Was ist Zero Trust?

Zero Trust einfach erklärt

Lange galt in vielen Netzen eine einfache Regel: Was im Büro am Netzwerkkabel hängt, ist vertrauenswürdig, was von außen kommt, wird an der Firewall geprüft. Dieses Modell setzt voraus, dass es eine klare Grenze zwischen innen und außen gibt. Sobald Postfach und Dateien per Cloud Computing im Rechenzentrum eines Anbieters liegen, die Buchhaltung zeitweise am Küchentisch arbeitet und die Maschinensteuerung vom Hersteller gewartet wird, verschwimmt diese Grenze.

Zero Trust zieht daraus die Konsequenz. Die US-Standardisierungsbehörde NIST beschreibt das Prinzip in SP 800-207 „Zero Trust Architecture“ vom August 2020. Danach begründen weder der Standort im Netz noch der Besitz eines Geräts von sich aus Vertrauen. Zugriffe auf eine Ressource werden einzeln bewertet.

Was Zero Trust nicht bedeutet

Der Name führt leicht in die Irre. Zero Trust heißt nicht, Mitarbeitenden zu misstrauen oder sie zu überwachen. Das fehlende Vertrauen richtet sich gegen Annahmen wie „intern ist ungefährlich“. Ein Gerät im Büronetz kann längst mit Schadsoftware infiziert sein, ein gültiges Passwort kann aus einem Phishing-Angriff stammen.

Ebenso wenig lässt sich Zero Trust als einzelne Software einkaufen. Gemeint ist eine Leitlinie, nach der Sie Konten, Geräte, Netze und Freigaben nach und nach ordnen. Manches davon ist in kleinen und mittleren Unternehmen bereits da, etwa ein zentrales Benutzerverzeichnis oder eine Firewall, und muss nur konsequenter genutzt werden.

Worauf eine Zugriffsentscheidung beruht

Bevor ein Zugriff erlaubt wird, fließen mehrere Signale ein:

Identität: Wer meldet sich an, und wie stark ist der Nachweis? Grundlage ist ein zentrales Konto, etwa in Microsoft Entra ID, mit Multi-Faktor-Authentifizierung.

Gerät: Ist das Notebook im Unternehmen registriert, verschlüsselt und aktuell? Eine Geräteverwaltung wie Microsoft Intune kann diesen Zustand melden, sodass Firmendaten je nach Lizenz nur auf konformen Geräten geöffnet werden.

Situation: Welche Anwendung wird angefragt, über welches Netz, mit welchem Risiko? Eine Anmeldung, die nicht zum bisherigen Verhalten des Kontos passt, kann eine erneute Bestätigung erfordern oder abgelehnt werden.

Umfang: Die Freigabe deckt nur ab, was die konkrete Tätigkeit verlangt. Wer Angebote schreibt, braucht keinen Zugriff auf die Lohnabrechnung, und Verwaltungsrechte gibt es möglichst nur für die Dauer eines Eingriffs. So lautet, kurz gefasst, das Prinzip der geringsten Rechte.

Ein Wartungszugang wird neu geordnet

Angenommen, ein Lebensmittelhersteller mit 70 Mitarbeitenden betreibt eine Abfüllanlage, die der Hersteller der Anlage bei Störungen aus der Ferne wartet. Bisher hatte dessen Servicetechniker einen dauerhaft eingerichteten Zugang per VPN mit einem gemeinsamen Passwort. Darüber erreichte er nicht nur die Anlage, sondern auch Dateiserver, Personalordner und Rezepturen.

Nach den Grundsätzen von Zero Trust wird der Zugang neu geordnet. Der Techniker erhält ein persönliches Konto mit zweitem Faktor. Freigeschaltet wird nur die Steuerung der Abfüllanlage, die in einem eigenen Netzbereich liegt, und das nur auf Anforderung für die Dauer des Einsatzes. Die Sitzungen werden protokolliert. Gelangt ein Angreifer trotz allem an diesen Zugang, endet sein Weg an der Anlagensteuerung.

Ein Fahrplan in fünf Etappen

Niemand muss Zero Trust an einem Stichtag einführen. Für kleine und mittlere Unternehmen bietet sich diese Reihenfolge an:

1. Konten bereinigen: Zugänge ausgeschiedener Personen und Sammelkonten auflösen. Wer Systeme verwaltet, nutzt dafür ein eigenes Konto und arbeitet im Alltag ohne erhöhte Rechte.
2. Anmeldung stärken: Einen zweiten Faktor für alle Konten einführen, beginnend bei Verwaltung, E-Mail und Fernzugängen.
3. Geräte einbeziehen: Firmengeräte zentral verwalten und Zugriffe auf Firmendaten an deren Zustand knüpfen.
4. Netz aufteilen: Per Netzwerksegmentierung bekommen etwa Kassensysteme, Gast-WLAN und Maschinensteuerungen eigene Bereiche. Verbindungen zwischen ihnen sind nur dort offen, wo der Betrieb sie braucht.
5. Fernzugriff verfeinern: Externe und mobile Nutzende erreichen nur noch die Anwendung, die sie brauchen, statt mit dem Tunnel im gesamten Netz zu landen. Für diesen Ansatz steht Zero Trust Network Access; wie er sich vom klassischen Tunnel unterscheidet, zeigt unser Vergleich VPN vs. ZTNA.

Welche Zugriffswege sich für das Arbeiten von zu Hause eignen, erläutert unser Ratgeber Homeoffice sicher anbinden.

Wie ProNet unterstützt

Wir setzen die Bausteine schrittweise in Ihrer Umgebung um: Anmeldeschutz, ein Rechtekonzept mit möglichst knappen Befugnissen, getrennte Netzbereiche und, je nach Umgebung, Fernzugänge, die nur das Nötige freigeben. Den Überblick über diese Schutzmaßnahmen gibt unsere Seite IT-Sicherheit für Unternehmen. Regeln für den bedingten Zugriff in Microsoft 365 richten wir je nach Lizenz im Rahmen der Microsoft-365-Verwaltung ein.