Zero Trust wird häufig auf Netzwerkkontrollen oder einzelne Zugriffstechnologien reduziert. Das greift zu kurz: Zero Trust ist ein Architekturansatz für Zugriffsentscheidungen, und im Kern dieser Entscheidungen steht die Identität. Nutzer, Anwendungen und Workloads verteilen sich längst über Cloud- und Hybrid-Umgebungen. Damit hat die Identität dem Netzwerk den Rang als primärer Kontrollpunkt abgelaufen.
Dieser Beitrag zeigt, warum jede Zugriffsentscheidung bei der Identität ansetzt, wie IAM, PAM und IGA in einem Zero-Trust-Modell ineinandergreifen und woran entsprechende Vorhaben in der Praxis hängen bleiben.
Was Zero Trust tatsächlich bedeutet
Das Zero-Trust-Modell gibt die Annahme auf, dass innerhalb einer Netzwerkgrenze automatisch Vertrauen gilt. An ihre Stelle tritt die fortlaufende Bewertung jedes Zugriffs: Wer oder was fragt an? Auf welche Ressource? Unter welchen Bedingungen? Zero Trust ist also kein Produkt, sondern ein Entscheidungsmodell: Jede Anfrage muss explizit verifiziert und die Entscheidung konsistent durchgesetzt werden. Die US-Normungsbehörde NIST beschreibt Zero Trust in der Special Publication 800-207 als wachsendes Set von Sicherheitsparadigmen, das die Verteidigung weg vom statischen Netzwerkperimeter und hin zu Nutzern, Assets und Ressourcen verlagert.
Identität als zentraler Input der Entscheidung
Eine Zero-Trust-Architektur trifft Zugriffsentscheidungen an einem Policy Decision Point und setzt sie an einem Policy Enforcement Point durch; eine Steuerungsebene koordiniert Richtlinien und Telemetrie. In diese Entscheidungslogik fließt die Identität unmittelbar ein. Sie beantwortet die Grundfragen:
- Wer oder was verlangt Zugriff?
- Wie belastbar ist die Verifizierung dieser Identität?
- Welcher Zugriff steht ihr genau in diesem Moment zu?
- Welche Risikosignale begleiten die Anfrage?
Ohne starke Identitätskontrollen bleibt Zero Trust Theorie. Netzwerkkontrollen allein können nicht beurteilen, ob jemand eine SaaS-Anwendung, einen Cloud-Workload oder sensible Daten nutzen darf. Diesen Kontext liefert erst die Identität. Analystenhäuser wie Gartner ordnen sie deshalb als tragendes Element jeder Zero-Trust-Architektur ein.
IAM: die operative Durchsetzungsebene
Identity and Access Management (IAM) bringt Zero Trust in den Betrieb: Es setzt Zugriffsentscheidungen bei der Anmeldung und während der laufenden Nutzung durch. Klassisches IAM stellte vor allem die Frage, ob sich jemand authentifizieren kann. Zero-Trust-IAM fragt, ob der Zugriff in diesem Moment gewährt werden sollte, auf Basis von Identität, Kontext und Risiko. Tragende Prinzipien dabei sind:
- starke Authentifizierung, Mehr-Faktor- und risikobasierte Verfahren eingeschlossen,
- Least Privilege, also Berechtigungen nur im tatsächlich benötigten Umfang,
- bedingter Zugriff (Conditional Access), bei dem etwa Gerätezustand oder Risikoniveau in die Entscheidung einfließen,
- durchgängige Sichtbarkeit, sodass jede Zugriffsentscheidung protokolliert und nachvollziehbar bleibt.
Statt breiten Zugriff aus bloßer Netzwerkpräsenz abzuleiten, setzt IAM die Richtlinie auf Identitätsebene durch, einheitlich über SaaS-Anwendungen, Cloud-Plattformen und private Systeme hinweg.
Das Zusammenspiel von IAM, PAM und IGA
Damit Zugriffsentscheidungen korrekt, durchsetzbar und prüfbar bleiben, greifen drei Disziplinen ineinander:
- IAM regelt, wie sich Identitäten authentifizieren, Zugriff anfordern und wie dieser über Anwendungen und Dienste hinweg durchgesetzt wird.
- Privileged Access Management (PAM) widmet sich privilegierten Zugriffen: administrativen Rollen und weitreichenden Berechtigungen, deren Missbrauch besonders schwer wiegt.
- Identity Governance and Administration (IGA) übernimmt die Governance: Freigaben, wiederkehrende Reviews und auditierbare Prozesse halten den Rechtebestand über die Zeit korrekt.
PAM hat im Zero-Trust-Kontext besonderes Gewicht, weil privilegierter Zugriff das größte Risiko birgt. Dauerhaft vergebene Administratorrechte unterlaufen das Modell, denn sie umgehen die fortlaufende Prüfung. Rechte-Ausweitungen müssen deshalb kontrolliert und privilegierte Sitzungen überwacht werden. IGA wiederum hält die Entscheidungsgrundlage aktuell: Behalten Identitäten Rechte, die sie nicht mehr benötigen, verliert die beste Durchsetzung ihren Wert. Regelmäßige Reviews und Lifecycle-Kontrollen richten die Richtlinien immer wieder an der Realität aus.
Vom Netzwerk- zum Identitätsperimeter
Traditionelle Sicherheitsmodelle bauten auf Netzwerksegmentierung und vertrauenswürdige Zonen. Zero Trust ersetzt dieses Denken durch identitätszentrierte Durchsetzung. Der Grund liegt in veränderten Zugriffsmustern:
- Anwendungen werden direkt über das Internet erreicht, nicht mehr über das Firmennetz.
- Workloads weisen sich untereinander über Maschinenidentitäten aus.
- Geräte springen zwischen Netzen und behalten dabei kein konstantes Vertrauensniveau.
Über all diese Szenarien hinweg bildet die Identität einen stabilen Kontrollpunkt: Für den entfernten Nutzer gilt dieselbe Richtlinienlogik wie für einen Cloud-Workload oder eine API. Netzwerkkontrollen verschwinden damit nicht, sie ordnen sich der Identität unter: Mikrosegmentierung etwa setzt Least-Privilege-Regeln bis auf Workload-Ebene durch und begrenzt laterale Bewegung, folgt dabei aber der identitätsbasierten Richtlinie.
Typische Stolperfallen rund um die Identität
Viele Zero-Trust-Initiativen bleiben hinter den Erwartungen zurück, weil Identität als Randthema statt als Fundament behandelt wird. Wiederkehrende Schwachstellen sind:
- ein löchriges Lifecycle-Management, das verwaiste Konten und Rechte zurücklässt,
- Richtlinien, die sich zwischen IAM, PAM und Netzwerkkontrollen widersprechen,
- Verlass allein auf Mehr-Faktor-Authentifizierung, ohne Least Privilege durchzusetzen,
- fehlende Sicht auf nicht-menschliche Identitäten und Dienstkonten.
Je mehr Gewicht die Identität trägt, desto wichtiger wird Identitätshygiene. Sind Identitätsdaten unvollständig oder fehlerhaft, arbeiten Zero-Trust-Richtlinien auf unzuverlässiger Grundlage.
Identität als Control Plane
Ein ausgereifter Zero-Trust-Ansatz behandelt die Identität als Control Plane für Zugriffsentscheidungen: Richtlinien werden einmal definiert, überall konsistent durchgesetzt und durch gemeinsame Telemetrie aus Identitäts-, Endpoint- und Netzwerkkontrollen gestützt. Das verringert Doppelarbeit und schafft Übersicht, weil Sicherheitsteams in Identitäten und Richtlinien denken statt in verstreuten Einzelregeln. Die Identität ist damit der Entscheidungsmotor, der Authentifizierung, Autorisierung, Privilegien und Durchsetzung verbindet.
Warum das Thema jetzt drängt
Cloud-Nutzung, Remote-Arbeit und identitätsbasierte Angriffe machen die Identität zur Grundlage jeder Zugriffsentscheidung: Sie bestimmt, wie Zugriffe geprüft und durchgesetzt werden. Organisationen, die ihre Zero-Trust-Strategie auf der Identität aufbauen, gewinnen klarere Richtliniensteuerung und bessere Sichtbarkeit. Wird die Identität dagegen nachrangig behandelt, kommt Zero Trust selten über isolierte Anwendungsfälle hinaus. Das Modell beginnt bei der Identität und steht und fällt mit der Qualität ihrer Verwaltung.
In der Umsetzung bündeln Managed-SASE/SSE-Services Zugriff, Identität und Netzwerk zu einem Modell: Sie prüfen jede Anfrage nach Zero-Trust-Prinzipien (ZTNA) und setzen Richtlinien konsistent über Web, SaaS und private Anwendungen durch.
Passende Managed Services
- Managed SASE/SSE – identitätsbasierter Zero-Trust-Zugriff (ZTNA), Secure Web Gateway, CASB und DLP als betreuter Dienst.
- Mikrosegmentierung – Sichtbarkeit und Least-Privilege-Regeln bis auf Workload-Ebene gegen laterale Ausbreitung.