Zero Trust – Ein Sicherheitskonzept für die „neue Normalität“

Die Pandemie hat unsere Arbeitswelt stark verändert. Ein Arbeitsplatz ist zukünftig kein fester Ort im Unternehmen mehr, sondern eine Kombination aus variablen Endpunkten, über die Anwender auf ein gemeinsames Daten-Repository und eine Reihe von Applikationen zugreifen können. Doch Remote-Arbeitsplätze ohne angemessene Sicherheitsstrategie öffnen Cyberangriffen Tür und Tor – noch dazu, wenn Unternehmen ihren Mitarbeitern bedingungslos vertrauen. Hier muss ein Umdenken stattfinden. Die Lösung: das Zero-Trust-Sicherheitskonzept. Dieses Konzept basiert auf der Prämisse, dass niemandem vertraut wird: keinem Mitarbeiter, keinem Gerät und keinem Service. Der Vorsatz gilt sowohl innerhalb des eigenen Netzwerks als auch außerhalb, zum Beispiel hinsichtlich Lieferanten und Kunden. Jahrzehntelang basierte das Grundprinzip der Sicherheit darauf, dass die IT-Infrastruktur und Daten innerhalb eines definierten Perimeters geschützt sind. In der Realität jedoch gab es ständig interne Sicherheitsverstöße – von unbeabsichtigten Vorfällen wie dem Klicken auf Phishing-E-Mails bis hin zu böswilligen Insidern, die Dokumente stehlen. Doch: Das Perimeter hat sich verändert. Es umfasst nun auch Cloud-Speicher und Apps, entfernte Endpunkte wie mobile Geräte von Außendienstmitarbeitern, IoT-Geräte und Systeme von Drittanbietern wie Kioske oder Kreditkartenterminals. Das Ergebnis: Es gibt exponentiell mehr Möglichkeiten, Benutzer und Systeme zu kompromittieren als jemals zuvor.

Erkennen, wer an die Tür klopft

Anwendern und Assets wird beim Zero-Trust-Sicherheitskonzept nicht automatisch vertraut, nur weil sie sich im Netzwerk befinden. Eine robuste Authentifizierung ist hierfür unerlässlich. Ein Identitätsmanagementverfahren bestätigt die Anmeldedaten der Benutzer, die nicht mehr nur aus einem Benutzernamen und einem Passwort bestehen. Die Authentifizierung kann beispielsweise auch biometrische Daten und Verhaltensweisen umfassen, um festzustellen, ob der Zugriff einer Person auf ein bestimmtes Gerät an einem entsprechenden Standort berechtigt ist. Zeitliche Verzögerungen der Zugangsüberprüfung lassen sich minimieren, wenn ein Großteil des Authentifizierungsprozesses automatisiert ist, beispielsweise mit Hilfe von KI-Tools.

Zusammengefasst: Zero-Trust ist kein Produkt oder eine Dienstleistung. Es handelt sich um einen Ansatz, Security neu zu definieren. Dabei sollten Unternehmen die Realisierung dieses Sicherheitsansatzes als langfristige Strategie sehen. Er wird Zeit und Ressourcen in Anspruch nehmen, da Zero Trust nicht nur ein technologischer, sondern auch kultureller Wandel ist.