Elnur - stock.adobe.com
So kann man Zero Trust in Unternehmen umsetzen
Das Zero-Trust-Modell ist ein komplett anderer Ansatz, um für mehr Sicherheit zu sorgen. Der Umstieg ist allerdings kein Hexenwerk und kann von jedem Unternehmen bewältigt werden.
Böse Menschen bleiben draußen, gute Menschen kommen rein. Dieses Prinzip hat schon seit einer langen Zeit die Vorgehensweise der meisten Unternehmen geprägt, die sich freiwillig oder unfreiwillig mit dem Thema IT-Sicherheit beschäftigt haben. Bei diesem traditionellen Ansatz geht man davon aus, dass IT-Umgebungen vor böswilligen Handlungen geschützt werden können, wenn man nur den Perimeter stärkt, indem man ihn größer und widerstandsfähiger macht. Dieses Modell erinnert stark an mittelalterliche Burgen und die sie umgebenden Schutzgräben. Aber es hat einen grundlegenden Fehler, weil der Glaube schon lange nicht mehr aufrechterhalten werden kann, dass jeglicher interner Traffic automatisch als gutartig einzustufen ist.
Das Zero-Trust-Modell hat einen komplett anderen Ansatz. Seine Grundlage ist die Überzeugung, dass alle Anwender, Geräte und Vorgänge erst einmal als kompromittiert eingestuft werden müssen. Dabei ist es überhaupt nicht von Bedeutung, ob sie sich inner- oder außerhalb der Firewall befinden. Diese Sichtweise führt zu einer neuen Strategie, mit der auch in Zukunft für Sicherheit im gesamten Netzwerk gesorgt werden kann.
Was bedeutet Zero Trust wirklich?
Zero Trust oder grob auf Deutsch übersetzt „Kein Vertrauen“ ist weder eine bestimmte Technologie, noch ein bestimmtes Produkt. Bei Zero Trust handelt es sich um einen strategischen, grundlegenden Ausgangspunkt, um für mehr Sicherheit im Netzwerk mit Hilfe von modernen Techniken zu sorgen.
Zuerst wurde das Prinzip 2010 von John Kindervag vorgestellt, der damals ein leitender Analyst bei Forrester Research war. Von seiner These ausgehend, ist das Zero-Trust-Modell eine Philosophie zum Entwerfen einer Netzwerk-Security-Architektur, bei der ein Zugriff auf eine Ressource erst dann gewährt wird, wenn ein Anwender, ein Gerät oder gar ein einzelnes Datenpaket erst gründlich untersucht und authentifiziert wurde. Selbst danach wird nur der minimal benötigte Zugang gewährt. Ein Sprichwort, das in diesem Zusammenhang immer wieder erwähnt wird, lautet „Traue niemandem, überprüfe alles“. Es ist eine deutliche Weiterentwicklung des früher in der IT Security weit verbreiteten „Vertraue, aber prüfe“.
Zero Trust erfordert eine präzise und sorgfältig inszenierte Segmentierung des gesamten Netzwerks. Gelegentlich werden die dadurch entstehenden Strukturen auch Mikroperimeter genannt. Sie verhindern, dass sich jemand unkontrolliert „quer“ durch das Netzwerk bewegt. Ein Eindringling kann dann bei einem Einbruch ins Netzwerk nicht auf wichtige Daten zugreifen, indem er sich zum Beispiel von VLAN zu VLAN (Virtual Local Area Network) arbeitet.
Die Durchsetzung der gewählten Richtlinien und der Governance im Unternehmen spielen ebenfalls eine wichtige Rolle in einer Zero-Trust-Architektur, weil die Anwender den geringstmöglichen Zugriff auf Ressourcen haben sollen, um wirklich nur ihre eigentlichen Aufgaben erledigen zu können. Eine genaue Kontrolle darüber, wer, was, wo und wann auf Ressourcen zugreifen kann, ist deswegen der Kern des Zero-Trust-Modells.
Wodurch wird das Zero-Trust-Modell vorangetrieben?
Ein traditioneller, auf dem Schutz des Perimeters aufsetzender Security-Ansatz ist heutzutage nicht mehr ausreichend, wenn es um den Schutz vor dem zunehmend häufiger auftretenden Identitätsdiebstahl geht.
Oder anders gesagt, gleichgültig wie hervorragend die eingesetzte Firewall auch ist. Sie wird keinen Angreifer stoppen, der einen Zugriff auf gestohlene gültige Login-Daten hat. Damit kann er ungestört Schaden im Netzwerk anrichten, sofern keine Segmentierung genutzt wird und wenn es keine Richtlinien zur Steuerung der Zugriffe gibt. Entgegen dem bisher meist angewendeten Security-Modell bietet die Identität des Anwenders, also sein Nutzername und sein Passwort, nur sehr wenig Sicherheit. Das liegt darin, dass Sie sich nie sicher sein können, dass die Person, die sich gerade mit den echten Nutzerdaten von zum Beispiel Max Mustermann einloggt, auch wirklich Max Mustermann aus der Buchhaltung ist.
Dazu kommt, dass ein Diebstahl von Nutzerdaten nach dem von Verizon im vergangenen Jahr veröffentlichten „Data Breach Investigations Report“ (PDF) meist in nur wenigen Minuten oder gar Sekunden erfolgt. Zwei Drittel dieser Angriffe werden laut Verizon sogar über einen Zeitraum von mehreren Monaten nicht aufgedeckt.
Der Übergang zum Zero-Trust-Modell hängt aber auch mit anderen technologischen Entwicklungen in der IT eng zusammen. Kaum ein Anwender nutzt nur noch Daten und Anwendungen, die sich auf einem einzigen Desktop-PC befinden, der fest in einem Büro untergebracht ist und der nur Zugriff auf ein internes Rechenzentrum im Unternehmen hat. Aktuelle Entwicklungen wie die Zunahme mobiler Endgeräte, der Erfolg der Cloud bis hin zu Microservices sorgen dafür, dass der traditionelle Perimeter bald ausgedient hat.
Was Sie benötigen, um auf Zero Trust umzusteigen
Rein auf die Technik bezogen nutzt auch das Zero-Trust-Modell viele altbekannte Elemente: Automatisierung, Verschlüsselung, Identity and Access Management (IAM), Mobile Device Management (MDM) und Multifaktor-Authentifizierung, um nur eine Handvoll von ihnen zu nennen.
Im Kern des Modells befinden sich eine äußerst fein abgestimmte Mikrosegmentierung sowie ein flexibles Anpassen, aber trotzdem konsequentes Durchsetzen der verwendeten Richtlinien. Diese Elemente werden durch Software-defined Networking (SDN), die Orchestrierung von Netzwerken sowie Virtualisierung (auch Netzwerk-Virtualisierung, aber nicht nur) ermöglicht.
Bevor Sie sich jedoch in die Implementierung stürzen, sollten Sie zuerst ein umfassendes Audit aller Geräte, Endpoints und anderer Elemente in Ihrer IT-Umgebung durchführen. Alles, was mit Ihrem Netzwerk verbunden ist, stellt ein potentielles Risiko dar. Sie müssen auch genau verstehen, wie die Anwender im Unternehmen ihre Arbeit erledigen und ob eine Einschränkung ihrer individuellen Zugriffsrechte sich möglicherweise hinderlich darauf auswirkt. Diese Informationen erhalten Sie unter anderem von den Abteilungsleitern im Unternehmen.
Auch wenn das Zero-Trust-Modell zuerst durch den umfassenden Einsatz bei Google berühmt wurde, eignet es sich doch für mehr als nur für große Konzerne. Tatsächlich lässt es sich in kleineren Organisationen sogar leichter umsetzen, weil ihre IT-Umgebungen in der Regel nicht so viele eng miteinander verknüpfte Legacy-Systeme enthalten.
In einer idealen Welt wird eine Zero-Trust-Architektur von Grund auf wie auf einer grünen Wiese neu eingerichtet. Aber das ist nicht die einzige Option, die Sie haben. Vorgänge auf Basis des Zero-Trust-Modells können auch im Rahmen eines länger dauernden Übergangs Schritt für Schritt in Ihre existierende Umgebung eingeführt werden.
Nachteile des Zero-Trust-Modells
Machen Sie dabei aber keinen Fehler: Auch wenn der Übergang zu einem Zero-Trust-Modell viele Vorteile hat, ist die Einführung doch eine herausfordernde Aufgabe. Zusätzlich zu den über kurz oder lang auftretenden technischen Schwierigkeiten wird dafür auch ein tiefgehender kultureller Wandel innerhalb der IT und darüber hinaus im ganzen Unternehmen benötigt. Vor allem muss allen Beteiligten klar sein, dass der Satz „es befindet sich doch innerhalb der Firewall“ kein Garant mehr für Sicherheit ist.
Wie bereits erwähnt, ist der Umstieg auf das Zero-Trust-Modell vor allem für Unternehmen mit vielen Legacy-Systemen nicht leicht durchzuführen. Nicht selten kann es dadurch zu neuen Problemen im Netzwerk kommen, die gelöst werden müssen.
Der Einsatz des Zero-Trust-Modells erfordert außerdem kontinuierliche Anpassungsmaßnahmen. Ihre IT-Teams müssen die Mikroperimeter und die verwendeten Richtlinien kontinuierlich überwachen, immer wieder neu anpassen, optimieren und aktualisieren. Nur so können Sie sicherstellen, dass alle Systeme auf Dauer korrekt funktionieren und dass es durch den Umstieg auf Zero Trust zu keinem Einbruch der Produktivität der Mitarbeiter im Unternehmen kommt.
