Was ist Zero Trust?
Zero Trust („Never Trust, Always Verify“) ist ein Sicherheitsmodell, bei dem kein Zugriff per se vertrauenswürdig gilt – weder wegen des Standorts („innen vs. außen“) noch wegen eines einmaligen Logins. Jeder Zugriff auf Ressourcen wird explizit geprüft: Identität (wer?), Kontext (Gerät, Ort, Zeit?) und Berechtigung (darf diese Identität auf diese Ressource?).
Unterschied zum klassischen Modell
Traditionell galt oft: Wer einmal im „internen“ Netz ist, darf vieles. Zero Trust verzichtet auf dieses implizite Vertrauen – auch Nutzer im Firmennetz müssen sich gegenüber jeder Anwendung oder jedem Dienst authentifizieren und autorisieren lassen. Das reduziert das Risiko von Seitwärtsbewegung nach einem Kompromittierungsfall und passt gut zu verteilten Umgebungen (Cloud, Remote).
Bezug zu MFA, Segmentierung, Exposure
- Identität & MFA: Starke Authentifizierung (MFA, idealerweise phishing-resistent) ist Grundlage – „wer“ muss sicher festgestellt werden.
- Segmentierung: Netzwerksegmentierung und feinere Zugriffsregeln statt „einmal drin, überall Zugang“.
- Exposure & Least Privilege: Exposure Management minimiert sichtbare Angriffsfläche; Least Privilege begrenzt Rechte auf das Nötige.
Umsetzung für KMU
Zero Trust ist kein einzelnes Produkt, sondern ein Prinzip. Pragmatische Schritte: MFA für alle Zugänge (besonders Admin/Remote), Zugriff nur auf das, was für die Rolle nötig ist, Segmentierung kritischer Bereiche, keine unnötige Internet-Exposition von Management-Oberflächen. Viele KMU nähern sich dem Modell schrittweise an, ohne sofort eine „vollständige“ Zero-Trust-Architektur umzusetzen.
Kurz gesagt
Zero Trust bedeutet: Kein implizites Vertrauen – jeder Zugriff wird anhand von Identität, Kontext und Berechtigung geprüft. MFA, Segmentierung und Least Privilege sind zentrale Bausteine.