Klassische Sicherheitskonzepte folgten dem Bild einer Burg: Eine Firewall schützt die Außengrenze, und wer sich im Firmennetz befindet, gilt als vertrauenswürdig. Dieses Modell passt schlecht zu Cloud-Diensten, Homeoffice und mobilen Geräten. Es hilft auch wenig, wenn Angreifende mit gestohlenen Zugangsdaten oder über ein infiziertes Gerät bereits im Netz sind und sich dort frei bewegen können.
Zero Trust kehrt die Grundannahme um: Vertrauen wird nicht vorausgesetzt, sondern für jeden Zugriff neu begründet. Der Begriff wurde um 2010 populär. Das US-amerikanische National Institute of Standards and Technology (NIST) beschreibt eine Zero-Trust-Architektur in der Publikation SP 800-207. Zero Trust ist kein einzelnes Produkt, sondern ein Sicherheitsmodell, das schrittweise umgesetzt wird.
Wie funktioniert Zero Trust?
Drei Grundsätze prägen den Ansatz:
- Explizit prüfen: Jeder Zugriff wird anhand der verfügbaren Signale bewertet, etwa Identität, Zustand des Geräts, Standort, Anwendung und erkanntes Risiko.
- Minimale Rechte: Konten und Anwendungen erhalten nur die Berechtigungen, die sie für ihre Aufgabe brauchen, möglichst zeitlich begrenzt, siehe Least Privilege.
- Von einem Einbruch ausgehen: Systeme werden so gestaltet, dass ein übernommenes Konto oder Gerät möglichst wenig Schaden anrichtet, etwa durch Netzwerksegmentierung, Verschlüsselung und laufende Überwachung.
Technisch trifft eine zentrale Stelle die Zugriffsentscheidung nach festgelegten Richtlinien. Durchgesetzt wird sie bei der Anmeldung, in der Anwendung oder im Netzwerk. Die Bewertung erfolgt nicht nur einmal, sondern wird bei veränderten Bedingungen erneut vorgenommen.
Typische Beispiele
- Der Zugriff auf Microsoft 365 ist nur mit Multi-Faktor-Authentifizierung und von einem verwalteten, aktuellen Gerät möglich, umgesetzt etwa mit Conditional Access.
- Statt eines VPN, das das gesamte Firmennetz öffnet, erhalten Mitarbeitende nur Zugang zu einzelnen freigegebenen Anwendungen. Dieses Verfahren wird als Zero Trust Network Access (ZTNA) bezeichnet.
- Server-, Büro- und Produktionsnetze werden voneinander getrennt, damit sich Schadsoftware nicht ungehindert ausbreiten kann.
- Administrative Rechte werden nur für die Dauer einer Aufgabe freigeschaltet.
Worauf Unternehmen achten sollten
- Bei den Identitäten beginnen: Multi-Faktor-Authentifizierung für alle Konten ist oft ein wirksamer erster Schritt.
- Bestand kennen: Welche Benutzer, Geräte, Anwendungen und Daten gibt es, und welche davon sind besonders schützenswert?
- Schrittweise vorgehen: Richtlinien zuerst testen und ihre Auswirkungen protokollieren, dann erzwingen.
- Altsysteme berücksichtigen: Systeme, die keine modernen Anmeldeverfahren unterstützen, brauchen Ausgleichsmaßnahmen wie eine strikte Abschottung.
- Benutzbarkeit im Blick behalten: Zusätzliche Prüfungen gezielt nach Risiko einsetzen statt bei jeder Aktion.
Abgrenzung
Zero Trust bedeutet nicht, den Mitarbeitenden zu misstrauen. Der Begriff bezieht sich auf technische Vertrauensannahmen. Firewalls bleiben ebenfalls sinnvoll, sind aber nicht mehr die einzige Schutzgrenze.
Cyber-Security-Kompetenz entdecken