Schutzmodell für die Post-Pandemie-Welt?

Eine effiziente Unternehmens-IT ist inzwischen auch eine Frage des Prinzips: Soll ein Mitarbeiter nach dem Einloggen wirklich Zugriff auf alle Unternehmensanwendungen haben? Der sogenannte netzwerkbasierte Zugang lässt das in der Regel problemlos zu. Wer es also bis hinter die Authentifizierungsbarriere geschafft hat, dem stehen im wahrsten Sinn alle Türen offen. Jede einzelne Anwendung wird sichtbar, unabhängig davon, ob sie vom User wirklich benötigt wird. Das bedeutet leider auch: Die Anwendung ist prinzipiell für Ausführungsbefehle zugänglich – und damit für die Identifizierung und Ausnutzung potenzieller Schwachstellen. Ebenso ist es möglich, dass der Mitarbeiter von seinem Remote-­Arbeitsplatz aus unwissentlich Malware von seinem heimischen Gerät in das Firmennetzwerk einschleppt.

Mehr Sicherheit verspricht etwa der Ansatz des Zero Trust Networks. Diese von Akamai angebotene Lösung steht für das „Least Privilege“-Prinzip. Das bedeutet: Die Sichtbarkeit von und der Zugang zu Anwendungen werden nur dort gewährt, wo es auch erforderlich ist. Der Mitarbeiter bekommt also keinen All-Access-Backstage-Pass, sondern nur zu genau den Anwendungen Zugang, die er für seine aktuelle Aufgabe braucht.

Aus gutem Grund erfährt solch ein Modell gerade einigen Auftrieb – zeigen die zahlreichen Angriffe auf Unternehmen doch unmissverständlich, dass die flächendeckende Remote-Arbeit viele Fans unter Cyberkriminellen hat. Weitaus weniger gefallen dürfte den Hackern, dass beim Zero-Trust-Ansatz Phishing- oder Malware-verbreitende Seiten automatisch für den User gesperrt werden. Grundsätzlich funktioniert ein Zero Trust Network so: Es gibt keinen direkten Weg vom User zur Anwendung. Alle Zugriffe laufen über gesonderte Proxys in verteilten Locations. Der Zugang selbst erfolgt ausschließlich über das Internet, das Unternehmensnetzwerk bleibt unangetastet. Ein VPN-Zugang ist daher unnötig, denn der jeweilige Proxy übernimmt die Authentifizierung.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Das macht Zero Trust zu einem Netzwerksicherheitsmodell, in dessen Framework ausschließlich autorisierte Nutzer auf Anwendungen und Daten zugreifen können. Nur so lassen sich Gefahren und Risiken managen, die sich längst nicht mehr nur außerhalb, sondern auch innerhalb der Unternehmens-IT befinden können. Nicht zuletzt entlastet die Lösung die IT-Verantwortlichen auch in anderer Hinsicht: Sahen sie sich bislang gezwungen, bei veränderter Sicherheitslage aufwendige und zum Teil kostenintensive Anpassungen vorzunehmen, so wird dies durch ein Zero-Trust-Modell überflüssig. Der Paradigmenwechsel, der mit der Arbeit im Homeoffice oder auch anderen Remote-Varianten einhergeht, braucht neue Lösungen wie Zero Trust. So hat die Unternehmens-IT gute Voraussetzungen, die Abwehr gegen Cyberkriminalität vom Kopf auf die Füße zu stellen.

Bildquelle: Getty Images / iStock / Getty Images Plus