Zero Trust-Sicherheit: Niemals vertrauen, stets verifizieren

Das Problem der Perimetersicherheit

Jahrzehntelang operierte die Unternehmenssicherheit nach einem Burg-und-Graben-Modell. Alles innerhalb des Unternehmensnetzwerks wurde als vertrauenswürdig eingestuft; alles außerhalb nicht. Mitarbeiter meldeten sich über ein VPN an, erhielten Zugang zu internen Ressourcen, und die Firewall hielt die Angreifer draußen.

Dieses Modell ist aus mehreren Gründen zusammengebrochen. Angreifer lernten, in den Perimeter einzudringen – durch Phishing, gestohlene Anmeldedaten und Supply-Chain-Kompromittierungen. Die Cloud-Adoption hat Daten und Anwendungen vollständig aus dem Netzwerk heraus verlagert. Remote-Arbeit verteilte Mitarbeiter auf Heimnetzwerke und Cafés. Der Graben umgibt nichts mehr.

Wenn ein einziges kompromittiertes Konto innerhalb des Perimeters Zugang zu allem gewährt, scheitert das gesamte Modell. Genau das ist beim SolarWinds-Angriff, dem Colonial-Pipeline-Angriff und den meisten großen Unternehmens-vorfällen des letzten Jahrzehnts passiert.

Was Zero Trust tatsächlich bedeutet

Zero Trust ist eine Sicherheitsphilosophie, kein Produkt. Das Kernprinzip, geprägt vom Forrester-Analysten John Kindervag im Jahr 2010, ist einfach: niemals vertrauen, stets verifizieren.

Anstatt einem Nutzer zu vertrauen, weil er sich im Netzwerk befindet, wird jede Zugriffsanfrage individuell bewertet auf der Grundlage von:

• Identität – Wer ist dieser Nutzer? Wird die Identität mit starker Authentifizierung verifiziert?
• Gerätezustand – Ist dieses Gerät verwaltet, gepatcht und konform mit der Sicherheitsrichtlinie?
• Kontext – Woher kommt die Anfrage? Wie spät ist es? Ist dieses Verhalten für diesen Nutzer normal?
• Minimale Berechtigung – Benötigt dieser Nutzer tatsächlich Zugang zu dieser spezifischen Ressource?

Der Zugang wird pro Sitzung, pro Ressource gewährt und sofort widerrufen, wenn sich die Bedingungen ändern.

Die drei Kernprinzipien

Explizit verifizieren

Authentifizieren und autorisieren Sie immer auf der Grundlage aller verfügbaren Datenpunkte: Nutzeridentität, Standort, Gerätekonformität, Dienst oder Workload, Datenklassifizierung und Anomalien. Multi-Faktor-Authentifizierung (MFA) ist der minimale Ausgangspunkt – aber Zero Trust geht weiter, indem es das Vertrauen während einer gesamten Sitzung kontinuierlich bewertet, nicht nur beim Login.

Minimalen Zugang verwenden

Beschränken Sie den Nutzerzugang mit Just-in-time- und Just-enough-access-Prinzipien. Ein Marketing-Analyst sollte keinen Zugang zur Engineering-Datenbank haben. Ein Kundendienstmitarbeiter sollte nicht in der Lage sein, die gesamte Kundenliste zu exportieren. Der Zugang sollte genau auf das beschränkt sein, was für die jeweilige Aufgabe benötigt wird, und nicht mehr.

Dies minimiert den Schaden, wenn Anmeldedaten kompromittiert werden. Ein Angreifer, der die Anmeldedaten eines Entwicklers stiehlt, erhält Zugang zu dem, worauf dieser Entwickler zugreifen konnte – nicht auf das gesamte Unternehmen.

Sicherheitsverletzung annehmen

Entwerfen Sie Systeme so, als ob der Angreifer bereits drin ist. Segmentieren Sie Netzwerke, damit die Kompromittierung eines Systems keinen Zugang zu anderen gewährt. Verschlüsseln Sie Daten während der Übertragung und im Ruhezustand. Sammeln Sie überall Protokolle. Überwachen Sie auf laterale Bewegungen – das Muster von Angreifern, die sich nach dem ersten Zugang von System zu System bewegen.

Zero Trust in der Praxis

Identity and Access Management (IAM)

Starke Identität ist die Grundlage. Das bedeutet:

• MFA für alle Nutzer erzwingen, einschließlich Administratoren
• Single Sign-On (SSO) zur Zentralisierung der Authentifizierung
• Privileged Access Management (PAM) für Administratorkonten – Genehmigung erforderlich und alle privilegierten Aktionen protokolliert
• Bedingter Zugriff mit Richtlinien, die Anmeldungen von unbekannten Standorten oder Geräten blockieren

Gerätevertrauen

Verwaltete Geräte, die in Mobile Device Management (MDM) eingeschrieben sind, können vor der Zugriffsgewährung auf Konformität überprüft werden. Ein nicht verwaltetes persönliches Gerät erhält eingeschränkten oder keinen Zugang zu Unternehmensressourcen. Microsoft Intune, Jamf und ähnliche Tools übernehmen dies.

Netzwerksegmentierung und Mikrosegmentierung

Anstatt einem flachen Netzwerk, in dem jedes Gerät jedes andere Gerät erreichen kann, unterteilt die Mikrosegmentierung das Netzwerk in kleine Zonen. Eine Workstation in der Vertriebsabteilung kann nicht mit Servern im Engineering-Segment kommunizieren, es sei denn, es gibt eine explizite Richtlinie, die dies erlaubt. Dies stoppt laterale Bewegungen vollständig.

Software-Defined Perimeter

Tools wie Google BeyondCorp (jetzt BeyondCorp Enterprise), Cloudflare Access und Zscaler Private Access ersetzen VPNs durch anwendungsspezifischen Zugang. Nutzer authentifizieren sich bei einem identitätsbewussten Proxy, der die Gerätekonformität und Identität prüft, bevor er Datenverkehr an die Anwendung weiterleitet. Die Anwendung hat keine öffentliche IP – sie ist für das Internet unsichtbar.

Zero Trust schrittweise implementieren

Zero Trust ist kein Schalter, den Sie umlegen können. Organisationen beginnen typischerweise mit:

1. MFA überall erzwingen – der einzelne Schritt mit dem höchsten ROI
2. Assets und Nutzer inventarisieren – Sie können nicht schützen, was Sie nicht sehen können
3. Minimale Berechtigung auf die sensibelsten Systeme zuerst anwenden
4. Bedingten Zugriff für Cloud-Anwendungen implementieren
5. Gerätevertrauen-Prüfungen erweitern
6. Das Netzwerk schrittweise segmentieren

Zero Trust für Einzelpersonen

Dieselben Prinzipien gelten auf persönlicher Ebene:

• Verwenden Sie eindeutige, starke Passwörter pro Website (gehen Sie davon aus, dass jede Website kompromittiert werden könnte)
• Aktivieren Sie MFA für jedes wichtige Konto
• Behandeln Sie jeden E-Mail-Link als nicht vertrauenswürdig, bis er verifiziert ist
• Segmentieren Sie Risiken: Verwenden Sie separate E-Mail-Adressen und Browser für verschiedene Aktivitäten

Warum es jetzt wichtig ist

Cloud-first-Infrastruktur, Remote-Arbeit und die Explosion von SaaS-Anwendungen haben den Unternehmensperimeter dauerhaft aufgelöst. Zero Trust ist kein Trend – es ist das einzige kohärente Sicherheitsmodell für die Art und Weise, wie Organisationen heute tatsächlich arbeiten. Die Frage ist nicht ob, sondern wie schnell man es einführen soll.