Jahrzehntelang basierte IT-Sicherheit auf einem einfachen Prinzip: Innerhalb des Unternehmensnetzwerks ist alles vertrauenswuerdig, ausserhalb ist alles gefaehrlich. Eine Firewall trennte die beiden Welten. Dieses Modell hat ausgedient, und die Gruende dafuer sind in den meisten Unternehmen bereits Realitaet.
Das Problem mit der Burgmauer
Das klassische Perimeter-Modell setzt voraus, dass alle Ressourcen innerhalb eines definierten Netzwerks liegen und alle Mitarbeitenden von diesem Netzwerk aus arbeiten. In der Praxis ist das laengst nicht mehr der Fall: Cloud-Dienste, Remote-Arbeit, mobile Geraete und SaaS-Anwendungen haben die Grenzen des Unternehmensnetzwerks aufgeloest.
Wenn ein Mitarbeiter von zu Hause ueber einen VPN-Tunnel auf die gleichen Systeme zugreift wie im Buero, schafft die VPN-Verbindung lediglich einen weiteren Eintrittspunkt in das vermeintlich sichere Innere. Ein kompromittiertes Geraet erhaelt damit Zugriff auf alles, was innerhalb der Burgmauer liegt.
Was Zero Trust anders macht
Zero Trust kehrt das Vertrauensmodell um: Kein Zugriff ist automatisch vertrauenswuerdig, unabhaengig davon, ob er aus dem internen Netzwerk oder von aussen kommt. Jede Anfrage wird einzeln geprueft. Die Identitaet des Nutzers, der Zustand des Geraets, der Kontext des Zugriffs und die angeforderte Ressource werden in Echtzeit bewertet.
In der Praxis bedeutet das: Ein Mitarbeiter der Buchhaltung erhaelt Zugriff auf das ERP-System, aber nicht auf die Entwicklungsserver, auch wenn beide im gleichen Netzwerk stehen. Greift er zu einer ungewoehnlichen Uhrzeit oder von einem unbekannten Geraet zu, kann das System zusaetzliche Authentifizierung verlangen oder den Zugriff verweigern.
Wo man anfaengt
Zero Trust ist kein Produkt, das man kauft und installiert. Es ist ein Architekturprinzip, das schrittweise umgesetzt wird. Ein pragmatischer Einstieg beginnt mit drei Massnahmen:
Erstens: Multi-Faktor-Authentifizierung fuer alle Zugaenge, ohne Ausnahme. Zweitens: Segmentierung des Netzwerks, sodass Systeme nur die Verbindungen aufbauen koennen, die sie tatsaechlich brauchen. Drittens: Zentrales Identity and Access Management, das Berechtigungen nach dem Prinzip der minimalen Rechte vergibt.
Diese drei Schritte sind mit ueberschaubarem Aufwand umsetzbar und reduzieren die Angriffsflaeche erheblich. Weitergehende Massnahmen wie Device-Posture-Checks, Micro-Segmentierung und Continuous Verification koennen anschliessend schrittweise eingefuehrt werden.
Fazit
Zero Trust ist keine theoretische Uebung, sondern eine notwendige Anpassung an die Realitaet moderner Arbeitsumgebungen. Unternehmen, die heute noch ausschliesslich auf Perimeter-Sicherheit setzen, haben blinde Flecken in ihrer Verteidigung. Der Einstieg muss kein Grossprojekt sein, aber er sollte jetzt beginnen.