdig), die Angriffe über ihr Verhalten statt über bekannte Signaturen erkennt – der einzige Baustein in dieser Kette, der auch auf eine tatsächlich unbekannte Bedrohung reagieren kann, bevor sie sich ausbreitet.
## Handlungsempfehlung: fünf Fragen für die eigene Standortbestimmung
Bevor eine Organisation in IAM-, Zero-Trust- oder SDN-Projekte investiert, lohnt sich eine ehrliche Bestandsaufnahme entlang weniger Fragen: Wie lange dauert es aktuell, einen kompromittierten Nutzer oder Service-Account zu sperren – Minuten oder Tage? Sind Maschinen- und KI-Identitäten im IAM überhaupt als eigene Kategorie mit eigenem Lebenszyklus abgebildet? Lässt sich das Netzwerk heute in Minuten segmentieren, oder erfordert jede Änderung ein Change-Fenster? Gibt es Verhaltenserkennung, die unabhängig von bekannten Signaturen arbeitet? Und schließlich: Ist die Antwort auf diese vier Fragen Teil der KI-Strategie des Unternehmens, oder wird sie ausschließlich als IT-Betriebsthema behandelt?
## Fazit
IAM, Zero Trust und SDN lösen zusammen ein Problem, das Zertifizierungen allein nicht lösen können: die Lücke zwischen dokumentierter und tatsächlicher Reaktionsfähigkeit. Keine der drei Säulen ist trivial umzusetzen – gerade SDN verlangt eine organisatorische Transformation, die oft unterschätzt wird. Aber angesichts einer Angriffsseite, die in Sekunden agiert, während Patches im Schnitt Monate brauchen, ist genau diese Investition der Unterschied zwischen einem sauberen Audit-Bericht und einer tatsächlich resilienten Infrastruktur.
Weitere Informationen auf dem LinkedIn Kanal:
https://www.linkedin.com/feed/update/urn:li:activity:7490846193300910082/
Referenzen
– Mandiant/Google Cloud, *M-Trends 2026*: https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026/
– Google Cloud/Mandiant, *Time-to-Exploit Trends 2023*: https://cloud.google.com/blog/topics/threat-intelligence/time-to-exploit-trends-2023
– Security Boulevard, *Mean Time to Exploit Has Gone Negative*: https://securityboulevard.com/2026/05/mean-time-to-exploit-has-gone-negative-security-strategy-has-to-change/
– Cyber Unit, *CVE-to-Exploit Window Drops to 10 Hours in 2026*: https://cyberunit.com/insights/cve-exploit-window-10-hours-ai-attackers-2026/
– CrowdStrike, *2026 Global Threat Report*: https://www.crowdstrike.com/en-us/press-releases/2026-crowdstrike-global-threat-report/
– Qualys Blog, *Enterprise Patch & Remediation Benchmark 2026*: https://blog.qualys.com/qualys-insights/2026/04/20/enterprise-patch-remediation-benchmark-2026
– IDMWORKS, *13 Latest Trends in Identity and Access Management 2026*: https://www.idmworks.com/insight/latest-trends-in-identity-and-access-management/
– StartWithIdentity, *Top 10 Enterprise IAM Platforms in 2026*: https://startwithidentity.com/articles/top-10-enterprise-iam-platforms-2026/
– Non-Human Identity Management Group, *Non-Human Identity als neuer Perimeter*: https://nhimg.org/nhi-101/non-human-identity-security-perimeter-2026
– Thoma Bravo, *Completes Acquisition of ForgeRock; Combines ForgeRock into Ping Identity*: https://www.thomabravo.com/press-releases/thoma-bravo-completes-acquisition-of-forgerock-combines-forgerock-into-ping-identity
– Computer Weekly, *Ping CEO on ForgeRock integration and future of identity*: https://www.computerweekly.com/news/366615698/Ping-CEO-on-ForgeRock-integration-and-future-of-identity
– Cremit, *NHI Security Platform Comparison 2026: Astrix, Oasis, Entro, Clutch, GitGuardian*: https://www.cremit.io/reports/rsac-2026-nhi
– Aembit, *10 Identity Security Vendors for AI Agents*: https://aembit.io/blog/10-identity-security-vendors-for-ai-agents-strengths-tradeoffs-and-how-they-fit/
– GitGuardian, *Top 10 Non-Human Identity Security Tools and Platforms for 2026*: https://blog.gitguardian.com/nhi-security-tools/
– StartWithIdentity, *Top 10 Open-Source IAM Solutions in 2026*: https://startwithidentity.com/articles/top-10-open-source-iam-solutions/
– Strata.io, *Introducing Identity Orchestration for AI Agents*: https://www.strata.io/blog/agentic-identity/introducing-identity-orchestrationai-agents/
– Gartner Peer Insights, *Best SASE Platforms 2026*: https://www.gartner.com/reviews/market/single-vendor-sase
– Zscaler, *VPN vs. ZTNA*: https://www.zscaler.com/blogs/product-insights/vpn-vs-ztna-which-better-secure-remote-access
– Elisity, *Top Microsegmentation Vendors & Solutions for 2026*: https://www.elisity.com/blog/what-are-the-top-microsegmentation-solutions-for-2026
– ACM, *Towards Zero Trust Security in SDN: A Multi-Layered Defense Strategy*: https://doi.org/10.1145/3700838.3703671
– Allied Telesis, *A Migration Path to Software-Defined Networking (SDN) in an Enterprise Network*: https://www.alliedtelesis.com/us/en/white-paper/migration-path-software-defined-networking-sdn-enterprise-network
– NetworkTigers, *The Challenge with Software-Defined Networking*: https://news.networktigers.com/network-knowhow/the-challenge-with-software-defined-networking/
– Oligo Security, *The Zero-Day Vulnerability Lifecycle & 5 Defensive Measures*: https://www.oligo.security/academy/the-zero-day-vulnerability-lifecycle-5-defensive-measures
– Eduonix, *Kubernetes Security in 2026: Runtime Protection & Zero Trust*: https://blog.eduonix.com/2026/07/kubernetes-security-in-2026-best-practices-runtime-protection-zero-trust-implementation/