Zero Trust Architecture ist ein Sicherheitsmodell, in dem kein Zugriff allein wegen seines Standorts im Netz vertraut wird. Jede Anfrage wird geprüft, auch wenn sie aus dem eigenen Haus kommt.
- Zero Trust Architecture
Ein Sicherheitsmodell, in dem kein Zugriff allein wegen seines Standorts im Netz vertraut wird.
Beispiel: „In einer Zero Trust Architecture nützt der Zugang zum Firmennetz allein niemandem etwas.“Auch: Zero Trust, abgekürzt ZTA. Die Grundlage bildet das Dokument NIST SP 800-207 aus dem Jahr 2020.
Abgrenzung zum Burggraben-Modell: Dort wird außen geprüft und innen vertraut. Wer die Mauer überwindet, hat dann alles.
Woher das Modell kommt
Aus der Erfahrung, dass die Mauer immer fällt. Sobald ein Angreifer ein einziges Gerät im Netz übernimmt, etwa über Phishing, steht er innerhalb des geschützten Bereichs und kann sich frei bewegen. Dazu kam die Beobachtung, dass es den Innenraum praktisch nicht mehr gibt: Dienste laufen in der Cloud, Mitarbeiter arbeiten von überall, und Zulieferer greifen auf einzelne Systeme zu.
Die Grundsätze einer Zero Trust Architecture
Sieben, die das NIST-Dokument von 2020 aufzählt. Im Kern stehen drei davon: Jede Ressource wird einzeln geschützt, jeder Zugriff wird für die einzelne Sitzung gewährt, und die Entscheidung berücksichtigt den Zustand des Geräts und das Verhalten des Nutzers. Dazu kommt, dass alles aufgezeichnet und zur Verbesserung der Entscheidungen ausgewertet wird.
Warum Zero Trust kein Produkt ist
Weil es die Antwort auf eine Frage ist, die jedes Haus anders beantwortet. Hersteller verkaufen Bausteine dafür, und einige davon sind nützlich; das Modell selbst besteht aber aus Entscheidungen über Identitäten, Rechte und Prüfpunkte. Der praktische Einstieg ist deshalb selten ein Kauf, sondern die Beantwortung einer einfachen Frage: Welche Dienste sind heute allein deshalb erreichbar, weil jemand im Firmennetz sitzt?