IT-Sicherheit
Zero Trust
Zero Trust ist ein Sicherheitsmodell, das keinem Nutzer und keinem Gerät allein wegen seines Standorts im Netz vertraut.
- Never trust, always verify
- Least Privilege
- Pro-Session-Zugriff
- ZTNA statt VPN
- Konzept, kein Produkt
Zero Trust verlagert die Sicherheit weg vom Burggraben-Modell: Es gibt keinen vertrauenswürdigen Innenbereich mehr. Jeder Zugriff wird geprüft, unabhängig davon, ob die Anfrage aus dem Büro, dem Homeoffice oder der Cloud kommt.
Dieser Artikel erklärt, was Zero Trust nach NIST und BSI wirklich bedeutet, aus welchen Bausteinen es besteht und wie man es schrittweise einführt. Wichtig vorweg: Zero Trust ist ein Architekturparadigma, kein Produkt, das man kauft und einschaltet.
Kurz gesagt
Stärken
- Kein implizites Vertrauen: jeder Zugriff wird anhand Identität, Gerätezustand und Kontext geprüft
- Begrenzt den Schaden, wenn ein einzelner Zugang kompromittiert wird (Assume Breach)
- Pro-Session-Zugriff nach Least Privilege statt dauerhaftem Netz-Zugang
- Setzt mehrere NIS2-Maßnahmen technisch um (Zugriffskontrolle, MFA)
Schwächen
- Kein Produkt zum Kaufen: entsteht aus dem Zusammenspiel mehrerer Bausteine, schrittweise
- Braucht eine tragfähige Identitäts- und MFA-Basis als Fundament
- Legacy-Anwendungen ohne moderne Authentifizierung lassen sich nicht überall gleich anbinden
1. Was Zero Trust ist
Zero Trust ist ein Sicherheitsparadigma nach dem Grundsatz „never trust, always verify". Anders als beim klassischen Perimeter-Modell wird keinem Nutzer und keinem Gerät allein wegen seines Standorts im Netz vertraut. Die maßgebliche Referenz ist NIST SP 800-207; das BSI hat 2023 ein eigenes Positionspapier dazu veröffentlicht.
Der Kern ist ein Wechsel der Annahme: Statt davon auszugehen, dass das interne Netz sicher ist, geht Zero Trust vom „Assume Breach" aus, also davon, dass Angreifer bereits präsent sein könnten, und prüft deshalb jeden Zugriff einzeln.
2. Wie Zero Trust funktioniert
NIST SP 800-207 beschreibt eine klare Rollenteilung. Eine Policy Engine entscheidet anhand dynamischer Richtlinien über jeden Zugriff, der Policy Administrator setzt die Entscheidung in Tokens oder Credentials um (beide bilden den Policy Decision Point, PDP). Der Policy Enforcement Point (PEP) sitzt im Datenpfad und lässt nur durch, was der PDP erlaubt.
In die Entscheidung fließen Identität und MFA, der Gerätezustand, der Kontext und das Verhalten ein. Zugriff wird pro Session gewährt, nicht dauerhaft, und kontinuierlich neu bewertet.
3. Die Bausteine in der Praxis
Zero Trust entsteht aus dem Zusammenspiel mehrerer Bausteine, nicht aus einem Werkzeug:
- Starke Identität Multi-Faktor-Authentifizierung, idealerweise phishing-resistent über Passkeys oder Hardware-Token.
- Geräte-Posture nur bekannte, konforme Geräte (Patch-Stand, Verschlüsselung) erhalten Zugriff.
- Least Privilege jeder bekommt nur die Rechte, die er gerade braucht, möglichst zeitlich begrenzt.
- Mikrosegmentierung feingranulare Netz-Trennung, damit ein kompromittierter Zugang nicht das ganze Netz öffnet, siehe Mikrosegmentierung.
- Kontinuierliche Verifikation Sitzungen werden laufend geprüft, nicht nur beim Login.
- Sichtbarkeit & Logging ohne Telemetrie keine Entscheidungen; ein SIEM liefert die Auswertung.
4. ZTNA statt klassischem VPN
Ein klassisches VPN gewährt nach dem Login Zugang zum ganzen Netzsegment, ein kompromittiertes Gerät erhält damit breiten Zugriff. ZTNA (Zero Trust Network Access) dreht das um: Zugriff gibt es nur auf einzelne, explizit freigegebene Anwendungen, nach dem Default-Deny-Prinzip.
ZTNA ersetzt das VPN aber nicht für jeden Fall: Es braucht eine tragfähige Identitätsinfrastruktur, und nicht jede Legacy-Anwendung lässt sich gleich gut anbinden. Das gehört vorab geprüft.
5. Reifegrad und Einführung
Zero Trust führt man nicht über Nacht ein. Das CISA Zero Trust Maturity Model beschreibt fünf Säulen (Identität, Geräte, Netzwerke, Anwendungen/Workloads, Daten) und vier Reifestufen, von traditionell bis optimal. Das ist eine Roadmap, kein Schalter.
Zero Trust ist kein Produkt und keine Zertifizierung. Kein Hersteller kann es als einzelne Lösung verkaufen. Es ist ein schrittweiser Weg, der bei Identität und Segmentierung beginnt.
6. Zero Trust und NIS2
Zero Trust ist im NIS2-Text nicht namentlich genannt, setzt aber mehrere geforderte Maßnahmen technisch um: Zugriffskontrolle, Multi-Faktor-Authentifizierung und grundlegende Cyberhygiene gehören zu den Risikomanagement-Pflichten nach Artikel 21 NIS2 bzw. § 30 BSIG. Zero Trust ist damit ein tragfähiger Rahmen, um diese Punkte umzusetzen, ersetzt aber keine vollständige NIS2-Umsetzung. Mehr dazu auf unserer Seite zu Informationssicherheit & NIS2.
Häufige Fragen zu Zero Trust
Nein. Zero Trust reduziert die Angriffsfläche und begrenzt den Schaden, wenn ein Zugang kompromittiert wird. Absolute Sicherheit gibt es nicht; es ist ein wirksamer Baustein, keine Garantie.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Zero Trust im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.