Zero Trust ersetzt implizites Vertrauen durch Entscheidungen pro Zugriff. Nach NIST SP 800-207 wird kein Konto, Gerät oder Netzwerkstandort allein deshalb vertraut, weil es sich „intern“ befindet. Zugriff wird auf die jeweils benötigte Ressource begrenzt und anhand von Identität, Gerätezustand, Kontext und Richtlinie bewertet.
Das Wichtigste
- Zero Trust ist ein Architekturmodell, kein einzelnes Produkt.
- Identitäten, Geräte, Anwendungen und Daten müssen zuerst inventarisiert werden.
- Zugriffe werden pro Sitzung und Ressource minimal berechtigt.
- Policy Engine, Policy Administrator und Enforcement Point trennen Entscheidung und Durchsetzung.
- Zero Trust kann NIS2-/BSIG-Maßnahmen unterstützen, ist aber keine gesetzlich vorgeschriebene Komplettarchitektur.
Was bedeutet Zero Trust?
NIST beschreibt sieben Grundgedanken:
- Datenquellen und Rechendienste sind Ressourcen.
- Kommunikation wird unabhängig vom Netzwerkstandort geschützt.
- Zugriff wird pro Sitzung und einzelner Ressource gewährt.
- Entscheidungen folgen dynamischen Richtlinien und berücksichtigen Identität, Gerät, Ressource und Kontext.
- Integrität und Sicherheitszustand eigener und externer Geräte werden beobachtet.
- Authentifizierung und Autorisierung erfolgen vor dem Zugriff und werden fortlaufend neu bewertet.
- Die Organisation sammelt Zustandsdaten und verbessert damit Richtlinien und Schutzmaßnahmen.
„Never trust, always verify“ ist eine brauchbare Kurzform, ersetzt diese präzisen Grundsätze aber nicht. Zero Trust bedeutet auch nicht, jede Anfrage manuell freizugeben oder ein Netzwerk vollständig abzuschaffen.
Die Architektur nach NIST
Policy Engine
Die Policy Engine trifft die Zugriffsentscheidung. Sie verarbeitet Identität, Gerätezustand, Ressourcensensitivität, Bedrohungsinformationen und weitere Signale nach festgelegten Regeln.
Policy Administrator
Der Policy Administrator setzt die Entscheidung organisatorisch um: Er stellt Verbindungen oder Tokens bereit, ändert sie und beendet Sitzungen.
Policy Enforcement Point
Der Enforcement Point kontrolliert den tatsächlichen Datenpfad. Das kann beispielsweise ein Gateway, Proxy, Agent oder eine anwendungsnahe Kontrollstelle sein.
Diese logische Trennung schreibt kein bestimmtes Herstellerprodukt vor. Eine Plattform kann mehrere Rollen bündeln; in anderen Umgebungen wirken Identitätsdienst, Endpoint-Schutz, Netzwerkkomponenten und Anwendung zusammen.
Vier praktische Arbeitsfelder
1. Identitäten und privilegierte Zugriffe
- zentrale und eindeutige Identitäten,
- phishing-resistente MFA, wo angemessen,
- getrennte Administrationskonten,
- zeitlich begrenzte Privilegien,
- regelmäßige Rezertifizierung von Rollen und Dienstkonten.
2. Vertrauenswürdige Geräte
Ein erfolgreicher Login genügt nicht. Zugriffsrichtlinien können Gerätemanagement, Patchstand, Verschlüsselung, EDR-Status und bekannte Risiken berücksichtigen. Für nicht verwaltete Geräte sind eingeschränkte Sitzungen oder browserbasierte Zugänge möglich.
3. Ressourcenbezogene Autorisierung
ZTNA kann klassischen netzweiten Fernzugriff durch anwendungsbezogene Verbindungen ersetzen. Microsegmentierung begrenzt laterale Bewegung. Entscheidend ist nicht das Schlagwort, sondern eine nachvollziehbare Allowlist: Wer darf aus welchem Grund auf welche Ressource zugreifen?
4. Telemetrie und Reaktion
Protokolle aus Identität, Endpunkten, Anwendungen, Cloud und Netzwerk müssen korrelierbar sein. Änderungen im Risiko können eine erneute Authentifizierung, eingeschränkten Zugriff oder eine Sitzungstrennung auslösen. Dauerüberwachung darf nicht zu pauschaler Beschäftigtenüberwachung werden; Datenschutz und Mitbestimmung sind früh einzubeziehen.
Bezug zu BSIG und NIS2
§ 30 BSIG verlangt angemessene und verhältnismäßige Risikomanagementmaßnahmen. Genannt werden unter anderem Zugriffskontrolle, Asset-Management, MFA oder kontinuierliche Authentifizierung, sichere Kommunikation, Kryptografie und Wirksamkeitsbewertung. Zero-Trust-Bausteine können diese Felder unterstützen.
Das Gesetz schreibt jedoch weder „Zero Trust“ als Produkt noch eine bestimmte NIST-Architektur vor. Eine Organisation muss Maßnahmen aus ihrem Risiko, ihrer Größe, ihren Systemen und dem Stand der Technik ableiten. Zero Trust ist deshalb ein möglicher Umsetzungsrahmen, kein automatischer Compliance-Nachweis.
Realistische Einführungsroadmap
Phase 1: Sichtbarkeit
Inventarisieren Sie Nutzer, Geräte, Dienste, Datenflüsse und privilegierte Zugriffe. Definieren Sie besonders schützenswerte Ressourcen und messbare Ziele, etwa weniger dauerhaft privilegierte Konten oder kleinere erreichbare Netzwerkzonen.
Phase 2: Identitätsbasis
Konsolidieren Sie Identitäten, führen Sie starke MFA und Lifecycle-Prozesse ein und sichern Sie Notfallkonten. Beheben Sie verwaiste Konten, unkontrollierte Service Accounts und unnötige Administratorrechte.
Phase 3: Pilot mit messbarem Risiko
Wählen Sie eine kritische, aber beherrschbare Anwendung. Implementieren Sie ressourcenbezogenen Zugang, Gerätesignale und Protokollierung. Testen Sie Ausfall, Notzugang und Support-Prozesse.
Phase 4: Segmentierung und Skalierung
Erweitern Sie das Modell anhand geprüfter Datenflüsse. Migrieren Sie nicht blind jede Anwendung. Legacy-Systeme können durch Proxies, Sprungserver oder isolierte Zonen angebunden werden, bis eine Modernisierung möglich ist.
Phase 5: Wirksamkeit
Messen Sie blockierte Angriffswege, Zeit bis zum Entzug von Berechtigungen, Abdeckung verwalteter Geräte, privilegierte Zugriffszeiten und Fehlalarmraten. Penetrationstests und Incident-Response-Übungen prüfen, ob die Kontrollen auch unter Druck funktionieren.
Häufige Fehler
- Produktkauf ohne Zielarchitektur und Datenflussanalyse,
- MFA-Ausrollung ohne sichere Wiederherstellungs- und Notfallprozesse,
- zu breite Ausnahmen für Altgeräte und Lieferanten,
- Segmentierung ohne getestete Betriebs- und Supportwege,
- Telemetrie ohne Verantwortliche und Reaktionsabläufe,
- starre Regeln, die Nutzer zu Schatten-IT drängen,
- Gleichsetzung eines Tools oder Zertifikats mit NIS2-Konformität.
Unsere Cyber-Security-Beratung unterstützt bei Zielbild, Reifegradanalyse, Pilotierung und prüfbaren Sicherheitsmaßnahmen.
Quellen und Prüfung
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.