Zero Trust: Sicherheitsmodell ohne blindes Vertrauen

Wem in Ihrem Netzwerk vertrauen Sie eigentlich, und warum? In vielen Unternehmen lautet die stillschweigende Antwort: allem, was sich einmal angemeldet hat. Genau dieses implizite Vertrauen stellt Zero Trust infrage. Das Modell geht davon aus, dass kein Nutzer, kein Gerät und kein Dienst allein deshalb vertrauenswürdig ist, weil er sich innerhalb der Unternehmensgrenzen befindet. Dieser Beitrag zeigt Ihnen, worauf das Zero Trust Modell beruht, welche Bausteine dazugehören, warum es die Aufklärung nach einem Sicherheitsvorfall erheblich erleichtert und wo seine Grenzen liegen.

Was ist Zero Trust? Definition und Grundgedanke

Zero Trust ist ein Sicherheitsmodell, das jeden Zugriff einzeln prüft, statt einer Zone pauschal zu vertrauen. Der Leitsatz von Zero Trust lautet sinngemäß: niemals vertrauen, immer überprüfen. Jede Anfrage auf eine Ressource wird so behandelt, als käme sie aus einem unsicheren Netz, unabhängig davon, ob sie aus dem Büro, dem Homeoffice oder einer Cloud-Umgebung stammt. Als Sicherheitsmodell formuliert und bekannt gemacht wurde Zero Trust im Jahr 2010 vom Analysten John Kindervag beim Marktforschungs- und Beratungsunternehmen Forrester. Inzwischen hat sich das Konzept vom Fachbegriff zur anerkannten Architekturleitlinie entwickelt, zu der das Bundesamt für Sicherheit in der Informationstechnik im Juli 2023 ein eigenes Positionspapier veröffentlicht hat. Zero Trust ist kein Produkt, das Sie kaufen und installieren. Zero Trust ist ein Architekturprinzip, das sich in vorhandene Systeme übersetzt, indem Identitäten, Geräte, Netzwerke, Anwendungen und Daten jeweils eigenen Prüfregeln unterworfen werden.

Warum Zero Trust den klassischen Perimeterschutz ablöst

Um den Ansatz von Zero Trust einzuordnen, hilft ein Blick auf das bisher eingesetzte Modell. Klassische Sicherheitsarchitekturen arbeiten wie eine Burg mit Wassergraben. Außen steht die Firewall, innen gilt das Netz als vertrauenswürdig. Dieses Bild trägt heute nicht mehr, weil es die Realität verteilter IT nicht mehr abbildet. Anwendungen liegen in der Cloud, Beschäftigte arbeiten mobil, Dienstleister greifen von außen zu, und Geräte wechseln ständig den Standort.

Vor allem aber hat der perimeterbasierte Ansatz eine gefährliche Eigenschaft, die Zero Trust gezielt beseitigt: Wer den Graben einmal überwunden hat, kann sich innen weitgehend frei bewegen. Genau das nutzen Angreifer aus. Nach dem Erstzugang, etwa über eine Phishing-Mail oder gestohlene Zugangsdaten, folgt die seitliche Ausbreitung im Netz. Genau diese innere Bewegungsfreiheit schränkt ein Zero Trust Modell systematisch ein.

Das Zero Trust Prinzip: niemals vertrauen, immer prüfen

Das Zero Trust Prinzip lässt sich auf drei Grundannahmen zurückführen, die zusammenwirken.

• Jeden Zugriff explizit verifizieren. Identität, Gerätezustand, Standort und Art der Anfrage fließen in jede Zugriffsentscheidung ein. Eine einmalige Anmeldung genügt nicht als Dauerfreigabe.
• Minimale Rechte vergeben. Jede Identität erhält nur die Berechtigungen, die für die konkrete Aufgabe erforderlich sind, und das möglichst nur für den Zeitraum, in dem sie gebraucht werden.
• Von einer Kompromittierung ausgehen. Die Architektur wird so entworfen, als sei bereits ein Konto oder ein Gerät in fremder Hand. Diese Annahme verschiebt den Fokus von der reinen Abwehr hin zur Begrenzung des Schadens und unterscheidet Zero Trust von klassischen Schutzkonzepten.

Der dritte Punkt ist der ungewohnteste und in der Praxis oft der folgenreichste. Er verlagert die Frage von „Wie halten wir Angreifer draußen?“ zu „Wie weit kommen Angreifer, wenn sie schon drin sind?“.

Least Privilege und Mikrosegmentierung als Kern der Zero Trust Architektur

Zwei Bausteine tragen eine Zero Trust Architektur in der Praxis, und beide lassen sich unabhängig voneinander angehen.

Least Privilege bezeichnet das Prinzip der minimalen Rechtevergabe. Ein Konto in der Buchhaltung braucht keinen Zugriff auf Entwicklungsserver, und ein administratives Recht muss nicht dauerhaft bestehen, wenn es nur für eine wöchentliche Wartung nötig ist. In der Praxis scheitert Least Privilege selten an der Technik, sondern an historisch gewachsenen Berechtigungen, die niemand zurücknimmt. Solche Altlasten sind ein häufiger Grund dafür, dass aus einem einzigen kompromittierten Konto ein unternehmensweiter Vorfall wird, und genau hier setzt Zero Trust zuerst an.

Mikrosegmentierung überträgt denselben Gedanken auf das Netzwerk. Statt eines großen internen Netzes entstehen viele kleine, voneinander abgeschottete Bereiche mit eigenen Zugriffsregeln. Erreicht ein Angreifer ein System, endet die freie Bewegung an der Grenze dieses Segments, denn jeder weitere Schritt erfordert eine eigene Berechtigung und wird dadurch sichtbar und aufwendig. Der Weg vom infizierten Arbeitsplatzrechner zum Dateiserver ist dann keine Selbstverständlichkeit mehr, sondern eine Hürde, die eigene Berechtigungen erfordert.

Ergänzt werden beide Bausteine im Zero Trust Prinzip durch eine starke Authentifizierung, insbesondere die Zwei-Faktor-Authentifizierung, sowie durch eine kontinuierliche Bewertung des Gerätezustands. Ein Gerät ohne aktuelle Sicherheitsupdates kann in einer Zero Trust Architektur automatisch geringere Rechte erhalten als ein gepflegtes System.

Zero Trust Network Access: Zugang ohne offenes Netz

Zero Trust Network Access, kurz ZTNA, bezeichnet den Zugriff auf einzelne Anwendungen statt auf ganze Netze. Der Unterschied zum klassischen VPN ist grundlegend. Ein klassisches Remote-Access-VPN verbindet ein Gerät mit dem Unternehmensnetz und macht es damit zum Teil der vertrauenswürdigen Zone. Bei ZTNA erhält die Nutzerin oder der Nutzer eine Verbindung zu genau der Anwendung, für die eine Berechtigung vorliegt, und zu nichts sonst.

Für die Sicherheit bedeutet dieser Zero Trust Zugang zweierlei. Anwendungen müssen nicht länger direkt aus dem offenen Internet erreichbar sein, was die Angriffsfläche verkleinert. Und ein kompromittierter Fernzugang öffnet nicht länger das gesamte Netz, sondern nur den Ausschnitt, der ohnehin freigegeben war. Damit gilt ZTNA für viele Unternehmen als greifbarer Einstieg in eine Zero Trust Architektur.

Warum Zero Trust die IT-forensische Aufklärung erleichtert

Ein Aspekt kommt in der Diskussion um Zero Trust regelmäßig zu kurz, obwohl er aus unserer Praxis heraus besonders wertvoll ist: Ein Zero Trust Modell verbessert die Nachvollziehbarkeit erheblich.

Weil jeder Zugriff einzeln geprüft und entschieden wird, kann eine dichte Protokollspur entstehen, sofern diese Entscheidungen konsequent protokolliert und zentral aufbewahrt werden. Für eine IT-forensische Analyse ist das der Unterschied zwischen einer belastbaren Aussage und einer Vermutung. In einer klassischen Umgebung sind die verfügbaren Spuren häufig über viele Systeme verstreut, unterschiedlich detailliert und nur kurz vorgehalten, sodass sich die Bewegung eines Angreifers innerhalb des als vertrauenswürdig geltenden Netzes oft nur lückenhaft rekonstruieren lässt. In einer Zero Trust Umgebung lässt sich dagegen deutlich genauer nachvollziehen, welche Identität wann auf welche Ressource zugegriffen hat.

Das wirkt sich unmittelbar auf zwei Fragen aus, die nach jedem Vorfall gestellt werden. Erstens, wie weit ist der Angriff tatsächlich gekommen, und zweitens, welche Daten waren betroffen. Gerade die zweite Frage ist rechtlich bedeutsam, denn nach Artikel 33 DSGVO müssen Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihnen bekannt wurde, der zuständigen Aufsichtsbehörde melden. Die Meldepflicht entfällt nur dann, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Diese Einschätzung setzt allerdings voraus, dass überhaupt bekannt ist, welche Daten betroffen waren. Wer den betroffenen Datenbestand eingrenzen kann, meldet präzise oder kann begründet auf eine Meldung verzichten. Wer es nicht kann, muss im Zweifel vom schlimmsten Fall ausgehen.

Zero Trust einführen: realistische erste Schritte

Eine vollständige Zero Trust Architektur entsteht nicht in einem Projekt, sondern über Jahre. Für den Einstieg in Zero Trust haben sich aus unserer Praxis diese Schritte bewährt:

1. Schützenswerte Ressourcen bestimmen. Klären Sie, welche Daten, Anwendungen und Systeme für Ihr Unternehmen wirklich kritisch sind. Zero Trust beginnt an dieser Stelle, nicht überall gleichzeitig.
2. Bestehende Berechtigungen sichten. Prüfen Sie, welche Konten über Rechte verfügen, die sie nicht mehr benötigen. Diese Bereinigung wirkt sofort und kostet keine neue Technik.
3. Starke Authentifizierung ausrollen. Beginnen Sie mit administrativen Konten und allen Fernzugängen.
4. Ein erstes Segment abtrennen. Isolieren Sie einen besonders kritischen Bereich, statt das gesamte Netz auf einmal zu segmentieren.
5. Protokollierung zentralisieren. Sammeln Sie Zugriffsprotokolle zentral und schreibgeschützt, damit sie im Ernstfall verwertbar sind. Diese Vorbereitung ist der Kern von Forensic Readiness.
6. Wirkung überprüfen. Testen Sie, ob die Segmentierung hält, etwa im Rahmen eines Penetrationstests. Ohne diese Kontrolle bleibt Zero Trust eine Annahme statt einer belegten Eigenschaft.

Was Zero Trust nicht leisten kann

Zero Trust ist wirkungsvoll, aber es ist kein Allheilmittel, und diese Einordnung gehört zur Ehrlichkeit dazu.

Ein Zero Trust Modell schützt nicht vor Angriffen, die legitime Berechtigungen missbrauchen. Wenn eine berechtigte Person durch Social Engineering dazu gebracht wird, eine Aktion selbst auszuführen, greift die Zugriffskontrolle nicht, weil formal alles korrekt abläuft. Ebenso wenig ersetzt Zero Trust das Schließen von Schwachstellen, denn eine verwundbare Anwendung bleibt verwundbar, auch wenn der Zugang zu ihr nach dem Zero Trust Prinzip streng geregelt ist.

Hinzu kommt ein organisatorischer Punkt. Zu restriktiv umgesetzt, behindert das Modell die tägliche Arbeit, was erfahrungsgemäß dazu führt, dass Beschäftigte Umgehungswege suchen. Zero Trust ist deshalb immer auch eine Abwägung zwischen Sicherheit und Praktikabilität, die regelmäßig überprüft werden muss.

Vertrauen ersetzt keine Kontrolle im Zero Trust Modell

Der eigentliche Gewinn von Zero Trust liegt weniger darin, Angriffe zu verhindern, als darin, ihre Folgen beherrschbar zu halten. Vertrauen wird dabei nicht abgeschafft, sondern an jeder Stelle überprüfbar gemacht. Ein kompromittiertes Konto bleibt ein Zwischenfall, statt zum unternehmensweiten Notfall zu werden, und die entstandene Protokollspur macht den Verlauf im Nachhinein nachvollziehbar.

Zu einem Zero Trust Modell führt kein einzelnes Produkt, sondern eine Folge überschaubarer Entscheidungen: Rechte begrenzen, Zugänge einzeln freigeben, kritische Bereiche trennen und alles davon protokollieren. Jeder dieser Schritte wirkt für sich, auch wenn die vollständige Architektur noch weit entfernt ist.

Sie möchten wissen, wie weit Ihre Umgebung von einem Zero Trust Modell entfernt ist, oder Ihre Berechtigungsstruktur überprüfen lassen? Im Ernstfall sind wir 24/7 für Sie da. Zögern Sie nicht, uns direkt zu kontaktieren.

FAQs – Häufig gestellte Fragen zu Zero Trust

Was versteht man unter Zero Trust?

Zero Trust ist ein Sicherheitsmodell, bei dem kein Nutzer, Gerät oder Dienst allein aufgrund seiner Position im Netzwerk als vertrauenswürdig gilt. Jeder Zugriff wird einzeln geprüft und nur mit den minimal nötigen Rechten gewährt.

Was sind Zero Trust Modelle?

Der Begriff bezeichnet Architekturansätze, die das implizite Vertrauen in interne Netzbereiche ersetzen. Sie stützen sich auf durchgängige Identitätsprüfung, minimale Rechtevergabe, Segmentierung des Netzwerks und fortlaufende Überwachung.

Was ist eine Zero Trust Umgebung?

Eine Zero Trust Umgebung ist eine IT-Landschaft, in der diese Prinzipien tatsächlich umgesetzt sind: Zugriffe erfolgen anwendungsbezogen statt netzwerkweit, Berechtigungen sind eng gefasst und jeder Zugriff wird protokolliert.

Was bedeutet Least Privilege?

Least Privilege ist der Grundsatz der minimalen Rechtevergabe. Jede Identität erhält nur die Berechtigungen, die für ihre Aufgabe erforderlich sind, idealerweise zeitlich befristet. Das begrenzt den Schaden, wenn ein Konto übernommen wird.

Was ist Zero Trust Network Access?

Zero Trust Network Access, kurz ZTNA, gewährt Zugriff auf einzelne Anwendungen statt auf ein ganzes Netzwerk. Anders als bei einem klassischen VPN wird das Gerät nicht Teil des internen Netzes, wodurch die Angriffsfläche deutlich kleiner ausfällt.

Autorin Joanna Lang-Recht