glossar / Z

Zero Trust

Zero Trust ist ein Sicherheitsmodell ohne implizites Vertrauen: Jeder Zugriff wird nach Identität, Gerät und Kontext geprüft und eng begrenzt.

Beschäftigte arbeiten von zu Hause, Anwendungen liegen in der Cloud, und Dienstleister greifen von außen auf interne Systeme zu. Die alte Aufteilung in ein vertrauenswürdiges Innen und ein gefährliches Außen beschreibt moderne Unternehmensnetze deshalb immer schlechter. Angreifer machen sich das zunutze: Sie kaufen gestohlene Zugangsdaten, melden sich ganz regulär an und bewegen sich anschließend unauffällig durchs Netz.

Zero Trust reagiert darauf mit einem Perspektivwechsel: Jeder Zugriff gilt als potenziell riskant, egal woher er stammt. Für IT-Verantwortliche ist das Modell damit weniger Schlagwort als praktischer Rahmen, um Sicherheit an heutige Arbeitsformen anzupassen.

Was ist Zero Trust?

Zero Trust ist ein Sicherheitsmodell, das keinem Nutzer, Gerät oder Dienst von vornherein vertraut. Jeder Zugriff auf Daten, Anwendungen und Systeme wird einzeln bewertet: Wer fragt an, mit welchem Gerät, in welchem Kontext, auf welche Ressource? Erst nach positiver Prüfung wird der Zugriff gewährt, und zwar exakt in dem Umfang, den die jeweilige Aufgabe erfordert.

Der Leitsatz lautet: niemals vertrauen, immer verifizieren. Der Standort einer Anfrage verliert dabei seine Bedeutung. Eine Anfrage aus dem Firmengebäude durchläuft dieselben Regeln wie eine aus dem Homeoffice oder von unterwegs.

Zur Einordnung wichtig: Zero Trust ist kein Produkt, das sich kaufen und installieren lässt, sondern ein Architekturprinzip. Es kombiniert mehrere Bausteine, darunter starke Authentifizierung, fein abgestufte Zugriffsrechte, Netzwerksegmentierung und kontinuierliche Überwachung. Das US-amerikanische NIST beschreibt das Modell in der Publikation SP 800-207, die vielen Organisationen als Referenzrahmen dient.

Grundprinzipien in der Umsetzung

Warum das Modell wichtig ist

Typische Anwendungsfälle

Unterschied zur Perimeter-Sicherheit

Klassische Perimeter-Sicherheit gleicht einer Burg mit Wassergraben: Eine starke Außengrenze aus Firewalls und Gateways trennt das als vertrauenswürdig geltende Innennetz vom Internet. Wer diese Grenze einmal passiert hat, genießt weitreichendes Vertrauen und bewegt sich intern oft ungehindert.

Zwei strukturelle Schwächen prägen dieses Modell. Erstens existiert die eine Grenze kaum noch, weil Anwendungen, Daten und Nutzer über Clouds, Standorte und Heimarbeitsplätze verteilt sind. Zweitens richtet ein Angreifer, der den Perimeter überwindet, im Inneren großen Schaden an, weil dort kaum weitere Kontrollen greifen.

Zero Trust hebt die Unterscheidung von innen und außen auf. Firewalls und Gateways behalten ihre Funktion, doch Vertrauen entsteht nie allein aus dem Netzwerkstandort: Jeder Zugriff wird geprüft, als käme er aus einem offenen Netz. Beide Konzepte schließen einander nicht aus; der Perimeter wird zu einer von mehreren Verteidigungslinien statt zur einzigen.

Der Weg in die Praxis

Der Aufbau einer Zero-Trust-Architektur ist ein Programm aus Analyse, Richtlinienarbeit und laufendem Betrieb: Datenflüsse sichtbar machen, Richtlinien definieren, Kontrollen schrittweise durchsetzen. In der Praxis übernehmen spezialisierte Managed-Service-Provider Teile dieses Wegs, von der Analyse der Kommunikationsbeziehungen bis zum Betrieb der Mikrosegmentierung, angepasst an die vorhandene Umgebung und die Stärke des eigenen Teams.

Häufige Fragen

Ist Zero Trust ein Produkt?

Nein. Zero Trust ist ein Architekturmodell, das mehrere Technologien und Prozesse verbindet, darunter Identitätsmanagement, Multi-Faktor-Authentifizierung, Segmentierung und Monitoring. Einzelne Produkte decken Teilaspekte ab, etwa ZTNA für den Anwendungszugriff oder Mikrosegmentierung für die interne Kommunikation. Entscheidend ist die Strategie dahinter: klare Richtlinien, priorisierte Schutzziele, schrittweise Umsetzung.

Macht Zero Trust die Firewall überflüssig?

Nein, Firewalls bleiben ein wichtiger Baustein. Ihre Rolle ändert sich jedoch: Sie sind eine von mehreren Verteidigungslinien statt der einzigen Grenze. Zusätzlich rücken identitätsbasierte Kontrollen, Segmentierung und kontinuierliche Überwachung ins Zentrum. Bestehende Komponenten werden in die Architektur integriert und über Richtlinien gesteuert, die Identität und Kontext einbeziehen.

Wie beginnt eine Organisation am besten?

Bewährt ist ein gestuftes Vorgehen: zuerst Sichtbarkeit über Anwendungen, Datenflüsse und Zugriffe schaffen, dann die kritischsten Systeme schützen, etwa mit Multi-Faktor-Authentifizierung und Segmentierung, und schließlich die Richtlinien Zone für Zone ausweiten. Ein Komplettumbau in einem Schritt ist selten realistisch; kleine, messbare Etappen liefern schneller Ergebnisse.

Was ändert sich für Beschäftigte im Alltag?

Richtig umgesetzt wenig; oft wird der Zugriff sogar bequemer. Statt eines VPN-Clients mit Vollzugriff öffnen Beschäftigte ihre Anwendungen direkt, die Prüfung läuft im Hintergrund. Gelegentlich bestätigen sie ihre Identität per Multi-Faktor-Authentifizierung. Spürbare Einschränkungen entstehen vor allem, wenn Richtlinien zu streng oder ohne Test eingeführt werden.

Eignet sich Zero Trust auch für den Mittelstand?

Ja. Gerade mittelständische Unternehmen stehen häufig im Fokus von Ransomware und haben selten große Security-Teams. Zero Trust lässt sich schrittweise und mit überschaubarem Budget einführen, etwa beginnend mit Multi-Faktor-Authentifizierung, ZTNA und der Segmentierung kritischer Systeme. Planung und Betrieb können spezialisierte Managed-Service-Provider übernehmen, sodass kein eigenes Spezialistenteam nötig ist.