Zero Trust

Ausführliche Erklärung

Das Zero-Trust-Modell bricht mit dem klassischen Perimeter-Denken. Herkömmliche Sicherheitsarchitekturen schützen die Unternehmensgrenze mit einer Firewall und behandeln alles innerhalb dieses Netzwerks als vertrauenswürdig. Zero Trust verzichtet auf dieses implizite Vertrauen: Kein Benutzer, kein Gerät und keine Anwendung gilt allein deshalb als vertrauenswürdig, weil sie sich im internen Netz befinden. Jede einzelne Zugriffsanfrage wird authentifiziert, autorisiert und laufend neu bewertet, unabhängig davon, ob sie aus dem Büro, aus dem Homeoffice oder von einem externen Dienstleister kommt.

Den international maßgeblichen Referenzrahmen liefert die US-amerikanische Normungsbehörde NIST mit der Special Publication 800-207 „Zero Trust Architecture“ (August 2020). Sie beschreibt Zero Trust nicht als Produkt, sondern als Architekturparadigma mit mehreren Grundsätzen: Jede Ressource wird einzeln geschützt, jede Kommunikation wird unabhängig vom Netzwerkstandort abgesichert, Zugriff wird pro Sitzung und auf Basis einer dynamischen Richtlinie gewährt, und der Sicherheitszustand von Identitäten und Geräten wird fortlaufend gemessen. Architektonisch trennt NIST die Entscheidung über einen Zugriff (Policy Decision Point) von deren Durchsetzung (Policy Enforcement Point). Mikrosegmentierung, identitätsbasierte Steuerung und softwaredefinierte Netzzugänge sind in SP 800-207 jeweils Umsetzungsvarianten, nicht Grundprinzipien, auch wenn das in der Praxis oft verkürzt dargestellt wird.

In der Umsetzung greift Zero Trust auf Bausteine zurück, die auch einzeln bekannt sind: IAM für Identitäten, Multi-Faktor-Authentifizierung, ein gepflegtes Berechtigungskonzept nach dem Least Privilege-Prinzip, feingranulare Zugriffssteuerung, Geräte-Compliance sowie Erkennung und Reaktion über EDR beziehungsweise XDR. Der Unterschied liegt nicht in den Einzelkomponenten, sondern darin, dass sie zu einer durchgehenden, richtliniengesteuerten Architektur verbunden werden. Dadurch sinkt das Risiko, dass sich Angreifer nach einem ersten erfolgreichen Zugriff seitlich im Netzwerk weiterbewegen (Lateral Movement).

Für Unternehmen in Österreich gewinnt Zero Trust durch Cloud-Nutzung, hybride Arbeitsmodelle und regulatorische Anforderungen an Bedeutung. Weder die DSGVO noch NIS2 schreiben Zero Trust ausdrücklich vor. Beide verlangen aber dem Risiko angemessene technische und organisatorische Maßnahmen, und Zero-Trust-Bausteine sind ein gängiger Weg, diese Angemessenheit zu begründen und zu dokumentieren. Eine eigene österreichische Zero-Trust-Richtlinie existiert nicht. Als deutschsprachige Orientierung wird häufig das Positionspapier „Zero Trust“ des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) aus dem Jahr 2023 herangezogen; es ist für österreichische Organisationen rechtlich nicht verbindlich, inhaltlich aber anschlussfähig.

Zero Trust ist kein Projekt mit Enddatum. Das BSI weist in seinem Positionspapier ausdrücklich darauf hin, dass eine ganzheitliche Umsetzung keine Einmalinvestition ist, sondern dauerhaft Budget und Personal bindet, und dass fehlende Standardisierung die Zusammenarbeit über Organisationsgrenzen hinweg erschwert. Sinnvoll ist daher ein schrittweises Vorgehen: zuerst Identitäten und Multi-Faktor-Authentifizierung ordnen, dann Geräte und deren Zustand einbeziehen, danach Anwendungs- und Netzzugänge segmentieren und zuletzt die laufende Überwachung ausbauen. Unternehmen jeder Größe können so beginnen, ohne die bestehende IT auf einmal umzubauen.