Das klassische Sicherheitsmodell glich einer Burg: Wer im Firmennetz war, galt als vertrauenswürdig. Mit Cloud-Diensten, mobilem Arbeiten und Angreifern, die sich mit gestohlenen Zugangsdaten anmelden, funktioniert diese Annahme nicht mehr. Zero Trust ersetzt sie durch eine einfache Regel: Jeder Zugriff wird geprüft.
Die Prinzipien
Explizit prüfen: Identität, Gerät, Standort und Verhalten werden bei jedem Zugriff berücksichtigt. Minimale Rechte: Benutzer und Anwendungen erhalten nur die Berechtigungen, die sie für ihre Aufgabe brauchen, und nur so lange wie nötig. Von einem Einbruch ausgehen: Netze und Systeme werden so segmentiert, dass ein kompromittiertes Konto nicht alles erreicht, und Aktivitäten werden protokolliert.
Was Zero Trust nicht ist
Zero Trust ist kein Produkt, das man kauft, sondern ein Architekturprinzip. Viele Werkzeuge unterstützen es, etwa Richtlinien für bedingten Zugriff, Gerätemanagement oder Zugriffslösungen für einzelne Anwendungen statt eines VPN für das ganze Netz. Wer ein Produkt mit dem Etikett Zero Trust einführt, ohne Rechte und Zugriffe zu überdenken, hat das Prinzip nicht umgesetzt.
Wie KMU beginnen
Der Einstieg liegt bei der Identität: MFA für alle, wenige und geschützte Administratorkonten, Zugriffsrichtlinien, die nicht verwaltete Geräte einschränken, und eine regelmässige Überprüfung von Berechtigungen. Für Microsoft-365-Umgebungen beschreibt unsere Checkliste zur Grundkonfiguration diese ersten Schritte. Im Code von Web-Anwendungen entspricht dem Prinzip die konsequente Prüfung von Berechtigungen auf Datenbankebene, etwa mit Row Level Security.