Zero Trust einfach erklärt: begrenzter Zugriff, umfassende Netzwerksicherheit

Digitale Vernetzung: ein Tor für Cyberangriffe

Ein Szenario, wie es in der Industrie jeden Tag denkbar ist: Ein externer Dienstleister nimmt routinemäßig die IT-gestützte Fernwartung einer Produktionsmaschine vor. Allzu oft ist dieser Dienstleister dabei aber nicht nur mit dem betroffenen Gerät verbunden, sondern gleich mit dem gesamten Unternehmensnetz. Und das birgt durchaus Risikopotenzial, nämlich dann, wenn das Wartungsunternehmen die Kontrolle über seine eigene Infrastruktur verloren hat. Tatsächlich sind Angriffe über gehackte Dienstleister nicht ungewöhnlich.

Digital vernetzte Unternehmen und Organisationen müssen sich täglich mit derartigen Szenarien beschäftigen. Kritische Prozesse in Wirtschaft und Verwaltung werden digitalisiert, immer mehr sensible Daten digital verarbeitet. Die Anzahl der genutzten Cloud-Dienste steigt ebenso wie der Einsatz von Fremdsoftware. Zudem haben sich viele Beschäftigte spätestens seit der Corona-Pandemie daran gewöhnt, mittels VPN-Verbindung vom heimischen Schreibtisch aus auf die firmeneigene IT zuzugreifen. Mit der Komplexität der Netze und Anwendungen erhöht sich die Fehler- und Angriffsanfälligkeit. Das macht Cyberangriffe umso lukrativer – sowohl für (Wirtschafts-)Kriminelle als auch für staatliche Angreifer.

Zero Trust: Die Definition liegt nicht unbedingt im Namen

Einen Ausweg könnte das Konzept „Zero Trust“ bieten. Um „null Vertrauen“ geht es dabei jedoch keinesfalls, wie Steffen Ullrich erklärt. Der IT-Sicherheitsforscher der genua GmbH, eines Unternehmens der Bundesdruckerei-Gruppe, spricht lieber davon, blindes Vertrauen zu vermeiden und stattdessen beschränkte Zugriffsrechte zu vergeben: „Zero Trust heißt einfach erklärt eher, Nutzenden, Software oder auch Geräten, die von außen zugreifen und die man nicht vollständig unter eigener Kontrolle hat, so wenig wie möglich zu vertrauen.“ Für Ullrich bildet die Vergabe sogenannter granularer Zugriffsrechte den Kern der Zero-Trust-Definition.

„Der Ansatz, auf die Sicherheit des lokalen Netzes zu setzen, hat schon eine ganze Weile nicht mehr funktioniert“, sagt der Experte. Um den Schaden im Falle eines Cyberangriffs so gering wie möglich zu halten, sollten Netzwerkkomponenten im Vorhinein gezielt abgekapselt werden. Zugangsberechtigungen und die Möglichkeit zur Netzkommunikation werden dabei auf das tatsächlich Nötige begrenzt. Bei Fernwartungen beispielsweise erlaubt das Unternehmen dem Wartungsdienstleister nur Zugriff auf das spezifische System oder bestimmte Anwendungen. Berechtigungen gibt es nur für den benötigten Zeitraum. Zudem muss die IT die Grundlagen für die Rechtevergabe kontinuierlich überprüfen.

Ullrich spricht vom „Prinzip der minimalen Privilegien“. Die Aufgabenzuweisung erfolgt gezielt, damit im Fall einer Attacke die Auswirkungen begrenzt bleiben. Zero Trust führt nach dieser Definition also nicht zu Zero Risk. Mögliche digitale Brandherde vorbeugend einzudämmen, erscheint angesichts multipler Cyberrisiken allerdings ohnehin effektiver, als nach hundertprozentiger Sicherheit zu streben.

Authentisierung allein reicht nicht mehr

Entscheidend für Zero Trust ist die Authentisierung von Nutzenden. Vor der Cloud und vor der Pandemie mag die oftmals noch auf klassischem Wege – über Zugangsberechtigungen zu Gebäuden und Bürorechnern – erfolgt sein. Nun sind weitere Schritte notwendig, um sensible Daten und kritische Infrastrukturen zu schützen. Zero Trust erfordert zusätzlich zur Authentisierung der Nutzerin oder des Nutzers eine Beurteilung der Sicherheit des Geräts („Attestierung“) sowie der Umgebung.

Zero Trust in der Praxis: schrittweises Verbessern statt komplettes Ersetzen

Und wie wird das Konzept zur Unternehmenspraxis? Müssen die IT-Verantwortlichen komplett umdenken? Für den genua-Experten liegt einer der wesentlichen Vorteile von Zero Trust in der Chance, entsprechende Zugangskontrollen schrittweise in bestehende Unternehmensstrukturen einzuführen. Durch sogenannte Mikrosegmentierung werden beispielsweise im industriellen Umfeld besonders verwundbare Maschinen abgesichert. „Das Netzwerk übergreifend abzusichern ist wichtig“, so Ullrich. „Unternehmen können jedoch zusätzlich für einzelne Anwendungen nutzerspezifische Zugangskontrollen einführen.“ Dies, so ist sich Ullrich sicher, sei „ein wesentlicher Sicherheitsgewinn bei der Umsetzung von Zero-Trust-basierten Cybersecurity-Lösungen“.

Und noch etwas ändert sich: Bisher wurden Sicherheitsregeln stark auf Netzwerkebene definiert, was die Absicherung dynamischer Infrastrukturen erschwerte. Mit dem Zero-Trust-Konzept lässt sich nach Ullrichs Einschätzung auch dieses Problem adressieren. „Effektive Cybersecurity-Lösungen reichen über die Sicherheit von IP-Adressen und Ports hinaus“, sagt Ullrich. „Vielmehr gilt es, in organisatorischen und betrieblichen Identitäten zu denken.“ Es gehe um Einzelnutzerinnen und -nutzer, Teams oder Abteilungen, an deren Aufgaben bestimmte Zugriffsrechte geknüpft sein müssten. „Bei einer Änderung von Aufgaben oder Zuständigkeiten werden die Rechte dann automatisch angepasst“, so der Experte.

Nach Ullrichs Überzeugung bedeutet Zero Trust nicht das Misstrauen gegenüber der eigenen Organisation. Eher bringt das Konzept für sie positive Effekte – mehr Sicherheit, ohne den Alltag für Mitarbeitende und IT-Administration komplexer zu machen. Sicherheitsentscheidungen, die sich an betrieblichen Abläufen orientieren, stoßen auf mehr Akzeptanz, weil sie die Arbeitseffizienz nicht behindern. Das Zusammenwirken von Zugriffsrechten und Zuständigkeiten – gespiegelt an der Unternehmensstruktur – macht IT-Security im Zero-Trust-Kontext für die Gesamtbelegschaft relevant und nachvollziehbar.