Zero Trust: Vom Modewort zur praktikablen Strategie

Kaum ein Begriff wird in der IT-Sicherheit so oft benutzt und so selten sauber erklärt wie Zero Trust. Dabei steckt dahinter keine Produktkategorie, die man kauft, sondern eine schlichte Grundhaltung: Kein Zugriff wird allein deshalb als vertrauenswürdig eingestuft, weil er aus dem „internen“ Netz kommt.

Warum das alte Modell nicht mehr trägt

Lange funktionierte Sicherheit wie eine Burg: außen eine Mauer, innen darf sich jeder frei bewegen. Sobald aber Mitarbeitende aus dem Homeoffice arbeiten, Daten in der Cloud liegen und Dienstleister Zugriff brauchen, verschwimmt die Grenze zwischen innen und außen. Ein Angreifer, der es einmal hinter die Mauer schafft, hat dann leichtes Spiel. Zero Trust dreht die Logik um: Jede Anfrage wird geprüft, unabhängig davon, woher sie kommt.

Die tragenden Prinzipien

• Identität zuerst: Jeder Zugriff setzt eine nachgewiesene Identität voraus – in der Praxis heißt das Multi-Faktor-Authentifizierung an allen relevanten Zugängen.
• Minimale Rechte: Konten und Systeme bekommen genau die Berechtigungen, die sie brauchen, und nicht mehr.
• Segmentierung: Das Netz wird in Zonen unterteilt, damit sich ein Vorfall nicht ungebremst ausbreitet.
• Vom Ernstfall ausgehen: Man plant so, als sei ein Angriff bereits im Gange – mit Fokus auf schnelles Erkennen und Eindämmen.

Wie Sie anfangen, ohne sich zu verheben

Zero Trust auf einen Schlag einzuführen, überfordert die meisten Organisationen. Sinnvoller ist ein schrittweises Vorgehen. Klären Sie zuerst, welche Daten und Anwendungen wirklich schützenswert sind – Ihre „Kronjuwelen“. Führen Sie dort konsequent Multi-Faktor-Authentifizierung ein. Schauen Sie sich anschließend die Berechtigungen an: Fast überall finden sich über die Jahre gewachsene Zugriffe, die längst niemand mehr braucht. Erst danach lohnt sich der Blick auf eine feinere Netzsegmentierung.

Kein Projekt mit Enddatum

Wichtig ist die richtige Erwartung: Zero Trust ist kein Vorhaben, das man abschließt und abhakt. Es ist eine Denkweise, die in Betrieb, Beschaffung und Betrieb einsickert. Genau deshalb lässt es sich auch mit begrenzten Ressourcen umsetzen – man beginnt dort, wo der Hebel am größten ist, und wächst mit.

Wenn Sie unsicher sind, wo dieser Hebel bei Ihnen liegt, hilft eine strukturierte Bestandsaufnahme weiter.

Weiterführend: Cyber-Risiko-Check · Kompetenz & Services