Zero Trust

Definition

Zero Trust ist ein Sicherheitsarchitekturkonzept, das auf dem Grundsatz „never trust, always verify" basiert und keinen impliziten Vertrauensvorschuss für Nutzer, Geräte oder Netzwerksegmente innerhalb oder außerhalb des Unternehmensperimeters gewährt. Im Gegensatz zu klassischen perimeterbasierten Ansätzen wird jede Zugriffsanfrage kontinuierlich authentifiziert, autorisiert und protokolliert, unabhängig vom Netzwerkursprung. Das BSI empfiehlt Zero-Trust-Prinzipien als zeitgemäßen Ansatz zur Umsetzung der NIS2-Mindestmaßnahmen, insbesondere in hybriden Cloud-Umgebungen und bei zunehmend verteilten Belegschaften. Zero Trust reduziert die Angriffsfläche erheblich, weil ein kompromittiertes Konto oder Gerät keine laterale Bewegung im Netzwerk ermöglicht. Die Umsetzung erfolgt in der Praxis schrittweise über die fünf Säulen Identität, Geräte, Netzwerk, Anwendungen und Daten.

Rechtsgrundlage

§ 30 Abs. 1 BSIG verpflichtet betroffene Einrichtungen zur Umsetzung geeigneter technischer Sicherheitsmaßnahmen auf Basis eines risikobasierten Ansatzes, dem Zero Trust konzeptionell entspricht. Das BSI IT-Grundschutz-Kompendium enthält spezifische Bausteine zur Netzwerksegmentierung und Zugriffskontrolle, die als konkrete Umsetzungsgrundlage für Zero-Trust-Architekturen herangezogen werden können. Zero-Trust-Prinzipien werden zudem durch ISO/IEC 27001:2022 Anhang A (insbesondere Kontrollbereich 8 „Technologische Kontrollen" mit den Kontrollen 8.2 bis 8.22) unterstützt und sind mit den dortigen Anforderungen vollständig kompatibel.

Praktische Implikation

Implementieren Sie Zero-Trust-Prinzipien schrittweise, beginnend mit einer vollständigen Inventur aller Identitäten, Geräte und Anwendungen sowie einer aktuellen Netzwerkkarte. Etablieren Sie eine starke Identitätsprüfung durch Multi-Faktor-Authentifizierung für alle privilegierten Zugänge als ersten und wirkungsstärksten Schritt. Segmentieren Sie Ihr Netzwerk in logische Zonen mit minimalen Zugriffsrechten pro Segment, um laterale Angriffsbewegungen wirksam zu unterbinden. Führen Sie eine kontinuierliche Gerätegesundheitsprüfung (Device Compliance) ein, bevor Zugriff auf kritische Ressourcen gewährt wird. Dokumentieren Sie alle Zugriffsregeln und -entscheidungen nachvollziehbar für spätere BSI-Nachweise. Ein Zero-Trust-Reifegradmodell hilft, den Fortschritt messbar zu machen und Prioritäten für die nächsten Implementierungsschritte strategisch abzuleiten.

Verwandte Begriffe

• ISMS
• Netzwerksegmentierung