Zero Trust verständlich erklärt

Zero Trust: Herkunft und Definition

Der Begriff wurde um das Jahr 2010 in der Fachwelt geprägt und durch Umsetzungen großer Technologieunternehmen bekannt. Eine viel zitierte Referenz ist die Veröffentlichung NIST SP 800-207 «Zero Trust Architecture» des US-amerikanischen National Institute of Standards and Technology aus dem Jahr 2020. Das BSI hat 2023 ein Positionspapier zu Zero Trust veröffentlicht.

Das BSI beschreibt Zero Trust als ein aus dem «Assume Breach»-Ansatz entwickeltes Architekturdesign-Paradigma, das im Kern auf dem Prinzip der minimalen Rechte aller Entitäten beruht, also von Nutzern, Geräten und Systemen. Es gibt kein implizites Vertrauen; Vertrauen muss bei jeder notwendigen Kommunikation durch verlässliche Nachweise und Prüfungen neu aufgebaut werden. Daraus leitet das Papier drei Grundsätze ab:

1. Authentisierung und Autorisierung für jeden Zugriff: Jede Entität muss sich ausweisen und berechtigt sein. Starke Authentifizierung spielt dabei eine entscheidende Rolle.
2. Minimale Rechte: Nur wer Zugriff braucht, erhält ihn. Ressourcen werden in möglichst kleine Einheiten unterteilt und Berechtigungen fein vergeben, damit ein Angriff möglichst wenig erreicht.
3. Keine Unterscheidung zwischen innen und außen: Das interne Netz gilt als unsicher, Vertrauen wird nie dauerhaft gewährt, sondern auf Basis dynamischer Richtlinien, kontinuierlicher Überwachung und Risikobewertung immer wieder neu entschieden.

Was Zero Trust leistet und was nicht

Laut BSI zielt Zero Trust vor allem auf den Schutz von Vertraulichkeit und Integrität. Einschränkungen bei der Verfügbarkeit werden in Kauf genommen. Die Prinzipien machen Anwendungszugriffe robuster und Angriffe früher sichtbar, verhindern aber zum Beispiel nicht vollständig, dass berechtigte Innentäter Daten ausleiten. Das BSI weist außerdem darauf hin, dass eine ganzheitliche Umsetzung ein langfristiges Vorhaben ist, das dauerhaft erhebliche finanzielle und personelle Ressourcen bindet, und dass organisationsübergreifende Ansätze unter anderem an fehlender Standardisierung scheitern können.

Für kleine Betriebe heißt das: Zero Trust ist kein Ziel, das man in einem Projekt erreicht, sondern eine Richtung, in die man Entscheidungen lenkt.

Das Integrationsmodell des BSI

Das Positionspapier schlägt ein Modell mit fünf Säulen vor, angelehnt an das Zero Trust Maturity Model der US-Behörde CISA: Identität, Gerät, Netz, Anwendung und Daten. Für jede Säule beschreibt es drei aufeinander aufbauende Reifegrade. Detektion und Reaktion sind als Querschnittsfunktion angelegt. Die Säulen können zunächst unabhängig voneinander weiterentwickelt werden, was einen schrittweisen Einstieg erlaubt.

Bezug zum IT-Grundschutz

Einen Baustein «Zero Trust» gibt es im IT-Grundschutz-Kompendium nicht. Viele Bausteine enthalten aber Anforderungen, die genau in diese Richtung gehen:

• Least Privilege und Berechtigungen: ORP.4 «Identitäts- und Berechtigungsmanagement», APP.2.2 «Active Directory Domain Services».
• Segmentierung: NET.1.1 verlangt bereits als Basis-Anforderung getrennte Zonen und Segmente; Mikrosegmentierung ist dort eine Anforderung bei erhöhtem Schutzbedarf.
• Detektion: DER.1 und OPS.1.1.5 zur Erkennung und Protokollierung.
• Fernzugriff: NET.3.3 und OPS.1.2.5 mit Regeln für VPN und Fernwartung.

Wer den IT-Grundschutz konsequent umsetzt, legt damit wesentliche Grundlagen für Zero Trust.

Die fünf Säulen im kleinen Betrieb

Identität

Starke Anmeldung für alle Konten, insbesondere Zwei-Faktor-Authentifizierung, möglichst mit phishing-resistenten Verfahren für Administratoren. Ein zentraler Identitätsdienst statt vieler getrennter Konten. Getrennte Administrationskonten und regelmäßige Prüfung von Berechtigungen.

Gerät

Nur verwaltete, aktuelle Geräte mit Verschlüsselung und Schutzsoftware erhalten Zugriff auf Firmendaten. In Cloud-Umgebungen lässt sich der Gerätezustand bei der Anmeldung prüfen, etwa über bedingten Zugriff in Verbindung mit einer Geräteverwaltung.

Netz

Netzsegmentierung, damit ein übernommener Rechner nicht das ganze Netz erreicht. Fernzugriff nicht mehr auf das gesamte Netz, sondern auf bestimmte Anwendungen beschränkt. Verschlüsselte Verbindungen auch intern.

Anwendung

Anwendungen verlangen eine eigene Anmeldung und prüfen Berechtigungen selbst, statt sich darauf zu verlassen, dass jemand «im Netz» ist. Veraltete Anwendungen ohne moderne Anmeldeverfahren werden isoliert oder ersetzt.

Daten

Wissen, wo welche Daten liegen und wie schützenswert sie sind. Freigaben nur für die Personen, die sie brauchen, externe Freigaben mit Ablaufdatum, Verschlüsselung für besonders vertrauliche Inhalte.

Ein realistischer Einstieg

1. Zwei-Faktor-Authentifizierung für alle Cloud-Dienste, VPN-Zugänge und Administrationszugänge.
2. Administratorrechte reduzieren und von Alltagskonten trennen.
3. Netz in wenige sinnvolle Zonen segmentieren.
4. Geräte zentral verwalten und Mindeststandards durchsetzen.
5. Berechtigungen auf Dateiablagen und in Cloud-Diensten aufräumen.
6. Anmeldungen und Rechteänderungen protokollieren und auf Auffälligkeiten achten.

Vorsicht bei Produktversprechen

Viele Hersteller vermarkten Produkte als «Zero-Trust-Lösung». Einzelne Produkte können wichtige Funktionen liefern, etwa anwendungsbezogenen Fernzugriff oder eine Prüfung des Gerätezustands. Ohne saubere Identitäten, gepflegte Berechtigungen und gepatchte Systeme bringt aber auch das beste Produkt wenig. Prüfen Sie bei solchen Angeboten, welche der oben genannten Säulen tatsächlich gestärkt wird.