IT Management November 2020

34 | IT INFRASTRUKTUR
„ZERO TRUST“
BUZZWORD ODER PRAKTISCHER ANSATZ?
Der Begriff „Zero Trust“ zeigt in aktuellen
Studien, Marktanalysen, IT-Sicherheitsstrategien
und Fachbeiträgen eine gewisse
Dauerpräsenz. Ob es nun das „Zero
Trust Maturity Model“ ist, ein „Zero Trust
Network Access (ZTNA)“ oder das „Continous
Adaptive Risk and Trust Assessment
(CARTA)“ – alle Ansätze versprechen
höhere Sicherheit und besseren
Schutz gegenüber aktuellen Bedrohungen.
Wirklich neu ist das Konzept aber
nicht: Der Begriff wurde von Analysten
bereits im Jahr 2010 geprägt; der Ur-
sprung geht sogar noch weiter zurück bis
in die 2000er, als das Jericho Forum eine
Initiative startete, die eine Zukunft nach
der klassischen Perimetersicherheit beschreibt.
Warum ist die Vertrauensfrage
so aktuell?
Generell entstammen die Konzepte der
Netzwerk- und Perimetersicherheit einer
Zeit, in der von einer vollständigen Kont-
rolle über das Netzwerk und den damit
verbunden Kommunikationswegen ausgegangen
wurde. Geräte und Netzwerkanschlüsse
befanden sich allesamt innerhalb
der Firmengebäude. Drahtlose Technologien
waren kaum im Einsatz und die Kupferverkabelungen
in öffentlich zugänglichen
Bereichen galten als bedenklich, da
sie im Gegensatz zu Glasfaserverbindungen
abhörbar waren. Die größte Gefahr
sah man in dieser Zeit in den eigenen Mit-
arbeitern oder Personen, die grundsätzlich
Zugang zum Gebäude hatten und Industriespionage
betrieben.
Auch wenn wir uns heutzutage
nicht von dieser Gefahr
freisprechen können, so zählt
diese Bedrohungsart aktuell sicherlich
nicht zu den Hauptsorgen der CISOs
weltweit. Vielmehr entwickelt sich die Bedrohungslage
in rasantem Tempo und
schier grenzenlos weiter. Die Dezentralisierung
von Daten und Zugriffen, die
durch den Einsatz von Cloudservices und
die Notwendigkeit des uneingeschränkten
mobilen Arbeitens bedingt wird, ver-
schärft die Situation zunehmend. Es liegt
auf der Hand, dass die beschriebenen
Ansätze der Netzwerksicherheit in dieser
Zeit keinen adäquaten Schutz mehr bieten
können.
Was kann man sich unter Zero
Trust vorstellen?
Zero Trust beschreibt weder eine dedizierte
Technologie noch ein genormtes
Verfahren. Vielmehr handelt es sich hier-
bei um eine konzeptionelle Leitlinie, die
auf Vorsicht, Umsicht und einer gewissen
Skepsis beruht. Untermauert wird diese
häufig durch Claims wie „Never Trust,
always verify“ oder „Application Access
≠ Network Access“.
Worin liegt also der Unterschied zu den
bisherigen Security-Ansätzen? Das grundsätzliche
Ziel besteht darin, möglichst
viele Informationen zu sammeln: Mit deren
Hilfe werden aktuelle Zugriffe bewer-
tet und entsprechend zugelassen oder
abgewehrt. Das bedeutet: Auch eine er-
folgreiche Authentifizierung gewährt daher
nicht automatisch einen Datenzugriff,
da zusätzlich weitere Signale berücksichtigt
werden wie Zugriffsort, -gerät oder
die Risikobewertung des Nutzers per se.
Das Bewertungsergebnis entscheidet
schließlich darüber, ob der erfolgreich
authentifizierte Benutzer einen eingeschränkten
(also auf seine Nutzerrolle angepassten)
oder sogar gar keinen Zugriff
auf bestimmte Applikationen und Daten
erhält.
Neben solch einer fallbezogenen Ent-
scheidung gilt grundsätzlich das Minimalprinzip.
Das bezieht sich sowohl auf
Zugriffsrechte innerhalb einer Applikati-
ZERO TRUST als konzeptionelle Leitlinie
für den praktischen Rundumschutz
Identitäten & Zugriffe
Endgeräte
Daten
Netzwerke
www.it-daily.net