In einer zunehmend vernetzten Welt, in der Bedrohungen für IT-Infrastrukturen immer raffinierter werden, ist eine robuste IT-Sicherheitsarchitektur unumgänglich. Doch die Zeit des althergebrachten Perimeter-Security-Modells ist vorbei: Längst befinden sich weder die wichtigen IT-Ressourcen noch die darauf zugreifenden Nutzer nur innerhalb unserer „Burg- mauern“. Um den Schutz von Daten zu gewährleisten, hat sich deshalb die Zero Trust Architektur (ZTA) als erfolgreicher Ansatz etabliert. Die Grafik unten zeigt die entscheidenden Vorteile einer ZTA in einer modernen IT-Landschaft auf.
Über diese unmittelbaren Vorteile hinaus werden mit dem Zero-Trust-Ansatz aktuelle regulatorische Vorgaben erfüllt, wie sie durch NIS2, DORA oder KRITIS an Unternehmen gestellt werden.
Doch die Implementierung von Zero Trust ist komplex und stellt Unternehmen vor zahlreiche Heraus- forderungen.
Dieses Whitepaper zeigt auf, warum Hersteller meist nicht die ganze Wahrheit über die Einführung einer ZTA erzählen und wie Sie mit der richtigen Herangehens- weise die IT-Sicherheit in Ihrem Unternehmen auf ein neues Level heben können, ggf. ohne kurzfristig große Investitionen tätigen zu müssen.
Die Illusion
Eine ZTA besteht aus einer Vielzahl von Bestandteilen und Maßnahmen in unterschiedlichen Disziplinen. Diese Tatsache ist eine der größten Herausforderungen bei der Einführung von Zero Trust: Es gibt kein Produkt, mit dem alle Anforderungen erfüllt werden können. Zero Trust ist kein Produkt, sondern ein Paradigma, das auf mehreren Prinzipien basiert:
Verify Explicitly
Jeder einzelne Zugriff wird authentifiziert und kontinuierlich überprüft.
Principle of Least Privilege
Nutzer erhalten nur die minimal notwendigen Zugriffsrechte für die spezifische Anfrage.
Assume Breach
Es wird immer davon ausgegangen, dass der Angreifer bereits im System ist.
Darstellbar und messbar wird die Umsetzung der Zero-Trust-Architektur mit einem Reifegradmodell, beispielsweise dem der CISA1 (Cybersecurity and Infrastructure Security Agency) oder des BSI2 (Bundesamt für Sicherheit in der Informationstechnik). Dieses kategorisiert die Vielzahl von Technologien und Lösungen in fünf Teilbereiche: Identitäten, Geräte, Netzwerke, Daten und Applikationen.
In die Betrachtung sollten stets alle Teilbereiche einbezogen werden. Stattdessen verkaufen viele Hersteller die Illusion, dass ihr spezifisches Produkt Zero Trust ins Unternehmen bringt („One-Stop-Shop“ statt „Best-of-Breed“). Dabei wird gerne vernachlässigt, welche Aspekte das Produkt nicht erfüllt. Umso bedeutender ist ein Blick hinter die Kulissen.
1 Zero-Trust-Reifegradmodell der CISA: https://www.cisa.gov/zero-trust-maturity-model
2 Positionspapier des BSI: https://www.bsi.bund.de/dok/zero-trust
Fragmentierte Produktlandschaft
Es werden viele Produkte angeboten, die spezifische Aspekte von Zero Trust in einer Untermenge dieser Teilbereiche abdecken. Diese reichen von Identitäts- und Zugriffsmanagement (IAM) über Netzwerk- segmentierung bis hin zu Endpunkt-Sicherheitslösungen. Dabei hat jedoch jeder Hersteller oder Integrator seine eigene Definition von Zero Trust, die stark dadurch geprägt ist, welche Aspekte mit seinem Produkt bzw. Portfolio abgedeckt werden können. Andere Aspekte werden in der Vermarktung hingegen ignoriert, insbesondere zum Verkauf des One-Stop-Shops. Um Zero Trust vollumfänglich abzudecken, braucht es daher mehr als ein Produkt. Auch mehrere Produkte für die verschiedenen Teilbereiche sind noch keine abschließende Lösung, wenn sie nicht gut aufeinander abgestimmt (orchestriert) sind.
Diese Fragmentierung macht es schwierig, eine umfassende Sicherheitsstrategie zu entwickeln. Unter- nehmen müssen sorgfältig evaluieren, welche Lösungen am besten zu ihren spezifischen Anforderungen passen und wie diese nahtlos zusammenarbeiten können. Sie müssen die Lücken aufdecken, die sich durch die Produktlandschaft ergeben, und die richtigen technischen oder organisatorischen Maßnahmen ergreifen, um diese zu schließen.
Unternehmen müssen die Lücken kennen und die richtigen Maßnahmen planen, um sich nicht in falscher Sicherheit einer vermeintlich vollständigen Lösung zu wähnen.
Nutzung vorhandener Ressourcen
Der Ansatz der Zero-Trust-Architektur ist nicht gänzlich revolutionär. Oftmals sind sogar Werkzeuge oder Technologien bei Unternehmen im Einsatz, mit welchen bereits erste Schritte in Richtung Zero Trust unternommen wurden oder die leicht ausgebaut werden können.
Beispielsweise können bestehende IAM-Systeme erweitert werden, um strengere Authentifizierungs- mechanismen zu implementieren. Netzwerk- segmentierung kann mit vorhandenen Netzwerkgeräten und -konfigurationen erreicht werden. Mit einem guten Netzdesign, gezielten Firewall-Regeln und einer guten Endpunktsicherheit kann auch ohne eine dedizierte neue Lösung grundlegend Zero Trust Network Access (ZTNA) realisiert werden. Durch die Nutzung bereits vorhandener Ressourcen können Unternehmen die Kosten sowie den Aufwand für die Implementierung von Zero Trust erheblich reduzieren und zudem schneller zum Ergebnis kommen.
Unsere Erfahrung ist, dass Unternehmen bereits viel erreichen können, wenn sie die vorhandenen Werkzeuge besser einsetzen. Die Erkenntnis, dass das eigene Unternehmen bereits Schritte in Richtung Zero Trust gegangen ist, kann motivieren, diesen Weg fortzuführen.
Schrittweise Implementierung und Reifegradbewertung
Die Einführung von Zero Trust sollte als kontinuierlicher Prozess verstanden werden, der in mehreren Phasen erfolgt. Eine ZTA wird nicht mit der Anschaffung eines einzelnen Produkts abschließend implementiert.
Unternehmen sollten zunächst den Reifegrad ihrer aktuellen Sicherheitsarchitektur bewerten und dokumentieren. Dieser Reifegrad kann anhand bewährter Standards, beispielsweise von CISA oder BSI, bestimmt werden. Basierend auf dieser Bewertung wird dann eine Roadmap entwickelt, die die schrittweise Implementierung von Zero-Trust-Maßnahmen kurz-, mittel- und langfristig beschreibt. Diese Roadmap sollte neben konkreten Zielen und Meilensteinen auch High-Level-Ziele enthalten und je Stufe Kosten und Nutzen im richtigen Verhältnis berücksichtigen. So können konkrete kurzfristige Maßnahmen angegangen und gleichzeitig das große Ziel bei künftigen Entscheidungen im Blick behalten werden.
In einem kontinuierlichen Prozess kann das Unternehmen seine individuelle ZTA über die unterschiedlichen Reifegrade weiterentwickeln, um- setzen und an das „Ideal“ annähern. Heute existieren
jedoch nicht für alle Anforderungen dieses, von der CISA und dem BSI definierten, obersten Reifegrades einfach und kurzfristig umsetzbare Lösungen. Das kann in einer Roadmap berücksichtigt sowie gleichzeitig der Fortschritt gemessen werden. So wird sichergestellt, dass die Implementierung auf Kurs bleibt.
Diese Roadmap sollte kontinuierlich überwacht und regelmäßig fortgeschrieben werden. Sie sollte in enger Abstimmung mit allen beteiligten Stakeholdern im Unternehmen erstellt werden. So wird sichergestellt, dass jede Entwicklung im Unternehmen, jede Beschaffung, jede organisatorische Anpassung und jeder Prozess die Einführung von Zero Trust unterstützen und sich wie Puzzleteile ins große Bild einfügen.
Fazit
Zero Trust ist kein optionaler Ansatz, sondern eine Notwendigkeit in der heutigen Bedrohungslandschaft. Aufgrund der hohen Relevanz und Komplexität von Zero Trust ist es ratsam, sich einer erfahrenen externen Unterstützung zu bedienen. Dies können Hersteller, Integratoren oder Systemhäuser sein, wobei hier erfahrungsgemäß oft die „schnelle Lösung“ verkauft wird. Anbieter von spezifischen Lösungen rücken naturgemäß nur jene Herausforderungen in den Vordergrund, die durch das eigene Portfolio adressiert werden.
Deutlich zielführender, nachhaltiger und wirtschaftlicher ist die Unterstützung durch ein herstellerunabhängiges Beratungsunternehmen. Hier erhalten Unternehmen wertvolle Einblicke in die verschiedenen Möglichkeiten und Best Practices am Markt. Dadurch werden häufige Fallstricke vermieden, unnötige Kosten gespart und zielgerichtete Implementierungen beschleunigt. Unabhängige Beratung hilft auch dabei, die Interoperabilität zwischen verschiedenen Produkten sicherzustellen und eine ganzheitliche Sicherheits- strategie zu entwickeln.
In einem Webinar stellte unser Experte Maximilian Zöller das Konzept der Zero-Trust-Architektur vor. Er erläuterte die zentralen Bestandteile des Modells und zeigte, wie der Umsetzungsgrad erfasst und gemessen werden kann. Zudem zeigte er auf, wie durch die Erstellung einer Roadmap zukünftige Entscheidungen und Beschaffungen am Ziel der Zero-Trust-Umsetzung ausgerichtet werden können.
Vielen Dank für Ihre Teilnahme.
Die Aufzeichnung sowie die Präsentationsunterlagen stehen jetzt zur Verfügung.
Erhalten Sie hier unser kostenlostes Whitepaper als PDF-Datei
