Was ist Zero Trust?

Zero Trust: Definition und Idee

Klassische Sicherheit folgt dem Burggraben-Prinzip: Wer im Firmennetz ist, gilt als vertrauenswürdig. Das funktioniert nicht mehr, wenn Mitarbeiter im Homeoffice arbeiten, Daten in der Cloud liegen und Dienstleister Zugänge brauchen. Zero Trust verzichtet auf diesen Vertrauensvorschuss: Der Standort im Netz allein begründet keine Berechtigung.

Zero Trust ist keine Software, die man kauft, sondern ein Architekturansatz. Beschrieben ist er unter anderem in der NIST-Veröffentlichung SP 800-207; auch das BSI greift das Konzept auf. Die Umsetzung erfolgt Schritt für Schritt und über mehrere Technologien hinweg.

Die Grund­prinzi­pien

Drei Gedanken tragen das Modell: Jeder Zugriff wird ausdrücklich geprüft, Berechtigungen sind auf das Nötigste begrenzt (Least Privilege), und man geht davon aus, dass ein Angreifer bereits im Netz sein kann (Assume Breach). Daraus folgen Maßnahmen, die Schäden eingrenzen, statt nur die Außengrenze zu verteidigen.

Zero Trust heißt nicht, Mitarbeitern zu misstrauen. Es geht darum, Entscheidungen auf überprüfbare Signale zu stützen – wer meldet sich an, von welchem Gerät, mit welchem Risiko – statt auf die Annahme, dass im eigenen Netz alles harmlos sei. Das erschwert Angreifern die Bewegung, selbst wenn ein Konto kompromittiert wurde.

• Starke Identitäten mit Mehrfaktor-Authentifizierung als Basis
• Geräteprüfung: Zugriff nur von aktuellen, verwalteten Geräten
• Mikrosegmentierung statt flachem Netz
• Zugriff auf einzelne Anwendungen statt auf das ganze Netz (ZTNA)
• Laufende Überwachung und automatische Reaktion auf Auffälligkeiten

Praxis­bei­spiel: Zulieferer mit Dienst­leister-Zugängen

Ein Maschinenbau-Zulieferer mit 150 Mitarbeitern gewährt einem externen Wartungsdienst per VPN Zugang zum Firmennetz. Der Zugang wird jahrelang nicht angepasst, das Passwort mehrfach weitergegeben. Im Ernstfall würde ein gekapertes Konto des Dienstleisters Zugriff auf Konstruktionsdaten und ERP gleichermaßen eröffnen.

Nach dem Zero-Trust-Ansatz erhält der Dienstleister einen persönlichen Zugang mit Zwei-Faktor-Anmeldung, nur auf das Wartungssystem, nur im vereinbarten Zeitfenster und nur von einem geprüften Gerät. Die Sitzung wird protokolliert, auffällige Zugriffe lösen eine Warnung aus. Ein gestohlenes Passwort allein reicht dann nicht mehr für einen Zugriff, und der Schaden bliebe auf das Wartungssystem begrenzt.

Einstieg, Grenzen und Umsetzung

Zero Trust ist ein Weg, kein Schalter. Unternehmen beginnen mit den größten Risiken, meist mit Identitäten, Mehrfaktor-Anmeldung und Geräteverwaltung, etwa über Microsoft Entra ID mit Conditional Access und Intune. Typische Fehler sind die Gleichsetzung mit einem einzelnen Produkt, zu starre Regeln, die den Alltag lähmen, und eine fehlende Bestandsaufnahme der vorhandenen Konten und Systeme.

Nano Concepts unterstützt mit einer Bestandsaufnahme von Konten, Geräten und Zugriffswegen, der Einführung von Mehrfaktor-Anmeldung und Gerätemanagement sowie der schrittweisen Ablösung breiter VPN-Zugänge. Der Plan richtet sich nach Ihrem Risiko und Ihrem Budget, nicht nach einem Produktkatalog. Wir begleiten das als Projekt oder als laufende Beratung.