Das Zero Trust Modell ist als IT-Sicherheitskonzept in aller Munde. Aber was bedeutet es konkret? Und können auch kleine und mittlere Unternehmen es realistisch umsetzen? Wir geben einen ersten Überblick und unsere Einschätzung.
Wofür steht „Zero Trust“ genau?
Wörtlich übersetzt bedeutet Zero Trust „Null Vertrauen“. Damit ist sein Grundprinzip bereits gut umrissen. Denn es geht darum, in einem Netzwerk keinem Gerät, keiner Anwendung und keiner Nutzeridentität zu vertrauen, sondern sie stets zu überprüfen. Das Ziel ist, dass nur legitimierte Geräte, Anwendungen, Nutzerinnen und Nutzer Zugriff erhalten – Hacker aber nicht.
Warum das Zero Trust Modell immer häufiger wird
Lange war ein IT-Sicherheitsmodell vorherrschend, das anschaulich als „Burggraben-Konzept“ charakterisiert wird. Dabei wird ein Unternehmen gleich einer Burg stark gegen Zugriffe von außen abgesichert. Unter anderem durch Firewall, Virenscanner und Co. Im Inneren werden hingegen deutlich schwächere Sicherheitsvorkehrungen getroffen. Zugriffe von hier aus sind vergleichsweise leicht möglich, denn sie werden tendenziell als legitim angesehen.
Dadurch können Hacker große Schäden anrichten, wenn sie den metaphorischen Burggraben überwunden haben und sich im Unternehmensnetzwerk bewegen. Dies gelingt ihnen häufig z. B. durch Phishing-Attacken, Social Engineering oder Sicherheitslücken in Programmen. Cloudanwendungen und die weitere Verbreitung des Homeoffice stellen zusätzliche Herausforderungen für das Burggraben-Konzept dar – denn wo genau soll dort jeweils der Burggraben gezogen werden?
Mit dem Zero Trust Konzept ist hingegen nicht so wichtig, wo sich die Person, das Gerät oder die Anwendung befindet, um einzuschätzen, ob ein Zugriff legitim ist. Sondern wichtig ist die Authentifizierung – die Überprüfung, ob die Person, das Gerät oder die Anwendung wirklich diejenigen sind, die sie vorgeben zu sein. Damit passt das Zero Trust Modell prinzipiell besser zu den aktuellen Gegebenheiten des digitalen Unternehmens-Alltags.
Nicht nur zur Absicherung, sondern auch zur Schadensbegrenzung
An erster Stelle des Zero Trust Modells steht die Authentifizierung aller Zugriffe. Aber es geht darüber hinaus. Denn es basiert auf der Erfahrung, dass Cyberangriffe oft aus dem Inneren eines Unternehmens erfolgen. Zum Beispiel wenn Hacker durch einen Phishing-Angriff in das Firmennetzwerk eingedrungen sind. Daher beinhaltet das Zero Trust Modell auch Elemente, die helfen, solche Angriffe aufzuspüren und ihre Schäden zu begrenzen.
Wichtige Bestandteile des Zero Trust Modells
- Authentizifierung aller Anwendungen, Geräte und Nutzenden
- Verschlüsselte Übertragung und Speicherung von Daten
- Vergabe von Zugriffsrechten nach dem Prinzip der geringstmöglichen Berechtigungen
- Anaylse und Dokumentation des gesamten Datenverkehrs
- Segmentierung des Unternehmensnetzwerkes in isolierte Bereiche
Ist das Zero Trust für KMU umsetzbar?
Keine Frage: Die vollständige Umsetzung des Zero Trust Modells bedeutet Aufwand. Zum Beispiel muss zunächst erfasst werden, welche Anwendungen, Geräte und Nutzenden es gibt, welche legitim sind und wie sie sich in Zukunft sicher authentifizieren sollen. Verschlüsselungen müssen angelegt werden, Abläufe etabliert und dann zur Routine werden. Zugriffsrechte müssen überprüft, durchdacht vergeben und ggf. angepasst werden, um ein reibungsloses Arbeiten zu ermöglichen. Analysemöglichkeiten müssen geschaffen und genutzt werden.
Aber: Dieser Weg lässt sich Schritt für Schritt gehen. In vielen Unternehmen gehören einzelne Bestandteile des Zero Trust Modells bereits zum Alltag. Darauf lässt sich aufbauen. Alternativ steht am Anfang die Überlegung, welche Maßnahmen am einfachsten und mit dem größten Gewinn an Sicherheit umzusetzen sind. Bei Bedarf stehen Ihnen dabei Cybersecurity-Unternehmen wie Perseus gerne beratend zur Seite.
Achtung: Der vielleicht größte Stolperstein bei Zero Trust
Für uns Menschen ist der Begriff „Vertrauen“ emotional sehr aufgeladen. Vertrauen ist ein hoher Wert. Wird uns Vertrauen geschenkt, empfinden wir das oft als Auszeichnung. Wird uns hingegen Vertrauen entzogen oder Misstrauen entgegengebracht, ist dies höchst unerfreulich. Wenn Mitarbeitende eines Unternehmens den Ausdruck Zero Trust/ Null Vertrauen missverstehen und auf sich beziehen, können sie ihn daher nachvollziehbarerweise als Affront empfinden. Aber ohne ihre aktive Unterstützung ist das Zero Trust Modell nicht machbar.
Daher ist bei der Umsetzung des Zero Trust Modells überaus wichtig, sein Ziel von Anfang an für alle im Unternehmen klar verständlich zu machen: Bei Zero Trust geht es nicht um Misstrauen dem Menschen gegenüber. Sondern darum, sicherzustellen, dass nur die vertrauenswürdigen Menschen Zugriff auf ein System, eine Anwendung, ein Gerät usw. erhalten – nicht aber Hacker, die sich als sie ausgeben.
In Zeiten von gestohlenen oder gehackten Anmeldedaten, Eindringlingen im Unternehmensnetzwerk und raffinierten Betrugsversuchen ist das leider eine sinnvolle Maßnahme. Wenn alle in Ihrem Unternehmen dies verstehen und mittragen, haben Sie einen häufigen Stolperstein für das Zero Trust Modell aus dem Weg geräumt.
Unser Tipp: Die Differenzierung zwischen Authentisierung, Authentifizierung und Autorisierung ist Ihnen nicht ganz klar? Dieser Beitrag kann Ihnen helfen und Missverständnisse aufklären.