Security & Compliance

Zero Trust (Zero-Trust-Sicherheitsmodell)

Overview

Zero Trust ersetzt das Perimeter-Denken, bei dem alles hinter der Firewall als vertrauenswürdig galt. Auslöser sind Homeoffice, Cloud-Dienste und mobile Geräte: Den klar abgegrenzten Netzwerkrand gibt es kaum noch, und ein einmal kompromittiertes Konto im internen Netz hatte im alten Modell freie Bahn.

Microsoft fasst das Modell in drei Prinzipien zusammen: explizit verifizieren, minimale Rechte vergeben (Least Privilege) und von einem erfolgreichen Angriff ausgehen (Assume Breach). Der Zero Trust Guidance Center auf Microsoft Learn ordnet die Umsetzung den technischen Säulen Identitäten, Endpunkte, Anwendungen, Daten, Infrastruktur und Netzwerk zu, ergänzt um Sichtbarkeit, Automatisierung und Orchestrierung.

Zero Trust ist ein Architekturansatz und kein Produkt. Zero Trust Network Access (ZTNA), Conditional Access oder Microsoft Entra Private Access sind Bausteine, aber nicht das Gesamtmodell. Für NIS2 und ISO 27001 liefert Zero Trust keine eigene Pflicht, erleichtert aber die geforderten Nachweise zu Zugriffssteuerung und MFA.

How it works

In Microsoft-Umgebungen trifft Microsoft Entra ID mit Conditional Access die Zugriffsentscheidung, die übrigen Dienste liefern Signale. Der Ablauf pro Anfrage:

  1. Ein Benutzer oder Dienst fordert Zugriff auf eine App oder Ressource an.
  2. Conditional Access wertet Signale aus: Identität, MFA-Status, Gerätezustand aus Intune, Standort, Anmelde- und Benutzerrisiko sowie die Ziel-App.
  3. Die Richtlinie entscheidet: zulassen, mit Auflagen zulassen (MFA, konformes Gerät, eingeschränkte Sitzung) oder blockieren.
  4. Während der Sitzung bewerten Defender und Entra ID Protection das Risiko fortlaufend, Continuous Access Evaluation kann Token vorzeitig entwerten.
  5. Purview schützt Daten über Klassifizierung und DLP, Netzwerksegmentierung begrenzt die seitliche Ausbreitung bei einem Vorfall.

Die Einführung erfolgt schrittweise, meist beginnend bei Identität und MFA, danach Geräte, Daten und Netzwerk.

Benefits

  • Kleinere Angriffsfläche, weil gestohlene Zugangsdaten allein nicht mehr für den Zugriff reichen
  • Geringerer Schaden bei Vorfällen, da Rechte minimal und Netzwerksegmente getrennt sind
  • Ein Modell für Büro, Homeoffice und Cloud statt getrennter Sonderlösungen wie Voll-VPN
  • Bessere Nachweise für ISO 27001, NIS2 und TISAX, weil Zugriffsentscheidungen protokolliert sind
  • Schrittweise einführbar, ohne die gesamte Infrastruktur auf einmal umzubauen

Practical example

Ein Maschinenbauer mit 250 Mitarbeitenden gewährt per VPN Zugriff auf das gesamte Firmennetz. Nach einem Phishing-Vorfall führt die IT zuerst MFA und Conditional Access ein und verlangt für ERP und Konstruktionsdaten konforme Intune-Geräte. Danach trennt sie Produktions- und Büronetz in Segmente und vergibt Admin-Rechte über PIM nur befristet. Ein kompromittiertes Benutzerkonto kommt seitdem nicht mehr ohne Weiteres an die Konstruktionsdaten.

Things to keep in mind

  • Zero Trust als Programm über Monate planen, mit priorisierter Roadmap statt Einzelprojekt
  • Zwei Notfallkonten (Break Glass) von Conditional-Access-Richtlinien ausnehmen und separat überwachen
  • Lizenzen der Bausteine früh klären: Conditional Access braucht Microsoft Entra ID P1, risikobasierte Richtlinien und PIM brauchen P2 oder Entra ID Governance
  • Neue Richtlinien zuerst im Modus „Nur Bericht“ und mit einer Pilotgruppe testen, sonst drohen Aussperrungen
  • Für Altsysteme ohne Modern Authentication ein Übergangskonzept festlegen

Conclusion

Zero Trust lohnt sich für jede Organisation, die Cloud und mobiles Arbeiten nutzt. Beginne mit Identität, MFA und Conditional Access und arbeite Dich dann zu Geräten, Daten und Netzwerk vor.

Further reading

Related articles