Zero Trust: Kein Vertrauen auf Herkunft

Zero Trust ist ein Sicherheitsmodell, das keinem Netzwerkbereich mehr grundsätzliches Vertrauen entgegenbringt. Der Leitsatz lautet „never trust, always verify“: Jeder Zugriff – auch aus dem eigenen Netz – wird einzeln geprüft. Die Definition, auf die sich die Branche bezieht, ist NIST SP 800-207 aus dem Jahr 2020.

Warum das klassische Modell nicht mehr trägt

Das ältere Modell hieß Perimeter- oder Burggraben-Sicherheit: Ein Firewallring trennt innen von außen. Im Inneren gilt Vertrauen – wer drin ist, darf sich frei bewegen. Dieses Modell hat mehrere Schwachstellen:

  • Heimarbeit und Cloud: Der Benutzer sitzt physisch außerhalb, die Anwendung liegt in einer fremden Umgebung. „Innen“ ist keine scharfe Grenze mehr.
  • Geräte: Laptops, die unterwegs benutzt werden, sind nicht vertrauenswürdiger als das Netz, mit dem sie verbunden sind.
  • Laterale Bewegung: Ein einmal erfolgreicher Angriff auf irgendein System im Innenbereich erlaubt oft, sich von dort weiter auszubreiten. Genau das haben wiederkehrende Vorfälle gezeigt.
  • Dienste ohne Menschen: Schnittstellen zwischen Anwendungen brauchen keinen Perimeter, sondern eine Identität.

Die Grundprinzipien

  1. Das Netzwerk ist immer feindlich. Kein Bereich ist per Definition vertrauenswürdig – auch das interne nicht.
  2. Jeder Zugriff wird geprüft. Identität, Gerätezustand, Standort, Uhrzeit und Zweck fließen in die Entscheidung ein.
  3. Zugriff erfolgt mit kleinsten Rechten und wird bei Bedarf zeitlich begrenzt (least privilege).
  4. Identität statt Netzwerkadresse. Die Entscheidung stützt sich auf Benutzer- und Dienstidentitäten, nicht auf IP-Adressen.
  5. Alles wird protokolliert und bewertet. Ohne Auswertung von Zugriffen ist keine Anpassung an Bedrohungen möglich.
  6. Schäden werden begrenzt. Ein einmal kompromittiertes System darf nicht den Schlüssel zum Rest liefern.

Die Bausteine

NIST beschreibt im Kern eine Architektur mit zwei Elementen:

  • Policy Decision Point (PDP): die Komponente, die über jeden Zugriff entscheidet. Sie bezieht ihre Regeln aus einer Richtliniensammlung und ihren Kontext aus mehreren Quellen: Identitätsverwaltung, Geräteinventar, Verzeichnisdienst, Bedrohungsinformationen, Datenflussanalyse.
  • Policy Enforcement Point (PEP): die Komponente, die den Verkehr tatsächlich unterbricht und die Entscheidung durchsetzt. Das kann ein Proxy, ein Service-Mesh-Sidecar oder eine Komponente am Endgerät sein.
Benutzer/Geraet  -->  PEP (Proxy/Agent)  -->  Ressource
                          |
                          +--> PDP (Entscheidung: erlauben/verweigern)
                                 |
                                 +--> Identitaet (IdP, MFA)
                                 +--> Geraetezustand (MDM, Endpoint)
                                 +--> Kontext (Standort, Zeit, Risiko)
                                 +--> Protokoll/Analytik

Umsetzung in der Praxis

Zero Trust ist kein Produkt, das man kauft, sondern eine Reihe von Schritten. Eine bewährte Reihenfolge:

  1. Identitäten und Geräte erfassen. Wer meldet sich an, mit welchem Gerät, in welchem Zustand? Ohne diese Grundlage gibt es nichts zu entscheiden.
  2. Mehrfaktor-Authentifizierung und einmalige Anmeldung. MFA und SSO sind die Voraussetzung, online verfügbare Systeme zu schützen.
  3. Verwaltete Geräte erzwingen. Ist der Gerätezustand Teil der Richtlinie, sinkt das Risiko durch private, ungepatchte Rechner erheblich.
  4. Anwendungen hinter einen Zugriffsbroker stellen. Statt eines VPN-Zugangs ins Netz erhält der Benutzer Zugriff auf eine Anwendung – der Rest bleibt unerreichbar. Das verkleinert die Segmentierung im Netz und gegenseitige Authentifizierung zwischen Diensten verhindern, dass eine einzelne Kompromittierung alles erreicht.
  5. Überwachen und nachjustieren. Zugriffsprotokolle und Anomalieerkennung machen den Nutzen sichtbar und decken Fehlkonfigurationen auf.

Realistische Erwartung

Ein vollständiger Zero-Trust-Aufbau ist ein mehrjähriges Vorhaben, nicht ein Quartalsprojekt. Ebenso wichtig: Zero Trust ersetzt nicht die klassischen Massnahmen, sondern ordnet sie neu. Patch-Management, Verschlüsselung, Sicherungskopien, Rechteverwaltung und Sicherheitsüberwachung bleiben unverzichtbar – sie werden nur um den Gedanken ergänzt, dass Herkunft allein kein Grund zum Vertrauen ist.

Verwandte Grundlagen: MFA, SSO, Segmentierung, Firewall.