Die Idee in einem Absatz
Klassische Netzwerksicherheit arbeitet wie eine Burg: Eine Firewall am Rand trennt „drinnen“ von „draußen“, und wer drinnen ist, darf viel. Das NIST beschreibt Zero Trust als Reihe von Sicherheitsansätzen, die Schutz von statischen, netzwerkbasierten Perimetern auf Nutzer, Geräte und Ressourcen verlagern. Zero Trust geht davon aus, dass keinem Gerät und keinem Benutzerkonto allein wegen seines Netzwerkstandorts oder seines Besitzers (Firma oder privat) vertraut wird. Authentifizierung und Autorisierung von Nutzer und Gerät finden vor jeder Sitzung statt.
Das BSI ordnet es als Architekturparadigma ein, das aus dem „Assume Breach“-Ansatz entstanden ist und im Kern auf minimalen Rechten aller Entitäten beruht. Das Schadensausmaß bei Angriffen soll sinken.
Warum das Perimeter-Modell nicht mehr reicht
Das NIST nennt als Auslöser Entwicklungen, die jeder Betrieb kennt: Beschäftigte arbeiten von außen, private Geräte greifen auf Firmendaten zu, und Anwendungen liegen in der Cloud statt im eigenen Rechenzentrum. Der Rand des Netzes verläuft damit nicht mehr an der Bürotür. Wer sich allein auf eine Grenze verlässt, behandelt alles dahinter als vertrauenswürdig. Gelangt ein Angreifer einmal hinein, etwa über ein gestohlenes Passwort, kann er sich je nach Aufbau weitgehend frei bewegen.
Zero Trust dreht das um. Nach NIST sollen Zugriffe aus dem Firmennetz dieselben Anforderungen erfüllen wie solche von außen. Beschäftigte im Homeoffice sollen laut NIST ihr lokales, nicht firmeneigenes Netz als feindlich betrachten.
Die sieben Grundsätze nach NIST SP 800-207
Der Volltext von NIST SP 800-207 (August 2020) legt sieben Grundsätze („Tenets“) fest. NIST betont, dass sie ein Ideal beschreiben und nicht jeder Grundsatz in reinster Form umgesetzt sein muss. In eigenen Worten:
- Alles ist eine Ressource. Alle Datenquellen und Rechendienste zählen, von Servern über SaaS bis zu kleinen Geräten. Private Geräte können dazugehören, wenn sie auf Firmenressourcen zugreifen.
- Jede Kommunikation wird gesichert, unabhängig vom Standort. Netzwerkstandort allein bedeutet kein Vertrauen. Kommunikation soll vertraulich, integer und quellenauthentifiziert sein.
- Zugriff gilt pro Sitzung und mit minimalen Rechten. Vertrauen wird vor dem Zugriff bewertet. Der Zugriff auf eine Ressource gibt keinen automatischen Zugriff auf eine andere.
- Eine dynamische Richtlinie entscheidet. Sie berücksichtigt Identität, Anwendung und den Zustand des anfragenden Geräts, optional auch Verhalten und Umgebung wie Zeit oder gemeldete Angriffe.
- Der Zustand aller Geräte wird gemessen und überwacht. Kein Gerät ist von vornherein vertrauenswürdig. Geräte mit bekannten Schwachstellen oder ohne Verwaltung können eingeschränkt oder ausgeschlossen werden.
- Authentifizierung und Autorisierung sind dynamisch und strikt, bevor der Zugriff erlaubt wird. NIST nennt dafür Identitäts- und Zugriffsverwaltung sowie Mehrfaktor-Authentifizierung.
- Die Organisation sammelt möglichst viele Informationen über Zustand, Netzverkehr und Zugriffsanfragen und nutzt sie, um ihre Richtlinien zu verbessern.
Wie eine Zero-Trust-Architektur aufgebaut ist
NIST beschreibt ein abstraktes Zugriffsmodell: Ein Subjekt (Nutzer oder Gerät) will auf eine Ressource zugreifen, und der Zugriff läuft über eine Entscheidungs- und eine Durchsetzungsstelle.
- Policy Decision Point (PDP): Er trifft die Entscheidung. Er besteht aus der Policy Engine (entscheidet über Gewähren, Verweigern oder Entziehen, auf Basis der Richtlinie und externer Eingaben wie Bedrohungsinformationen) und dem Policy Administrator (baut den Kommunikationsweg zwischen Subjekt und Ressource auf oder ab und erzeugt sitzungsbezogene Zugangsdaten).
- Policy Enforcement Point (PEP): Er ist die Stelle, die Verbindungen zwischen Subjekt und Ressource freigibt, überwacht und beendet.
Die Steuerkommunikation läuft nach NIST getrennt von den eigentlichen Nutzdaten. Dieses Modell ist ein logisches. Wie ein Anbieter oder Betrieb es technisch umsetzt, ist offen: NIST beschreibt mehrere Einsatzmodelle, und Entscheidungsstellen können lokal oder als Cloud-Dienst betrieben werden.
Ein Beispiel aus dem Büroalltag
Die Fragen, die NIST an jede Anfrage stellt, lassen sich an einem erfundenen Beispiel zeigen. Frau Beispiel aus der Buchhaltung öffnet vom Laptop im Zug die Lohnabrechnung in einem Cloud-Dienst. NIST fragt dann: Wie sicher ist die Identität für genau diese Anfrage? Ist der Zugriff bei diesem Vertrauensniveau erlaubt? Hat das Gerät den geforderten Sicherheitszustand? Fällt eine Antwort schlecht aus, etwa weil das Gerät veraltet ist oder die Anmeldung ungewöhnlich wirkt, kann die Richtlinie den Zugriff verweigern, einen weiteren Faktor verlangen oder nur weniger sensible Daten freigeben. Dass der Laptop im Firmen-WLAN oder im Zug steht, spielt für die Entscheidung keine Hauptrolle. Das ist der praktische Unterschied zum Perimeter-Denken. Welche Reaktionen eine Richtlinie im Einzelnen vorsieht, legt jede Organisation selbst fest.
Erste Schritte für kleine Unternehmen
Die folgende Liste ist unsere redaktionelle Ableitung aus den NIST-Grundsätzen und den Hinweisen des BSI. Sie ist kein offizielles Umsetzungsprogramm. Das BSI betont, dass eine ganzheitliche Umsetzung ein langfristiges Vorhaben ist, das dauerhaften finanziellen und personellen Aufwand erfordert. Beginne klein und priorisiere nach dem, was bei einem Ausfall am meisten schaden würde.
Checkliste Sechs Schritte, die zu den Grundsätzen passen
- Inventar anlegen (Grundsatz 1 und 5): Welche Konten, Geräte, Dienste und Daten gibt es? Was du nicht kennst, kannst du nicht bewerten. Auch private Geräte gehören dazu, wenn sie auf Firmendaten zugreifen.
- MFA überall (Grundsatz 6): Mehrfaktor-Authentifizierung für E-Mail, Cloud-Dienste und Administratorkonten. Die CISA empfiehlt, Phishing-resistente MFA im Rahmen von Zero-Trust-Prinzipien einzuführen und zuerst Systeme und Konten mit den größten Rechten zu schützen. Welche Methoden dafür taugen, erklärt Zwei-Faktor-Authentifizierung: Welche Methode schützt wirklich.
- Minimale Rechte (Grundsatz 3 und 4): Jedes Konto bekommt nur die Zugriffe, die es für die Aufgabe braucht. Entziehe Rechte, wenn Aufgaben enden, und trenne Administrator- von Alltagskonten.
- Segmentieren (NIST, Abschnitt 2.2): Das gesamte private Netz gilt nicht als vertrauenswürdige Zone. Trenne Gäste, Smart-Geräte und Büro-IT. Wie das im Kleinen aussieht, zeigt Sichere WLAN-Netzwerke am Beispiel Gastnetz.
- Gerätezustand prüfen (Grundsatz 5): Aktuelle Software, aktivierte Geräteverschlüsselung und Sperre, kein Zugriff von unverwalteten oder veralteten Geräten auf sensible Daten.
- Protokollieren und auswerten (Grundsatz 7): Anmeldungen, Rechteänderungen und Zugriffe auf sensible Daten werden festgehalten und regelmäßig angesehen.
Ein Einstieg in die Basisabsicherung ist unabhängig davon möglich: Das BSI bietet mit den Checklisten des Programms „Weg in die Basis-Absicherung (WiBA)“ kleinen Institutionen einen schnellen Weg zu grundlegenden Sicherheitsanforderungen, ohne ein Managementsystem für Informationssicherheit aufbauen zu müssen. Näheres steht auf der Seite zum IT-Grundschutz.
Häufige Missverständnisse
„Zero Trust ist ein Produkt.“ Nein. Nach NIST ist es ein sich entwickelnder Satz von Paradigmen, und das BSI beschreibt es als Ansatz, der bekannte Maßnahmen und Best Practices zu einem ganzheitlichen Ansatz verbindet. Anbieter können Bausteine liefern, aber kein Anbieter liefert „Zero Trust“ als Schalter.
„Dann braucht man keine Firewalls mehr.“ Auch das stimmt so nicht. NIST merkt an, dass viele Definitionen den Verzicht auf Rand-Firewalls betonen, sich aber trotzdem über Perimeter definieren, etwa über Mikrosegmentierung. Die Perimeter werden kleiner und genauer, nicht abgeschafft.
„Wir haben ein VPN, also haben wir Zero Trust.“ Ein VPN regelt in der Regel nur, wer ins Netz kommt. Nach den Grundsätzen 3 bis 5 zählt aber mehr: Zugriff pro Ressource, minimale Rechte und der Gerätezustand. Das ist unsere Einordnung aus den NIST-Grundsätzen. Ein VPN kann Teil der Umsetzung sein, ersetzt sie aber nicht.
„Zero Trust schützt vor allem.“ Das BSI schreibt, die Schutzwirkung beziehe sich vorrangig auf Integrität und Vertraulichkeit, nicht auf Verfügbarkeit. Backups und Ausfallplanung bleiben eigene Aufgaben. Siehe dazu Backup-Strategie.
„Das ist nur etwas für Konzerne.“ Der Aufwand einer vollständigen Umsetzung ist hoch, und das BSI nennt die fehlende Standardisierung bei der organisationsübergreifenden Umsetzung als Herausforderung. Die Grundgedanken wie MFA, minimale Rechte und Trennung der Netze lassen sich aber auch im Kleinbetrieb schrittweise umsetzen.
Für die Planung einer Architektur im Betrieb mit sensiblen Daten solltest du einen qualifizierten IT-Sicherheitsdienstleister einbeziehen.