ZTNA einfach erklärt
Beim klassischen Fernzugriff per VPN wird ein Notebook nach der Anmeldung Teil des Firmennetzes. Was es von dort aus erreicht, bestimmen die Regeln auf der Gegenstelle. Sind diese Regeln weit gefasst, sieht ein Gerät im Homeoffice nahezu dasselbe wie ein Rechner im Büro, einschließlich Servern, die die Person für ihre Arbeit gar nicht braucht.
ZTNA trennt den Zugriff auf eine Anwendung vom Zugang zum Netz. Nach der Anmeldung entsteht eine Verbindung zu genau den Anwendungen, die für die jeweilige Rolle freigegeben sind. Die übrigen Systeme sind für die Person nicht erreichbar und tauchen in der Regel nicht einmal auf. Der Ansatz folgt dem Sicherheitsmodell Zero Trust, nach dem die Herkunft aus einem bestimmten Netz allein noch keinen Zugriff rechtfertigt.
Woraus eine ZTNA-Lösung besteht
Die Umsetzung unterscheidet sich je nach Lösung. Typischerweise wirken diese Teile zusammen:
- Identitätsdienst: Er prüft, wer sich anmeldet, in vielen Umgebungen über Microsoft Entra ID mit Multi-Faktor-Authentifizierung.
- Regelwerk: Hier ist festgelegt, welche Rolle welche Anwendung nutzen darf und unter welchen Bedingungen, etwa nur mit einem verwalteten Gerät.
- Zugangsknoten: Ein Dienst nimmt die Anfrage entgegen und leitet sie nur weiter, wenn das Regelwerk zustimmt. Er kann als Cloud-Dienst oder im eigenen Netz betrieben werden.
- Anbindung der Anwendung: Ein kleiner Baustein beim Server baut die Verbindung zum Zugangsknoten selbst auf. Bei vielen Lösungen muss dafür kein Eingang in der Firewall geöffnet werden.
- Gerät: Entweder läuft dort ein Programm, das den Zustand meldet, oder der Zugriff erfolgt ohne Zusatzsoftware über den Browser.
Eine Aussage über den Gerätezustand setzt voraus, dass das Gerät zentral verwaltet wird, zum Beispiel per Mobile Device Management.
So läuft ein Zugriff ab
- Eine Mitarbeiterin ruft von unterwegs eine Anwendung auf.
- Der Identitätsdienst verlangt die Anmeldung mit zweitem Faktor.
- Das Gerät meldet, ob es verschlüsselt, aktuell und vom Unternehmen verwaltet ist.
- Das Regelwerk entscheidet: Zugriff erlaubt, eingeschränkt oder abgelehnt.
- Bei Zustimmung entsteht eine Verbindung zu dieser einen Anwendung. Je nach Lösung wird die Erlaubnis während der Sitzung erneut geprüft.
Voraussetzungen und Grenzen
ZTNA setzt eine aufgeräumte Benutzerverwaltung voraus. Wer nicht weiß, welche Rollen es gibt und wer welche Anwendung braucht, baut am Ende Sammelfreigaben, die einem weit geöffneten VPN kaum nachstehen. Ein Konto ohne zweiten Faktor bleibt auch mit ZTNA ein lohnendes Ziel.
Läuft der Zugangsknoten als Cloud-Dienst, hängt der Fernzugriff von dessen Verfügbarkeit ab, und Verbindungsdaten laufen über den Anbieter. Das gehört in die Auswahl, ebenso wie die Frage nach einem Vertrag zur Auftragsverarbeitung. Weil viele Lösungen festhalten, wer wann welche Anwendung nutzt, sollten Zweck und Speicherdauer dieser Protokolle vorab geklärt sein.
Nicht jede Anwendung lässt sich einfach anbinden. Webanwendungen und Fernzugriffe auf Desktops sind typische Einsatzfälle, ältere Programme mit besonderen Netzwerkanforderungen brauchen eine Prüfung. ZTNA regelt den Zugriff von Personen auf Anwendungen; für die Verbindung ganzer Standorte untereinander kommen weiterhin Standort-VPN oder SD-WAN infrage. Wann ZTNA ein bestehendes VPN ergänzt oder ablöst, wägt unser Vergleich VPN vs. ZTNA nach Kriterien ab.
Freie Mitarbeitende im Architekturbüro
Angenommen, ein Architekturbüro mit 16 Arbeitsplätzen arbeitet in größeren Projekten mit zwei freien Bauzeichnerinnen zusammen. Bisher erhielten beide einen VPN-Zugang. Damit erreichten sie außer dem Terminalserver mit der Planungssoftware auch die Personalordner und die Buchhaltung.
Mit ZTNA sind für sie nur noch zwei Anwendungen freigegeben: der Terminalserver und die Projektplattform im Browser. Die Freigabe ist an die Projektlaufzeit gebunden und endet danach von selbst. Die beiden arbeiten auf eigenen Notebooks, deren Zustand das Büro nicht prüfen kann. Deshalb läuft ihr Zugriff über den Browser, und das lokale Speichern von Dateien ist in den Regeln unterbunden. Welche Fragen private Geräte sonst aufwerfen, erklärt der Begriff Bring Your Own Device.
Wie ProNet unterstützt
Fernzugänge einrichten und pflegen gehört zu unserer Leistung Firewall für Unternehmen. Wo es zur Umgebung passt, ergänzen wir VPN-Zugänge je nach eingesetzter Lösung um ZTNA. Wir empfehlen, mit einzelnen Anwendungen zu beginnen und das VPN erst abzulösen, wenn sich die Freigaben im Alltag bewährt haben. Welche weiteren Schutzbausteine dazugehören, zeigt der Bereich IT-Sicherheit für Unternehmen.