Zero Trust geht davon aus, dass kein Benutzer oder Gerät standardmäßig vertrauenswürdig ist. Jede Zugriffsanfrage wird überprüft. Identität, Gerätestatus, Standort und Verhalten fließen in die Entscheidung ein. Das alte Modell vertraute allem innerhalb des Netzwerkperimeters. Wer einmal drin war, hatte Zugriff. Zero Trust beseitigt den Perimeter. Es gibt kein Innen und Außen mehr, sondern nur noch verifiziert und nicht verifiziert.

Das Modell entstand, weil die Netzwerkperimeter verschwanden. Remote-Arbeit, Cloud-Dienste und private Geräte machten die Netzwerkgrenzen bedeutungslos. Mitarbeiter greifen von zu Hause, Flughäfen und Cafés auf Unternehmensdaten zu. Auftragnehmer verbinden sich mit ihren eigenen Laptops. Die Firewall, die einst alles schützte, bietet heute fast keinen Schutz mehr. Zero Trust ersetzt den Perimeter durch Identitätsmanagement. Jede Anfrage wird authentifiziert, autorisiert und verschlüsselt. Mikrosegmentierung schränkt die laterale Ausbreitung ein. Das Prinzip der minimalen Berechtigungen beschränkt die Aktionen jedes Kontos. Kontinuierliche Überwachung deckt Anomalien auf. Der SolarWinds-Vorfall von 2020 verdeutlichte das Problem. Angreifer nutzten legitime Anmeldeinformationen und vertrauenswürdige Software-Updates, um sich in Netzwerken zu bewegen, die internes Vertrauen voraussetzten. Zero Trust hätte den anfänglichen Angriff nicht verhindern können. Es hätte die Ausbreitung jedoch eindämmen können. Die Implementierung erfolgt schrittweise. Die meisten Organisationen beginnen mit Identitätsmanagement und gehen dann zur Mikrosegmentierung über. Vollständiges Zero Trust ist ein Prozess, keine einmalige Anschaffung.

Zero-Trust-Prinzipien

• Explizit verifizieren – jede Anfrage authentifizieren und autorisieren
• Prinzip der minimalen Berechtigung – Gewährung des minimal notwendigen Zugriffs
• Gehen Sie von einem Sicherheitsverstoß aus – entwickeln Sie so, als ob Angreifer bereits im System wären.
• Mikrosegmentierung – Begrenzung der seitlichen Bewegung
• Kontinuierliche Überwachung – Anomalien in Echtzeit erkennen

Zero Trust ist kein Produkt, sondern eine Architektur. Die Werkzeuge sind weniger wichtig als die Denkweise.