Ein Zero-Trust-Netzwerk prüft jeden Zugriff und begrenzt Rechte auf das Notwendigste. Dieser Artikel erklärt die Prinzipien eines Zero Trust Network, ZTNA und die Unterschiede zum VPN sowie Vorteile, Nachteile und die schrittweise Einführung im Unternehmen.
Ein Zero-Trust-Netzwerk vertraut Benutzer:innen, Geräten und Anwendungen nie automatisch, sondern prüft jeden Zugriff.
Zentrale Säulen sind Multi-Faktor-Authentifizierung, minimale Berechtigungen, Mikrosegmentierung und kontinuierliche Überwachung.
ZTNA (Zero Trust Network Access) gewährt nur Zugriff auf benötigte Anwendungen statt auf das gesamte Firmennetz und reduziert so die Angriffsfläche.
Zero Trust unterstützt sicheres hybrides Arbeiten und hilft bei der Erfüllung regulatorischer Anforderungen. Es erhöht aber die Komplexität und den Migrationsaufwand.
Unternehmen sollten ein Zero Trust Network schrittweise einführen: Bestand erfassen, Risiken priorisieren, Pilotprojekt starten und Regeln fortlaufend verbessern.
Cyber Security für Ihr Business
Mit unseren Sicherheitslösungen schützen Sie Ihr Unternehmen vor Viren, Industrie-Spionage, Cyber-Angriffen und unautorisiertem Zugriff auf Ihre Netze.
Ein Zero-Trust-Netzwerk ist eine IT-Sicherheitsarchitektur, in der weder Personen noch Geräte oder Anwendungen automatisch als vertrauenswürdig gelten. Das gilt auch innerhalb des Firmennetzes.
Dabei gilt: „Never trust, always verify“ – zu Deutsch: „Niemals vertrauen, immer überprüfen“. Das bedeutet: Das System prüft jeden Zugriff anhand mehrerer Faktoren, darunter Identität, Gerätezustand und weitere Rahmenbedingungen. Anschließend erteilt es nur die Berechtigungen, die für die jeweilige Aufgabe erforderlich sind.
Zero Trust Networking folgt zudem dem Assume-Breach-Prinzip – also der Annahme, dass Angreifer:innen ein Konto oder Gerät bereits unbemerkt unter ihre Kontrolle gebracht haben. Auf dieser Basis planen Unternehmen ihre Sicherheitsstrategie.
Begrenzte Zugriffsrechte und voneinander getrennte Netzwerkbereiche sollen außerdem verhindern, dass sich ein Angriff im gesamten Firmennetz ausbreitet. Mehr zu den Grundlagen erfahren Sie im Beitrag Was ist Zero Trust und wie liefert es mehr Sicherheit?
Zero Trust statt reinem Perimeter-Schutz im Unternehmen
Perimeter-Modell: Firewalls und VPN-Zugänge schützen vor allem das Firmennetz (also den Perimeter). Dringen Hacker:innen in das Netz ein, erhalten sie dort häufig weitreichende Berechtigungen, ihnen wird also vertraut.
Zero-Trust-Netzwerk: Dass jemand im Firmennetzwerk eingewählt ist, schafft noch kein Vertrauen. Jeder Zugriff wird einzeln geprüft und auf die benötigten Ressourcen beschränkt.
Wichtig: Ein Zero Trust Network ersetzt keine grundlegenden Schutzmaßnahmen wie Firewalls oder sichere Konfigurationen, sondern ergänzt sie. Wie Sie digitale Einfallstore schließen, zeigt unser Beitrag zur Netzwerksicherheit in Unternehmen.
Die Prinzipien und Säulen von Zero Trust
Zero-Trust-Prinzipien legen fest, wie Unternehmen jeden Zugriff prüfen und absichern. Im Mittelpunkt stehen Benutzerkonten, Geräte und Anwendungen – unabhängig davon, ob der Zugriff aus dem Firmennetz, dem Homeoffice oder der Cloud erfolgt. Fünf Säulen tragen diese Architektur:
Identitäten prüfen: Eine Multi-Faktor-Authentifizierung (MFA) verlangt mindestens zwei unabhängige Identitätsnachweise. Eine verbreitete Form der MFA ist die Zwei-Faktor-Authentifizierung. Zusätzlich fließen etwa Gerätezustand, Standort und Anmeldeverhalten in die Identitätsprüfung ein.
Von Kompromittierung ausgehen: Ein Zero Trust Network arbeitet unter der Annahme, dass sich bereits Angreifer:innen im System befinden und daher Schäden begrenzt werden müssen.
Rechte begrenzen: Nach dem Least-Privilege-Prinzip erhalten Benutzer:innen, Anwendungen und Geräte nur die Berechtigungen, die sie für ihre aktuelle Aufgabe benötigen.
Netze unterteilen: Die sogenannte Mikrosegmentierung teilt die IT-Infrastruktur in kleine, geschützte Bereiche auf. Für jeden Wechsel zwischen diesen Bereichen erfolgen neue Zugriffskontrollen.
Zugriffe überwachen: Das System bewertet Geräte, Verbindungen und Aktivitäten fortlaufend. Man spricht auch von Continuous Monitoring. Erkennt es ein Risiko, kann es zusätzliche Nachweise verlangen oder einen laufenden Zugriff beenden.
Technisch steuern zwei Instanzen die Entscheidung, ob eine Person oder ein Gerät Zugriff erhält:
Der Policy Decision Point (PDP) wertet Identität, Gerätezustand und Sicherheitsrichtlinien aus. Er erlaubt, verweigert oder widerruft den Zugriff.
Der Policy Enforcement Point (PEP) setzt diese Entscheidung am Zugang zur jeweiligen Ressource durch. Je nach Aufbau können beispielsweise Next-Generation-Firewalls solche Richtlinien umsetzen und den Datenverkehr auf Anwendungsebene kontrollieren.
Anwendungsbeispiel: Identitäten in Microsoft 365 absichern
Dafür legen Unternehmen Regeln fest, die beispielsweise die Identität, den Gerätezustand oder den Standort berücksichtigen. Welche Einstellungen sinnvoll sind, hängt von der jeweiligen IT-Umgebung und dem Schutzbedarf der Daten ab.
Fertig für Sie eingerichtet und startklar: Microsoft 365 Business mit Vodafone Services
Produktivität steigern. Sicherheit stärken. Und sich dabei komplett auf Ihr Business konzentrieren? Das geht. Unsere Expert:innen helfen mit Ihren Microsoft 365 Business-Lizenzen. So haben Sie Zeit für Ihr Kerngeschäft.
Zero Trust Network Access (ZTNA): Zugriffe sicher steuern
Zero Trust Network Access (ZTNA) ist eine Technologie, die einen sicheren, kontextabhängigen Zugriff auf einzelne Anwendungen und Ressourcen ermöglicht. Vor und während einer Verbindung prüft sie beispielsweise Identität, Gerätezustand und Standort. Der Zero-Trust-Netzwerkzugriff verbindet autorisierte Personen und Geräte direkt mit der benötigten Anwendung – nicht pauschal mit dem gesamten Firmennetz. Nicht freigegebene Dienste bleiben verborgen.
Ähnlich, aber dennoch anders funktioniert der Verbindungsaufbau über ein Virtual Private Network (VPN). Es schützt Ihre Unternehmensdaten ebenfalls, erreicht aber nicht das Sicherheitsniveau eines Zero Trust Network.
Unterschiede zwischen Zero Trust Network Access und VPN
Zugriff
Nur auf ausdrücklich freigegebene Anwendungen und Ressourcen
Häufig auf ein vollständiges Netzwerk oder Teilnetz
Sichtbarkeit
Nicht freigegebene Anwendungen bleiben für Benutzer:innen unsichtbar
Nach der Anmeldung können alle erreichbaren Netzwerkressourcen sichtbar sein
Angriffsfläche
Geringer, da Anwendungen nicht öffentlich erreichbar und Zugriffswege begrenzt sind
Größer durch öffentlich erreichbare VPN-Zugänge und meist umfangreichere Netzwerkrechte
ZTNA
Klassisches VPN
ZTNA kann außerdem Bestandteil von Secure Access Service Edge (SASE) sein. SASE verbindet cloudbasierte Sicherheitsdienste mit einer softwaregesteuerten Standortvernetzung. ZTNA regelt darin gezielt den Zugriff auf Anwendungen.
Wichtig zu wissen: ZTNA ersetzt nicht sämtliche Sicherheitsmaßnahmen. Je nach IT-Architektur bleiben ergänzende Kontrollen erforderlich. Eine Managed Firewall kann beispielsweise den Datenverkehr überwachen, Regeln aktuell halten und Angriffe blockieren. Lassen Sie sich dabei von Security-Expert:innen unterstützen.
Cyber Security für Ihr Business
Mit unseren Sicherheitslösungen schützen Sie Ihr Unternehmen vor Viren, Industrie-Spionage, Cyber-Angriffen und unautorisiertem Zugriff auf Ihre Netze.
Zero Trust Network im Unternehmen einführen: Vorteile, Nachteile und Roadmap
Unternehmen sollten ein Zero Trust Network schrittweise als langfristiges Sicherheitsprogramm einführen. Zuerst erfassen sie kritische Geschäftsprozesse, Daten, Benutzer:innen, Geräte und Anwendungen. Anschließend führen sie passende Kontrollen priorisiert ein.
Roadmap zur schrittweisen Einführung
Ziele festlegen: Bestimmen Sie kritische Geschäftsprozesse und deren Schutzbedarf. Identifizieren Sie außerdem regulatorische Vorgaben und legen Sie Verantwortlichkeiten fest.
Bestand erfassen: Dokumentieren Sie alle Benutzerkonten, Geräte und Anwendungen, die auf Ihre Unternehmensressourcen zugreifen.
Lücken bewerten: Prüfen Sie bestehende Zugriffsrechte, Authentifizierungsverfahren, die Gerätesicherheit aller Endpunkte und wie all das überwacht wird. Erfassen Sie auch Abhängigkeiten von Altsystemen.
Grundschutz stärken: Beginnen Sie mit der Einführung von Multi-Faktor-Authentifizierung und dem Least-Privilege-Prinzip. Sorgen Sie dafür, dass alle Geräte immer mit aktueller Software arbeiten, und protokollieren Sie Zugriffe auf Unternehmensdaten zentral.
Pilot starten: Erproben Sie die neuen Regeln zunächst mit einer ausgewählten Anwendung und einer begrenzten Benutzergruppe.
Schrittweise erweitern: Übertragen Sie erfolgreiche Vorgaben auf weitere Ressourcen. Nicht kompatible Altsysteme können Sie vorerst isolieren und gesondert absichern.
Fortlaufend verbessern: Analysieren Sie Sicherheitsvorfälle und blockierte Zugriffe. Überprüfen Sie auch regelmäßig die Konformität aller Geräte in Ihrem Netzwerk. Passen Sie Richtlinien regelmäßig an und schulen Sie Ihre Mitarbeiter:innen.
Vorteile und Nachteile eines Zero Trust Network im Überblick
Vorteile
Begrenzte Ausbreitung von Hacking-Angriffen: Kleine Netzwerksegmente und minimale Rechte erschweren seitliche Bewegungen von Angreifer:innen in Ihrem Netzwerk.
Sicheres hybrides Arbeiten: Zugriffe lassen sich unabhängig vom Arbeitsort anhand von Identität und Gerätezustand steuern.
Unterstützung für Compliance: Zugriffskontrollen, Protokollierung und kontinuierliche Überwachung können betroffene Unternehmen bei der Umsetzung von Anforderungen aus NIS2 (Network and Information Security Directive 2) und DORA (Digital Operational Resilience Act) unterstützen.
Wichtig: Ein Zero Trust Network allein stellt keine Compliance mit NIS2 oder DORA her. Es hilft lediglich, einige der Kernanforderungen zu erfüllen, z.B. eine strenge Zugriffskontrolle für Unternehmensdaten und den Aufbau eines Risikomanagements.
Nachteile
Hohe Komplexität: Identitäten, Geräte, Anwendungen und Sicherheitslösungen müssen gemeinsam verwaltet werden.
Aufwendige Migration: Bestandsaufnahme, neue Richtlinien, Tests und Schulungen benötigen Zeit und Personal.
Schwierige Altsysteme: Ältere Anwendungen unterstützen moderne Authentifizierung oder feingranulare Zugriffsregeln häufig nicht.
Whitepaper: Cyber Security
Cyberangriffe und kein Ende: Die potenziellen Schäden sind gewaltig und auch der Mittelstand ist zunehmend betroffen. Unser Cyber-Security-Whitepaper verrät, wie wirksamer Schutz vor Kriminellen gelingt:
Zahlen, Daten und Fakten zur Bedrohung durch Cyberattacken
Einblicke in Angriffsmethoden wie Malware, Ransomware & Co.
Maßnahmenplan, um Ihr Unternehmen effektiv zu schützen
Unser Fazit: Zero Trust mit passenden Sicherheitslösungen umsetzen
Ein Zero-Trust-Netzwerk gewährt weder Benutzer:innen noch Geräten oder Anwendungen pauschales Vertrauen. Strenge Identitätsprüfungen, minimale Berechtigungen, eine Mikrosegmentierung des Netzwerks und kontinuierliche Überwachung begrenzen Zugriffe auf die tatsächlich benötigten Ressourcen.
ZTNA (Zero Trust Network Access) überträgt diese Prinzipien auf den sicheren Anwendungszugriff und bietet damit eine feinere Zugriffssteuerung als klassische VPN-Lösungen.
Die Einführung eines Zero Trust Network sollte schrittweise erfolgen: Unternehmen erfassen zunächst ihre kritischen Daten, Geräte und Anwendungen. Dann schließen sie dringende Sicherheitslücken und starten anschließend mit einem begrenzten Zero-Trust-Pilotprojekt. So lassen sich Komplexität, Migrationsaufwand und Schwierigkeiten mit älteren Systemen besser beherrschen.
Die IT-Sicherheitslösungen von Vodafone Business bündeln Bausteine für den Schutz von Identitäten und Geräten, für die Netzwerk- und Zugriffssicherheit sowie für das laufende Monitoring. Verschaffen Sie sich dort einen Überblick über die Lösungen, mit denen Sie ein Zero Trust Network passend zu den Anforderungen Ihres Unternehmens umsetzen können.
Cyber Security für Ihr Business
Mit unseren Sicherheitslösungen schützen Sie Ihr Unternehmen vor Viren, Industrie-Spionage, Cyber-Angriffen und unautorisiertem Zugriff auf Ihre Netze.
Ein Zero Trust Network ist eine IT-Sicherheitsarchitektur, die Benutzer:innen, Geräte und Anwendungen nicht automatisch als vertrauenswürdig einstuft. Vor jedem Zugriff prüft sie Identität, Gerätezustand und Kontext einer Zugriffsanfrage. Anschließend erhalten berechtigte Personen oder Systeme nur Zugriff auf die Ressourcen, die sie für ihre jeweilige Aufgabe benötigen.
Die Nachteile von ZTNA (Zero Trust Network Access) liegen vor allem in der aufwendigen Einführung. Unternehmen müssen Identitäten, Geräte, Anwendungen und Berechtigungen erfassen und passende Regeln erstellen. Die Integration älterer Systeme kann außerdem schwierig sein. Zusätzlich benötigen manche Lösungen eigene Clients. Falsch konfigurierte Richtlinien können berechtigte Zugriffe blockieren oder Sicherheitslücken offenlassen.
Eine Zero-Trust-Plattform bündelt Sicherheitsfunktionen wie Identitäts- und Geräteprüfungen, ZTNA, Zugriffskontrollen und Monitoring in einer zentral verwalteten Lösung. Sie setzt Sicherheitsregeln über verschiedene IT-Umgebungen hinweg einheitlich um. Zudem kann sie Teil einer Secure-Access-Service-Edge-Architektur sein, die Netzwerk- und Sicherheitsdienste cloudbasiert verbindet.
Zero-Trust-Prinzipien verlangen die ausdrückliche Prüfung jedes Zugriffs, minimal notwendige Rechte und die Annahme, dass ein Angriff bereits erfolgt sein könnte. In der Praxis stützen sie sich auf Multi-Faktor-Authentifizierung, Mikrosegmentierung des Netzwerks und kontinuierliche Überwachung aller Zugriffe. So verhindern Unternehmen die ungehinderte Ausbreitung von Angreifer:innen im Netzwerk.
„Niemals vertrauen, immer überprüfen“ ist der Grundsatz eines Zero Trust Network. Er bedeutet, dass ein korrektes Passwort oder der Anschluss ans Firmennetz kein Grund sind, einem Konto oder einem Gerät zu vertrauen. Das System bewertet jeden Zugriff anhand von Identität, Gerätesicherheit und weiteren Kontextinformationen. Erkennt das System Risiko, kann es zusätzliche Nachweise verlangen oder eine bestehende Verbindung beenden.
DDoS-Angriffe können Server, Websites und Netzwerke binnen Minuten lahmlegen. Erfahren Sie, wie DDoS-Protection Überlastungsangriffe erkennt, welche Schutzmodelle infrage kommen und worauf Sie bei der Anbieterwahl gemäß NIS2 und BSI achten sollten.
Erfahren Sie, wie Sie Firmenhandys mit dem passenden Virenschutz wirksam vor mobilen Bedrohungen schützen. Welche Apps helfen wirklich? Was gibt es bei Android und iOS zu beachten? Und wie kann Mobile Device Management Sie beim Virenschutz unterstützen?
Sogenannte DoS- und DDoS-Attacken senden in kurzer Zeit über das Internet viele Anfragen an einzelne Webserver oder ganze Firmennetze und überlasten so IT-Ressourcen. Wie das funktioniert und wie Sie Einfallstore für solche Angriffe schließen, erfahren Sie in diesem Beitrag.
Die UTM-Firewall bietet gleich mehrere Schutzmechanismen für Firmennetze in nur einem Gerät oder einer Applikation. Viele kleine und mittlere Unternehmen setzen auf den umfassenden Cyberschutz einer selbstadministrierten UTM-Lösung – oder lagern das Management an einen Dienstleister aus.
Mit Malware Protection sichern Sie Ihr Firmennetz und die Arbeitsplätze Ihrer Mitarbeitenden gegen Schadsoftware aus dem Internet – von lästiger Adware, über Viren und Würmer bis hin zu ausgeklügelter Ransomware. Das sollten Sie zu diesem Thema unbedingt wissen.
Die Beraterinnen und Berater helfen Ihnen kostenlos und unabhängig bei praktischen Fragen und geben konkrete Tipps. Vereinbaren Sie einen unverbindlichen Termin um Ihr Anliegen zu besprechen.
