Zero Trust Sicherheit: Warum der traditionelle Sicherheitsperimeter für Unternehmen nicht mehr ausreicht

Was ist Zero Trust

Zero Trust ist ein Sicherheitsmodell, das auf dem Grundsatz beruht, dass kein Benutzer, kein Gerät, keine Anwendung und kein System automatisch vertrauenswürdig ist. Jeder Zugriff wird anhand von Identität, Kontext, Risiko und Berechtigungen überprüft - unabhängig davon, ob er von innerhalb oder außerhalb des Unternehmensnetzwerks erfolgt.

Mit anderen Worten: Zero Trust geht nicht von der Frage „woher verbindest du dich“ aus, sondern von den Fragen „wer bist du, worauf greifst du zu, von welchem Gerät, in welchem Kontext und ob du für die jeweilige Aktivität tatsächlich berechtigt bist“.

Für Unternehmen wird dieser Ansatz immer wichtiger, weil moderne IT-Umgebungen keine klaren Grenzen mehr haben. Daten liegen in der Cloud, Benutzer arbeiten von verschiedenen Orten aus, Anwendungen sind über APIs miteinander verbunden und Angreifer nutzen immer häufiger legitime Zugriffe, gestohlene Identitäten oder schwache Prozesse.

Zero Trust ist daher kein einzelnes Produkt, das man kaufen und einschalten kann. Es ist eine Sicherheitsstrategie und -architektur, die Identitätsverwaltung, Multi-Faktor-Authentifizierung, Systemsegmentierung, Verhaltensmonitoring, Datenschutz und Zugriffssteuerung miteinander verbindet.

Warum traditionelle Perimeter-Sicherheit nicht mehr ausreicht

Noch vor Kurzem konnte man Cybersicherheit als Schutzschicht rund um die Unternehmens-IT betrachten. Das Unternehmen hatte ein Büro, ein internes Netzwerk, lokale Server und eine klar definierte Grenze zwischen „innen“ und „außen“.

Dieses Modell beruhte auf einer einfachen Logik:

• was sich innerhalb des Unternehmensnetzwerks befindet, ist vertrauenswürdig,
• was außerhalb davon liegt, ist potenziell gefährlich,
• die Hauptaufgabe der Sicherheit besteht darin, die Zugänge zum Netzwerk zu schützen.

In der Zeit lokaler Server, der Arbeit aus dem Büro und geschlossener Infrastruktur ergab das Sinn. Firewall, internes Netzwerk und Zugangskontrolle bildeten die Grundlage der Verteidigung.

Heute gelten diese Annahmen jedoch nicht mehr. Die Unternehmens-IT hat sich auf Cloud-Dienste, SaaS-Anwendungen, mobile Geräte, externe Lieferanten, Integrationsplattformen und Remote-Benutzer verteilt. Der Perimeter ist beweglich, unklar und in vielen Fällen völlig unsichtbar geworden.

Für Unternehmen hat das eine wesentliche Folge:

Sicherheit kann sich nicht mehr nur auf die Verteidigung von Grenzen verlassen. Sie muss verstehen, was innerhalb der Systeme geschieht, wer darauf zugreift, welche Berechtigungen er verwendet und ob sein Verhalten vom üblichen Kontext abweicht.

Was verändert hat, wie Unternehmen Cybersicherheit angehen müssen

Hybride und Remote-Arbeit

Benutzer greifen heute vom Büro, von zu Hause, von einem mobilen Gerät, aus dem Ausland oder aus öffentlichen Netzwerken auf Unternehmenssysteme zu. Der Zugriff ist nicht mehr an ein Gebäude oder ein Unternehmensnetzwerk gebunden.

Das bedeutet, dass der Ort der Verbindung allein kein verlässliches Sicherheitssignal mehr ist. Ein Benutzer kann legitim sein, aber sein Gerät kann riskant sein. Oder es kann sich um einen Angreifer handeln, der gestohlene Zugangsdaten verwendet.

Cloud, SaaS und vernetzte Anwendungen

Cloud-Dienste, SaaS-Lösungen, mobile Anwendungen und API-Integrationen haben die IT-Umgebung weit über die Grenzen der Unternehmensserver hinaus erweitert. Daten bewegen sich zwischen mehreren Systemen, Anwendungen kommunizieren automatisch und sensible Informationen verlassen häufig ihre ursprüngliche Umgebung.

Das schafft neue Anforderungen an Datenschutz, Zugriffsverwaltung und Monitoring. Es reicht nicht aus, das Netzwerk zu schützen. Geschützt werden müssen konkrete Identitäten, Daten, Anwendungen und Integrationsflüsse.

Angriffe über Identitäten und legitime Zugriffe

Moderne Angriffe versuchen oft nicht, eine Firewall mit roher Gewalt zu durchbrechen. Sie nutzen Phishing, schwache Passwörter, kompromittierte Konten, übermäßige Berechtigungen oder falsch konfigurierte Zugriffsregeln.

Deshalb ist es wichtig, nicht nur den technischen Schutz der Infrastruktur zu berücksichtigen, sondern auch, wie das Unternehmen Identitäten, Passwörter, Berechtigungen und Nutzerverhalten verwaltet. Dem praktischen Schutz der Unternehmensinfrastruktur widmen wir uns auch im Artikel Wie Sie Ihre Unternehmensinfrastruktur vor Hackerangriffen schützen.

Perimeter-Sicherheit vs. Zero Trust

Traditioneller Perimeter	Zero Trust
Vertrauen nach Ort der Verbindung	Vertrauen nach Identität, Kontext und Risiko
Starker Schutz der Netzwerkgrenze	Schutz von Benutzern, Daten, Anwendungen und Geräten
Einmalige Überprüfung beim Eintritt	Kontinuierliche Überprüfung während der Arbeit
Breite interne Berechtigungen	Prinzip der geringsten Rechte
Geringere Flexibilität bei Cloud und hybrider Arbeit	Geeignet für Cloud, SaaS und verteilte Teams
Auf das Netzwerk konzentrierte Sicherheit	Auf Ressourcen und Zugriffe konzentrierte Sicherheit

 

Zero Trust bedeutet also nicht, dass ein Unternehmen aufhört, Firewall, VPN oder andere Sicherheitswerkzeuge zu verwenden. Es bedeutet, dass das Netzwerk selbst nicht mehr als ausreichender Nachweis für Vertrauenswürdigkeit gilt.

Wie Zero Trust in der Praxis funktioniert

Der Grundgedanke von Zero Trust wird häufig in der Formulierung „never trust, always verify“ zusammengefasst - niemals automatisch vertrauen, immer überprüfen.

In der Praxis bedeutet das kein ständiges Misstrauen gegenüber Mitarbeitenden und auch keine unnötige Verkomplizierung der Arbeit. Es bedeutet eine systematische und angemessene Überprüfung, die je nach Risiko erfolgt.

Das Zero-Trust-Modell kann zum Beispiel Folgendes umfassen:

• Überprüfung der Benutzeridentität,
• Multi-Faktor-Authentifizierung,
• Kontrolle des Geräts,
• Bewertung von Standort und Zeitpunkt des Zugriffs,
• Auswertung des Benutzerverhaltens,
• Beschränkung der Berechtigungen auf das notwendige Minimum,
• Segmentierung von Systemen,
• Monitoring von Aktivitäten in Echtzeit,
• automatische Reaktion bei verdächtigem Verhalten.

Ein Benutzer, der sich während der Arbeitszeit von einem üblichen Gerät aus anmeldet, kann ohne zusätzlichen Eingriff durchkommen. Ein Benutzer, der sich von einem unbekannten Standort, außerhalb der üblichen Zeit anmeldet oder versucht, auf sensible Daten zuzugreifen, kann um eine zusätzliche Überprüfung gebeten werden oder einen eingeschränkten Zugriff erhalten.

Sicherheit reagiert dadurch nicht pauschal, sondern gezielt.

Identität als Grundlage der Zero-Trust-Sicherheit

Während traditionelle Sicherheit vor allem auf dem Netzwerk beruhte, basiert Zero-Trust-Sicherheit auf der Identität.

Digitale Identitäten haben heute nicht nur Menschen. Auch Anwendungen, Systeme, Dienste, Integrationsschnittstellen und automatisierte Prozesse haben sie. Jeder Zugriff hat einen Träger der Identität - ob es sich um einen Mitarbeitenden, einen externen Lieferanten, eine API oder ein internes System handelt.

Die Verwaltung von Identitäten und Zugriffsrechten, auch bekannt als Identity and Access Management oder IAM, gehört daher zu den wichtigsten Säulen einer Zero-Trust-Architektur.

Eine gut eingerichtete Identitätsverwaltung hilft dem Unternehmen, grundlegende Fragen zu beantworten:

• wer Zugriff auf konkrete Systeme hat,
• welche Berechtigungen ihm zugewiesen sind,
• ob er diese Berechtigungen noch benötigt,
• ob der Zugriff in einem angemessenen Kontext genutzt wird,
• wer für eine konkrete Aktivität verantwortlich ist.

Eine schlecht eingerichtete Identitätsverwaltung führt dagegen zu übermäßigen Berechtigungen, gemeinsam genutzten Konten, veralteten Zugriffen ehemaliger Mitarbeitender und einer eingeschränkten Fähigkeit, Verantwortlichkeiten nachträglich nachzuvollziehen.

Multi-Faktor-Authentifizierung und Prinzip der geringsten Rechte

Einer der praktischsten Schritte in Richtung Zero Trust ist die Multi-Faktor-Authentifizierung. MFA verringert das Risiko, dass ein Angreifer allein mithilfe eines gestohlenen Passworts Zugriff erhält.

MFA allein reicht jedoch nicht aus. Sie muss durch richtig konfigurierte Berechtigungen ergänzt werden. Hier kommt das Prinzip der geringsten Rechte, auch bekannt als least privilege, ins Spiel.

Das bedeutet, dass ein Benutzer, eine Anwendung oder ein System nur Zugriff auf die Daten und Funktionen haben sollte, die er, sie oder es für die eigene Arbeit tatsächlich benötigt. Nicht mehr.

Dieser Ansatz verringert das Risiko vor allem dann, wenn ein Konto kompromittiert wird. Hat das angegriffene Konto nur eingeschränkte Berechtigungen, kann der Angreifer nicht automatisch Zugriff auf alle Systeme und sensiblen Daten erlangen.

Verwandte Themen wie MFA, ZTNA, Segmentierung, EDR und SIEM behandelt unser Artikel Wie Sie Ihre Unternehmensinfrastruktur vor Hackerangriffen schützen.

Kontinuierliche Überprüfung: Sicherheit als lebendiger Prozess

Im traditionellen Modell wurde ein Benutzer nach erfolgreicher Anmeldung während der gesamten Sitzung als vertrauenswürdig betrachtet. Zero Trust ändert diese Annahme.

Kontinuierliche Überprüfung bedeutet, dass der Zugriff nicht nur zu Beginn, sondern fortlaufend anhand von Kontext und Risiko bewertet wird.

Das System kann zum Beispiel verfolgen:

• ob der Benutzer von einem bekannten Gerät aus arbeitet,
• ob er sich von einem üblichen Standort aus verbindet,
• ob sein Verhalten seinen standardmäßigen Mustern ähnelt,
• ob er auf ungewöhnlich große Datenmengen zugreift,
• ob er versucht, Aktivitäten außerhalb seiner Rolle auszuführen.

Die Reaktion muss nicht immer eine Blockierung sein. Bei niedrigem Risiko kann das System nur überwachen. Bei mittlerem Risiko kann es eine zusätzliche Überprüfung anfordern. Bei hohem Risiko kann es den Zugriff einschränken oder unterbrechen.

So eingerichtete Sicherheit ist weniger störend für Benutzer und zugleich präziser für das Unternehmen.

Segmentierung von Systemen und Begrenzung lateraler Bewegung

Ein wichtiger Grundsatz der Zero-Trust-Architektur ist die Segmentierung. Systeme, Anwendungen und Daten sollten nicht durch eine einzige flächendeckende Schicht geschützt, sondern nach Sensibilität, Funktion und Risiko unterteilt werden.

Segmentierung hilft dabei:

• kritische Systeme von gewöhnlichen zu trennen,
• gegenseitige Zugriffe nur auf notwendige Verbindungen zu beschränken,
• die Auswirkungen eines Sicherheitsvorfalls zu verringern,
• die einfache Ausbreitung eines Angriffs innerhalb der Infrastruktur zu verhindern.

Wenn ein Konto oder Gerät kompromittiert wird, sollte der Angreifer nicht die Möglichkeit haben, sich frei durch die gesamte Umgebung zu bewegen.

Das ist besonders bei Ransomware-Angriffen wichtig, die oft versuchen, sich von einem Punkt auf einen möglichst großen Teil der Infrastruktur auszubreiten. Diesem Thema widmen wir uns ausführlicher im Artikel Wie Sie Ransomware vorbeugen und was zu tun ist, wenn Sie Opfer werden.

Schutz von Daten über Umgebungen hinweg

Daten zirkulieren heute nicht nur in einer Anwendung oder auf einem Server. Sie befinden sich in der Cloud, in internen Systemen, auf mobilen Geräten, in Integrationsflüssen, Data Warehouses und auch bei externen Partnern.

Zero-Trust-Sicherheit behandelt Daten daher als eine der wichtigsten zu schützenden Ressourcen.

Das bedeutet:

• sensible Daten zu klassifizieren,
• den Zugriff auf Daten nach Identität und Berechtigungen zu steuern,
• die Bewegung sensibler Informationen zu überwachen,
• Daten bei der Übertragung und im Ruhezustand zu schützen,
• unbefugtes Kopieren, Exportieren oder Teilen einzuschränken.

In der Praxis geht es nicht nur um technischen Schutz. Es geht auch um Prozesse, Verantwortlichkeiten und klare Regeln für den Umgang mit sensiblen Informationen.

Zero Trust, Monitoring und SIEM

Das Zero-Trust-Modell braucht Sichtbarkeit. Das Unternehmen muss wissen, wer sich anmeldet, worauf er zugreift, welche Aktionen er ausführt und ob in der Umgebung etwas Ungewöhnliches geschieht.

Deshalb sind Monitoring und die Auswertung von Sicherheitsereignissen ein wichtiger Bestandteil moderner Sicherheitsarchitektur. SIEM-Lösungen helfen dabei, Daten aus verschiedenen Teilen der Infrastruktur zu sammeln, zu analysieren und auf verdächtige Aktivitäten hinzuweisen.

SIEM kann zum Beispiel helfen, Folgendes zu erkennen:

• ungewöhnliche Anmeldungen,
• wiederholte fehlgeschlagene Zugriffsversuche,
• verdächtige Datenverschiebungen,
• Verhalten, das typisch für ein kompromittiertes Konto ist,
• Aktivität, die nicht der Standardrolle des Benutzers entspricht.

Mehr zu diesem Thema finden Sie im Artikel Wie Sie die Cyberresilienz Ihres Unternehmens mit SIEM-Lösungen proaktiv erhöhen.

Zero Trust und NIS2: warum es auch für slowakische Unternehmen relevant ist

Zero Trust ist keine eigenständige Anforderung, die automatisch die Einhaltung von NIS2 sicherstellen würde. Es ist jedoch ein praktischer Sicherheitsrahmen, der Unternehmen hilft, Bereiche besser zu steuern, die eng mit Cyberresilienz verbunden sind.

Für slowakische Unternehmen kann Zero Trust vor allem in folgenden Bereichen relevant sein:

• Zugriffssteuerung,
• Identitätsverwaltung,
• Schutz kritischer Systeme,
• Segmentierung der Infrastruktur,
• Monitoring von Sicherheitsereignissen,
• Reaktion auf Vorfälle,
• Datenschutz und Prävention von Informationslecks,
• regelmäßige Risikobewertung.

Den Übergang zu Zero Trust sollte man daher als Teil einer breiteren Stärkung der Cybersicherheit verstehen, nicht als einmaliges Projekt oder formale Antwort auf Regulierung.

Wie man mit Zero Trust im Unternehmen beginnt

Zero-Trust-Sicherheit lässt sich nicht mit einem einzigen Projekt oder einem einzigen Werkzeug einführen. Am besten funktioniert ein schrittweiser Ansatz, der vom tatsächlichen Zustand des Unternehmens ausgeht.

1. Benutzer, Systeme und Daten erfassen

Das Unternehmen sollte wissen, wer auf welche Systeme zugreift, wo sich sensible Daten befinden und welche Integrationsflüsse zwischen Systemen bestehen.

Ohne diese Karte ist es nicht möglich, Zugriffsregeln effektiv einzurichten.

1. Audit der Berechtigungen durchführen

Viele Unternehmen haben ein Problem mit übermäßigen oder veralteten Berechtigungen. Benutzer behalten häufig Zugriffe aus früheren Rollen oder Projekten.

Ein Audit der Berechtigungen hilft festzustellen, welche Zugriffe notwendig sind und welche ein unnötiges Risiko darstellen.

1. MFA dort einführen, wo sie die größte Wirkung hat

Beginnen kann man bei Administratorkonten, Remote-Zugriff, Cloud-Diensten und Systemen mit sensiblen Daten.

1. Das Prinzip der geringsten Rechte anwenden

Benutzer, Anwendungen und Systeme sollten nur die Berechtigungen haben, die sie tatsächlich benötigen.

1. Kritische Systeme segmentieren

Kritische Systeme sollten nicht flächendeckend aus dem gesamten Netzwerk erreichbar sein. Segmentierung verringert das Risiko der Ausbreitung eines Vorfalls.

1. Monitoring und Reaktion auf Vorfälle einrichten

Zero Trust erfordert fortlaufende Sichtbarkeit. Ohne Monitoring weiß das Unternehmen nicht, ob die Regeln eingehalten werden und ob in der Umgebung ein Risiko entsteht.

1. Sicherheitsmaßnahmen testen

Das Sicherheitsmodell muss regelmäßig überprüft werden. Penetrationstests helfen, Schwachstellen zu erkennen, bevor Angreifer sie ausnutzen. Mehr zu diesem Thema behandelt auch unser Artikel Wie Sie Penetrationstests zum Schutz vor Cyberbedrohungen nutzen.

Die häufigsten Fehler bei der Einführung von Zero Trust

Der Versuch, „Zero Trust einzuführen“, ohne die eigene Umgebung zu verstehen

Einer der größten Fehler besteht darin, Zero Trust als Zielzustand oder Produkt zu betrachten, das man nur einschalten muss. Ohne Verständnis von Prozessen, Rollen, Daten und Risiken wird daraus nur eine weitere Komplexitätsschicht.

Zu schnelle oder isolierte Änderungen

Wenn Sicherheitsregeln auf einmal und ohne Koordination geändert werden, können sie den normalen Betrieb stören. Benutzer suchen dann nach Umgehungen, wodurch die Sicherheit paradoxerweise geschwächt wird.

Unterschätzung von Benutzern und Prozessen

Sicherheit ist nicht nur ein technisches Problem. Wenn Regeln nicht dem entsprechen, wie Menschen tatsächlich arbeiten, werden sie umgangen.

Auch deshalb ist es wichtig, mit dem Sicherheitsbewusstsein der Mitarbeitenden zu arbeiten. Eine verwandte Perspektive bietet der Artikel Nur 42 % der Mitarbeitenden halten die Sicherheitsmaßnahmen des Unternehmens ein. Wie Sie dem drohenden Problem vorbeugen können?.

Fokus nur auf Technologie

Technologien sind wichtig, aber allein schaffen sie kein Zero Trust. Notwendig sind klare Regeln, Identitätsverwaltung, definierte Verantwortlichkeiten, Monitoring und regelmäßige Risikobewertung.

Schwache oder veraltete Berechtigungen

Wenn ein Unternehmen nicht weiß, wer worauf Zugriff hat, kann es Vertrauen nicht effektiv steuern. Veraltete Konten, gemeinsam genutzte Zugriffe und übermäßige Berechtigungen gehören zu den häufigsten Schwachstellen.

Warum moderne Sicherheit Wachstum und Stabilität unterstützt

Zero Trust bedeutet nicht mehr Bürokratie und auch keine pauschale Einschränkung der Arbeit. Ein richtig entworfenes Modell macht Sicherheit präziser, kontextbezogener und weniger störend.

Unternehmen bringt sie vor allem:

• bessere Kontrolle über Zugriffe,
• höheren Schutz sensibler Daten,
• geringeres Risiko der Ausbreitung von Vorfällen,
• sicherere Unterstützung hybrider Arbeit,
• bessere Vorbereitung auf Cloud-Umgebungen,
• höhere Cyberresilienz,
• übersichtlichere Regeln für Benutzer und IT-Teams.

Moderne Sicherheit ist damit keine Bremse der Digitalisierung mehr. Sie wird zu einem Rahmen, der Unternehmen ermöglicht, zu wachsen, zusammenzuarbeiten und zu innovieren, ohne sich auf die veraltete Annahme zu verlassen, dass alles innerhalb des Netzwerks automatisch sicher ist.

Häufig gestellte Fragen zu Zero Trust