Zero-Trust-Architektur — Das Ende des Perimeters

Das Jahr 2020 brachte einen massiven Wechsel zum Remote-Arbeiten und damit das endgültige Ende der Illusion, dass Firmennetzwerk = sicheres Netzwerk. VPN reicht nicht aus, eine Perimeter-Firewall stoppt keinen Angreifer, der bereits drin ist. Zero Trust ist kein Buzzword — es ist eine Notwendigkeit. Hier sind unsere Erfahrungen aus der Implementierung bei tschechischen Enterprise-Kunden.

Warum Perimetersicherheit nicht funktioniert¶

Das traditionelle Sicherheitsmodell funktioniert wie eine Burg mit Wassergraben — eine solide Mauer um das Netzwerk, und allen drinnen wird vertraut. Das Problem? Moderne Infrastruktur hat keinen klaren Perimeter. Mitarbeiter arbeiten von zu Hause, Anwendungen laufen in der Cloud, Partner greifen über APIs zu. Ein Angreifer, der das VPN überwindet (Phishing, gestohlene Credentials), hat freie Bewegung im gesamten Netzwerk.

Der SolarWinds-Angriff Ende 2020 zeigte, wie verheerend Lateral Movement innerhalb eines „vertrauenswürdigen” Netzwerks sein kann. Der Angreifer gelangte über ein legitimes Software-Update hinein und bewegte sich monatelang unentdeckt.

Zero-Trust-Prinzipien¶

Zero Trust basiert auf einem einfachen Prinzip: Niemals vertrauen, immer verifizieren. Es spielt keine Rolle, ob eine Anfrage aus dem internen Netzwerk oder dem Internet kommt — jeder Zugriff wird mit gleicher Strenge verifiziert.

1. Explizit verifizieren — Authentifizierung und Autorisierung basierend auf allen verfügbaren Signalen: Identität, Gerät, Standort, Verhalten
2. Least Privilege Access — minimale Berechtigungen für die kürzeste Zeit. Just-in-Time, Just-Enough Access.
3. Assume Breach — entwerfen Sie Ihr System unter der Annahme, dass der Angreifer bereits drin ist. Mikrosegmentierung, Monitoring, schnelle Erkennung.

Implementierungssäulen¶

Zero Trust ist kein Produkt, das Sie kaufen. Es ist ein architektonischer Ansatz, der sechs Bereiche abdeckt:

• Identität: Azure AD / Okta als zentraler Identity Provider. MFA überall, Conditional Access Policies. Passwortlose Authentifizierung wo möglich.
• Geräte: Device Compliance — nur verwaltete Geräte mit aktuellem Patching greifen auf Unternehmensressourcen zu. Intune / Jamf für MDM.
• Netzwerk: Mikrosegmentierung — statt eines flachen L2-Segments isolierte Zonen. East-West Firewalling. Software-Defined Perimeter.
• Anwendungen: Anwendungen verifizieren die Identität bei jedem Aufruf. OAuth 2.0 + OIDC. API Gateway als Enforcement Point.
• Daten: Datenklassifikation, Verschlüsselung at-rest und in-transit. DLP-Richtlinien. Datenzugriff basierend auf Sensitivität.
• Sichtbarkeit: Zentrales Logging, SIEM (Sentinel / Splunk), UEBA für Erkennung anomalen Verhaltens.

Wie wir es implementiert haben¶

Für ein mittelgroßes Finanzinstitut (800 Mitarbeiter) implementierten wir Zero Trust über 9 Monate. Wichtige Schritte:

1. Assessment (Monate 1–2): Audit der Identitätsinfrastruktur, Netzwerktopologie, Anwendungsportfolio. Identifikation der Crown Jewels — kritische Systeme und Daten.
2. Identity First (Monate 2–4): Migration zu Azure AD, MFA-Deployment für alle Benutzer, Conditional Access. Dies lieferte 60 % des Mehrwerts.
3. Device Compliance (Monate 4–6): Intune-Enrollment, Compliance-Richtlinien, bedingter Zugriff basierend auf dem Gerätezustand.
4. Mikrosegmentierung (Monate 6–9): Netzwerksegmentierung in Zonen, East-West Firewalling, Isolierung von Legacy-Systemen.

Was wir gelernt haben¶

Eine Zero-Trust-Transformation ist nicht nur ein technisches Projekt — es ist ein Wandel im Denken. Die größten Herausforderungen:

• Legacy-Systeme: Ältere Anwendungen unterstützen keine moderne Authentifizierung. Lösung: Application Proxy, Reverse Proxy mit Pre-Authentication.
• User Experience: MFA und Conditional Access erzeugen Reibung. Wenn Sie es übertreiben, finden Benutzer Workarounds. Balance ist entscheidend.
• Widerstand des Managements: „Warum brauche ich MFA, wenn ich im Büro bin?” — die Aufklärung darüber, warum der Perimeter nicht ausreicht, braucht Zeit.
• Schrittweise Implementierung: Big Bang funktioniert nicht. Deployen Sie Säule für Säule, messen Sie die Auswirkungen, iterieren Sie.

Ergebnisse nach 6 Monaten¶

Nach der Einführung von Zero Trust beobachteten wir:

• 95 % Reduktion erfolgreicher Phishing-Angriffe (MFA + Conditional Access)
• Eliminierung von Lateral Movement — Mikrosegmentierung stoppte einen simulierten Red-Team-Angriff
• 80 % schnellere Anomalieerkennung dank zentralisiertem SIEM
• Compliance-Audit (Tschechische Nationalbank) erstmals in der Firmengeschichte ohne Befunde bestanden

Zero Trust ist kein Ziel — es ist eine Reise¶

Sie werden mit Zero Trust nie „fertig” sein. Es ist ein kontinuierlicher Prozess der Risikobewertung und Verschärfung von Kontrollen. Aber selbst die ersten Schritte — MFA und Conditional Access — verbessern Ihre Sicherheitslage dramatisch. Beginnen Sie mit der Identität, fahren Sie mit Geräten fort, segmentieren Sie das Netzwerk. Im Jahr 2021 ist die Frage nicht „ob”, sondern „wie schnell”.