Zero Trust Network Access (ZTNA) ist ein Sicherheitsmodell für den Fernzugriff auf interne Anwendungen. Es folgt dem Grundsatz „Niemals vertrauen, immer prüfen“: Entscheidend ist nicht, aus welchem Netz ein Nutzer kommt, sondern wer er ist und ob sein Gerät die Regeln erfüllt.
So funktioniert ZTNA
Bei ZTNA wird jeder Zugriff einzeln autorisiert. Ein Nutzer meldet sich an, sein Gerätestatus wird geprüft, und erst dann erhält er eine Verbindung zu genau der einen Anwendung, für die er berechtigt ist – nicht zum gesamten Firmennetz. Die Anwendung bleibt für Unbefugte unsichtbar: Ohne erfolgreiche Authentifizierung gibt es keinen erreichbaren Einstiegspunkt.
ZTNA im Vergleich zu VPN
Eine klassische VPN baut einen verschlüsselten Tunnel ins Firmennetz auf. Wer erst einmal im Tunnel ist, bewegt sich oft frei durch weite Teile des Netzes – Angreifer können sich dadurch seitwärts ausbreiten (Lateral Movement). ZTNA verhindert das mit dem Minimalprinzip: Es gibt keinen pauschalen Netzzugang, sondern nur noch feingranulare Zugriffe auf einzelne Anwendungen. Externe Cloud-Dienste kontrolliert dabei ein CASB.
Einordnung in SASE und Zero Trust
ZTNA ist die technische Umsetzung des Zero-Trust-Sicherheitsmodells für den Fernzugriff und zugleich eine Kernkomponente von SASE: Es ergänzt den Netz-Transport (SD-WAN) um identitätsbasierten Schutz privater Anwendungen und arbeitet dort, wo früher die Firewall oder der VPN-Konzentrator stand. Verwandte Grundlagen: Cloud Computing.