Was ist das Zero-Trust-Modell?

Aktualisiert: März 16

Mit dem Zero-Trust-Modell bezeichnet man ein IT-Sicherheitskonzept, bei dem nur unternehmensinternen Geräten, Nutzern oder Diensten vertraut wird. Außenstehenden Entitäten wird also misstraut.


Ziel ist es dabei das Risiko für Netzwerke und Anwendungen innerhalb der eigenen Unternehmung zu minimieren und insbesondere interne Gefahrenpotenziale auszuschließen. Gerade Insider-Angriffe sowie kompromittierte Geräte und Dienste im internen Netz stellen immer noch eine der größten Sicherheitsrisiken dar.


Grundsätze des Konzeptes


Wie bereits dargestellt liegt ein Grundsatz darin keinem außerhalb des eigenen Netzwerkes zu vertrauen. Daraus lassen sich Maßnahmen ableiten wie die Authentifizierung sämtlicher Anwender und Anwendungen und die grundsätzliche Verschlüsselung des Datenverkehres. Dieser könnte möglicherweise ansonsten von Dritten abgehört und manipuliert werden. Dabei ist außerdem die Verschlüsselung auf Anwendungsebene sowie auf den Speichergeräten erforderlich.


Daneben sind Maßnahmen zu ergreifen, benötigte Zugriffsrechte auf Dienste, Anwendungen und Geräte möglichst feingranular und genau zu definieren, damit unbefugte Zugriffe und Änderungen vermieden werden können.


Entscheidend ist die Gleichbehandlung aller Geräte, Dienste und Anwender insbesondere im Hinblick auf die allgemeinen IT Sicherheitsgrundsätze Vertraulichkeit, Integrität und Verfügbarkeit.


Unterschiede dieses Modells zu traditionellen Ansätzen


Sind Geräte und Benutzer erst einmal im Netzwerk angemeldet behandeln herkömmliche Sicherheitskonzepte diese Geräte grundsätzlich aus vertrauenswürdig. Somit stößt ein potenzieller Angreifer, ist er erstmal mit einer Entität Teil des Netzwerkes, auf keine großen Schwierigkeiten mehr, da entsprechende Authentifizierungs- und Autorisierungsmechanismen in der Regel nur auf eingehenden Datenverkehr ausgerichtet sind. Beim Zero-Trust-Modell werden nicht nur die Netzerwerkgrenzen sondern das gesamte System auch im Innenverhältnis geschützt.


Praktische Umsetzung


Eine “buchstabengetreue” Umsetzung des Zero-Trust-Modells erfordert einen erheblichen Aufwand. Im Sicherheitskonzept müssen alle IT bezogenen Komponenten erfasst und kontrolliert werden. Netzwerke müssen, um ein abestuftes Sicherheitskonzept umsetzen zu können in der Regel segmentiert werden, d.h. je nach Verwendung und Aufkommen des Datenverkehrs werden beispielsweise virtuelle Netzwerke erzeugt, die gegenüber den anderen Netzwerken dann mittels Firewall und IDS Systemen abgegrenzt werden können.


Bei der Auswahl der technisch organisatorischen Maßnahmen zur Gewährleistung von IT Sicherheit im Unternehmen sollte das Zero-Trust-Modell nur dann in Erwägung gezogen werden, wenn andere Konzepte wie ISIS12 oder ISO 27001 aus Gründen des Datenschutzes nicht ausreichend sind.

Adresse

Kontakt

Folgen

Metternichstraße 28-30
54292 Trier

T: +49 651 493670-0

F: +49 651 493670-99

©2019 etis GmbH