Zero Trust: Keinem Gerät automatisch vertrauen

Zero Trust (deutsch: „Null Vertrauen") ist ein Sicherheitsmodell mit dem Grundsatz „Never trust, always verify" — kein Gerät, kein Nutzer und keine Verbindung bekommt automatisch Vertrauen, nur weil sie sich im Firmennetz oder hinter der Firewall befindet. Jeder Zugriff wird einzeln geprüft.

Warum Zero Trust nötig ist

Klassische Netze vertrauen allem innerhalb der Grenze: Wer erst einmal im LAN ist, bewegt sich frei. Mit Cloud, Homeoffice und mobilen Geräten gibt es diese „sichere Innenwelt" aber nicht mehr — ein geklautes Notebook oder ein infizierter Laptop im Firmen-WLAN ist sonst die offene Tür. Zero Trust behandelt jedes Netz als unsicher, auch das eigene.

Die Kernprinzipien

  • Jede Anfrage wird geprüft: Identität, Gerät, Standort und Kontext zählen — nicht die Position im Netz.
  • Least Privilege: Jeder Nutzer und jede Anwendung bekommt nur die Rechte, die sie wirklich braucht — nicht mehr.
  • Mikrosegmentierung: Das Netz wird in kleine Zonen geteilt. Selbst wenn ein System kompromittiert ist, kann sich der Angreifer nicht frei bewegen.
  • Kontinuierliche Prüfung: Vertrauen gilt nie dauerhaft — Sitzungen werden regelmäßig neu verifiziert.

Umsetzung in der Praxis

Beispiel: Zugriff auf das Firmen-CRM
1. Nutzer meldet sich mit MFA an (Passwort + App-Code)
2. Gerät wird geprüft (Patch-Stand, Virenschutz, Managed?)
3. Zugriff nur auf die CRM-API, nicht aufs ganze Netz
4. Verhalten wird überwacht — auffälliger Download blockiert

Technische Bausteine: Multi-Faktor-Authentifizierung, OAuth/JWT für Zugriffstokens, Identity-Management, Endpoint-Security und Verschlüsselung überall. Firewalls bleiben wichtig, übernehmen aber nur noch einen Teil — Grundlagen in Firewall.

Was Zero Trust NICHT ist

  • Kein einzelnes Produkt — es ist ein Modell, das viele Techniken kombiniert.
  • Kein „VPN-Ersatz" im einfachen Sinn: VPN verbindet Netze, Zero Trust prüft jeden Zugriff einzeln.
  • Keine Garantie: Auch Zero Trust braucht aktuelle Systeme, Schulungen und Monitoring, um gegen Phishing, Malware und Ransomware zu wirken.

Praxis-Tipps für den Start

  • Zuerst die wichtigsten Daten schützen (Administratorkonten, Finanzsysteme, Kundendaten) — nicht alles auf einmal umbauen.
  • MFA überall einführen, bevor mit Segmentierung begonnen wird.
  • Zugriffe protokollieren und regelmäßig prüfen — wer darf eigentlich worauf zu?

Verwandte Grundlagen: Firewall, VPN, 2FA/MFA, Zertifikate, Hashing.