Im Zuge der nahezu flächendeckenden Ausweitung von Homeoffice-Arbeitsplätzen lernten zahlreiche Unternehmen, ganz gleich ob KMU oder Großkonzern, die Grenzen traditioneller Fernzugriffs-VPN-Lösungen kennen, seien es limitierte Skalierungsmöglichkeiten oder Performance-Einbußen. Eine mögliche Alternative ist der der Zero-Trust-Netzwerkzugang (ZTNA).

So zeigt eine aktuelle Studie des Fachmagazins Cybersecurity Insiders (CSI), dass derzeit 72 Prozent der Unternehmen ein Zero-Trust-Model einsetzen bzw. dies in der nahen Zukunft planen. Was hat es mit diesem Ansatz auf sich und welche Vorteile kann er bieten?

Was ist ZTNA?

Nach dem Zero-Trust-Prinzip wird niemandem weder außerhalb noch innerhalb des Unternehmens-Perimeters vertraut. Möchte sich also jemand mit einer Ressource verbinden, wird jedes Mal vorher alles und jeder ganz genau überprüft. In der IT-Sicherheit wird gerne mit einer Burg-Metapher gearbeitet: Bei Zero Trust würde dies bedeuten, dass nur weil jemand die Zugbrücke überwunden hat, er noch lange nicht in irgendwelche Räume gelangen kann, da hier vor jeder einzelnen Tür eine eigene Wache mit eigenen Sicherheitskontrollen steht. Im Wesentlichen wird der Zugang zu Daten und Systemen auf Grundlage des Least-Privilege-Modells gewährt: Jeder erhält demnach nur Zugriff auf jene Ressourcen, die er für seine Arbeit auch tatsächlich benötigt. Dieser Ansatz ist für Unternehmen überaus attraktiv, da sie gerade in diesem Bereich ein gewisses Defizit erkennen. So gaben 90 Prozent der Befragten des CSI-Reports an, dass ihre Benutzer derzeit über Zugriffsprivilegien verfügen, die über das hinausgehen, was sie benötigen. Entsprechend halten knapp zwei Drittel (62 %) zu weit gefassten Zugriffs- und Zugangsrechte für die stärkste Gefahr ihrer Cybersicherheit.

Worin liegt das Problem von VPNs für den Fernzugriff?

Fast zwei Drittel der Befragten (65 %) sehen im Zugriff auf Anwendungen, die in öffentlichen Cloud-Umgebungen (wie AWS, Azure oder GCP) bereitgestellt werden, ihre größte Sicherheitsherausforderung. Herkömmliche Fernzugriffslösungen bieten hier keine Abhilfe, da sie nicht für die Cloud konzipiert wurden. So sind oftmals Behelfslösungen und Ad-hoc-Routing erforderlich, um den Fernzugriff zu ermöglichen. 39 Prozent der Unternehmen sind nicht in der Lage, ihre VPN-Appliance für den Zugriff in öffentlichen Cloud-Umgebungen einzusetzen. Diese inhärenten Begrenzungen von VPNs führen dazu, dass sich knapp die Hälfte der Befragten (47 %) dazu gezwungen sieht, seine von Zuhause aus arbeitenden Angestellten über eigene Rechenzentren auf Cloud-Anwendungen zu leiten. Dies hat wiederum deutliche Auswirkungen auf die Performance und die Nutzererfahrung. Gleichwohl alarmierender und risikoreicher ist jedoch, dass knapp ein Drittel (31 %) der Unternehmen seine privaten Anwendungen im Internet öffentlich zugänglich macht, damit Mitarbeiter aus der Ferne darauf zugreifen können, was enorme Risiken birgt.

Es besteht immer ein Spannungsfeld zwischen dem Bedürfnis nach Sicherheit und der Forderung nach einfachem Zugang, um eine hohe Produktivität zu ermöglichen. In den letzten Wochen haben wir gesehen, dass oftmals die Sicherheitsbemühungen zugunsten eines schnellen Rollouts und der raschen Anbindung zahlreicher Homeoffice-Arbeitsplätze zurücktreten mussten. Angesichts der Situation mag das nachvollziehbar sein, doch spätestens jetzt ist es an der Zeit, hier wieder für eine Balance zu sorgen.

Datensicherheit ist die Hauptmotivation für IT- und Sicherheitsteams, die ein Zero-Trust-Programm umsetzen wollen. Zero Trust Network Access senkt das Risiko, dass böswillige Insider oder Cyberkriminelle mit gestohlenen Zugangsdaten Fernzugriff auf die Netzwerke, Anwendungen und Daten eines Unternehmen erhalten, sei es in öffentlichen oder privaten Clouds oder sogar in privaten Rechenzentren. Wird der Zero-Trust-Netzwerkzugang über die Cloud und eine globale Netzwerkinfrastruktur mit hoher Kapazität bereitgestellt, ist der Fernzugriff so skalierbar, dass er jeden dramatischen Anstieg an Homeoffice-Arbeitsplätzen meistern kann, ohne die Zugriffszeiten zu verlangsamen oder Daten unnötig umzuleiten.

Auf dem Weg in die Zukunft

ZTNA überwindet also die Herausforderungen traditioneller Fernzugriffs-VPNs und kann mit anderen Cloud-basierten Sicherheitsfunktionen wie Secure Web Gateway (SWG) und Cloud Access Security Broker (CASB) für diejenigen Unternehmen konsolidiert werden, die sich auf dem Weg zu der von Gartner empfohlenen Secure Access Service Edge (SASE)-Infrastruktur befinden. Für die Analysten „ist der Perimeter nun überall dort, wo ein Unternehmen ihn benötigt – ein dynamisch geschaffener, richtlinienbasierter Secure Access Service Edge (SASE).“ Entsprechend konsolidiert der SASE-Ansatz Netzwerk- und Security-as-a-Service-Fähigkeiten in eine Lösung mit geringer Latenz, die aus der Cloud bereitgestellt wird und Daten und Zusammenhänge analysieren und verstehen kann, um Richtlinien auf Benutzer, Geräte und Dienste in der Cloud anzuwenden. Dabei spielt es keine Rolle, wo sich der Arbeitsplatz befindet, sei es im Homeoffice oder im Unternehmen: Egal von wo die Mitarbeiter arbeiten, nutzen sie Cloud-Applikationen und Cloud-Dienste. Dies war auch schon vor der Corona-Krise der Fall: So zeigt der Cloud & Threat Report 2020, dass neun von zehn Unternehmensanwender (89 %) in der Cloud sind und täglich mindestens eine Cloud-App aktiv nutzen.

Der klassische Perimeter ist tot, das führt uns die aktuelle Situation deutlich vor Augen. Und er wird auch nicht mit den Mitarbeitern zurückkehren, wenn sie irgendwann ihre Homeoffices verlassen und wieder in ihren Büros arbeiten. Deshalb sollte man sich schon jetzt auf diese Zukunft einstellen.