Was ist Zero Trust?

Zero Trust ist ein Sicherheitsmodell, das implizites Vertrauen gegenüber Benutzern, Geräten und Netzwerkstandorten aufhebt und jede Zugriffsanfrage so lange als nicht vertrauenswürdig behandelt, bis das Gegenteil bewiesen ist. Anstatt innerhalb des Netzwerkperimeters umfassenden Zugriff zu gewähren, überprüft Zero Trust kontinuierlich die Identität und den Sicherheitsstatus des Geräts, bevor jeweils nur für eine bestimmte Ressource Zugriff mit minimalen Berechtigungen gewährt wird.

Die wichtigsten Erkenntnisse

• Zero Trust beseitigt das implizite Vertrauen in den Standort im Netzwerk vollständig.
• Jede Zugriffsanfrage wird fortlaufend überprüft, nicht nur einmalig bei der Anmeldung.
• Der Zugriff ist standardmäßig auf jeweils eine Anwendung beschränkt und folgt dem Prinzip der geringsten Berechtigungen.
• ZTNA ersetzt den pauschalen VPN-Zugang durch eine anwendungsbezogene Zugriffskontrolle.
• In der NIST SP 800-207 wurden die Grundsätze der Architektur im Jahr 2020 festgeschrieben.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Zero Trust & Versa · Häufig gestellte Fragen

Warum ist Zero Trust wichtig?

Bei der herkömmlichen Netzwerksicherheit ging man davon aus, dass alles innerhalb des Perimeters – das Unternehmens-LAN, der VPN-Tunnel – vertrauenswürdig sei und dass die Aufgabe der Firewall darin bestehe, Angreifer am Rand fernzuhalten. Diese Annahme erwies sich als falsch, als Anwendungen in die Cloud verlagert wurden und Mitarbeiter begannen, von überall aus zu arbeiten. Sobald ein Angreifer in einem flachen Netzwerk einen Zugangsnachweis kompromittiert hat, hindert nichts mehr die laterale Bewegung zu allen anderen Ressourcen, die über dieses Netzwerk erreichbar sind.

Zero Trust ist wichtig, weil die meisten Sicherheitsvorfälle heutzutage mit kompromittierten Zugangsdaten beginnen und nicht mit einem Eindringen in die Netzwerkperimeter. Indem jede Verbindung anhand von Identität, Sicherheitsstatus und Kontext bewertet wird – und nicht danach, aus welchem Netzwerksegment sie stammt –, beschränkt Zero Trust den Wirkungsbereich eines Sicherheitsvorfalls auf die eine Anwendung, für die eine Sitzung autorisiert wurde, und macht es überflüssig, umfassenden Netzwerkzugriff zu gewähren, nur um auf eine interne Anwendung zugreifen zu können.

Was ist Zero Trust?

Zero Trust basiert auf drei Grundsätzen: explizite Überprüfung, Zugriff mit minimalen Berechtigungen und die Annahme, dass eine Sicherheitsverletzung vorliegt. Jede Anfrage wird anhand aller verfügbaren Signale – Identität, Gerätestatus, Standort und Verhaltenskonttext – authentifiziert, anstatt ihr allein deshalb zu vertrauen, weil sie von innerhalb einer Firewall stammt. Der Zugriff wird pro Sitzung gewährt und auf die kleinste Ressource beschränkt, die die Anfrage erfüllt, nicht auf das Netzwerksegment, in dem sich diese Ressource befindet.

Aus architektonischer Sicht handelt es sich dabei in der Regel um einen Policy Decision Point (PDP), der den Kontext auswertet und eine Entscheidung trifft, sowie um einen Policy Enforcement Point (PEP), der diese Entscheidung an der Verbindungsgrenze umsetzt. NIST SP 800-207 hat dieses Muster formalisiert und behandelt die Überprüfung dabei als kontinuierlichen Prozess und nicht als einmaligen Kontrollpunkt: Einem Gerät, das während einer Sitzung die Konformitätsanforderungen nicht mehr erfüllt, kann der Zugriff sofort entzogen werden – nicht erst bei der nächsten Anmeldung.

Arten von Zero Trust

Zero Trust wird auf mehreren Ebenen angewendet, die in der Regel nacheinander umgesetzt werden. Zero Trust Network Access (ZTNA) ist der häufigste Einstiegspunkt: Es ersetzt das VPN durch einen anwendungsspezifischen, identitäts- und sicherheitsstatusgeprüften Zugriff für Remote-Benutzer. Zero Trust auf Netzwerkebene (Mikrosegmentierung) erweitert dasselbe Prinzip innerhalb des Rechenzentrums oder Campus und unterteilt das Netzwerk in kleine, streng abgegrenzte Zonen, sodass ein kompromittiertes Gerät keine nicht zugehörigen Systeme erreichen kann. Datenzentriertes Zero Trust wendet das Modell auf die Daten selbst an und nutzt CASB- und DLP-Kontrollen, um einzuschränken, welche Daten eine verifizierte Sitzung tatsächlich übertragen darf.

Zero Trust & Versa

Versa implementiert Zero Trust als „Zero Trust Everywhere“ – vier Komponenten unter einer einheitlichen, verwalteten Richtlinie: Versa Secure Private Access (VSPA) bietet ZTNA für Remote-Benutzer; Versa Zero Trust – Premises erweitert dies auf Campus- und Zweigstellenbenutzer am Verbindungspunkt; Versa Secure SD-LAN versorgt das Campus-Netzwerk mit integrierter Mikrosegmentierung; und die Versa SASE Fabric stellt die Cloud-Sicherheitsdienste bereit, die alles miteinander verbinden. Auf der Registerkarte „Sicherheit“ wird erläutert, wie diese Komponenten unter einer gemeinsamen Richtlinien-Engine mit SWG, CASB und DLP kombiniert werden.

Innerhalb von VSPA wird Zero Trust in „ Versa “ Concerto als zwei Richtlinienebenen umgesetzt: „Secure Access Rules“ bilden den „Policy Decision Point“ und bewerten Identität, Sicherheitsstatus, geografische Lage und Kontext, bevor ein Tunnel aufgebaut wird; „Private Protection Rules“ bilden den „Policy Enforcement Point“ und regeln, auf welche Anwendungen eine Sitzung zugreifen darf. Der Sicherheitsstatus wird kontinuierlich anhand eines Endpunkt-Informationsprofils bewertet, und die „Default-Deny“-Richtlinie von „ Versa“ – keine pauschalen RFC-1918-Routen, keine Platzhalterregeln – sorgt dafür, dass die Netzwerkschicht ebenso wie die Identitätsschicht nach dem Prinzip der geringsten Berechtigungen funktioniert.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Zero Trust und einem VPN?

Ein VPN gewährt nach der Authentifizierung eines Benutzers umfassenden Zugriff auf Netzwerkebene, sodass eine kompromittierte Sitzung oft auf alle Ressourcen in diesem Netzwerk zugreifen kann. Zero Trust gewährt Zugriff auf Anwendungsebene, überprüft Identität und Sicherheitsstatus kontinuierlich neu und verweigert den Zugriff auf alles, was nicht ausdrücklich autorisiert ist.

Was ist Zero Trust Network Access (ZTNA)?

ZTNA ist die am weitesten verbreitete Form von Zero Trust: Dabei wird ein verifizierter Benutzer direkt mit einer autorisierten Anwendung verbunden, ohne dass das Gerät Zugang zum gesamten Netzwerk erhält, und der Zugriff wird kontinuierlich neu bewertet, anstatt nur einmalig bei der Anmeldung.

Wer hat das Zero-Trust-Modell entwickelt?

Der Analyst John Kindervag machte den Begriff 2010 bei Forrester bekannt und argumentierte, dass Vertrauen an sich die Schwachstelle sei, die durch Perimeter-Sicherheit nicht behoben werden könne. NIST SP 800-207 legte die Grundsätze dieser Architektur im Jahr 2020 fest.

Bedeutet „Zero Trust“, dass ein Unternehmen seinen eigenen Mitarbeitern nicht vertraut?

Nein. Bei „Zero Trust“ wird das implizite Vertrauen, das aufgrund des Standorts im Netzwerk gewährt wird, aufgehoben – nicht das Vertrauen in Menschen. Verifizierte Mitarbeiter auf konformen Geräten erhalten weiterhin Zugriff – die Verifizierung findet lediglich jedes Mal und für jede Ressource statt, anstatt nur einmal am Netzwerkperimeter.

Inwiefern hängt „Zero Trust“ mit „ SASE “ zusammen?

SASE setzt Zero Trust in großem Maßstab um: Der ZTNA-Dienst des Unternehmens trifft identitäts- und sicherheitsstatusbasierte Zugriffsentscheidungen, und die über die Cloud bereitgestellten Durchsetzungspunkte wenden diese überall dort an, wo sich ein Benutzer verbindet – nicht nur an einer einzigen Perimetergrenze.

Mehr zum Thema Zero Trust

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Zero Trust beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.