Zero Trust

Zero Trust ist ein Sicherheitsmodell, das keinem Nutzer, Gerät oder Dienst automatisch vertraut, egal ob der Zugriff aus dem Firmennetzwerk oder von außen kommt. Jeder Zugriff wird einzeln geprüft, streng authentifiziert und auf die Rechte begrenzt, die für die Aufgabe erforderlich sind.

Mitarbeitende arbeiten im Homeoffice, Anwendungen laufen in der Cloud, und externe Dienstleister greifen auf interne Systeme zu. Die klassische Trennung zwischen einem sicheren Innen und einem gefährlichen Außen bildet die Realität moderner Unternehmensnetzwerke immer schlechter ab. Angreifer wissen das: Sie kaufen gestohlene Zugangsdaten, melden sich regulär an und bewegen sich anschließend unauffällig durch das Netzwerk.

Zero Trust beantwortet diese Entwicklung mit einem Perspektivwechsel. Das Modell behandelt jeden Zugriff als potenziell riskant, unabhängig davon, woher er kommt. Für IT-Entscheider ist Zero Trust damit weniger ein Modewort als ein praktischer Rahmen, um Sicherheit an die heutige Arbeitsweise anzupassen.

Was ist Zero Trust?

Zero Trust ist ein Sicherheitsmodell, das keinem Nutzer, Gerät oder Dienst automatisch vertraut. Jeder Zugriff auf Daten, Anwendungen und Systeme wird einzeln geprüft: Wer fragt an, mit welchem Gerät, in welchem Kontext und auf welche Ressource? Erst wenn diese Prüfung positiv ausfällt, wird der Zugriff gewährt, und zwar genau in dem Umfang, den die jeweilige Aufgabe erfordert.

Der Leitsatz lautet: niemals vertrauen, immer verifizieren. Der Standort einer Anfrage spielt dabei keine Rolle mehr. Eine Anfrage aus dem Firmengebäude wird nach denselben Regeln behandelt wie eine aus dem Homeoffice oder von unterwegs.

Wichtig für die Einordnung: Zero Trust ist kein einzelnes Produkt, das Sie kaufen und installieren. Es ist ein Architekturprinzip, das mehrere Bausteine kombiniert, darunter starke Authentifizierung, fein abgestufte Zugriffsrechte, Netzwerksegmentierung und kontinuierliche Überwachung. Das US-amerikanische NIST beschreibt das Modell in der Publikation SP 800-207, die vielen Unternehmen als Referenzrahmen dient.

So funktioniert es

In der Praxis folgt eine Zero-Trust-Architektur einigen wiederkehrenden Prinzipien:

Identität als Fundament: Jeder Zugriff beginnt mit einer eindeutigen Identität für Personen, Geräte und Dienste. Multi-Faktor-Authentifizierung stellt sicher, dass ein gestohlenes Passwort allein keinen Zugang verschafft.
Minimale Rechte: Nutzer und Systeme erhalten genau die Berechtigungen, die ihre Aufgabe erfordert, und keine darüber hinaus. Dieses Prinzip ist als Least Privilege bekannt.
Kontextbezogene Entscheidungen: Eine zentrale Richtlinieninstanz bewertet bei jeder Anfrage den Zusammenhang: Gerätezustand, Standort, Uhrzeit und Sensibilität der Zielressource fließen in die Entscheidung ein.
Segmentierung statt offener Flächen: Das Netzwerk wird in kleine, voneinander getrennte Zonen unterteilt. Mikrosegmentierung setzt dieses Prinzip bis auf die Ebene einzelner Workloads um und nimmt Angreifern die Bewegungsfreiheit.
Kontinuierliche Bewertung: Zugriff gilt nie dauerhaft. Sitzungen werden laufend neu bewertet, bei Auffälligkeiten entzieht das System Rechte automatisch.
Annahme des Ernstfalls: Zero Trust plant ein, dass einzelne Systeme kompromittiert werden können. Architektur und Überwachung sind darauf ausgelegt, den Schaden klein zu halten.

Warum es wichtig ist

Gestohlene Zugangsdaten verlieren an Wert: Kompromittierte Passwörter gehören zu den häufigsten Einfallstoren. Multi-Faktor-Authentifizierung und Kontextprüfung machen sie für Angreifer deutlich weniger nützlich.
Der Schaden bleibt begrenzt: Wird ein System kompromittiert, verhindert die Segmentierung, dass sich der Angriff auf das gesamte Netzwerk ausweitet. Ransomware trifft dann eine Zone, nicht das ganze Unternehmen.
Hybrides Arbeiten wird sicher möglich: Zero Trust knüpft Sicherheit an Identität und Gerät statt an den Standort. Mitarbeitende arbeiten im Büro und remote nach denselben Regeln.
Cloud und Rechenzentrum folgen einer Richtlinie: Einheitliche Zugriffsregeln gelten für interne Anwendungen ebenso wie für SaaS-Dienste. Das reduziert Komplexität und Konfigurationsfehler.
Regulatorik verlangt nachweisbare Kontrolle: Vorgaben wie NIS2 oder ISO 27001 fordern Zugriffskontrolle und Risikominimierung. Eine Zero-Trust-Architektur liefert die passenden Mechanismen und Nachweise.
Transparenz über Zugriffe: Wer jeden Zugriff prüft, sieht auch, wer wann auf welche Systeme zugreift. Diese Sichtbarkeit hilft bei Audits und bei der Aufklärung von Vorfällen.

Typische Anwendungsfälle

Ablösung klassischer VPN-Zugänge: Ein VPN gewährt oft Zugriff auf große Teile des Netzwerks. Zero Trust Network Access (ZTNA) als Teil einer SASE/SSE-Architektur verbindet Mitarbeitende stattdessen nur mit den Anwendungen, die sie tatsächlich benötigen.
Schutz von Produktions- und OT-Umgebungen: Maschinensteuerungen vertragen selten zusätzliche Sicherheitssoftware. Zero-Trust-Zonen schirmen solche Systeme ab, ohne die Produktion zu beeinträchtigen.
Externe Dienstleister und Partner: Wartungszugänge gehören zu den riskantesten Verbindungen im Unternehmen. Mit Zero Trust erhalten Externe zeitlich begrenzten Zugriff auf einzelne Systeme statt auf ganze Netzbereiche.
Cloud-Migration: Beim Umzug von Anwendungen in die Cloud lassen sich Zugriffsregeln von Beginn an nach Zero-Trust-Prinzipien aufbauen, statt gewachsene Altstrukturen zu übernehmen.

Zero Trust und Perimeter-Sicherheit: der Unterschied

Die klassische Perimeter-Sicherheit funktioniert wie eine Burg mit Wassergraben: Eine starke Außengrenze aus Firewalls und Gateways trennt das als vertrauenswürdig geltende interne Netzwerk vom Internet. Wer diese Grenze einmal passiert hat, genießt weitreichendes Vertrauen und bewegt sich intern oft ungehindert.

Dieses Modell hat zwei strukturelle Schwächen. Erstens existiert die eine Grenze kaum noch, weil Anwendungen, Daten und Nutzer über Clouds, Standorte und Heimarbeitsplätze verteilt sind. Zweitens richtet ein Angreifer, der den Perimeter überwindet, im Inneren großen Schaden an, weil dort kaum weitere Kontrollen greifen.

Zero Trust hebt die Unterscheidung zwischen innen und außen auf. Firewalls und Gateways behalten ihre Aufgabe, doch Vertrauen entsteht nie allein durch den Netzwerkstandort. Jeder Zugriff wird geprüft, als käme er aus einem offenen Netz. Beide Konzepte schließen sich damit nicht aus: Der Perimeter wird zu einer von mehreren Verteidigungslinien statt zur einzigen.

So unterstützt KAEMI

KAEMI begleitet Unternehmen als Managed Service Provider auf dem Weg zur Zero-Trust-Architektur: von der Analyse der Datenflüsse über die Definition der Richtlinien bis zum laufenden Betrieb. Mit Zero-Trust-Mikrosegmentierung auf Basis von Illumio machen wir die Kommunikation zwischen Ihren Systemen sichtbar und setzen Segmentierungsrichtlinien durch. Unsere Professional Services unterstützen bei Planung, Umsetzung und Betrieb, angepasst an Ihre vorhandene Umgebung und Ihr Team.

Häufige Fragen zu Zero Trust

Ist Zero Trust ein Produkt, das man kaufen kann?

Nein. Zero Trust ist ein Architekturmodell, das mehrere Technologien und Prozesse kombiniert, darunter Identitätsmanagement, Multi-Faktor-Authentifizierung, Segmentierung und Monitoring. Einzelne Produkte setzen Teilaspekte um, etwa ZTNA für den Anwendungszugriff oder Mikrosegmentierung für die interne Kommunikation. Entscheidend ist die Strategie dahinter: klare Richtlinien, priorisierte Schutzziele und eine schrittweise Umsetzung.

Ersetzt Zero Trust die Firewall?

Nein, Firewalls bleiben ein wichtiger Baustein. Zero Trust verändert jedoch ihre Rolle: Sie sind eine von mehreren Verteidigungslinien statt der einzigen Grenze. Zusätzlich rücken identitätsbasierte Kontrollen, Segmentierung und kontinuierliche Überwachung in den Mittelpunkt. Bestehende Sicherheitskomponenten werden in die Architektur integriert und über Richtlinien gesteuert, die Identität und Kontext berücksichtigen.

Wie starten Unternehmen am besten mit Zero Trust?

Bewährt hat sich ein schrittweises Vorgehen: Zuerst verschaffen Sie sich Sichtbarkeit über Anwendungen, Datenflüsse und Zugriffe. Danach schützen Sie die kritischsten Systeme, etwa durch Multi-Faktor-Authentifizierung und Segmentierung. Anschließend weiten Sie die Richtlinien Zone für Zone aus. Ein kompletter Umbau in einem Schritt ist selten realistisch; kleine, messbare Etappen liefern schneller Ergebnisse.

Was bedeutet Zero Trust für die Mitarbeitenden im Alltag?

Richtig umgesetzt ändert sich für Mitarbeitende wenig, in vielen Fällen wird der Zugriff sogar einfacher. Statt eines VPN-Clients mit Vollzugriff öffnen sie ihre Anwendungen direkt, die Prüfung läuft im Hintergrund. Gelegentlich bestätigen sie ihre Identität per Multi-Faktor-Authentifizierung. Spürbare Einschränkungen entstehen vor allem dann, wenn Richtlinien zu streng oder ohne Test eingeführt werden.

Lohnt sich Zero Trust auch für den Mittelstand?

Ja. Gerade mittelständische Unternehmen sind häufig Ziel von Ransomware und verfügen selten über große Security-Teams. Zero Trust lässt sich schrittweise und mit überschaubarem Budget einführen, etwa beginnend mit Multi-Faktor-Authentifizierung, ZTNA und der Segmentierung kritischer Systeme. Als Managed Service übernimmt ein Dienstleister wie KAEMI Planung und Betrieb, sodass kein eigenes Spezialistenteam erforderlich ist.