Zugriffe auf zentrale Unternehmensanwendungen kommen heute aus dem Homeoffice und von unterwegs, während die Anwendungen selbst verteilt laufen: im eigenen Rechenzentrum, in privaten Clouds, als SaaS-Dienst. Der klassische Fernzugriff per VPN passt immer schlechter zu dieser Lage, denn er stammt aus einer Zeit, in der alle wichtigen Systeme an einem Ort standen.
Zero Trust Network Access (ZTNA) setzt an dieser Stelle an: Die Technologie verbindet Nutzer gezielt mit einzelnen Anwendungen, prüft jeden Zugriff anhand von Identität, Gerätezustand und Kontext und hält das interne Netz für Unbefugte unsichtbar. ZTNA gehört damit zu den wichtigsten Bausteinen einer zeitgemäßen Sicherheitsarchitektur.
Was ist Zero Trust Network Access (ZTNA)?
Zero Trust Network Access bezeichnet ein Sicherheitsmodell für den Zugriff auf Unternehmensanwendungen. Es folgt dem Zero-Trust-Prinzip: Kein Nutzer und kein Gerät erhält Vertrauen allein deshalb, weil sich beide in einem bestimmten Netz befinden. Jede Zugriffsanfrage wird einzeln geprüft und autorisiert, aus dem Homeoffice genauso wie aus dem Büro.
Der wesentliche Unterschied zu älteren Ansätzen liegt in der Zugriffsebene. ZTNA arbeitet auf Anwendungsebene: Ein freigegebener Nutzer erreicht exakt die Anwendungen, für die eine Richtlinie existiert; das dahinterliegende Netzwerk bleibt für ihn verborgen. Systeme, die ein Angreifer nicht sieht, kann er weder scannen noch gezielt attackieren.
Isoliert tritt ZTNA selten auf. Die Technologie ist ein Kernbaustein von SASE/SSE, einem Architekturmodell, das Netzwerk- und Sicherheitsfunktionen als Dienst aus der Cloud bereitstellt. ZTNA übernimmt darin den sicheren Zugriff auf private Anwendungen; weitere Bausteine wie Secure Web Gateway und Cloud-Zugriffskontrolle sichern parallel den Zugriff auf Internet und SaaS-Dienste ab.
Funktionsweise
Technisches Herzstück ist ein Broker, eine Vermittlungsinstanz zwischen Nutzern und Anwendungen. Er nimmt jede Verbindungsanfrage entgegen, gleicht sie mit den hinterlegten Richtlinien ab und baut erst nach bestandener Prüfung einen verschlüsselten Tunnel zur Zielanwendung auf. Ein direkter Netzwerkpfad zwischen Endgerät und Firmennetz entsteht zu keinem Zeitpunkt.
In die Zugriffsentscheidung fließen mehrere Faktoren ein:
- Identität: Die Authentifizierung läuft über den zentralen Identitätsdienst des Unternehmens, üblicherweise abgesichert per Multi-Faktor-Authentifizierung.
- Gerätezustand: Der Broker kontrolliert, ob das anfragende Gerät den Vorgaben entspricht, etwa bei Betriebssystemversion, Verschlüsselung und aktivem Endpoint-Schutz.
- Kontext: Auch Standort, Uhrzeit und die Sensibilität der Zielanwendung beeinflussen die Entscheidung.
Mit dem Login endet die Prüfung nicht. ZTNA bewertet aktive Sitzungen fortlaufend neu: Verliert ein Gerät währenddessen seinen Compliance-Status, wird der Zugriff eingeschränkt oder beendet. Hinzu kommt ein struktureller Vorteil bei der Erreichbarkeit: Die Anwendungsumgebung baut die Verbindung von innen heraus zum Broker auf, eingehende Ports am Netzwerkrand entfallen. Private Anwendungen sind aus dem Internet dadurch schlicht nicht auffindbar.
Warum ZTNA wichtig ist
- Kleinere Angriffsfläche: Private Anwendungen bleiben von außen unsichtbar und bieten Angreifern keinen direkten Ansatzpunkt. Exponierte VPN-Gateways, ein beliebtes Einfallstor, entfallen komplett.
- Begrenzte Ausbreitung: Gestohlene Zugangsdaten oder kompromittierte Geräte öffnen höchstens den Weg zu einzelnen Anwendungen. Die laterale Bewegung durchs Netz, typisch für Ransomware-Angriffe, wird deutlich erschwert.
- Least Privilege konkret: Jeder Nutzer erhält genau die Zugriffe, die seine Rolle erfordert. Berechtigungen lassen sich zentral vergeben und ebenso schnell wieder entziehen.
- Bessere Nutzererfahrung: Der Zugriff funktioniert von jedem Standort identisch und ohne Umweg über zentrale Einwahlpunkte. Das senkt Latenz und Supportaufwand.
- Nachvollziehbarkeit: Jeder Zugriff wird protokolliert und lässt sich Nutzer, Gerät und Anwendung zuordnen. Das erleichtert Audits und die Aufarbeitung von Vorfällen.
Typische Anwendungsfälle
- Hybrides Arbeiten: Beschäftigte erhalten aus dem Homeoffice und unterwegs sicheren Zugriff auf interne Anwendungen, nach denselben Richtlinien wie im Büro.
- Externe Dienstleister: Partner und Wartungstechniker bekommen zeitlich und funktional begrenzten Zugriff auf einzelne Systeme, ohne das Firmennetz zu betreten.
- VPN-Ablösung: Ausgelastete oder verwundbare VPN-Infrastruktur wird schrittweise durch anwendungsbezogene Zugriffe ersetzt.
- Fusionen und Übernahmen: Nach einem Zusammenschluss lassen sich Nutzer der übernommenen Organisation schnell anbinden, ohne die Netze beider Seiten zu koppeln.
- Schutz kritischer Systeme: Administrative Zugänge zu sensiblen Servern oder Produktionssystemen werden über zusätzliche Kontextprüfungen besonders abgesichert.
ZTNA und VPN im Vergleich
Ein VPN stellt das Endgerät ins Unternehmensnetz. Nach der Einwahl bewegt sich der Nutzer dort oft weitgehend frei, denn kontrolliert wird primär am Eintrittspunkt. Daraus folgen die bekannten Probleme: Gestohlene Zugangsdaten verschaffen Angreifern weitreichenden Zugriff, und eine Schwachstelle im VPN-Gateway gefährdet die gesamte dahinterliegende Infrastruktur.
ZTNA dreht dieses Modell um: Zugriff gilt pro Anwendung, die Prüfung läuft kontinuierlich, und das Netz selbst bleibt verborgen. Dazu kommt die bessere Skalierung: Cloudbasierte ZTNA-Dienste wachsen mit der Nutzerzahl mit, während VPN-Konzentratoren bei Lastspitzen zum Engpass werden.
Ein weiterer Unterschied betrifft den Datenweg. VPN-Verkehr läuft häufig über zentrale Gateways, selbst wenn die Zielanwendung in der Cloud liegt; das erzeugt Umwege und spürbare Wartezeiten. ZTNA verbindet Nutzer auf direktem Weg mit der jeweiligen Anwendung, gleich wo diese betrieben wird. In der Übergangszeit fahren viele Organisationen beide Ansätze parallel und verlagern Anwendungen Schritt für Schritt.
ZTNA in der Praxis
Eingeführt wird ZTNA meist als Baustein einer SASE/SSE-Architektur, die Zugriffsschutz, Web-Sicherheit und Netzanbindung in einem Betriebsmodell zusammenführt; spezialisierte Managed-Service-Provider bieten dies als gemanagte SASE/SSE-Plattform an. Hinter dem Zugangspunkt führt Mikrosegmentierung den Zero-Trust-Gedanken fort, indem sie die Ausbreitung von Angriffen innerhalb der Infrastruktur begrenzt.
Häufige Fragen
Sind ZTNA und Zero Trust dasselbe?
Nein. Zero Trust ist das übergreifende Sicherheitskonzept, das Vertrauen grundsätzlich an Prüfungen knüpft und viele Bereiche berührt, von Identitäten bis zur Netzwerksegmentierung. ZTNA ist die konkrete Technologie, die dieses Prinzip auf den Fernzugriff zu Anwendungen anwendet: ein wichtiger Baustein einer Zero-Trust-Strategie, aber kein Ersatz dafür.
Kann ZTNA das VPN komplett ablösen?
Meist ja, aber selten in einem Schritt. Bewährt hat sich ein gestufter Umstieg: Zuerst wechseln Standardanwendungen und externe Nutzer, danach folgen Spezialfälle wie Legacy-Protokolle oder serverinitiierte Verbindungen. Für einzelne technische Sonderfälle kann übergangsweise ein VPN bestehen bleiben, bis eine passende Lösung umgesetzt ist.
Wie verhalten sich ZTNA und SASE/SSE zueinander?
SASE/SSE beschreibt eine Architektur, die Netzwerk- und Sicherheitsfunktionen als Cloud-Dienst bündelt, darunter Secure Web Gateway, CASB und Firewall-Funktionen. ZTNA ist innerhalb dieses Modells die Komponente für den sicheren Zugriff auf private Anwendungen. Wer ZTNA einführt, legt damit häufig den Grundstein für eine umfassendere SASE/SSE-Architektur.
Eignet sich ZTNA für Anwendungen im eigenen Rechenzentrum?
Ja, der Betriebsort der Anwendung spielt keine Rolle. Ein Connector im Rechenzentrum oder in der privaten Cloud baut eine ausgehende Verbindung zum Broker auf; Nutzer erreichen die Anwendung über diesen vermittelten Weg. Eingehende Firewall-Freischaltungen oder öffentlich erreichbare Zugänge sind dafür nicht erforderlich.
Welche Voraussetzungen braucht die Einführung?
Drei Grundlagen zählen: ein zentraler Identitätsdienst mit Multi-Faktor-Authentifizierung, ein aktueller Überblick über die zu schützenden Anwendungen und rollenbasierte Zugriffsrichtlinien. Darauf aufbauend lässt sich ZTNA schrittweise einführen, typischerweise beginnend mit einer Pilotgruppe. Erfahrene Partner verkürzen diesen Weg durch erprobte Richtlinienmodelle und eine strukturierte Migration.