Zero Trust: Eine integrale Sicherheitsstrategie

Zero Trust ist ein Sicherheitsansatz, kein einzelnes Produkt. Zugriffe werden nicht allein deshalb vertraut, weil sie aus einem internen Netz kommen. Identität, Gerät, Ressource und Kontext fließen in eine möglichst eng begrenzte Entscheidung ein.

Die Grundidee

Eine Zero-Trust-Architektur kombiniert mehrere Prinzipien:

• Identitäten stark prüfen;
• nur notwendige Rechte vergeben;
• Geräte- und Anwendungssignale berücksichtigen;
• Systeme und Daten sinnvoll segmentieren;
• Zugriffe protokollieren und regelmäßig neu bewerten;
• mit einem möglichen Sicherheitsvorfall rechnen.

„Never trust, always verify“ ist ein Leitbild, keine wörtliche Anweisung, jede Anfrage mit derselben Technik zu behandeln. Regeln müssen zu Risiko, Benutzerfreundlichkeit und verfügbaren Signalen passen.

Was Zero Trust nicht verspricht

Zero Trust verhindert nicht jeden Angriff und ersetzt weder Patchen noch Backups, sichere Entwicklung oder Incident Response. Auch korrekt authentifizierte Konten können missbraucht werden. Eine zu breite Rolle bleibt riskant, selbst wenn MFA aktiviert ist.

Der Ansatz stellt außerdem nicht automatisch Compliance her. Er kann Anforderungen an Identitäten, Zugriffe und Protokollierung unterstützen; die konkrete Erfüllung muss gegen den jeweiligen Maßstab geprüft werden.

Ein pragmatischer Einstieg für KMU

Zuerst werden Anwendungen, Konten, Geräte und wichtige Daten erfasst. Danach lassen sich Maßnahmen schrittweise priorisieren:

1. Administrator- und E-Mail-Konten mit starker MFA schützen.
2. Gemeinsame Konten und dauerhaft hohe Rechte abbauen.
3. Nicht mehr benötigte Konten, Freigaben und Zugriffswege entfernen.
4. Verwaltete Geräte und unterstützte Software als Bedingung für kritische Zugriffe einführen.
5. Besonders wichtige Systeme segmentieren und administrative Pfade trennen.
6. Protokolle, Alarme und Reaktionsabläufe testen.

Weitere Grundlagen behandelt der Beitrag zur Datensicherheit im Home-Office. Beim Patch-Management bleibt die technische Pflege unabhängig vom Zugriffsmodell erforderlich.

Erfolg messbar machen

Statt einer pauschalen „Zero-Trust-Einführung“ sollten überprüfbare Ziele vereinbart werden: Anteil der privilegierten Konten mit phishing-resistenter MFA, Zahl verwaister Konten, Zeit bis zur Entziehung eines Zugriffs oder Abdeckung verwalteter Geräte. Ausnahmen brauchen Verantwortliche und Ablaufdaten.

So entsteht über mehrere Schritte eine belastbarere Zugriffsarchitektur. Sie reduziert bestimmte Risiken, gibt aber kein absolutes Sicherheitsversprechen.