Was ist Zero Trust? Das Prinzip hinter moderner Netzwerksicherheit

Die Grundidee

Klassische Netzwerksicherheit arbeitet mit einem Perimeter: außen böse, innen gut. Wer die Firewall oder das VPN passiert hat, gilt als vertrauenswürdig. Genau diese Annahme nutzen Ransomware-Affiliates aus – ein gestohlenes VPN-Passwort genügt, und der Angreifer steht in einem flachen Netz, in dem er sich ungehindert bewegt.

Zero Trust streicht das implizite Vertrauen. Jede Anfrage wird einzeln geprüft, unabhängig davon, aus welchem Netz sie kommt: "Never trust, always verify."

Was NIST SP 800-207 definiert

Der Standard beschreibt sieben Grundsätze, verkürzt:

• Alle Daten und Dienste sind Ressourcen, die geschützt werden müssen.
• Jede Kommunikation wird gesichert – unabhängig vom Netzstandort.
• Zugriff wird pro Sitzung gewährt, nicht dauerhaft.
• Die Entscheidung berücksichtigt Identität, Gerätezustand, Ort, Uhrzeit und Verhalten (dynamische Policy).
• Der Zustand aller eigenen und angebundenen Geräte wird laufend überwacht.
• Authentifizierung und Autorisierung sind dynamisch und werden erzwungen, bevor Zugriff entsteht.
• Telemetrie wird gesammelt und genutzt, um die Regeln zu verbessern.

Technisch trennt Zero Trust die Policy Decision (wer darf was, unter welchen Bedingungen) von der Policy Enforcement (der Punkt, der den Datenverkehr durchlässt oder blockiert).

Was Zero Trust nicht ist

Kein Produkt. Kein Häkchen in einer Konsole. Kein reines Cloud-Thema. Anbieter verkaufen "Zero-Trust-Lösungen" – tatsächlich ist Zero Trust eine Architektur, in die vorhandene Bausteine einzahlen: Identitätsverwaltung, MFA, Gerätecompliance, Mikrosegmentierung, Zugriffsproxy, Protokollierung.

Realistischer Einstieg in fünf Schritten

1. Identität zuerst. Zentrales Identity-Management, phishing-resistente MFA, Aufräumen privilegierter Konten. Ohne verlässliche Identität ist jede weitere Regel wertlos. 2. Kronjuwelen bestimmen. Welche fünf Systeme dürfen keinesfalls kompromittiert werden? Dort beginnen, nicht überall gleichzeitig. 3. Ein Zugriffspfad nach dem anderen. Klassisches Voll-VPN durch anwendungsspezifischen Zugriff (ZTNA) ersetzen – Nutzer erreichen die Anwendung, nicht das Netz. 4. Segmentieren. Server-zu-Server-Verkehr einschränken. Ein Client hat keinen Grund, mit dem Backup-Server zu sprechen. 5. Messen. Protokolle in ein zentrales System, Alarme auf ungewöhnliche Zugriffe, regelmäßige Rezertifizierung von Berechtigungen.

Wirkung im Ransomware-Kontext

Zero Trust verhindert den initialen Zugriff nicht immer – aber es bricht die Kette dahinter. Ohne laterale Bewegung bleibt der Vorfall ein kompromittierter Client statt einer verschlüsselten Serverlandschaft. Genau dieser Unterschied entscheidet über Tage oder Wochen Ausfall.

Nächster Schritt

Zero Trust beginnt bei Identitäten – und Identitäten werden gestohlen, lange bevor sie missbraucht werden. Risikomonitor prüft laufend, ob Zugangsdaten Ihres Unternehmens in Infostealer-Logs und Darknet-Sammlungen auftauchen.

[Kostenlose Erstanalyse anfordern](/kontakt) · [Tools ansehen](/tools)