IT- UND CYBERSICHERHEIT 17 DSD 1 | 2026 4. Es finden laufende Überwachungen der Identität und Aktivitäten der berechtigten Accounts statt. Gehen wir auf die vier Prinzipien detaillierter ein. 1. Netzwerksegmentierung: In den frühen Tagen der Anbindung von Unternehmen an das Internet wurden Netzwerksegmente gar nicht oder im besten Fall physisch getrennt. Die Trennung erfolgte über den Anschluss der einzelnen Bereiche an unterschiedliche Ports von Firewalls und Switches. Häufig wurden lediglich das interne Netz (LAN), das Internet (WAN) und eine demilitarisierte Zone (DMZ) voneinander separiert und über Kommunikationsregeln selektiv für bestimmte Dienste (IP, Ports, Protokoll) geöffnet. In mikrosegmentierten Netzwerken nach heutigem Stand der Technik sind Segmente virtuell getrennt und zunächst ist jedwede Kommunikation segmentübergreifend unterbunden („vertraue niemandem“). Über granulare Regeln wird die spezifische Kommunikation für Nutzer, Devices und Anwendungen erlaubt. So entsteht ein hohes Maß an Grundsicherheit, da Angreifer sich nur innerhalb des infiltrierten Segmentes bewegen könnten. 2. IAM – Identity Access Management: Die Anmeldung am System, die Authentifizierung der Identität, erfolgt unter Nutzung von Identity-Access-Management-Systemen, die bspw. über Passkeys und Mehrfaktorauthentifizierung sicherstellen, dass sich die richtige Person oder auch Applikation anmeldet. Der Zugriff wird erst nach erfolgreicher Authentifizierung gewährt. 3. PAM – Privileged Access Management: Die Berechtigungen für die jeweilige Aufgabe werden durch ein Privileged-Access-Management-System erteilt. Dieses stellt sicher, dass der angemeldete User bzw. Applikation/Service nur minimale Berechtigungen erhält, die für die jeweilige Aufgabe bzw. Rolle notwendig sind. Dieses Prinzip gilt nicht nur für die „normalen“ User mit spezifischen Anwendungsberechtigungen, sondern besonders für Administratorrollen, da diese umfassende Berechtigungen haben und daher ein besonderes Sicherheitsrisiko darstellen. Durch temporäre – zeitlich beschränkte – Zugriffe wird sichergestellt, dass die Rechte zumindest nicht dauerhaft vergeben werden. 4. Monitoring, Reporting und Auditing: Eine laufende Überwachung stellt sicher, dass alle Zugriffe protokolliert und über Dashboards einsehbar sind. Regelmäßige Reports informieren die wichtigsten Stellen über die Sicherheitslage. Für Compliance-Anforderungen sind Funktionen für das Auditieren des Gesamtsystems verfügbar. Zero Trust bietet Unternehmen eine Reihe wichtiger Vorteile, erfordert aber ein sorgsames Umgehen mit verschiedenen Herausforderungen bei Einführung. Die Vorteile von Zero Trust • Mehr Sicherheit • Verbesserte Compliance • Skalierbar nach Bedarf bzw. Anforderungen • Ganzheitlicher Ansatz Herausforderungen bei Einführung von Zero Trust • Komforteinschränkungen • Komplex in der Einrichtung/Umsetzung und Verwaltung • Kulturell eventuell im Widerspruch zu Leitwerten (neu: Kultur des Misstrauens) • Kein einfach adaptierbares Standardmodell, sondern individuell Zero Trust:„start top down!“ Wie wird Zero Trust zur Sicherheitsarchitektur auch in Ihrem Unternehmen? Das Wichtigste zuerst: die Unterstützung durch das Topmanagement. Der Zero Trust Ansatz ist so umfassend und wirkt sich in so vielen Bereichen aus, dass er scheitert, wenn das Management ihn nicht umfassend unterstützt. Das Topmanagement ist auch gefordert, wenn es um die strategischen Fragen zur Informationssicherheit geht: • Wie wird im Notfall verfahren (Notfallplan)? • Was muss geschützt werden? • In welchem Umfang ist Schutz erforderlich? • Wie erfolgt eine Wiederherstellung (Recovery-Plan)? Auch wichtig: Da es sich um IT-Security handelt, liegen viele Aufgaben der Planung und Umsetzung in der IT: die Definition der Security Policies, die Auswahl und Beschaffung der notwendigen Hard- und Software, die Konfiguration aller Systeme und die Schulung der Mitarbeitenden. Wie gesagt: Bei Einführung einer ZeroTrust-Architektur sind grundsätzlich alle Fachbereiche betroffen, da sich z. B. Arbeitsweisen ändern, aber vor allem ein neues Mindset etabliert werden muss, und das kann auch als kultureller Wandel empfunden werden … und häufig ist es einer. Vertrauen ist schlecht, Kontrolle ist besser Zero Trust ist ein Paradigmenwechsel in der Unternehmenskultur und in Bezug auf die Nutzung von IT. Das Leitbild„Vertrauen ist schlecht, Kontrolle ist besser“ stößt nicht nur auf Begeisterung, und der restriktive Zugang zu IT-Ressourcen kann geübte Abläufe erschweren. Dennoch: Das alles ist besser, als Opfer einer Ransomware- oder Phishingattacke zu werden.
RkJQdWJsaXNoZXIy Mjc4MQ==