Traue keinem!
Adaptive Authentifizierung als Kernelement von Zero-Trust-Strategien
Das Konzept „Zero Trust“ ist eine zeitgemäße Antwort auf das Ende der Perimetersicherheit. Dieses dezentrale Sicherheitskonzept beruht darauf, erst einmal allen Geräten und Nutzern zu misstrauen und mit verteilter Überprüfung an mehreren Stellen die neuen vielfältigen Netzwerkarchitekturen, die nicht mehr zwischen „innen“ und „außen“ unterscheiden, zu schützen.
Die Idee für das Zero-Trust-Konzept ist durch die Veränderung der Netzwerkinfrastrukturen entstanden, daher auch die ursprüngliche Begrifflichkeit der „Zero Trust Networks“. Geräte, Dinge, Personen und Systeme sind heutzutage in vielfältiger Weise vernetzt. Mobile Endgeräte sind der Normalfall und die Zeiten, als nur Mitarbeiter Zugriff auf IT-Systeme im internen Netzwerk hatten, sind auch längst vorbei. Hinzu kommt, dass Systeme in unterschiedlichsten Modellen betrieben werden: vom reinen On-Premises-Betrieb im eigenen Rechenzentrum bis hin zu Lösungen in der Public Cloud. Die Folge ist, dass der Perimeter, der die Innenwelt der unternehmensinternen IT von der Außenwelt getrennt hat, in dieser Form schlicht nicht mehr existiert. Daher ist er auch als das zentrale Element zum Schutz vor Bedrohungen nicht mehr geeignet – es bedarf anderer, verteilter Ansätze für die Sicherheit.
Für diese „neue“ Welt ist das Konzept von Zero Trust entstanden. Es gibt gute Gründe dafür: In einer IT, in der es immer mehr Angriffe sowohl von innen als auch von außen gibt und in der keine klare Trennung zwischen innen und außen existiert, funktionieren die traditionellen, auf Netzwerksicherheit ausgerichteten Konzepte nicht mehr. Die Zugriffsberechtigungen von Benutzern, insbesondere mithilfe von Kennwörtern, sind gefährdet. Endgeräte sind oft nicht mehr unter der (vollständigen) Kontrolle von Unternehmen. Zero Trust Security ist darauf ausgerichtet, auch in solchen verteilten IT-Infrastrukturen mit unterschiedlichsten Nutzergruppen Sicherheit zu liefern.