Mit dem Zero-Trust-Ansatz wird jeder Zugriff auf ein Netzwerk als eine potenzielle Bedrohung angesehen. Für die IT-Security ist das eine effektive Maßnahme – besonders in Zeiten des hybriden Arbeitens. Zero Trust bringt aber auch gewisse Einschränkungen.
Durch einzelne Maßnahmen wie das Identitäts- und Zugriffsmanagement kontrollieren bereits viele Unternehmen, wer Zugriff auf Firmennetzwerke, genutzte Dienste, Apps und Co erhält. Hier wird die Identität zum Beispiel abgefragt, wenn ein neues Gerät genutzt oder verdächtiges Verhalten erkannt wurde. Doch das ist in vielen Fällen nicht genug, um die IT-Systeme effektiv vor Hacker-Angriffen zu schützen. Genau dieses Problem löst der Zero-Trust-Ansatz als ganzheitliches Konzept der IT-Security: indem jeder versuchte Zugriff als Bedrohung eingestuft wird – bis das Gegenteil bewiesen wurde.
Vertraue niemandem, verifiziere jeden
Zero Trust ist in der Theorie ganz einfach: Geschützte Daten und Netzwerke können nur aufgerufen werden, wenn sich der Nutzer vorher als vertrauenswürdig erweist. Der digitale Türsteher im Zero Trust Network lässt also niemanden durch, ohne einen Ausweis zu kontrollieren. Auch dann nicht, wenn dieselbe Person jeden Tag vor der Tür steht. Das ist auf den ersten Blick vor allem mühsam für jene Nutzer, die sich täglich ausweisen müssen. Außerdem kostet die Implementierung einer Zero-Trust-Architektur in der Praxis sowohl Zeit als auch Geld. Nachteile, die viele Unternehmen bislang abschrecken.
Wolfgang Königstedt, CEO Net Professionals
„Zero Trust ist nicht nur eine technische Maßnahme, sondern auch ein Mindset. Es geht darum, dass wir uns nicht blind auf die Sicherheit unserer Netzwerke verlassenkönnen, sondern jeden Zugriff kritisch hinterfragen.“
Der Umstieg auf Zero Trust ist also ein großer Schritt – und dennoch überfällig. Laut einer Cybersecurity-Studie von KPMG gaben alle 903 befragten österreichischen Unternehmen an, im Jahr 2022 zumindest eine Phishing-Attacke erlebt zu haben. Auch andere Angriffe werden häufiger, so berichten etwa 88 Prozent der Befragten von Business-Mail-Compromise und CEO Fraud, 57 Prozent von Social Engineering sowie 39 Prozent von Angriffen auf die Lieferkette. Dabei war mit 12 Prozent etwa jede zehnte dieser Cyberattacken erfolgreich.
Bei jedem zehnten in der Cybersecurity-Studie befragten Unternehmen entstand durch Cyberattacken ein finanzieller Schaden von über einer Million Euro. Knapp die Hälfte verlor immerhin bis zu 100.000 Euro durch Cyberangriffe. Zahlen wie diese machen deutlich, dass es inzwischen beinahe unmöglich ist, jede Sicherheitslücke zu finden und zu schließen. Genau das spricht für Zero Trust und den Grundsatz: Vertraue niemandem, verifiziere jeden!
Der Weg zur Zero-Trust-Architektur
Um Zero Trust zu implementieren, müssen zunächst einige Entscheidungen fallen. Diese fließen in den Aufbau der individuellen Zero-Trust-Architektur ein. Die wesentlichen Überlegungen sind:
- Welche Daten und Systeme geschützt werden sollen
- Nach welchen Richtlinien diese aufgerufen werden können
- Welche Authentifizierung es braucht, um Zugriff zu erhalten
Mit diesen drei Komponenten steht das Grundgerüst der Zero-Trust-Architektur. Nach ihrer Implementierung bleiben die Überwachung und Wartung als laufende Aufgaben: So wird etwa ungewöhnlicher Datenverkehr erkannt, um Anomalien schnell zu ermitteln. Im Folgenden gehen wir auf die erwähnten Komponenten noch genauer ein.
Schützenswerte Daten und Systeme
Die Schutzfläche der Zero-Trust-Architektur umfasst alle Daten und Systeme, die vor Angriffen geschützt werden sollen. Hier müssen alle kritischen Daten, Anwendungen, Assets oder Services berücksichtigt werden, die potenzielle Ziele einer Cyberattacke sein könnten. Darunter fallen beispielsweise:
- Daten: Personenbezogene Daten, vertrauliche Informationen, …
- Anwendungen: Software, Apps, …
- Assets: Endgeräte, Router, …
- Services: E-Mail, DNS, …
Zero-Trust-Richtlinien festlegen
Anhand der definierten Schutzfläche werden Transaktionsflüsse beziehungsweise Datenflüsse ermittelt. Diese bilden ab, wie sich sensible Daten im Netzwerk bewegen und welche Verbindungen im Netzwerk aufgebaut werden – sowohl intern als auch im Austausch mit Kunden und Partnern. Diese Datenflüsse werden in der Zero-Trust-Architektur definiert.
Im Anschluss werden die Zero-Trust-Richtlinien festgelegt. Diese Regeln schreiben fest, welcher Datenverkehr zulässig ist und welcher nicht. Dazu wird oft die „Kipling-Methode“ genutzt, um das individuelle Wer, Was, Wo, Wann, Warum und Wie eines Netzwerks nachzuvollziehen.
Authentifizierung der Nutzer
Abschließend bleibt zu definieren, wie sich Nutzer für den Zugriff auf die schützenswerten Daten und Systeme verifizieren können. Die Authentifizierung sollte so einfach wie möglich und so komplex wie nötig sein: um die maximale IT-Sicherheit bei größtmöglicher Usability zu erreichen. Single-Sign-On und Multi-Faktor-Authentifizierungen gelten hier als geeignete Methoden.
In der Zero-Trust-Architektur können auch verschiedene Rollen zugeteilt werden. So regeln die Zero-Trust-Richtlinien, welcher Nutzer auf welche Daten zugreifen kann. Hier ist es etwa auch empfehlenswert, mehrere Authentifizierungsfaktoren zu nutzen, je höher die Sicherheitsstufe der Daten ist. Die Geschäftsführung hätte demnach etwa Zugriff auf sämtliche sensiblen Daten, muss sich dafür aber mittels biometrischer Daten identifizieren.
Zero Trust Network Access in der Cloud
Durch hybrides Arbeiten werden cloudbasierte Netzwerke für Unternehmen immer interessanter. Für Mitarbeitende hat der Zugriff auf das Firmennetzwerk aus dem Café oder vom Strand viele Vorteile. Im Bereich der IT-Security birgt das hybride Arbeiten aber vor allem Risiken. Die gute Nachricht ist, dass Zero Trust auch in der Cloud möglich ist – durch den Zero Trust Network Access (ZTNA). Dieser ermöglicht den Zugriff nur auf einzelne Apps und Anwendungen im Netzwerk, sodass selbst ein gelungener Cyberangriff weniger Auswirkungen hat.
In der Studie zu „The State Of Zero Trust Transformation 2023” bestätigen 90% jener Unternehmen, die den Umstieg auf eine Cloud-Lösung gestartet haben, dass sie sich in den nächsten 12 Monaten auch mit der Implementierung einer Zero-Trust-Security-Strategie beschäftigen werden. Dabei geben sie den Zero Trust Network Access als oberste Priorität an.
Zero Trust: Nachteile leicht zu entkräften
Die Nachteile von Zero Trust liegen nach dessen genauerer Betrachtung auf der Hand: Es ist komplex und kostspielig, die Zero-Trust-Architektur zu implementieren. Der Aufwand kann durch die Unterstützung von IT-Experten deutlich gemindert werden. Die Kosten dagegen sind dem potenziellen Schaden einer gelungenen Cyberattacke gegenüberzustellen.
Auch die Einschränkungen, die Nutzer betreffen, wirken auf den ersten Blick wie ein Nachteil von Zero Trust. Dabei sind genau diese Einschränkungen des Zugriffs der wichtigste Vorteil. Sie machen die maximale IT-Sicherheit durch Zero Trust und den Zero Trust Network Access erst möglich – auch in der Cloud.
Aus der Perspektive der IT-Security spricht alles für die Implementierung von Zero Trust. Ganz nach dem Motto: Vertrauen ist gut, Kontrolle ist besser!
