Zero Trust

Zero Trust einfach erklärt

Zero Trust ist ein Sicherheitskonzept, bei dem Benutzer, Geräte und Anwendungen nicht allein aufgrund ihres Standorts oder einer bestehenden Netzwerkverbindung als vertrauenswürdig gelten. Jeder Zugriff wird anhand festgelegter Regeln geprüft und nur mit den notwendigen Berechtigungen erlaubt.

Der Grundgedanke lautet häufig: Never trust, always verify – niemals automatisch vertrauen, sondern Zugriffe konsequent überprüfen.

Was bedeutet Zero Trust?

Klassische Sicherheitsmodelle unterscheiden oft zwischen einem vertrauenswürdigen internen Netzwerk und dem unsicheren Internet. Wer sich innerhalb des Unternehmensnetzes befindet, erhält dadurch häufig weitreichendere Zugriffsmöglichkeiten.

Zero Trust stellt dieses Modell infrage. Ein internes Gerät oder Benutzerkonto kann ebenfalls kompromittiert sein. Deshalb basiert eine Zugriffsentscheidung nicht nur auf dem Netzwerkstandort, sondern auf mehreren Informationen.

Dazu gehören beispielsweise:

Identität des Benutzers
verwendetes Gerät
Sicherheitszustand des Geräts
Standort und Netzwerk
angeforderte Anwendung
Sensibilität der Daten
Zeitpunkt und bisheriges Verhalten
aktuelles Risiko der Anmeldung

Zero Trust ist dabei kein einzelnes Produkt, sondern eine Sicherheitsarchitektur aus technischen Kontrollen, Richtlinien und Prozessen.

Welche Grundprinzipien gelten?

Zugriffe ausdrücklich prüfen

Jede Zugriffsanfrage wird authentifiziert und autorisiert. Dabei werden möglichst aktuelle Informationen über Benutzer, Gerät und Risiko berücksichtigt.

Eine kontinuierliche Prüfung bedeutet nicht, dass der Benutzer bei jeder Aktion ein Passwort eingeben muss. Sicherheitslösungen können Sitzungen und Risikosignale im Hintergrund überwachen und bei Veränderungen eine erneute Anmeldung oder zusätzliche Bestätigung verlangen.

Minimale Berechtigungen vergeben

Benutzer und Systeme erhalten nur die Rechte, die sie für ihre Aufgaben benötigen. Dieses Prinzip wird als Least Privilege bezeichnet.

Dazu gehören:

rollenbasierte Zugriffsrechte
zeitlich begrenzte Administratorrechte
getrennte Benutzer- und Administratorkonten
regelmäßige Prüfung bestehender Berechtigungen
Entfernung nicht mehr benötigter Zugänge

Dadurch lassen sich die Auswirkungen kompromittierter Konten begrenzen.

Mit einem Sicherheitsvorfall rechnen

Zero Trust geht davon aus, dass Angreifer möglicherweise bereits Zugriff auf ein Konto oder Gerät besitzen.

Die Architektur soll deshalb verhindern, dass sich ein Angreifer ungehindert innerhalb der IT-Umgebung ausbreiten kann. Zugriffe werden begrenzt, Aktivitäten überwacht und Systeme voneinander getrennt.

Welche Bausteine gehören zu Zero Trust?

Identitäts- und Zugriffsmanagement

Eine eindeutige Identität bildet die Grundlage vieler Zero-Trust-Entscheidungen.

Wichtige Maßnahmen sind:

zentrale Benutzerverwaltung
Multi-Faktor-Authentifizierung
Single Sign-on
risikobasierte Zugriffsrichtlinien
Privileged Access Management
geregeltes On- und Offboarding

Gerätesicherheit

Auch ein korrekt angemeldeter Benutzer sollte nicht automatisch von jedem Gerät auf sensible Daten zugreifen dürfen.

Geprüft werden kann beispielsweise, ob:

das Gerät registriert und verwaltet ist
Sicherheitsupdates installiert sind
Festplattenverschlüsselung aktiv ist
Endpoint-Schutz funktioniert
keine bekannten Risiken vorliegen
das Gerät den Compliance-Richtlinien entspricht

Netzwerksegmentierung

Netzwerksegmentierung und Mikrosegmentierung teilen eine Infrastruktur in kontrollierte Bereiche.

Dadurch erhält ein Gerät nicht automatisch Zugriff auf alle Systeme im selben Netzwerk. Verbindungen zwischen Anwendungen, Servern und Netzwerksegmenten werden gezielt freigegeben.

Schutz von Anwendungen und Daten

Zugriffsregeln sollten sich am Schutzbedarf einer Anwendung oder Information orientieren.

Sensible Daten können beispielsweise zusätzliche Authentifizierung, eingeschränkte Downloadmöglichkeiten oder besonders geschützte Geräte erfordern.

Überwachung und Telemetrie

Zero Trust benötigt aktuelle Informationen über Anmeldungen, Geräte, Anwendungen und Netzwerkverbindungen.

Daten aus Identitätsdiensten, EDR, XDR, Firewalls und SIEM-Systemen helfen dabei, ungewöhnliches Verhalten zu erkennen und Zugriffsentscheidungen anzupassen.

Was ist ZTNA?

Zero Trust Network Access, kurz ZTNA, ist eine technische Umsetzung einzelner Zero-Trust-Prinzipien für den Zugriff auf Anwendungen.

Benutzer erhalten dabei nicht automatisch Zugang zu einem vollständigen Netzwerk. Stattdessen wird nur die benötigte Anwendung freigegeben.

ZTNA kann klassische VPN-Zugänge ergänzen oder in bestimmten Szenarien ersetzen. Es ist jedoch nur ein Teil einer umfassenden Zero-Trust-Architektur.

Welche Vorteile bietet Zero Trust?

Ein konsequent umgesetztes Zero-Trust-Modell kann:

kompromittierte Konten besser begrenzen
seitliche Bewegungen im Netzwerk erschweren
Cloud- und Remote-Zugriffe absichern
übermäßige Berechtigungen reduzieren
die Transparenz über Zugriffe verbessern
sensible Anwendungen gezielter schützen
Sicherheitsrichtlinien einheitlicher durchsetzen

Zero Trust verhindert jedoch nicht jeden Angriff. Schwachstellen, Fehlkonfigurationen und menschliche Fehler bleiben weiterhin mögliche Risiken.

Wie wird Zero Trust eingeführt?

Eine vollständige Umstellung erfolgt normalerweise schrittweise.

Ein sinnvoller Ablauf ist:

Benutzer, Geräte, Anwendungen und Daten erfassen
besonders kritische Ressourcen identifizieren
vorhandene Zugriffswege dokumentieren
Multi-Faktor-Authentifizierung einführen
Berechtigungen überprüfen und reduzieren
Geräteverwaltung und Compliance-Prüfungen aufbauen
Netzwerkzugriffe segmentieren
Überwachung und Protokollierung verbessern
Regeln regelmäßig testen und anpassen

Bestehende Anwendungen können die Einführung erschweren, wenn sie keine moderne Authentifizierung oder fein abgestufte Berechtigungen unterstützen.

Fazit

Zero Trust ersetzt pauschales Vertrauen durch überprüfbare Zugriffsentscheidungen. Benutzer, Geräte und Anwendungen erhalten nur den Zugriff, der für eine konkrete Aufgabe notwendig ist.

Das Konzept verbindet Identitätsschutz, Gerätesicherheit, minimale Berechtigungen, Segmentierung und kontinuierliche Überwachung. Zero Trust ist dabei kein einzelnes Produkt und kein einmaliges Projekt, sondern ein langfristiger Ansatz zur Absicherung moderner, hybrider IT-Umgebungen.