Zero Trust

Entstehung und Beteiligte

Der Ausdruck Zero Trust wurde 2010 durch Forrester-Analyst John Kindervag bekannt. Die zugrunde liegenden Ideen sind älter: Jericho Forum, BeyondCorp bei Google und identitätszentrierte Zugriffskontrolle stellten das traditionelle vertrauenswürdige interne Netz infrage.

Welches Problem sollte gelöst werden?

Mobile Arbeit, Cloud-Dienste und kompromittierte interne Geräte zeigten, dass der Netzwerkstandort kein ausreichender Vertrauensbeweis ist. Angreifer konnten sich nach einem ersten Einbruch seitlich bewegen.

Technische Hürden und Lösungen

Identitäten, Gerätegesundheit, Anwendungszugriffe und Protokollierung müssen kontinuierlich bewertet werden. Alte Anwendungen kennen moderne Authentifizierung oft nicht. Zero Trust ist daher kein einzelnes Produkt, sondern eine langfristige Architektur- und Betriebsänderung.

Standardisierung und Einordnung

IT-Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Kryptografie, Identitäten, Protokollen, Segmentierung, Überwachung und menschlichem Verhalten. Viele Verfahren entstanden als Reaktion auf konkrete Missbräuche. Jede Schutztechnik besitzt Grenzen: Sie kann falsch konfiguriert, umgangen oder durch gestohlene Zugangsdaten entwertet werden. Historische Entwicklung erklärt deshalb, warum heutige Systeme mehrere Schutzschichten kombinieren.

Technik im praktischen Betrieb

Eine Schutztechnik ist erst wirksam, wenn Ereignisse ausgewertet, Ausnahmen begrenzt und Wiederherstellungswege getestet werden. Sicherheitsprodukte erzeugen sonst lediglich weitere Konfiguration. Besonders wichtig sind eindeutige Verantwortlichkeiten, ein aktuelles Inventar und Protokolle mit korrekter Zeit. Regeln sollten auf einem dokumentierten Datenfluss beruhen und regelmäßig auf veraltete Freigaben geprüft werden. Bei einem Vorfall müssen Zugangsdaten, Schlüssel, Sitzungen und betroffene Systeme als zusammenhängende Vertrauenskette betrachtet werden.

Warum das Thema heute noch relevant ist

Angriffe verändern sich, die Grundmuster bleiben: Identitäten werden getäuscht, Eingaben missbraucht, Vertrauen falsch vergeben und knappe Ressourcen überlastet. Historische Vorfälle sind deshalb mehr als Anekdoten; sie zeigen, welche Annahmen gescheitert sind. Gute Sicherheitsarchitektur baut nicht auf einem perfekten Filter auf, sondern auf begrenzten Rechten, überprüfbaren Protokollen, schneller Erkennung und der Fähigkeit, Systeme und Schlüssel nach einem Vorfall kontrolliert zu erneuern.

Daten und Meilensteine

• 2010 prägt John Kindervag den Begriff im heutigen Sinn.
• NIST SP 800-207 beschreibt eine herstellerneutrale Architektur.
• Zugriff wird pro Ressource und Sitzung bewertet.
• Mikrosegmentierung allein ergibt noch keine Zero-Trust-Architektur.

Das Zero-Trust-Modell

Das traditionelle Sicherheitsmodell vertraut allem innerhalb des Netzwerks ("Castle and Moat"). Zero Trust dreht das Prinzip um: Niemand wird automatisch vertraut – weder interne Mitarbeiter noch externe Partner noch Maschinen. Jede Zugriffsanfrage wird einzeln bewertet.

Der Grundsatz: "Never Trust, Always Verify." Zero Trust wurde 2010 von John Kindervag (Forrester Research) formuliert und ist heute das vorherrschende Sicherheitsframework für moderne Unternehmen.

Zero-Trust-Prinzipien

• Least Privilege Access: Nutzer und Systeme erhalten nur die minimal notwendigen Berechtigungen.
• Mikrosegmentierung: Netzwerk wird in kleine Segmente unterteilt. Seitliche Bewegung (Lateral Movement) wird erschwert.
• Kontinuierliche Überprüfung: Authentifizierung und Autorisierung bei jeder Anfrage, nicht nur beim Login.
• Geräteintegrität: Nur bekannte und gesunde Geräte erhalten Zugriff (MDM, EDR).
• Umfassendes Logging: Alle Zugriffe werden protokolliert und analysiert.
• Datenklassifizierung: Schutzmaßnahmen richten sich nach Datensensitivität.

Zero Trust Network Access (ZTNA)

ZTNA ist die Umsetzung von Zero Trust für Netzwerkzugriff – als Ersatz für traditionelle VPNs. Statt dem ganzen Netzwerk Zugriff zu gewähren, erhält der Nutzer nur Zugriff auf spezifische Anwendungen – basierend auf Identität, Gerätezustand und Kontext.

Gängige ZTNA-Lösungen: Cloudflare Access, Zscaler Private Access, Google BeyondCorp, Cisco Duo. SASE (Secure Access Service Edge) vereint ZTNA und weitere Security-Dienste in der Cloud.