Was ist Zero-Trust?

Zero-Trust ist ein Sicherheitsmodell, das auf dem Prinzip basiert, dass kein Benutzer oder Gerät standardmäßig vertrauenswürdig sein sollte. Anstatt davon auszugehen, dass alles innerhalb des Netzwerks sicher ist, erfordert Zero-Trust eine kontinuierliche und explizite Überprüfung aller Benutzer und Geräte, unabhängig von ihrem Standort. Anstatt sich darauf zu konzentrieren, von wo aus sich jemand anmeldet, konzentriert sich Zero-Trust darauf, wer er ist und ob er Zugriff haben sollte. Der Zugriff auf Systeme und Daten wird streng kontrolliert und nur denjenigen gewährt, die ihn benötigen, und nur so lange wie nötig.

Die Kernprinzipien von Zero-Trust

Zero-Trust basiert auf drei Kernprinzipien:

Datenpanne annehmen Geht davon aus, dass jeder Benutzer in Ihrem Netzwerk (Mensch oder Maschine) jederzeit kompromittiert werden kann.
Explizite Bestätigung Alle Menschen und Maschinen müssen nachweisen, dass sie die Person sind, für die sie sich ausgeben, bevor sie auf das Netzwerk Ihres Unternehmens zugreifen können, einschließlich aller Systeme, Anwendungen und Daten.
Least-Privilege-Prinzip einhalten Sobald sie sich beim Netzwerk angemeldet haben, sollten Benutzer über das Mindestmaß an Netzwerkzugriff verfügen, das zum Ausführen ihrer Aufgaben erforderlich ist, und nicht mehr.

So funktioniert Zero-Trust

Zero-Trust geht davon aus, dass jede Verbindung, jeder Benutzer und jedes Gerät eine potenzielle Bedrohung darstellen könnte. Daher muss der Zugriff an jeder Stelle kontinuierlich überprüft werden. Und so funktioniert es:

1. Kein implizites Vertrauen, nirgendwo

In einer Zero-Trust-Umgebung ist kein Benutzer oder Gerät standardmäßig vertrauenswürdig, unabhängig davon, ob es sich innerhalb oder außerhalb des Unternehmensnetzwerks befindet. Jede Zugriffsanforderung wird so behandelt, als ob sie aus einem offenen, nicht vertrauenswürdigen Netzwerk stammt. Das bedeutet, dass Authentifizierung und Autorisierung vor und während des Zugriffs auf eine Ressource erzwungen werden.

2. Kontinuierliche Verifizierung

Sobald ein Benutzer authentifiziert ist, bedeutet das nicht, dass er uneingeschränkten Zugriff hat. Zero-Trust verwendet eine kontinuierliche Verifizierung, was bedeutet, dass Benutzer ihre Identität und ihre Gerätesicherheit wiederholt nachweisen müssen, während sie durch das System navigieren. Dies geschieht häufig durch:

Multi-Faktor-Authentifizierung (MFA)
Integritätsprüfungen von Geräten
Kontextbezogenen Zugriff (z. B. Ort, Tageszeit, Rolle)

3. Zugriff mit den geringsten Rechten (Least-Privilege)

Benutzern und Anwendungen wird die Mindestzugriffsebene gewährt, die zum Ausführen ihrer Aufgaben erforderlich ist. Dieses Prinzip, das als Least-Privilege-Zugriff bezeichnet wird, reduziert die Angriffsfläche und begrenzt den Schaden im Falle einer Kompromittierung. Rollenbasierte Zugriffskontrollen (Role-Based Access Controls RBAC) und attributbasierte Richtlinien setzen diese Regeln dynamisch durch.

4. Mikrosegmentierung

Anstatt ein flaches, offenes Netzwerk zu haben, unterteilt Zero-Trust das Netzwerk in kleinere Zonen mit jeweils eigenen Zugriffskontrollen. Dieser Prozess, der als Mikrosegmentierung bezeichnet wird, stellt sicher, dass der Cyberkriminelle selbst dann, wenn ein Segment verletzt wird, nicht zu anderen wechseln kann.

5. Sichtbarkeit und analyse

Zero-Trust setzt auch auf eine umfassende Überwachung und Protokollierung. Jede Zugriffsanfrage und Aktion wird protokolliert und analysiert, um Anomalien zu erkennen, Bedrohungen aufzudecken und die Einhaltung von Vorschriften durchzusetzen.

Vorteile von Zero-Trust

Zero-Trust bietet eine Vielzahl von Vorteilen, weshalb es sich zum bevorzugten Sicherheitsmodell für moderne Unternehmen entwickelt.

Größere Transparenz für IT- und Sicherheitsteams: Zero-Trust bietet Administratoren vollständige Transparenz über Benutzer, Systeme und Geräte in der gesamten Datenumgebung. Sie können sehen, wer sich mit dem Netzwerk verbindet, von wo aus und worauf sie zugreifen.
Sicherer und flexibler Zugang für Benutzer: Da Zero Trust Menschen, Anwendungen und Diensten die sichere Kommunikation auch über verschiedene Netzwerke hinweg ermöglicht, erhalten Benutzer mehr Freiheit und Flexibilität. Sie können sich auf sichere Weise von zu Hause oder anderen Orten mit Netzwerken verbinden und dafür auch ihre eigenen Geräte nutzen.
Stärkerer Schutz vor Angriffen: Zero-Trust reduziert das Risiko von Datenschutzverletzungen, indem eine kontinuierliche Authentifizierung und Geräteverifizierung erforderlich ist. RBAC und Privileged Access Management (PAM) minimieren das Risiko einer Privilegienausbreitung, wenn es zu einer Sicherheitsverletzung kommt.
Einfachere Compliance und weniger Audit-Probleme: Zero-Trust unterstützt die Einhaltung gesetzlicher Vorschriften, indem es strenge Zugriffskontrollen durchsetzt und sensible Daten segmentiert. RBAC und Netzwerksegmentierung/Mikrosegmentierung unterstützen Compliance-Initiativen und führen zu weniger Beanstandungen bei Compliance-Audits.

So verwirklichen sie zero-trust

Eine der größten Herausforderungen bei der Umsetzung einer Zero-Trust-Sicherheitsstrategie besteht darin, dass es keine universellen Umsetzungsstandards gibt. Viele Organisationen wenden sich dem siebenstufigen Prozess zu, der in der NIST-Sonderveröffentlichung 800-207 beschrieben ist:

1. Benutzer identifizieren

Dies umfasst sowohl menschliche Benutzer als auch nicht-menschliche Identitäten, wie z. B. Dienstkonten. NIST weist darauf hin, dass privilegierte Benutzer, einschließlich IT-Administratoren und Entwickler, einer besonderen Prüfung bedürfen, da diese Benutzer möglicherweise uneingeschränkten Zugriff auf digitale Ressourcen haben. In einem Zero-Trust-Framework sollten selbst privilegierte Konten die geringsten Rechte haben, und die Kontoaktivitäten müssen überwacht und protokolliert werden.

2. Alle Assets mit Netzwerkverbindung identifizieren und verwalten

Die Identifizierung und Verwaltung aller Assets, die mit dem Unternehmensnetzwerk verbunden sind, ist der Schlüssel zu einer erfolgreichen Zero-Trust-Implementierung. Dazu gehören:

Laptops, Mobilgeräte, IoT-Geräte und andere Hardware.
Digitale Artefakte wie Anwendungen und digitale Zertifikate.
Geräte, die nicht im Besitz der Organisation sind, aber eine Verbindung mit ihrer Netzwerkinfrastruktur herstellen oder auf Netzwerkressourcen zugreifen können.

NIST räumt ein, dass eine vollständige Entitätenliste unmöglich zu erreichen ist, aber dafür sollten Organisationen sicherstellen, dass sie "neu entdeckte Entitäten, die auf Infrastruktur der Organisation zugreifen, schnell identifizieren, kategorisieren und bewerten können."

Zusätzlich zur Kategorisierung von Entitäten enthält dieser Schritt auch die Konfigurationsverwaltung und -überwachung, denn die Kenntnis über den aktuellen Zustand einer Entität ist Teil des Zero-Trust-Authentifizierungsprozesses.

3. Schlüsselprozesse erkennen, Risiken bewerten und Zero-Trust-"Kandidaten" identifizieren

Identifizieren, bewerten und klassifizieren Sie Risiken und die Wichtigkeit für die Erfüllung der Aufgaben der Organisation von Geschäftsprozessen und Datenflüssen. Das hilft Ihnen, zu ermitteln, welche Prozesse sich gut für die erstmalige Einführung von Zero-Trust-Verfahren eignen. NIST empfiehlt für den Anfang Prozesse, die auf cloud-basierten Ressourcen und/oder die für die Fernarbeit genutzt werden, da diese sofort die größten Sicherheitsverbesserungen bieten.

4. Zero-Trust-Richtlinien für "Kandidaten" formulieren

Das ist eine Weiterführung von Schritt 3. Nach der Identifizierung einer Entität oder eines Arbeitsablaufs für die Migration in das Zero-Trust-Verfahren, sollten Sie alle Ressourcen ermitteln, die von diesem Prozess abhängen oder beeinflusst werden. Das hilft Ihnen bei der endgültigen Festlegung von Zero-Trust-Kandidaten und stellt sicher, dass das Least-Privilege-Prinzip und andere Richtlinien mit dem maximal möglichen Sicherheitswirkungsgrad angewendet werden, ohne Arbeitsabläufe zu behindern.

5. Toolsets/Lösungen identifizieren und auswählen

Es gibt viele Zero-Trust-kompatible Lösungen auf dem Markt, aber nicht alle sind für Ihre spezifische Datenumgebung und Ihre Geschäftsanforderungen geeignet. NIST empfiehlt, bei der Auswahl von Zero-Trust-Tools Folgendes zu berücksichtigen:

Müssen für die Zero-Trust-Lösung zusätzliche Komponenten auf Client-Geräten installiert werden? Das könnte Unternehmensprozesse einschränken.
Funktioniert die Zero-Trust-Lösung auch, wenn bereits Ressourcen für Unternehmensprozesse vor Ort vorhanden sind? Einige Lösungen gehen davon aus, dass sich angeforderte Ressourcen in einer Cloud befinden (der sogenannte North-South-Traffic) und nicht innerhalb eines Unternehmensstandorts (der sogenannte East-West-Traffic). Das führt in hybriden Datenumgebungen zu Problemen, wenn zum Beispiel alte Unternehmensanwendungen für kritische Funktionen vor Ort im Unternehmen laufen, weil deren Migration in die Cloud nicht durchführbar ist.
Lassen sich über die Zero-Trust-Lösung Interaktionen erfassen und auswerten? Zero-Trust-Zugriffsentscheidungen hängen sehr stark von der Sammlung und Verwendung von Daten rund um die Prozessabläufe ab.
Bietet die Zero-Trust-Lösung umfassende Unterstützung für verschiedene Anwendungen, Dienste und Protokolle? Einige Lösungen unterstützen möglicherweise eine breite Palette von Protokollen (SSH, Web usw.) und Transporten (IPv4 und IPv6), andere funktionieren jedoch nur mit Web oder E-Mail.
Erfordert die Lösung Veränderungen an bestehenden Arbeitsabläufen? Einige Lösungen können zusätzliche Schritte für die Durchführung von bestimmten Arbeitsabläufen erfordern, was Organisationen zu Veränderungen an diesen zwingt.

6. Anfängliche Bereitstellung und Überwachung beginnen

NIST empfiehlt, die erste Einrichtung von Zero Trust im Überwachungsmodus durchzuführen, damit IT- und Sicherheitsteams gewährleisten können, dass Richtlinien und Prozesse effektiv und praktikabel sind. Zudem können Sicherheitsteams so später besser ungewöhnliches Verhalten erkennen, sobald Normalbenutzer und Netzwerkaktivitäten etabliert sind.

7. Zero-Trust-Architektur erweitern

Nach der ersten Einführung von Zero-Trust ist es an der Zeit, die nächste Gruppe von Kandidaten zu migrieren. Dieser Schritt ist kontinuierlich: Wann immer sich die Datenlandschaft oder die Arbeitsabläufe des Unternehmens ändern, muss die Zero-Trust-Architektur neu bewertet und entsprechend angepasst werden.