Ein Mitarbeiter, der sich erfolgreich ins Firmennetzwerk eingewählt hat, gilt in den meisten Unternehmen automatisch als vertrauenswürdig, egal ob per Kabel im Büro oder per VPN von zu Hause. Genau diese Annahme hat sich als eines der größten Sicherheitsrisiken der letzten Jahre erwiesen. Zero Trust bricht mit diesem Automatismus vollständig. Statt Vertrauen aufgrund des Standorts zu vergeben, wird jeder einzelne Zugriff geprüft, unabhängig davon, woher er kommt. Dieser Artikel erklärt, was hinter dem Prinzip steckt, aus welchen Bausteinen eine Zero-Trust-Architektur besteht und wie Unternehmen sie in der Praxis einführen.
Kurzgefasst:
Was ist Zero Trust? Definition und Grundprinzip
Das klassische Sicherheitsmodell funktioniert wie eine Burg. Eine dicke Mauer schützt die Grenze nach außen, meist in Form einer Firewall. Wer aber einmal durch das Tor gelangt ist, bewegt sich innerhalb der Burgmauern weitgehend frei. Genau das ist das Problem. Ein Angreifer, der die Außengrenze einmal überwindet, findet innen kaum noch Widerstand.
Zero Trust bezeichnet ein Sicherheitsprinzip, das mit dieser Vorstellung bricht. Ein Zero Trust Network kennt keinen Bereich mehr, der automatisch als vertrauenswürdig gilt, weder das interne Firmennetz noch ein per VPN verbundenes Gerät im Homeoffice. Jeder Zugriff auf jede Ressource wird einzeln geprüft und autorisiert, unabhängig davon, woher die Anfrage kommt.
Das Zero Trust Prinzip: Vertraue nie, prüfe immer
Das Zero Trust Prinzip lässt sich auf eine kurze Formel bringen: Vertraue nie, prüfe immer. Dahinter steckt eine bewusst vorsichtige Grundannahme. Ein Angreifer könnte sich bereits im Netzwerk befinden, selbst wenn aktuell nichts darauf hindeutet. Diese Haltung wird in der Fachsprache oft als Assume Breach bezeichnet, zu Deutsch etwa von einem Einbruch ausgehen.
Praktisch bedeutet das, dass Identität und Kontext bei jedem einzelnen Zugriff neu bewertet werden. Geprüft wird, wer zugreift, mit welchem Gerät, auf welche Ressource, und ob dieser Zugriff für die aktuelle Aufgabe tatsächlich nötig ist. Einmal erteiltes Vertrauen gilt nicht dauerhaft, sondern wird bei jeder neuen Anfrage erneut bewertet.
Das Prinzip ist dabei nicht komplett neu erfunden. Bereits in unserem Artikel zur WLAN-Sicherheit haben wir mit RADIUS (einem zentralen Authentifizierungsdienst) eine Technik beschrieben, die genau das umsetzt. Jeder Nutzer meldet sich dort individuell an, statt sich ein gemeinsames Passwort zu teilen. Zero Trust überträgt diesen Gedanken konsequent auf das gesamte Netzwerk, nicht nur auf den WLAN-Zugang.
Zero Trust Architektur: Die zentralen Bausteine
Eine Zero Trust Architektur setzt sich aus mehreren Bausteinen zusammen, die einander ergänzen. Kein einzelnes Produkt liefert Zero Trust von der Stange. Es handelt sich um eine Strategie, nicht um eine einzelne Anschaffung.
Der erste Baustein ist die Netzwerksegmentierung. Statt eines einzigen, durchlässigen Netzwerks entstehen mehrere abgegrenzte Bereiche, zwischen denen jeder Übergang einzeln kontrolliert wird. Wie das konkret funktioniert, beschreiben wir in einem eigenen Artikel.
Der zweite Baustein ist Multi-Faktor-Authentifizierung. Wie auch beim Ransomware-Schutz, stellt MFA sicher, dass ein gestohlenes Passwort allein nicht für einen Zugriff ausreicht. Für ein Zero-Trust-Konzept ist das keine Option unter mehreren, sondern eine Grundvoraussetzung, weil bei jedem Zugriff die Identität zweifelsfrei feststehen muss.
Der dritte Baustein ist das Least-Privilege-Prinzip. Jeder Nutzer und jedes Gerät erhalten ausschließlich die Zugriffsrechte, die für die jeweilige Aufgabe zwingend nötig sind, nicht mehr.
Zero Trust Network Access (ZTNA): Die Alternative zu klassischem VPN
Ein klassisches VPN im Homeoffice gewährt nach erfolgreicher Anmeldung Zugriff auf das gesamte Netzwerk. Genau das widerspricht dem Zero Trust Gedanken. Ein einmal erfolgreich angemeldetes Gerät gilt danach pauschal als vertrauenswürdig.
Zero Trust Network Access, kurz ZTNA, löst dieses Problem anders. Statt eines Zugangs zum gesamten Netzwerk erhält ein Nutzer ausschließlich Zugriff auf die einzelne Anwendung oder Ressource, die er gerade benötigt, nach individueller Prüfung von Identität und Gerätestatus. Alles andere im Netzwerk bleibt für ihn unsichtbar.
Für Ihr Unternehmen bedeutet das einen spürbaren Sicherheitsgewinn. Wird ein Zugang kompromittiert, erhält ein Angreifer nicht automatisch Zugriff auf das gesamte Netzwerk, sondern höchstens auf die eine freigegebene Anwendung.
Praxishinweis:
Zero Trust Modell einführen: So gehen Sie in der Praxis vor
Das Zero Trust Konzept lässt sich nicht an einem Wochenende umsetzen, aber es ist zu empfehlen das ganze schrittweise einzuführen. Diese Punkte helfen Ihnen bei der praktischen Umsetzung.
| Was zu tun ist | Warum es wichtig ist |
|---|---|
| Kritische Assets identifizieren (Daten, Anwendungen, Systeme mit dem höchsten Schutzbedarf) | Zero Trust lässt sich nicht überall gleichzeitig einführen, Priorisierung ist nötig |
| Multi-Faktor-Authentifizierung flächendeckend einführen | Grundvoraussetzung für zuverlässige Identitätsprüfung |
| Netzwerk in kontrollierte Segmente aufteilen | Begrenzt die Reichweite eines kompromittierten Zugangs |
| Zugriffsrechte nach dem Least-Privilege-Prinzip vergeben | Reduziert den Schaden im Ernstfall |
| Klassisches VPN schrittweise durch ZTNA ersetzen | Verhindert pauschalen Netzwerkzugriff nach der Anmeldung |
| Zugriffe kontinuierlich protokollieren und auswerten | Ungewöhnliches Verhalten fällt frühzeitig auf |
Bereit, Zero Trust in Ihrem Unternehmen einzuführen?
Häufig gestellte Fragen (FAQ)
Zero Trust ist ein Sicherheitsprinzip, bei dem kein Gerät und kein Nutzer automatisch als vertrauenswürdig gilt, nur weil er sich im internen Netzwerk befindet. Stattdessen wird jeder einzelne Zugriff geprüft und autorisiert, unabhängig vom Standort.
Ein klassisches VPN gewährt nach der Anmeldung Zugriff auf das gesamte Netzwerk. Zero Trust, konkret umgesetzt über ZTNA, beschränkt den Zugriff stattdessen auf die einzelne benötigte Anwendung und prüft jede Anfrage einzeln. VPN und Zero Trust schließen sich nicht aus, ZTNA gilt aber als die modernere, granularere Weiterentwicklung.
Nein. Die einzelnen Bausteine wie Multi-Faktor-Authentifizierung, Netzwerksegmentierung und Least-Privilege-Zugriffsrechte lassen sich auch in kleineren und mittleren Unternehmen schrittweise einführen. Gerade kleinere und mittlere Unternehmen geraten in der Praxis häufig ins Visier von Angreifern, weil ihre IT-Sicherheit oft weniger ausgebaut ist als bei Großunternehmen. Zero Trust ist eher eine Frage der Priorisierung als der Unternehmensgröße.
Netzwerksegmentierung ist einer der zentralen technischen Bausteine, um Zero Trust umzusetzen. Sie begrenzt, wie weit sich ein Angreifer nach einem erfolgreichen Zugriff im Netzwerk bewegen kann, und ist damit eine praktische Voraussetzung für ein funktionierendes Zero-Trust-Konzept.
Das hängt stark vom Ausgangszustand des Unternehmens ab. Zero Trust wird in der Praxis selten an einem Stück eingeführt, sondern schrittweise, beginnend mit den kritischsten Systemen. Eine realistische Planung sollte eher in Monaten als in Wochen gedacht werden.
