Zero Trust: Das Sicherheitskonzept für die digitale Zukunft

Netzwerke haben sich in den letzten Jahren stark verändert. Während es früher darum ging, Angriffe von außen abzuwehren, sind klare Netzwerkgrenzen heute nur noch schwer zu ziehen. Dazu haben unter anderem mobile Geräte, die Cloud und Edge Computing beigetragen.

Das verlangt nach neuen Sicherheitsansätzen. Statt einen festen Perimeter zu verteidigen, rückt die Identität des Users in den Fokus: Keinem User oder Gerät sollte automatisch vertraut werden. Dieses Konzept bezeichnet man als Zero Trust.

In diesem Artikel betrachten wir, welche Zero-Trust-Prinzipien es gibt, welche Vorteile der Ansatz bietet und wie die Umsetzung gelingt.

Definition: Was ist Zero Trust?

Zero Trust ist ein Sicherheitskonzept in der IT. Die technische Umsetzung bezeichnet man als Zero-Trust-Architektur (ZTA). Der Grundsatz von Zero Trust: Keinem Benutzer, Gerät oder Dienst sollte automatisch vertraut werden. Das gilt auch für bekannte Entitäten innerhalb des eigenen Unternehmensnetzwerkes. Damit grenzt sich Zero Trust von klassischen Sicherheitskonzepten ab, deren Hauptaugenmerk darauf liegt, unbefugte Zugriffe von außen zu verhindern (Perimeter- bzw. Hub-&-Spoke-Modelle).

Zero Trust überprüft fortlaufend alle Benutzer und Geräte, auch innerhalb des Netzwerks. Vor jedem Verbindungsaufbau wird eine Neubewertung durchgeführt – können wir dieser Instanz vertrauen? Dafür werden insbesondere Kontext-Kriterien zu Rate gezogen, zum Beispiel der Geräte-Typ, die Geolocation oder auffälliges Verhalten. Ob dem User bereits in der Vergangenheit Zugriff gewährt wurde, spielt dagegen keine bzw. eine untergeordnete Rolle.

Eine der wichtigsten Ideen von Zero Trust ist das Least-Privilege-Prinzip. Es besagt, dass jedem User nur so viele Rechte eingeräumt werden sollten, wie unbedingt nötig, damit der Anwender seiner Arbeit nachgehen kann.

Ein Zero-Trust-Ansatz trägt wesentlich dazu bei, die Wahrscheinlichkeit von Cyberangriffen zu minimieren. Er hat in den letzten Jahren stark an Bedeutung gewonnen, weil sich traditionelle Netzwerk-Strukturen verändert haben. Die Grenzen von Netzwerken sind fluider geworden, speziell durch Themen wie Remote Work, die (Hybrid) Cloud und Edge Computing. Die alte „Drinnen vs. Draußen“-Logik greift nicht mehr. Zero Trust trägt dieser neuen Fluidität Rechnung.

Die Grundprinzipien von Zero Trust

Zero Trust basiert auf mehreren Grundprinzipien. Diese Prinzipien können variieren, je nachdem, welches Zero-Trust-Framework man zugrunde legt (zum Beispiel NIST SP 800-207 vs. Microsoft Zero Trust Model). Die folgenden Prinzipien finden aber in vielen Fällen Erwähnung:

„Never trust, always verify“: Keinem User oder Gerät sollte automatisch vertraut werden, auch wenn es sich um scheinbar bekannte Entitäten handelt. Stattdessen sollte jedes Mal eine Neubewertung vorgenommen werden, unter Verwendung aller verfügbaren Data Points. Dazu zählen:

• Benutzer-Identität
• Gerätezustand
• Geolocation
• Angefragte Datenklassen
• Untypisches Verhalten

Least Privilege Access: Jeder User sollte gerade so viele Berechtigungen erhalten, wie er benötigt, um seinen Aufgaben nachzugehen. Außerdem sollten User-Rollen und -Berechtigungen regelmäßig hinterfragt werden.

„Assume a breach“: Sie sollten Ihr Netzwerk so organisieren, als ob sich ein Angreifer bereits Zugriff verschafft hat. Das betrifft insbesondere die Segmentierung, das Logging und automatische Alarmsysteme.

Mikrosegmentierung: Ein Netzwerk sollte in viele kleine Segmente aufgespalten werden, die leicht isoliert werden können. Wird ein Angreifer in einem bestimmten Segment ausgemacht, kann er dort „festgesetzt“ werden. Ihm wird damit das Lateral Movement genommen, also die Möglichkeit, sich von einem Bereich des Netzwerks in andere Bereiche weiterzubewegen (siehe Blogartikel Hybrid Cloud Beispiele – Use Case 1: Microsegmentation).

Continuous Monitoring: Jede Aktivität im Netzwerk sollte fortlaufend überwacht und bewertet werden (siehe unseren Blogartikel Wie ein Security Operations Center (SOC) für mehr Cybersicherheit sorgt). Dieses Monitoring kann zum großen Teil automatisiert werden, zum Beispiel unter Verwendung von SIEM– und XDR-Systemen. Durch die Fortschritte im Bereich KI sind diese Tools noch effektiver geworden.

„Secure all endpoints“: Sämtliche Endgeräte wie Workstations, Laptops, Smartphones oder IoT-Geräte sollten gesichert werden. Dies sollte unter Verwendung von zentral definierten Security-Policies geschehen. Bei der Umsetzung helfen EDR-Tools (Endpoint Detection and Response).

„Protect data, wherever it lives“: Sämtliche Daten sollten verschlüsselt werden, sowohl im Ruhezustand als auch im Transit. Außerdem sollten Datenklassen definiert und eingerichtet werden. Das erlaubt die leichte Zuteilung, aber auch den schnellen Entzug von Rechten. Und nicht zuletzt sollten Data-Loss-Prevention-Tools (DLP) eingesetzt werden, um einen Datenabfluss zu verhindern.

Vorteile

Zero Trust bietet Ihrem Unternehmen eine Reihe von Vorteilen.

Weniger Lateral Movement

Indem Zero Trust keinem User oder Gerät vertraut, können sich Angreifer wesentlich schwerer durch das Netzwerk bewegen. Ihr Lateral Movement ist eingeschränkt.

Bekämpfung von Insider Threats

83 Prozent aller Organisationen hatten in 2024 mit mindestens einem Insider Threat zu tun. Das reicht von der versehentlichen Löschung wichtiger Daten bis hin zum Diebstahl von Geschäftsgeheimnissen. Zero Trust reduziert die Wahrscheinlichkeit für solche Vorfälle, weil jeder Anwender nur das Minimum an Rechten erhält.

Remote Work

Spätestens seit Covid ist Remote Work auf dem Vormarsch. Zero-Trust-Architekturen werden diesen neuen Anforderungen bestens gerecht. Sie schützen die Unternehmensdaten auch dann, wenn sich Teams verteilt auf der ganzen Welt befinden.

Cloud-freundlich

81 Prozent aller deutschen Unternehmen nutzen mittlerweile die Cloud. Das bedeutet, dass Daten nicht länger an einem Ort, sondern weit verteilt vorliegen. Zero Trust gewährleistet hier ein hohes Maß an Sicherheit, weil User-Identitäten ständig überprüft werden.

Schadensbegrenzung

Falls ein Sicherheitsvorfall eintritt, kann der Schaden dank Zero Trust schnell begrenzt werden. Betroffene Netzwerk-Areale werden isoliert und Angreifer gezwungen, sich ständig neu zu authentifizieren.

Compliance

Eine konsequent umgesetzte Zero-Trust-Architektur trägt wesentlich dazu bei, Compliance-Anforderungen wie NIS-2 oder DORA gerecht zu werden. Damit beugen Unternehmen hohen Strafzahlungen vor.

Zero Trust: Häufige Missverständnisse

Viele Unternehmen zögern noch, was die Umsetzung von Zero Trust angeht. Das hängt mit einigen weit verbreiteten Missverständnissen zusammen.

Missverständnis 1: „Zero Trust = Zero Access“

Zero Trust möchte den Zugriff auf Daten nicht unterbinden. Es geht vielmehr darum, ihn intelligenter und sicherer zu organisieren. Die User haben nach wie vor Zugriff auf Daten, aber nur auf die Daten, die sie tatsächlich benötigen. Das steigert nicht nur die Sicherheit, sondern auch die Produktivität, weil es weniger Stellen gibt, an denen die User nach Daten suchen müssen.

Die Voraussetzung ist ein gründliches Berechtigungsmanagement. Es müssen Rollen definiert und zugewiesen werden. Dann resultiert Zero Trust nicht in „Zero Access“, sondern in „Smart Access“.

Missverständnis 2: „Das ist doch nur für große Unternehmen“

Man hört häufig, Zero Trust sei nur für große Organisationen relevant. Das Gegenteil ist der Fall: KMU benötigen Zero Trust noch dringender. Warum? Weil sie häufig nicht über dieselben IT-Ressourcen wie große Unternehmen verfügen. Typischerweise umfasst das IT-Team nur wenige Mitglieder, die stark ins Kerngeschäft eingespannt sind.

Zero-Trust-Tools können diese Situation verbessern, weil sie sehr gut skalieren. Beispiele sind MFA- oder IAM-Tools. Einmal eingerichtet, können diese Anwendungen ihre Arbeit tun, ohne das Team abzulenken.

Missverständnis 3: „Zero Trust verursacht viel Aufwand“

Viele Unternehmen scheuen die Implementierung von Zero-Trust-Prinzipien, weil sie als zu aufwendig empfunden werden. Dabei muss Zero Trust nicht auf einen Schlag realisiert werden. Eine schrittweise Einführung macht schon deshalb Sinn, weil bestimmte Abläufe zuerst getestet werden können. Zum Beispiel könnten Sie Zero Trust zuerst in einer bestimmten Abteilung einführen und das Projekt dann unternehmensweit ausrollen.

Historie

Der Ausdruck „Zero Trust“ geht auf Stephen Paul Marsh zurück. Dieser verwendete den Begriff in seiner 1994 veröffentlichten Doktorarbeit an der University of Stirling. Marsh ging davon aus, dass Vertrauen über moralische Begriffe hinausreicht und mathematisch gefasst werden kann. Damit würde Vertrauen zu einer Größe, mit der ein „Artificial Agent“ umgehen kann. Er thematisierte Künstliche Intelligenz zu einem Zeitpunkt, als sie noch kaum diskutiert wurde.

Dass Zero Trust vor allem für die Netzwerk-Organisation relevant ist, kristallisierte sich in den 90er und frühen 2000er Jahren heraus. Bis dahin folgten IT-Sicherheitskonzepte einem „Castle and Moat“-Ansatz, also einer Burggraben-Architektur. Alle, die sich innerhalb der Burg befanden, wurden automatisch als sicher eingestuft. Nur den Entitäten jenseits des Burggrabens wurde standardmäßig misstraut.

Dieser Aufbau war in mehrfacher Hinsicht problematisch. Zum Beispiel war es schwierig, Gästen Zugriff zum Netzwerk zu gewähren, ohne dass diese sämtliche Unternehmensinformationen abrufen konnten. Weiterhin machten vernetzte Geräte wie Drucker und Ausweislesegeräte die Abschirmung des Netzwerks zunehmend schwierig. Ab Mitte der 2000er Jahre kam die Cloud hinzu, die den Burggraben vollends unterhöhlte.

Ein erster konzertierter Versuch, der Perimeter-Logik etwas entgegenzusetzen, wurde 2003 unternommen. Das Jericho Forum, eine Initiative von europäischen IT-Security-Experten, sprach sich für eine „De-Perimeterisation“ aus. Es publizierte in der Folge die „Jericho Forum Commandments“, welche konkrete Handlungsempfehlungen gaben. Allerdings überstiegen diese Empfehlungen damals noch die Kapazitäten der meisten Organisationen.

Der Begriff „Zero Trust“ in unserem heutigen Sinne, also mit Bezug auf die Netzwerk-Sicherheit, wurde durch den Analysten John Kindervag (Forrester Research) geprägt. Er veröffentlichte 2010 den wegweisenden Artikel „No More Chewy Centers: Introducing The Zero Trust Model Of Information Security“. Langsam etablierte sich der Gedanke, dass die Perimeter-Logik durch einen identitätsbasierten Ansatz ersetzt werden müsste.

Im selben Jahr, 2010, machten zuerst Google und später weitere Großunternehmen bekannt, dass sie Opfer einer chinesischen Hacker-Attacke geworden waren – „Operation Aurora“. Google reagierte mit der Entwicklung von BeyondCorp, einem vollumfänglichen Zero-Trust-Netzwerk. BeyondCorp unterschied nicht länger zwischen Google-Mitarbeitern und Outsidern, sondern misstraute allen Teilnehmern gleichermaßen.

Ein weiterer Meilenstein auf dem Weg zur Zero-Trust-Architektur war das Positionspapier „Continuous Adaptive Risk and Trust Assessment (CARTA)“, welches vom renommierten Gartner Institut herausgegeben wurde. Die CARTA-Grundsätze wurden später vom ZTNA Framework (Zero Trust Network Access, ebenfalls von Gartner) weiter verwendet.

Den „Ritterschlag“ erhielt Zero Trust im Jahr 2020. In diesem Jahr veröffentlichte das National Institute for Standards and Technology (NIST), eine der führenden amerikanischen IT-Sicherheits-Institutionen, den Standard NIST SP 800-207. Die Guideline beschreibt einen Paradigmenwechsel: Der Perimeter-Ansatz wird aufgegeben. Stattdessen verlagert sich der Fokus auf die Anwender, die Assets und die Ressourcen. Keiner Entität wird ein Vertrauensvorschuss gewährt. Jedem neuen Zugriff muss eine Authentifizierung vorhergehen. Diese Beschreibung von Zero Trust ist bis heute gültig.

Wie die Umsetzung von Zero Trust gelingt

Die Umsetzung von Zero-Trust-Prinzipien kann überfordern („Wo sollen wir anfangen?“). Die folgende Schritt-für-Schritt-Anleitung erleichtert den Prozess:

1. Definieren Sie Ihre Protect Surfaces

Um Zero Trust zu implementieren, müssen Sie zuerst Ihre Protect Surfaces definieren. Beachten Sie: Eine Protect Surface unterscheidet sich von einer Attack Surface. Eine Attack Surface bezeichnet alle Punkte eines Systems, die ein Hacker ausnutzen könnte, zum Beispiel Ports, APIs, und Endgeräte. Dagegen beschreiben Protect Surfaces essenzielle Unternehmenswerte, die es zu beschützen gilt. Dazu gehören:

• Unternehmensdaten, zum Beispiel Finanzdaten oder Code
• Assets, beispielsweise Server oder Datenbanken
• Anwendungen, zum Beispiel das CRM oder das ERP
• Services, zum Beispiel Active Directory

2. Priorisieren Sie Ihre Unternehmenswerte

Sie sollten nicht nur eine Liste von Unternehmenswerten erstellen, sondern auch eine Priorisierung vornehmen. Zum Beispiel sollten Sie sich fragen, welche Datenverluste verschmerzbar wären und welche Daten absolut nicht kompromittiert werden dürfen. Verfahren Sie so für sämtliche Assets.

Für diese Priorisierung sollten sämtliche Stakeholder im Unternehmen gehört werden. Falls nur die IT-Experten involviert sind, besteht die Gefahr, dass Assets zu sehr unter technischen Gesichtspunkten bewertet werden und Business-Aspekte unberücksichtigt bleiben.

Beziehen Sie außerdem Compliance-Vorgaben wie die DSGVO, NIS-2 und DORA mit ein. Diese Vorgaben machen es nötig, Assets zu schützen, die andernfalls vielleicht durchs Raster gefallen wären.

Ein Tipp: Versuchen Sie nicht alle Unternehmenswerte gleichzeitig zu erfassen. Starten Sie stattdessen mit einem Bereich, zum Beispiel einer bestimmten Abteilung im Unternehmen. Arbeiten Sie sich dann Stück für Stück vor.

3. Mappen Sie Ihre Datenströme

Angreifern geht es in letzter Konsequenz darum, Zugriff auf Ihre Daten zu erhalten. Deshalb ist es wichtig, die Datenströme innerhalb des Unternehmens zu erfassen. Sie müssen verstehen, wie User bzw. Geräte auf Daten zugreifen, welche Wege eingeschlagen werden und welche Systeme zum Einsatz kommen.

Einige Beispiele:

• Eine Anwendung, zum Beispiel ein CRM, zieht Daten aus einem anderen System, beispielsweise Outlook
• Ein Entwickler greift über eine VPN-Verbindung auf ein Quellcode-Verzeichnis zu
• Ein externer IT-Dienstleister loggt sich in das zentrale Cloud-Interface ein

Diese Datenströme sollten visualisiert werden. Tools wie Microsoft Sentinel bieten bereits entsprechende Funktionalitäten. Falls Sie eine manuelle Visualisierung bevorzugen, empfehlen sich Tools wie Microsoft Visio oder Lucidchart.

Berücksichtigen Sie sowohl North-South-Traffic als auch East-West-Traffic. Zero Trust möchte sämtliche Netzwerk-Aktivitäten kontrollieren, nicht nur den Zugriff auf das Netzwerk von außen.

Berücksichtigen Sie außerdem, dass Datenströme nicht nur durch menschliche User initiiert werden, sondern auch durch API-Calls und KI-Automatisierungen. Auch diese Aktivitäten müssen erfasst werden.

Legen Sie für jeden Ihrer Datenströme einen Datenbank-Eintrag an, der die folgenden Fragen beantwortet:

• Wer hat die Transaktion angestoßen?
• Welche Geräte werden verwendet?
• Welche Services und Systeme werden angesteuert?
• Welche Ports sind involviert?
• Welche Protokolle werden verwendet?
• Welche Daten werden abgerufen?
• Wohin wandern diese Daten als Nächstes?

Ein solches Inventar hilft Ihnen insbesondere beim Identitätsmanagement, über das wir noch sprechen werden. Zudem hilft es bei der Durchsetzung von zentralen Security-Policies. Und nicht zuletzt wissen Sie nun auch, welche Datenströme es zu verschlüsseln gilt.

4. Evaluieren Sie aktuelle Sicherheitsmaßnahmen

Viele Organisationen verwenden zumindest teilweise Zero-Trust-Prinzipien. In den seltensten Fällen wird bei null gestartet. Deshalb ist es wichtig, ein Inventar der aktuellen Sicherheitsmaßnahmen (siehe Proact Cyber-Sicherheits-Check) zu erstellen. So sehen Sie auf einen Blick, wo es noch Diskrepanzen zwischen dem Status quo und dem Zero-Trust-Ideal gibt. Außerdem hilft eine solche Aufstellung dabei, externe Security-Partner zu briefen, die eventuell ins Boot geholt werden sollen.

5. Betreiben Sie Mikrosegmentierung

Teilen Sie Ihr Netzwerk in viele kleine virtuelle Zonen auf, die typischerweise um bestimmte Anwendungen oder Datensätze kreisen. Jeder dieser Zonen sollten kontextbasierte Regeln zugewiesen werden. Zum Beispiel könnte eine Regel besagen, dass ein User nur auf ein bestimmtes Segment zugreifen darf, wenn er ein bestimmtes Gerät verwendet, sich an einer bestimmten Location aufhält und der Zugriff zu den Geschäftszeiten erfolgt.

Verwenden Sie Next-Generation Firewalls, um die einzelnen Segmente voneinander abzugrenzen. Und nutzen Sie Software-Defined Networking (SDN), um sämtliche Geräte bei einem Sicherheitsvorfall zentral ansteuern zu können.

6. Implementieren Sie Policy Enforcement Points

Statten Sie Ihre Protect Surfaces mit Policy Enforcement Points aus (PEPs). Diese fungieren als Gatekeeper: Darf eine Instanz auf die Daten zugreifen oder nicht? Beispiele hierfür sind:

• Identity-Aware Proxies (IAPs), die Anfragen nur nach erfolgreicher Authentifizierung durchlassen
• API Gateways
• Cloud Access Security Brokers (CASB)

7. Betreiben Sie Monitoring

Sie müssen zu jedem Zeitpunkt wissen, was im Netzwerk vorgeht. Dafür benötigen Sie entsprechende Tools, wie SIEM-, XDR- und UEBA-Lösungen. Auf diese Weise können Sie eine Vielzahl von Parametern im Auge behalten:

• Datenbewegungen
• Zugriffsanfragen
• Authentifizierungsvorgänge
• Verdächtige Verhaltensmuster von Nutzern und Systemen

8. Sichern Sie Ihren Traffic

Sichern Sie den Datenverkehr zwischen verschiedenen Workloads im Unternehmen. Dazu gehört eine Verschlüsselung aller Daten, sowohl im Ruhezustand als auch im Transit. Außerdem sollten Sie Service Meshes wie Istio nutzen, um Microservices automatisch zu authentifizieren, zu verschlüsseln und zu überwachen.

9. Definieren Sie Data-Security-Policies

Sie sollten zentrale Data-Security-Policies definieren, die dann über das gesamte Netzwerk hinweg durchgesetzt werden. Der wichtigste Schritt besteht darin, zu bewerten, wie wichtig bzw. sensibel bestimmte Daten sind. Auf Basis dieser Klassifikationen können Sie dann Zugriffs- und Datenverbrauchs-Kontrollen zuweisen – gegebenenfalls im Verbund mit DLP-Technologien (Data Loss Prevention).

10. Sichern Sie die Cloud

Die meisten Unternehmens-Netzwerke integrieren mittlerweile Cloud-Dienste. Auch diese müssen Zero-Trust-Prinzipien folgen. Dafür bieten sich cloud-native Tools wie AWS Security Groups oder Azure NSGs an. Weiterhin sollte darauf geachtet werden, dass Remote-Mitarbeiter dieselben Auflagen erfüllen müssen wie Mitarbeiter vor Ort.

11. Betreiben Sie User-Authentifizierung

Eine der wichtigsten Maßnahmen für Zero Trust besteht darin, eine rollenbasierte Zugriffslösung zu implementieren (Role-Based Access Control, RBAC). So können Sie schnell Berechtigungen zuweisen und widerrufen.

Um auch Kontexte zu berücksichtigen, sollten Sie außerdem eine ABAC-Lösung (Attribute-Based Access Control) verwenden. Solche Kontexte sind zum Beispiel:

• Woher stammt die Anfrage (IP-Adresse, Gerät)?
• Zu welcher Uhrzeit erfolgte die Anfrage?
• Wie oft wurde ein Zugriffsversuch unternommen?

Nicht zuletzt sollte eine Multi-Faktor-Authentifizierung verlangt werden, zum Beispiel über den Laptop und das Smartphone. So können sich Angreifer auch dann nicht einloggen, falls sie eines der beiden Geräte physisch in ihren Besitz gebracht haben.

Realisieren Sie Zero Trust – mit Proact!

Sie möchten Zero Trust für Ihr Unternehmen nutzen und wünschen sich dafür einen erfahrenen Partner? Dann sollten Sie sich mit unseren Proact-Experten unterhalten. Wir haben bereits zahlreiche Zero-Trust-Architekturen für Unternehmen aus verschiedenen Industrien umgesetzt.

Zu Beginn steht immer die Analyse. Wir bewerten Ihre aktuelle Sicherheitsarchitektur, identifizieren Schwachstellen und priorisieren kritische Bereiche. Dabei berücksichtigen wir sowohl technische als auch organisatorische Aspekte.

Im nächsten Schritt entwickeln wir eine maßgeschneiderte Zero-Trust-Strategie für Ihr Unternehmen, die sämtliche Unternehmenswerte berücksichtigt (Daten, Anwendungen, Prozesse etc.). Unser Ziel: Ein Sicherheitskonzept, das zu Ihrer Organisation passt – nicht umgekehrt.

In Phase drei implementieren wir alle wichtigen Tools für Sie, von IAM-Lösungen über Next-Gen Firewalls bis hin zu SIEM-Systemen. Wir setzen auf bewährte Migrationspfade und Rollback-Strategien. Dabei achten wir darauf, den Geschäftsbetrieb so wenig als möglich zu beeinträchtigen.

Auch nach der erfolgreichen Einführung lassen wir Sie nicht alleine. Wir optimieren Ihre Systeme, beantworten Support-Anfragen und führen auf Wunsch Mitarbeiter-Schulungen durch.

Kurz gesagt – wir sind Ihr Rundum-Sorglos-Partner bezüglich Zero Trust.

Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns schon, von Ihnen zu hören!