Thought Leadership
Der Begriff „Zero Trust“ zeigt in aktuellen Studien, Marktanalysen, IT-Sicherheitsstrategien und Fachbeiträgen eine gewisse Dauerpräsenz. Ob es nun das „Zero Trust Maturity Model“ ist, ein „Zero Trust Network Access (ZTNA)“ oder das „Continous Adaptive Risk and Trust Assessment (CARTA)“ – alle Ansätze versprechen höhere Sicherheit und besseren Schutz gegenüber aktuellen Bedrohungen.
Wirklich neu ist das Konzept aber nicht: Der Begriff wurde von Analysten bereits im Jahr 2010 geprägt; der Ursprung geht sogar noch weiter zurück bis in die 2000er, als das Jericho Forum eine Initiative startete, die eine Zukunft nach der klassischen Perimetersicherheit be- schreibt.
Warum ist die Vertrauensfrage so aktuell?
Generell entstammen die Konzepte der Netzwerk- und Perimetersicherheit einer Zeit, in der von einer vollständigen Kontrolle über das Netzwerk und den damit verbunden Kommunikationswegen ausgegangen wurde. Geräte und Netzwerkanschlüsse befanden sich allesamt innerhalb der Firmengebäude. Drahtlose Technologien waren kaum im Einsatz und die Kupferverkabelungen in öffentlich zugänglichen Bereichen galten als bedenklich, da sie im Gegensatz zu Glasfaserverbindungen abhörbar waren. Die größte Gefahr sah man in dieser Zeit in den eigenen Mitarbeitern oder Personen, die grundsätzlich Zugang zum Gebäude hatten und Industriespionage betrieben. Auch wenn wir uns heutzutage nicht von dieser Gefahr freisprechen können, so zählt diese Bedrohungsart aktuell sicherlich nicht zu den Hauptsorgen der CISOs weltweit. Vielmehr entwickelt sich die Bedrohungslage in rasantem Tempo und schier grenzenlos weiter. Die Dezentralisierung von Daten und Zugriffen, die durch den Einsatz von Cloudservices und die Notwendigkeit des uneingeschränkten mobilen Arbeitens bedingt wird, verschärft die Situation zunehmend. Es liegt auf der Hand, dass die beschriebenen Ansätze der Netzwerksicherheit in dieser Zeit keinen adäquaten Schutz mehr bieten können.
Was kann man sich unter Zero Trust vorstellen?
Zero Trust beschreibt weder eine dedizierte Technologie noch ein genormtes Verfahren. Vielmehr handelt es sich hierbei um eine konzeptionelle Leitlinie, die auf Vorsicht, Umsicht und einer gewissen Skepsis beruht. Untermauert wird diese häufig durch Claims wie „Never Trust, always verify“ oder „Application Access ≠ Network Access“.
Worin liegt also der Unterschied zu den bisherigen Security-Ansätzen? Das grundsätzliche Ziel besteht darin, möglichst viele Informationen zu sammeln: Mit deren Hilfe werden aktuelle Zugriffe bewertet und entsprechend zugelassen oder abgewehrt. Das bedeutet: Auch eine erfolgreiche Authentifizierung gewährt daher nicht automatisch einen Datenzugriff, da zusätzlich weitere Signale berücksichtigt werden wie Zugriffsort, -gerät oder die Risikobewertung des Nutzers per se. Das Bewertungsergebnis entscheidet schließlich darüber, ob der erfolgreich authentifizierte Benutzer einen eingeschränkten (also auf seine Nutzerrolle angepassten) oder sogar gar keinen Zugriff auf bestimmte Applikationen und Daten erhält.
Neben solch einer fallbezogenen Entscheidung gilt grundsätzlich das Minimalprinzip. Das bezieht sich sowohl auf Zugriffsrechte innerhalb einer Applikation, den restriktiven Umgang mit privilegierten Benutzern (administrative Accounts) als auch auf den Verzicht auf nicht notwendige Netzwerkzugriffe.
Die Zeiten, in denen ein Unternehmen behaupten kann, alle Systeme, Daten und Applikationen direkt kontrollieren und steuern zu können, sind leider ebenso überholt wie viele der bisherigen Ansätze zur Netzwerk- und IT-Sicherheit.
Was unterscheidet Zero Trust Ansätze?
Am Beispiel des durch das Marktforschungsinstitut Gartner beschriebenen aktuellen ZTNA-Modells lässt sich die Besonderheit dieses Ansatzes gut herausstellen. Schaut man sich herkömmliche Netzwerke an, gibt es in der Regel ein Urvertrauen (Level of Trust). Der Zugriff aus dem Unternehmensnetzwerk erfolgt erst einmal uneingeschränkt über das gesamte Netzwerk. Modernere Netzwerkarchitekturen arbeiten mit groben Netzsegmentierungen nach dem Ausschlussprinzip: Demnach schließt ein Unternehmen aus, dass ein Mitarbeiter von seinem Device aus direkten Zugriff auf das Datensicherungsnetz benötigt – und entzieht es ihm somit. Aufgrund des notwendigen Zugriffs auf den zentralen Fileserver und die fehlende Mikrosegmentierung (also ein Segment pro Applikation und Anwendungsfall) hat jedes Gerät im Firmennetz erstmal übergreifenden Netzzugriff. Die Authentifizierung des Benutzers und die Überprüfung der Zugriffsrechte erfolgen erst im Anschluss. Die Netzsicherheit wird zusätzlich durch die Notwendigkeit der mobilen Arbeit beeinflusst. VPN-Zugriffe ermöglichen in der Regel den vollständigen Netzwerkzugriff aus der Ferne und schaffen so häufig weitere – teils unkontrollierte – Netzübergabepunkte zwischen dem Unternehmensnetz und dem Internet. Nicht umsonst stellen Ransomware-Angriffe eine der aktuell größten Bedrohungsszenarien dar, da sie genau diese Schwachstellen ausnutzen.
Beim ZTNA wird der Ansatz umgekehrt. Der Benutzer muss sich erst unter Berücksichtigung verschiedener Einflussfaktoren authentifizieren, um dann in einem vollständig segmentierten Netz Zugriff auf einzelne Applikationen zu erhalten. Die ihm gewährten Zugriffe richten sich an einem Rollenkonzept aus und werden immer wieder aufs Neue bewertet. Das oben genannte Prinzip des „Urvertrauens“ wird ausgehebelt.
Die Praxis verlangt zusammenfassend weniger eine exakte Umsetzung eines vollständigen Konzeptes als vielmehr ein Umdenken in Bezug auf grundsätzliche Annahmen und konzeptionelle Ansätze. Die Zeiten, in denen ein Unternehmen behaupten kann, alle Systeme, Daten und Applikationen direkt kontrollieren und steuern zu können, sind leider ebenso überholt wie viele der bisherigen Ansätze zur Netzwerk- und IT-Sicherheit. Die grundsätzliche Idee, Zugriffe kritisch zu hinterfragen und zu beurteilen, ein sicheres Identitäts- und Zugriffsmanagement zugrunde zu legen und eben nur die absolut notwendigen Ressourcen zugänglich zu machen ist eine Interpretation von Zero Trust, die einen praktischen Ansatz liefert und eine gute Grundlage novellierter Sicherheitskonzepte bildet.
Fazit: Wenn Sie das Prinzip Never trust, always verify in die Tat umsetzen und in Sicherheitsfragen beherzigen, verhilft Ihnen das vermeintliche Buzzword „Zero Trust“ zu einem praktikablen Ansatz für moderne IT-Security.
