Zero Trust: Kein Produkt, sondern eine Architektur von Prozessen und Verhaltensweisen

Zero Trust ist ein Konzept, das heute in nahezu jeder Sicherheitspräsentation erwähnt wird. In der Praxis sehen wir jedoch häufig, dass es am falschen Ort, mit falschen Erwartungen und mit ungeeigneten Werkzeugen umgesetzt wird. Der Hauptgrund dafür ist, dass Zero Trust oft als Technologie oder kaufbares Produkt dargestellt wird. Tatsächlich ist Zero Trust keine lizenzierte, verpackte oder herstellergebundene Lösung. Es ist eine architektonische Perspektive und vor allem eine Denkweise.

Die Essenz von Zero Trust ist klar: Never trust, always verify. Gewähren Sie keinem Benutzer, keinem Gerät und keiner Verbindung standardmäßig Vertrauen. Vertrauen muss kontinuierlich verdient werden. Dieser Ansatz beseitigt vollständig die traditionelle Annahme „Innen ist sicher, außen ist gefährlich“, da in der modernen IT-Welt die Grenzen zwischen innen und außen nicht mehr klar sind.

Zusammenfassung:

Zero Trust ist kein Produkt, sondern ein Architekturansatz
Es lehnt das Konzept des Standardvertrauens ab
Kontinuierliche Überprüfung ist grundlegend

Zero Trust wurde in der Praxis zunächst durch die Visionen von Sicherheitsanbietern sichtbar. Mit der Entwicklung der Netzwerksicherheit, einschließlich Anwendungsbewusstsein, benutzerbasierten Richtlinien und Kontextbewusstsein, wurde das Konzept klarer. Es ist jedoch wichtig zu unterscheiden: Zero Trust gehört nicht einem Anbieter. Zwar wird es von Analysten wie Gartner gerahmt, aber es kann nicht durch eine einzige Technologie repräsentiert werden.

Der Grund: Zero Trust erfordert, dass mehrere Ebenen konsistent zusammenarbeiten. Wenn Netzwerk-, Sicherheits-, Identitäts-, Benutzer-, Geräte- und Anwendungsebenen unabhängig arbeiten, bleibt Zero Trust nur ein Schlagwort ohne architektonische Realität.

Wichtige Punkte dieser Sektion:

Zero Trust ist herstellerunabhängig
Es kann nicht mit einer einzigen Technologie umgesetzt werden
Konsistenz über alle Ebenen ist erforderlich

In der Praxis beginnt die Zero-Trust-Architektur mit einer einfachen Frage:
„Soll dieser Benutzer und dieses Gerät wirklich auf die Ressource zugreifen, die gerade angefordert wird?“

Der erste Schritt zur Beantwortung ist die Überprüfung der Benutzer und Geräte im Netzwerk. In Büros, auf Campus oder in Fabriken erfolgt diese Überprüfung normalerweise über Identitätssysteme. Active Directory, LDAP oder moderne Identity Provider bilden das Zentrum dieses Prozesses. Darüber hinaus wird bestimmt, auf welche Ressourcen ein Benutzer zugreifen kann, nicht nur anhand seiner Identität, sondern auch seiner Rolle und seines Risikoprofils. Der Zugriff wird immer auf Basis von Bedarf und Sicherheitslage begrenzt. Für Zero Trust ist jedoch nicht nur die Identität des Benutzers relevant; auch der Status des Geräts, die Zugehörigkeit zum Unternehmensinventar und die Einhaltung der Sicherheitsrichtlinien spielen eine Rolle.

Selbst wenn der Benutzer korrekt ist, wird der Zugriff erneut überprüft, wenn das Gerät nicht compliant ist. Dies ändert die traditionelle „Benutzer ist drinnen, alles gut“-Mentalität grundlegend.

Merken:

Benutzerverifikation allein reicht nicht aus
Geräteidentität und -status werden ebenfalls bewertet
Zugriffsentscheidungen sind kontextabhängig

Zero Trust gewinnt besonders bei Remote-Arbeitern an Bedeutung. Remote-Arbeit ist mittlerweile Standard, nicht mehr die Ausnahme. Viele Organisationen arbeiten jedoch weiterhin nach dem klassischen VPN-Modell: Der Benutzer verbindet sich mit dem VPN und wird sofort Teil des gesamten lokalen Netzwerks. Dies ist kein Zero Trust, sondern nur Fernzugriff.

Bei Zero Trust bedeutet Remote-Zugriff nicht „Zugriff überall“. Benutzer können nur auf autorisierte Anwendungen oder Ressourcen zugreifen. SSL-VPNs, clientbasierte VPNs oder anwendungsbezogene Zugriffslösungen kommen hier zum Einsatz. Einige Setups nutzen Mikro-Tunnel, die nur Zugriff auf bestimmte Ressourcen ermöglichen. Das Ziel ist immer dasselbe: Zugriff minimieren und kontinuierlich kontrollieren.

Wichtige Punkte:

VPN ≠ Zero Trust
Zugriff sollte ressourcenbasiert, nicht netzwerkweit sein
Berechtigungen werden kontinuierlich überprüft

Ein weiterer Unterschied zu klassischen Sicherheitsansätzen ist, dass die Überprüfung nicht einmalig ist. Ein Benutzer kann sich morgens anmelden, aber das bedeutet nicht, dass er den ganzen Tag uneingeschränkt Zugriff hat. Bei Zero Trust erfolgt die Überprüfung kontinuierlich, und der Zugriff wird neu bewertet, sobald sich Benutzer- oder Geräteverhalten ändern. Bei Anomalien, Standortwechsel oder verdächtigen Aktivitäten kann das System automatisch eine zusätzliche Verifikation verlangen.

Hier kommt Multi-Faktor-Authentifizierung (MFA) ins Spiel. Nach Benutzername- und Passwortprüfung werden zusätzliche Ebenen wie SMS, mobile App-Benachrichtigung, Hardware-Token oder biometrische Authentifizierung genutzt. Einige Organisationen erhöhen die Häufigkeit absichtlich, insbesondere für kritische Systeme wie Mailserver, Finanzsysteme oder ERP, wo periodische Re-Authentifizierung erforderlich ist.

Zusammenfassung:

Überprüfung ist kontinuierlich
MFA ist ein Kernbestandteil von Zero Trust
Überprüfungsintervalle werden bei kritischen Ressourcen verkürzt

Die Firewall-Ebene spielt eine zentrale Rolle, aber weit über die klassische „Internet-Ausgangskontrolle“ hinaus. In Zero Trust fungiert die Firewall als Entscheidungspunkt mit Identitäts- und Kontextbewusstsein. Die Integration mit Identitätssystemen, NAC-Lösungen und 802.1X ist entscheidend. Regeln sollten nicht nur IP- oder Port-basiert sein. Erst wenn Benutzer-, Gruppen- und Anwendungsregeln anwendbar sind, wird Zero Trust praktisch umsetzbar. Der Wert liegt darin, zu wissen, welcher Benutzer unter welchen Bedingungen auf welche Anwendung zugreift.

Zusammenfassung dieser Ebene:

Firewall ist ein Policy-Entscheidungspunkt
Identitäts- und Anwendungsbewusstsein ist erforderlich
Portbasierte Regeln reichen nicht aus

Zero Trust beschränkt sich nicht auf Firewall- oder VPN-Ebenen. Die Architektur beginnt auf der Zugangsebene. Die erste Überprüfung in kabelgebundenen und drahtlosen Netzwerken bestimmt die Sicherheit des gesamten Systems. Klassisch werden Switch-Ports statischen VLANs zugewiesen, und mehrere SSIDs erstellt. Mit steigender Benutzer- und Gerätezahl wird dies unüberschaubar.

802.1X- und NAC-Lösungen übernehmen die zentrale Kontrolle. Benutzer und Geräte werden vor dem Netzwerkzugriff überprüft, und auf Basis der Überprüfung werden dynamisch VLANs oder Richtlinien angewendet. Die Überprüfung und Richtlinie erfolgen nicht nur auf Port- oder SSID-Ebene, sondern auch auf Benutzer- und Anwendungsebene. Dadurch haben unterschiedliche Benutzer im gleichen Netzwerk unterschiedliche Zugriffsrechte, und kritische Ressourcen bleiben isoliert.

Wichtige Punkte:

Zero Trust beginnt auf der Zugangsebene
802.1X bietet zentrale Kontrolle
Statische VLAN-/SSID-Strukturen sind nicht skalierbar

In modernen Zero-Trust-Architekturen werden nicht nur Benutzergeräte, sondern alle Endpunkte kontrolliert. Drucker, Kameras, IP-Telefone, Kartenleser und andere Geräte werden in die Überprüfung einbezogen. Next-Gen-NAC-Lösungen profilieren Geräte anhand mehrerer Parameter wie DHCP-Fingerprints, CDP/LLDP und Herstellerinformationen. Die Geräteprofilierung geht über die Identität hinaus und bewertet Compliance, Sicherheitsstatus und Unternehmensstandards. Dadurch wird der Anschluss nicht autorisierter oder riskanter Geräte verhindert.

Wichtige Punkte:

Geräteprofilierung ist entscheidend
MAC-Adresse allein reicht nicht aus
Inventarintegration ist erforderlich

Auch Gastzugänge werden kontrolliert. Gäste werden über Portale überprüft und erhalten nur zeitlich und berechtigungsbezogen eingeschränkten Zugriff. Gäste haben in der Regel nur Internetzugang, und der Zugriff auf Unternehmensressourcen ist begrenzt. Dies setzt das Prinzip „nicht jeder hat Zugriff auf alles“ physisch durch.

Wichtige Punkte:

Gastzugang ist nicht unbegrenzt
Zeit- und berechtigungsbasierte Kontrolle
Vertrauen wird nicht vorausgesetzt

Letztendlich ist Zero Trust eine geschichtete Architektur. Überprüfung erfolgt beim Netzwerkzugang, Traffic und Zugriff werden über Firewalls anhand von Benutzer und Anwendung kontrolliert, und zusätzliche Ebenen wie MFA greifen auf Anwendungsebene. Wenn diese Ebenen zusammenarbeiten, wird Zero Trust realisiert. Erfolg beruht auf konsistenter Überprüfung auf allen Ebenen, nicht auf einem einzigen Kontrollpunkt.

Fazit:

Zero Trust ist geschichtet
Ein einzelner Kontrollpunkt reicht nicht aus
Der Prozess ist kontinuierlich

Zugriffe und Verhalten werden auf jeder Ebene überwacht. Bei abnormalen oder riskanten Aktivitäten beschränkt das System automatisch den Zugriff oder fordert zusätzliche Verifikation. Diese kontinuierliche Überwachung ist der kritischste Bestandteil von Zero Trust.

Schlussfolgerung

Zero Trust ist kein Produkt.
Es kann nicht mit einem einzigen Gerät umgesetzt werden.
„Einrichten und vergessen“ funktioniert hier nicht.

Zero Trust ist eine lebende Architektur, bei der Firewalls, Switches und drahtlose Infrastruktur zusammenarbeiten, zentrale Benutzer- und Geräteinformationen nutzen und Zugriff in jedem Schritt kontinuierlich neu bewertet wird. Daher sollte Zero Trust nicht als zu kaufende Technologie, sondern als Fähigkeit zur Gestaltung und Betrieb gesehen werden.

Hinweis

Dieser Artikel erschien ursprünglich in kürzerer, erzählerischer Form auf Substack.

Diese Version erweitert die architektonische Grundlage der Serie.

👉 Lesen Sie den Artikel auf Substack:

[Hier klicken](https://substack.com/home/post/p-183954997