Der Perimeter ist schon längst verschwunden — was jetzt?
76 Prozent der Unternehmen gaben an, dass ihr Sicherheitsperimeter nach der beschleunigten Cloud-Einführung faktisch bedeutungslos geworden ist. Das alte Burggraben-Modell setzte voraus, dass Ihre Infrastruktur saubere Grenzen hat. Die gibt es nicht mehr. Remote-Arbeit, SaaS-Wildwuchs, containerisierte Microservices, Schatten-IT — die Angriffsfläche ist überall.
Zero Trust Security ist die Antwort, auf die sich die Branche geeinigt hat. Das ehrliche Problem: Die meisten Teams behandeln Zero Trust als Produkt, das man kaufen kann, anstatt als Modell, das man architektonisch aufbauen muss. Das Ergebnis ist ein Haufen überlappender Tools ohne kohärente Richtliniendurchsetzung.
Was ist Zero Trust Security?
Der Begriff wird John Kindervag bei Forrester aus dem Jahr 2010 zugeschrieben, aber das NIST formalisierte ihn in SP 800-207. Der Kern ist einfach: Niemals vertrauen, immer verifizieren. Kein Benutzer, kein Gerät und keine Workload erhält implizites Vertrauen nur aufgrund seiner Netzwerkposition. Jede Zugriffsanfrage wird authentifiziert, autorisiert und kontinuierlich validiert.
Was ist Zero Trust Architecture genau? Es ist die Menge an Designprinzipien, Komponenten und Workflows, die das Never-Trust-Always-Verify-Modell im großen Maßstab operationalisieren. Ein Zero Trust Architecture Diagram zeigt typischerweise einen Policy Enforcement Point (PEP) zwischen jedem Subjekt und jeder Ressource. Der PEP kommuniziert mit einem Policy Decision Point (PDP), der Identitätsspeicher, Gerätegesundheitssignale, Bedrohungsdaten und Verhaltensanalysen konsultiert.
Zero Trust Pillars: Die sieben Domänen
Das Zero Trust Maturity Model der CISA definiert fünf Säulen. NIST und DOD erweitern das auf sieben. Sie müssen alle Domänen gleichzeitig abdecken — die Behandlung als Silos ist der Hauptgrund für gescheiterte Deployments.
1. Identität
Starke MFA, passwortlose Authentifizierung wo möglich, kontinuierliches Identitätsrisiko-Scoring und Integration mit Ihrem Identity Provider sind Pflicht. PAM-Tools wie CyberArk oder BeyondTrust ergänzen das für privilegierte Konten.
2. Geräte
Ein kompromittiertes Gerät bedeutet eine kompromittierte Identität — auch bei perfekter MFA. Gerätezustandsverifizierung muss in Echtzeit in Ihre Zugriffsentscheidungen einfließen. Microsoft Intune, Jamf und CrowdStrike Falcon liefern entsprechende Signale.
3. Netzwerke
Mikrosegmentierung ist das Herzstück dieser Säule. Ziel ist die Minimierung des Blast-Radius. Software-definierte Perimeter, East-West-Traffic-Inspektion und verschlüsselte Kommunikation zwischen Services gehören hierher.
4. Anwendungen und Workloads
Ein solides Programm zur Code-Sicherheit, das Erkenntnisse in Ihr Zugriffsrisikomodell einspeist, schließt den Kreis zwischen AppSec und Zero Trust. SAST-Analyse kann hochkritische Schwachstellen kennzeichnen, die erhöhte Prüfung für betroffene Workloads auslösen sollten.
5. Daten
Datenklassifizierung ist die Voraussetzung. DLP-Kontrollen, Verschlüsselung und Data Access Governance gehören alle in diese Säule. CSPM-Tools liefern kritische Sichtbarkeit für Fehlkonfigurationen in der Cloud, die Zero-Trust-Richtlinien untergraben würden.
6. Sichtbarkeit und Analytik
Kontinuierliches Monitoring aller Zugriffsereignisse, Anomalieerkennung und SIEM/SOAR-Integration sind essenziell. Ohne diesen Pfeiler ist Ihre Zero-Trust-Architektur statische Richtlinie ohne Rückkopplungsschleife.
7. Automatisierung und Orchestrierung
Policy-as-Code ist die operative Antwort — Zugriffsregeln als versionierten Code definieren, der in CI/CD-Pipelines integriert wird und automatisch über Umgebungen hinweg durchgesetzt wird.
Zero Trust Solutions: Was der Markt bietet
Für Identität: Okta, Microsoft Entra ID. Für Netzwerk-Mikrosegmentierung: Illumio, Akamai Guardicore, Cisco Secure Workload. Für ZTNA: Zscaler Private Access, Cloudflare Access, Palo Alto Prisma Access.
Container Image Scanning, das eine kritische CVE findet, sollte eine Policy-Überprüfung der Zugriffsberechtigungen auslösen. Secret Detection fängt hardcodierte Credentials ab, bevor sie zum Lateral-Movement-Vektor werden.
Implementierungsroadmap: Fünf Phasen
Der größte Fehler ist der Versuch, alles auf einmal zu lösen. Zero Trust ist eine Reise, keine Big-Bang-Migration.
Phase 1: Alles inventarisieren und klassifizieren
Bauen Sie ein vollständiges Cloud Inventory auf — jeden Asset, jede Workload, jede Identität und jeden Datenspeicher. Diese Inventarisierung wird zur Grundlage Ihrer PDP-Policy-Engine.
Phase 2: Identität als neuen Perimeter stärken
MFA universell einsetzen — keine Ausnahmen für Service-Accounts. PAM für privilegierte Konten implementieren. Risikobasierte Conditional-Access-Richtlinien aktivieren.
Phase 3: Netzwerk segmentieren
Beginnen Sie mit Ihren kritischsten Systemen und erweitern Sie inkrementell. Nutzen Sie den Discovery-Modus, um echte Traffic-Flows zu mappen, bevor Sie Regeln durchsetzen.
Phase 4: Least Privilege durchsetzen
Alle API-Berechtigungen prüfen. Standing Access durch Just-in-Time-Grants ersetzen. Ergebnisse der SAST-Analyse in das Zugriffsrisiko-Scoring integrieren.
Phase 5: Rückkopplungsschleife aufbauen
Alle Komponenten an Ihr SIEM anbinden. Erkennungsregeln für anomale Zugriffsmuster aufbauen. Reaktionen automatisieren über Ihre SOAR-Plattform. Bei Compliance-Prüfungen ziehen Sie aus einem operativen Live-Datensatz, anstatt Dokumentation nachträglich zu erstellen.