Zero Trust bezeichnet nach dem BSI ein Architekturdesign-Paradigma, das im Kern auf dem Prinzip der minimalen Rechte aller Entitäten in der Gesamtinfrastruktur basiert und kein implizites Vertrauen zwischen Entitäten vorsieht.
Auf einen Blick
Das BSI hat ein Positionspapier zu Zero Trust veröffentlicht, das eine Diskussionsgrundlage schaffen soll.
Die Schutzwirkung bezieht sich vorrangig auf die Schutzziele Integrität und Vertraulichkeit und nicht auf die Verfügbarkeit.
Die Umsetzung verhindert Angriffe nicht vollständig, kann aber dazu beitragen, das Schadensausmaß deutlich zu reduzieren.
Was ist Zero Trust?
Eine Architektur nach Zero-Trust-Prinzipien stellt den Schutz der Ressourcen wie Daten, Systeme und Anwendungen in den Fokus und nicht, wie das klassische Perimeter-Modell, den Schutz ganzer Netzsegmente an den internen Netzgrenzen. Die Position im internen Netz begründet für sich allein kein Vertrauen. Das Vertrauen wird auf Basis dynamischer Zugriffsrichtlinien, kontinuierlicher Überwachung und Risikoanalysen fortwährend bewertet, und über Zugriffe wird jeweils neu entschieden; erteiltes Vertrauen wird nicht dauerhaft gewährt. Das Paradigma Zero Trust wurde aus dem Ansatz „Assume Breach“ entwickelt.
Setzt ein Versicherer auf Zero Trust, prüft er jeden Zugriff auf Bestands- und Schadensysteme, auch aus dem eigenen Netz; Grundlage ist das Prinzip der minimalen Rechte aller Entitäten. Das BSI verfolgt mit seinem Positionspapier das Ziel, die konzeptionellen Grundlagen von Zero Trust aus seiner Sicht zu vermitteln und eine Diskussionsgrundlage zu schaffen. Das Papier hält fest, dass die der Definition zu entnehmenden Zero-Trust-Prinzipien nicht genau eine bestimmte Architektur erzwingen. Der Begriff wird sowohl in konzeptionellen und architekturellen Betrachtungen als auch in produkt- und herstellerspezifischen Darstellungen verwendet.
Wie funktioniert Zero Trust in der Praxis?
Zero Trust setzt kein implizites Vertrauen voraus: Bei notwendiger Kommunikation von Entitäten muss das Vertrauen jedes Mal neu durch verlässliche Nachweise und Prüfungen aufgebaut werden („earned trust“). Daraus folgt, dass sich jede Entität authentisieren und autorisiert werden muss, um Zugriff auf Ressourcen zu erhalten. Das Prinzip der minimalen Rechte bedeutet, dass nur die Entitäten Zugriff erhalten, die auch Zugriff benötigen. Durch die kritische Hinterfragung des bisher gesetzten impliziten Vertrauens in Entitäten innerhalb des internen Netzes werden bisher nicht betrachtete Risiken für die Anwendung und die hierin zu schützenden Daten transparent.
Das NIST beschreibt Zero Trust als Menge sich entwickelnder Sicherheitsparadigmen, die Abwehrmaßnahmen von statischen, netzwerkbasierten Perimetern auf Nutzer, Assets und Ressourcen verlagern. Einem Asset oder Benutzerkonto wird dabei kein impliziter Vertrauensvorschuss allein aufgrund seines physischen oder Netzwerkstandorts gewährt. Der britische NCSC beschreibt, dass das Netz als feindlich behandelt wird und jede Anfrage nach Daten oder Diensten fortlaufend anhand einer Zugriffsrichtlinie überprüft wird.
Zero Trust im Vergleich
Während bei Zero Trust die Position im internen Netz für sich allein kein Vertrauen begründet, konzeptionieren bisherige, traditionelle Sicherheitsarchitekturbetrachtungen nach dem BSI klassisch unterschiedlich vertrauenswürdige Netzzonen; die Segmentierung und der Zugriff in diese Zonen erfolgen in der Regel mehrschichtig über Firewalls und von extern gegebenenfalls unter Verwendung von Virtual Private Networks (VPNs). Anders als das Paradigma Zero Trust bezeichnet eine Zero-Trust-Architektur nach dem britischen NCSC einen Ansatz für das Systemdesign, bei dem das inhärente Vertrauen in das Netz entfernt wird.
Woran erkenne ich die Umsetzung von Zero Trust?
| Merkmal | Worauf es ankommt |
|---|---|
| Kein Unterschied zwischen innerhalb und außerhalb des Netzes | Nach dem Positionspapier des BSI existiert keine Differenzierung von innerhalb oder außerhalb des eigenen Netzes mehr; das Vertrauen wird fortwährend bewertet und über Zugriffe jeweils neu entschieden. |
| Vertrauen wird bei jeder Kommunikation neu aufgebaut („earned trust“) | Bei notwendiger Kommunikation von Entitäten muss nach dem BSI ein Vertrauen durch verlässliche Nachweise und Prüfungen jedes Mal neu aufgebaut werden („earned trust“). |
| Jede Anfrage wird gegen eine Zugriffsrichtlinie autorisiert | Nach dem NCSC sollte jede Anfrage nach Daten oder Diensten gegen eine Richtlinie autorisiert werden. |
| Zugriffsentscheidung berücksichtigt mehrere Signale (Gerätezustand, Identität, Standort) | Nach dem NCSC sollten Authentifizierungs- und Autorisierungsentscheidungen mehrere Signale berücksichtigen, etwa Gerätestandort, Gerätezustand, Benutzeridentität und -status, um das mit der Zugriffsanfrage verbundene Risiko zu bewerten. |
Schutz im Ernstfall
Vorbeugen
- Jede Entität prüfen: Aus dem fehlenden impliziten Vertrauen folgt nach dem BSI, dass jede Entität sich authentisieren und autorisiert werden muss, um Zugriff auf Ressourcen zu erhalten; nach dem Prinzip der minimalen Rechte erhalten nur die Entitäten Zugriff, die ihn auch benötigen.
- Eine ganzheitliche, wirksame Umsetzung von Zero-Trust-Prinzipien ist ein langfristiges Vorhaben und erfordert ebenso hohen wie dauerhaften finanziellen sowie personellen Ressourcenaufwand.
- Durch Zero-Trust-Ansätze können Anwendungszugriffe besser präventiv abgesichert und das Schadensausmaß von Angriffen weiter reduziert werden.
- Die Anwendung der Zero-Trust-Prinzipien verhindert keine Denial-of-Service-Angriffe auf Geräte oder Anwendungen bzw. zugehörige Policy Enforcement Points.
Beispiele aus der Praxis
- Das BSI nennt als Beispiel die Zero-Trust-Architektur „BeyondCorp“, deren Konzeption vorsah, den Netzperimeter des Unternehmens vollständig aufzuheben; Google hat dies größtenteils realisiert und Details dazu 2014 in mehreren Forschungsberichten veröffentlicht.
- Ein Angreifer verschafft sich einen Zugang zu einem Netz, um sich von dort seitlich weiterzubewegen; in einer Zero-Trust-Architektur gilt das Netz als feindlich, und auch seine Anfragen nach Daten oder Diensten werden fortlaufend anhand einer Zugriffsrichtlinie überprüft.
- Ein Versicherer verlangt auch bei Zugriffen aus dem eigenen Netz auf Bestands- und Schadensysteme eine Authentisierung und Autorisierung der zugreifenden Entität.
Häufiger Irrtum
Mythos „Wer ein unter dem Label „Zero Trust“ beworbenes Produkt einführt, hat damit eine Zero-Trust-Architektur umgesetzt.“
Richtig Nach dem Positionspapier des BSI stellen die unter dem Label „Zero Trust“ beworbenen Produkte derzeit lediglich einen Teil der Funktionalität einer idealen Zero-Trust-Architektur zur Verfügung; eine ganzheitliche, wirksame Umsetzung ist ein langfristiges Vorhaben.