Geschäftsabläufe werden digital, IT-Systeme werden dezentral genutzt, und die klassische IT-Infrastruktur wandert zunehmend in die Cloud. Das bringt Firmen wichtige Vorteile. Gleichzeitig steigt die Gefahr unerlaubter Zugriffe und krimineller Tricks.
Kaum ein Tag vergeht ohne Bericht über einen folgenreichen Internetangriff.
Hinzu kommt, dass insgesamt mehr IT-Sicherheitsvorfälle von Angestellten als sogenannten „Innentätern“ ausgehen.
Laut einer aktuellen Studie des Digitalverbandes Bitkom gingen in den Jahren 2020 und 2021 bei 61 % der Firmen, die von Diebstahl, Spionage oder Sabotage betroffen waren, die Schäden auf Mitarbeiter zurück, die mit voller Absicht handelten.
Zero Trust folgt dem Grundsatz „Vertraue niemals, verifiziere immer“
Firmen haben längst erkannt, dass sich diese Bedrohungslage mit klassischen, perimeterbasierten IT-Sicherheitskonzepten nicht mehr beherrschen lässt. Sie brauchen neue Konzepte, die besser zur Vielschichtigkeit moderner Arbeitsumgebungen passen.
Zero-Trust-Modelle misstrauen jedem Zugriff
Die früheren „Burg-und-Wassergraben“-Modelle gehen davon aus, dass alle Anwendungen, Endpunkte und Nutzer im eigenen Netzwerk vertrauenswürdig sind. Das identitätsbasierte Zero-Trust-Modell misstraut dagegen grundsätzlich allem, innerhalb wie außerhalb der Unternehmensgrenzen. Dafür muss das gesamte Unternehmensnetzwerk sorgfältig segmentiert werden. Außerdem muss jede Zugriffsanfrage authentifiziert und jede Netzwerksitzung verschlüsselt werden, bevor sie ausgeführt wird.
Gegenüber klassischen perimeterbasierten IT-Sicherheitskonzepten ist Zero Trust ein Paradigmenwechsel. Der Ansatz behandelt alle Geräte, Dienste und Anwender gleich. Durch genaue und fortlaufende Authentifizierung, Überwachung und Verschlüsselung senkt er das Risiko für Unternehmensnetze und Unternehmensanwendungen und wehrt neben externen Bedrohungen auch interne Gefahren ab.
Zero Trust verbreitet sich schnell
Zero-Trust-Modelle stehen bei Firmen hoch im Kurs.
Laut der Umfrage „Wachstum von Homeoffice treibt Investitionen in Zero Trust an“ von Ping Identity haben 82 % der Firmen Zero-Trust-Maßnahmen eingeführt oder bauen sie aus.
Diese Vorteile bringt eine Zero-Trust-basierte Sicherheitsstrategie
Unternehmen behalten die Kontrolle über die gesamte IT-Landschaft. Eine Zero-Trust-basierte Sicherheitsstrategie gibt ihnen weitreichende Kontrolle, und die Sorge, außerhalb des Unternehmensnetzwerks die Kontrolle zu verlieren, entfällt.
Alle Anwender, Dienste und Endpunkte werden gleich behandelt. Weil Zero Trust keinem Nutzer, Endpunkt oder Dienst innerhalb oder außerhalb des Unternehmensnetzwerks vertraut, fällt es Unternehmen leichter, die nötige IT-Sicherheit herzustellen und jede Zugriffsanfrage gleich zu prüfen.
Die gesamte IT-Landschaft ist gut geschützt. Weil Zero Trust auf sicherer Authentifizierung und Verschlüsselung beruht, halten Unternehmen ein hohes Sicherheitsniveau, unabhängig von Umgebung, Plattform oder Dienst.
Malware und Angreifer werden wirksam ausgebremst. Durch die Mikrosegmentierung erreichen Angreifer nach einem erfolgreichen Einbruch nicht mehr das ganze Netzwerk. Sie kommen nur noch an die wenigen Systeme, auf die der kompromittierte Anwender Zugriff hatte. Außerdem wird die Vertrauenswürdigkeit authentifizierter Anwender laufend überprüft, was eine Kompromittierung weiter eingrenzt.
Zero-Trust-Sicherheit lässt sich in fünf Schritten einführen
Wie Zero Trust eingeführt wird, hängt von der Infrastruktur und den Anforderungen des Unternehmens ab. Es gibt weder den einen Ansatz noch die eine richtige Zero-Trust-Technologie. Wirksame Zero-Trust-Strategien kombinieren bestehende Sicherheitstechnologien und Sicherheitsansätze, um Gefahren auf allen Ebenen abzuwehren.
Dazu zählen unter anderem:
die Multi-Faktor-Authentifizierung, kurz MFA
das Identity and Access Management, kurz IAM
das Privileged Access Management, kurz PAM
die Netzwerksegmentierung
das Least-Privilege-Prinzip
die Governance-Richtlinien
Häufig gehen Unternehmen planvoll Schritt für Schritt vor und setzen einige oder alle der folgenden Schritte um:
Die zu schützende Oberfläche definieren
Unternehmen sollten die wichtigsten geschäftskritischen Ressourcen in ihrem gesamten Netzwerk erfassen und die Schwachstellen und Sicherheitslücken sichtbar machen, über die Angreifer eindringen könnten. Auf dieser Grundlage sichern sie zuerst den Zugriff auf die geschäftskritischen Ressourcen ab. Nach und nach weiten sie den Schutz auf weitere Benutzer und Anwendungen aus, im Unternehmen, in der Cloud, auf den Endpunkten und in der gesamten DevOps-Pipeline.
Mehrstufige Authentifizierung für geschäftskritische Ressourcen implementieren
Wie im Firmennetzwerk auf schützenswerte Ressourcen zugegriffen wird, bestimmt, wie sie geschützt werden sollten. Dafür prüfen und dokumentieren Unternehmen die Transaktionsabläufe im Netzwerk und sehen so, wie einzelne Elemente mit anderen Ressourcen zusammenspielen. Die daraus entstehenden Flussdiagramme zeigen, wo mehrstufige Authentifizierung nötig ist.
Die Endpunktsicherheit stärken
Verschafft sich ein Angreifer oder Insider privilegierte Anmeldedaten, wirkt er wie ein legitimer Benutzer. Riskante Aktivitäten sind dann schwer zu erkennen. Unternehmen senken dieses Risiko, indem sie Privilegien auf Endgeräten verwalten und absichern und das mit Lösungen zur Endpoint Detection and Response, kurz EDR, Virenschutz/NGAV sowie Anwendungs- und Betriebssystem-Patching verbinden. Außerdem sollten sie Beschränkungsmodelle einführen, die bestimmten Anwendungen nur unter festgelegten Bedingungen und nur für festgelegte Konten vertrauen. Das dämmt das Risiko durch Ransomware und Code-Injection-Angriffe ein.
Den privilegierten Pfad überwachen
Wer den privilegierten Zugriffspfad laufend kontrolliert, hindert Angreifer daran, ihr Vorhaben voranzutreiben. Unternehmen sollten streng regeln, worauf Endanwender zugreifen können, Isolationsschichten zwischen Endpunkten, Anwendungen, Benutzern und Systemen einziehen und den Zugang ständig überwachen. So wird die Angriffsfläche kleiner.
Das Least-Privilege-Prinzip implementieren
Unternehmen müssen wissen, wer wann auf welche Ressourcen zugreift und welche Vorgänge ausführen darf. Deshalb sollten sie das Least-Privilege-Prinzip möglichst zusammen mit attributbasierten Zugriffskontrollen einführen. Diese verbinden unternehmensweite Regeln mit bestimmten Benutzermerkmalen und halten Sicherheit und Benutzerfreundlichkeit im Gleichgewicht.
Zero Trust ist eine Grundhaltung
Die klassische Perimeter-Sicherheit verliert immer mehr an Wirkung, und die Angreifer werden immer einfallsreicher. Früher oder später führt an Zero Trust kaum ein Weg vorbei. Mit dem Zero-Trust-Modell bekommen Unternehmen ein aktuelles Sicherheitskonzept, das interne und externe Bedrohungen deutlich verringert und hilft, neue IT-Sicherheitsstandards umzusetzen.
Wenn Sie Ihre Unternehmensumgebung mit dem Zero-Trust-Ansatz sicherer und flexibler aufstellen möchten oder Fragen zu Zero Trust haben, sprechen Sie uns an.
