Zero Trust – oder lassen Sie jeden rein?

Im Artikel „Zero Trust – Ein neues Zeitalter der Cyber Security“ hat unser Experte Anton Peter bereits seine Einschätzung zum Zero Trust-Modell gegeben. In diesem Blogbeitrag möchten wir uns mit ein paar grundlegen Fragen beschäftigen:  Was bedeutet Zero Trust eigentlich? Was ist das Prinzip hinter Zero Trust? Was ist der Nutzen? All dies und mehr klären wir hier.

Zero Trust ist ein Sicherheitsmodell aus der Cyber-Security. Bevor Zugang zu Daten oder IT-Ressourcen generell gewährt wird, müssen verschiedene Prüfmechanismen ausgeführt werden, um die Identität des Anfragenden und die Legitimität des Zugriffes zu verifizieren. Der Zugriff darf – wie der Begriff schon ausdrückt – auf keinen Fall auf Basis von Vertrauen erteilt werden. Ziel ist es, unberechtigte Zugriffe und mögliche Folgerisiken, wie beispielsweise Datenverlust oder andere nachteilige Ereignisse dieser Art, zu vermeiden. Zero Trust ist ein Denkmodell und keine exakte Handlungsvorgabe: Auf Basis des Ansatzes werden operative Modelle entwickelt, um dem Ziel des Datenschutzes und der Datensicherheit so nahe wie möglich zu kommen.  

Es klingelt – ohne Nachfrage wird der Türöffner betätigt, der Klingelnde betritt das Treppenhaus – ohne Verifizierung der Identität und Legitimation. 

Es klingelt – die Gegensprechanlage wird bemüht, um herauszufinden, wer vor der Tür steht und warum. Der Klingelnde informiert mit: „Hallo Herr Schmitz! Ich bin’s Ihr Nachbar Meier. Könnten Sie mich bitte mal reinlassen? Ich habe meinen Schlüssel vergessen.“. Der Türöffner wird betätigt, der Klingelnde betritt nach einfacher Verifizierung der Identität und Legitimation das Treppenhaus. 

Es klingelt, die Gegensprechanlage wird bemüht, um herauszufinden, wer vor der Tür steht und warum. Der Klingelnde informiert mit: „Hallo Herr Schmitz, ich bin’s Ihr Nachbar Meier, könnten Sie mich bitte mal reinlassen? Ich habe meinen Schlüssel vergessen.“

Nach dem Zero Trust Modell ergeben sich folgende Handlungsoptionen:

1. Prüfung der Identität: Sie erkennen, dass im Haus kein Meier wohnt. Der Klingelnde wird abgewiesen.
2. Prüfung der Identität: Im Haus wohnt eine Familie Meier, allerdings haben Sie die Stimme nicht erkannt. Sie fragen bei der Nachbarwohnung an, ob die Situation zutreffend ist. Der angegebene Herr Meier verneint die Situation, der Klingelnde wird abgewiesen.
3. Prüfung der Identität: Es ist eine Gegensprechanlage mit Videofunktion installiert. Sie erkennen den Klingelnden nicht als Herrn Meier, die Person wird abgewiesen.
4. Prüfung der Identität: Keine der vorherigen Optionen ist ausführbar. Sie delegieren die Entscheidung an eine höher gestellte Autorität, beispielsweise den Hausmeister.
5. Prüfung der Legitimität: Sie bestehen darauf, dass der Klingelnde einen Schlüssel nutzt, um den geschützten Bereich zu betreten

Die alles entscheidende Frage ist also: Wann und unter welchen Umständen darf jemandem die Tür geöffnet werden, aufgrund…

• ...einfach so.
• …der Kenntnis Ihres Namens und/oder der Stimme.
• …von Angaben zu Gründen, spezifischen Informationen oder Sicherstellung der Identität.

Zero Trust bedeutet, dass kein Benutzer, kein Gerät und keine Anwendung automatisch als vertrauenswürdig gilt. Jeder Zugriff wird kontextbezogen geprüft, auch wenn er aus dem internen Netzwerk kommt. Damit ersetzt Zero Trust das alte Sicherheitsmodell, bei dem das Firmennetz selbst als vertrauenswürdige Zone galt. Entscheidend ist nicht mehr der Standort eines Zugriffs, sondern Identität, Risiko, Gerät, Verhalten und Berechtigung.

Früher schützten Unternehmen analog wie beim Praxisbeispiel des Mehrfamilienhaus vor allem den Netzwerkperimeter: Firewall, VPN und interne Zonen trennten „innen“ von „aussen“. Dieses Modell funktioniert nur begrenzt, wenn Mitarbeitende hybrid arbeiten, Cloud-Dienste nutzen und externe Partner direkt auf Systeme zugreifen. Angreifer kompromittieren heute häufig Identitäten, gemäss einer Sophos Studie aus 2025 hatten 71% der Unternehmen mindestens einen identitätsbezogenen Angriff in den letzten 12 Monaten. Sobald Zugangsdaten gestohlen sind, wirkt ein legitimer Login oft unauffällig. Genau hier setzt Zero Trust an. Jeder Zugriff wird kontinuierlich bewertet, statt nach dem ersten Login dauerhaft vertraut zu werden. Dadurch sinkt das Risiko lateraler Bewegungen im Netzwerk deutlich. Für IAM-Verantwortliche wird Zero Trust deshalb zu einer Architekturfrage, nicht nur zu einem Security-Slogan.

Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) definierte 2023 im Zero Trust Maturity Model fünf Säulen, welche heute als Fundament von Zero Trust allgemeine Gültigkeit haben:

• Identity
• Devices
• Networks
• Applications and Workloads
• Data

Das Canadian Centre for Cyber Security bezog sich bereits 2022 auf die fünf Säulen, mit Ergänzung von drei Grundprinzipien:

• Visibility and analytics
• Automation and orchestration
• Governance

Die Modelle von CISA und dem Canadian Centre for Cyber Security verdeutlichen, dass Zero Trust nur dann wirksam wird, wenn Identitäten, Governance und kontinuierliche Kontrolle als zusammenhängende Sicherheitsarchitektur betrachtet werden.

Eine Zero-Trust-Architektur besteht aus mehreren Bausteinen, die gemeinsam wirken müssen. Dazu gehören IAM, Privileged Access Management, Identity Governance, Endpoint Security, Netzwerksegmentierung und Security Monitoring. Auch Zero Trust Network Access kann eine wichtige Rolle spielen, wenn klassische VPN-Zugriffe ersetzt werden sollen. Entscheidend ist die Integration dieser Komponenten in ein einheitliches Regelwerk.

Identity & Access Management (IAM) ist das Fundament jeder Zero-Trust-Strategie. Ohne verlässliche Identitäten, Rollen, Richtlinien, Authentisierung und Zugriffskontrollen bleibt Zero Trust technisch unvollständig. IAM stellt sicher, dass Benutzer sich sicher anmelden können und dabei nur jene Rechte erhalten, die sie für ihre Aufgabe tatsächlich benötigen. Dies nennt man Need-To-Know oder auch vermehrt Least Privileged, wie zum Beispiel AWS in ihren Best Practice.  Besonders wichtig sind dabei Lifecycle-Prozesse, Rezertifizierungen, Multi-Faktor-Authentifizierung und rollenbasierte (RBAC) oder attributbasierte (ABAC) Berechtigungsmodelle.

Zero Trust verändert die Authentifizierung grundlegend, weil ein einmaliger Login nicht mehr als ausreichender Vertrauensnachweis gilt. Stattdessen wird der Zugriff dynamisch bewertet. Ein Login aus einem bekannten Büro, mit verwaltetem Gerät und normalem Verhalten kann anders behandelt werden als ein Zugriff aus einem unbekannten Land. Moderne IAM-Plattformen nutzen dafür Conditional Access, Adaptive Authentication und risikobasierte Richtlinien. Multi-Faktor-Authentifizierung bleibt dabei zentral, reicht allein aber nicht aus. Entscheidend ist die Kombination aus Identität, Gerätestatus, Session-Risiko und Datenklassifikation. Dadurch können Unternehmen starke Sicherheit erreichen, ohne jede Benutzerinteraktion unnötig zu erschweren. Zero Trust verbessert also nicht nur Schutz, sondern auch die Steuerbarkeit digitaler Zugriffe.

OWASP warnt insbesondere bei den non-human identities nebst einer unsicheren Authentifizierung (Top4) speziell auch vor der Überprivilegierung (Top5). Gemeint sind Service Accounts, API-Keys, Workload Identities oder Maschinenidentitäten, die wesentlich mehr Rechte besitzen als für ihre eigentliche Aufgabe notwendig wäre und schlecht überwacht sind. Besonders problematisch wird dies nach einer erfolgreichen Kompromittierung: Überprivilegierte Identitäten (overprivileged identities) ermöglichen Angreifern häufig eine schnelle laterale Bewegung innerhalb der Infrastruktur.

Social Engineering entwickelt sich zunehmend zum Ausgangspunkt moderner Cyberangriffe. Der ENISA Threat Landscape Report 2024 beschreibt insbesondere Phishing, kompromittierte Identitäten und die Manipulation legitimer Benutzer als zentrale Angriffsmethoden moderner Bedrohungsakteure. Dadurch reichen klassische Sicherheitsmodelle, welche Benutzern nach einer erfolgreichen Anmeldung dauerhaft vertrauen, immer weniger aus. Zero-Trust-Architekturen reagieren darauf, indem sie keinem Nutzer grundsätzlich vertrauen und stattdessen auf kontinuierliche Verifikation, risikobasierte Zugriffskontrollen sowie die laufende Überwachung verdächtiger Benutzeraktivitäten setzen.

Was kostet eine Zero-Trust-Architektur?

Klein- und Mittelunternehmen (KMU) mit bis zu 249 Mitarbeitenden bewegen sich bei Zero-Trust-Initiativen schnell im sechsstelligen Bereich. Grosse Unternehmen erreichen aufgrund komplexerer Systemlandschaften, regulatorischer Anforderungen und internationaler Strukturen rasch Investitionen im siebenstelligen Bereich und noch höher. Je globaler und heterogener eine Organisation aufgebaut ist, desto höher fallen Aufwand und Kosten für den Aufbau einer Zero-Trust-Architektur aus.

Typische Kostentreiber sind:

• Identity & Access Management (IAM)

• Multi-Faktor-Authentifizierung (MFA)

• Privileged Access Management (PAM)

• Netzwerksegmentierung und ZTNA

• Security Monitoring und SIEM

• Identity Governance und Rezertifizierung

• Beratung, Architektur und Betriebsaufwand

Wichtig ist jedoch: Zero Trust wird selten als einmaliges Projekt umgesetzt. CISA beschreibt Zero Trust deshalb bewusst als Reifegradmodell, das schrittweise entwickelt wird. Viele Unternehmen beginnen zunächst mit besonders kritischen Bereichen wie privilegierten Identitäten, externen Zugriffen oder sensiblen Daten und erweitern die Architektur danach iterativ. Gleichzeitig zeigt sich immer deutlicher, dass die Kosten eines erfolgreichen Data Breach die Investitionen in moderne Sicherheitsarchitekturen häufig deutlich übersteigen.

Viele Zero-Trust-Initiativen scheitern nicht an der Technologie, sondern an unklaren Verantwortlichkeiten. Wenn IAM, Security, Infrastruktur und Fachbereiche getrennt planen, entstehen Lücken zwischen Strategie und Umsetzung. Ein weiterer Fehler ist die reine Tool-Perspektive: Zero Trust lässt sich nicht durch den Kauf einzelner Produkte erreichen. Ebenso problematisch sind zu komplexe Richtlinien, die Benutzer überfordern und im Alltag umgangen werden.

Typische Fehler sind:

• Zero Trust nur als Netzwerk- oder VPN-Thema zu behandeln.
• Privilegierte Identitäten nicht prioritär abzusichern.
• Berechtigungen nicht regelmässig zu überprüfen.
• Fachbereiche zu spät in Governance-Entscheidungen einzubeziehen.
• Monitoring ohne klare Reaktionsprozesse aufzubauen.

Zero Trust entwickelt sich zunehmend zur Grundlage moderner Sicherheitsarchitekturen. Klassische Sicherheitsmodelle reichen in hybriden IT- und Cloud-Umgebungen immer weniger aus, insbesondere durch die steigende Zahl identitätsbasierter Angriffe. Statt implizitem Vertrauen rücken kontinuierliche Verifikation, risikobasierte Zugriffskontrollen und der Schutz sensibler Daten in den Mittelpunkt.

Unternehmen, welche Identitäten, Zugriffe und Daten strategisch absichern, stärken damit nicht nur ihre Sicherheit, sondern auch ihre Resilienz gegenüber modernen Cyberbedrohungen.