Eine Architektur nach Zero-Trust-Prinzipien stellt den Schutz der Ressourcen wie Daten, Systeme und Anwendungen in den Fokus und nicht, wie das klassische Perimeter-Modell, den Schutz ganzer Netzsegmente an den internen Netzgrenzen. Die Position im internen Netz begr\u00fcndet f\u00fcr sich allein kein Vertrauen<\/strong>. Das Vertrauen wird auf Basis dynamischer Zugriffsrichtlinien, kontinuierlicher \u00dcberwachung und Risikoanalysen fortw\u00e4hrend bewertet, und \u00fcber Zugriffe wird jeweils neu entschieden; erteiltes Vertrauen wird nicht dauerhaft gew\u00e4hrt. Das Paradigma Zero Trust wurde aus dem Ansatz \u201eAssume Breach\u201c entwickelt.<\/p>\n Setzt ein Versicherer auf Zero Trust, pr\u00fcft er jeden Zugriff auf Bestands- und Schadensysteme, auch aus dem eigenen Netz; Grundlage ist das Prinzip der minimalen Rechte aller Entit\u00e4ten<\/strong>. Das BSI verfolgt mit seinem Positionspapier das Ziel, die konzeptionellen Grundlagen von Zero Trust aus seiner Sicht zu vermitteln und eine Diskussionsgrundlage zu schaffen. Das Papier h\u00e4lt fest, dass die der Definition zu entnehmenden Zero-Trust-Prinzipien nicht genau eine bestimmte Architektur erzwingen. Der Begriff wird sowohl in konzeptionellen und architekturellen Betrachtungen als auch in produkt- und herstellerspezifischen Darstellungen verwendet.<\/p>\n Zero Trust setzt kein implizites Vertrauen voraus: Bei notwendiger Kommunikation von Entit\u00e4ten muss das Vertrauen jedes Mal neu durch verl\u00e4ssliche Nachweise und Pr\u00fcfungen aufgebaut werden (\u201eearned trust\u201c). Daraus folgt, dass sich jede Entit\u00e4t authentisieren und autorisiert werden muss<\/strong>, um Zugriff auf Ressourcen zu erhalten. Das Prinzip der minimalen Rechte bedeutet, dass nur die Entit\u00e4ten Zugriff erhalten, die auch Zugriff ben\u00f6tigen. Durch die kritische Hinterfragung des bisher gesetzten impliziten Vertrauens in Entit\u00e4ten innerhalb des internen Netzes werden bisher nicht betrachtete Risiken f\u00fcr die Anwendung und die hierin zu sch\u00fctzenden Daten transparent.<\/p>\n Das NIST beschreibt Zero Trust als Menge sich entwickelnder Sicherheitsparadigmen, die Abwehrma\u00dfnahmen von statischen, netzwerkbasierten Perimetern auf Nutzer, Assets und Ressourcen verlagern. Einem Asset oder Benutzerkonto wird dabei kein impliziter Vertrauensvorschuss allein aufgrund<\/strong> seines physischen oder Netzwerkstandorts gew\u00e4hrt. Der britische NCSC beschreibt, dass das Netz als feindlich behandelt wird und jede Anfrage nach Daten oder Diensten fortlaufend anhand einer Zugriffsrichtlinie \u00fcberpr\u00fcft wird.<\/p>\n W\u00e4hrend bei Zero Trust die Position im internen Netz f\u00fcr sich allein kein Vertrauen begr\u00fcndet, konzeptionieren bisherige, traditionelle Sicherheitsarchitekturbetrachtungen nach dem BSI klassisch unterschiedlich vertrauensw\u00fcrdige Netzzonen; die Segmentierung und der Zugriff in diese Zonen erfolgen in der Regel mehrschichtig \u00fcber Firewalls<\/strong> und von extern gegebenenfalls unter Verwendung von Virtual Private Networks (VPNs). Anders als das Paradigma Zero Trust bezeichnet eine Zero-Trust-Architektur nach dem britischen NCSC einen Ansatz f\u00fcr das Systemdesign, bei dem das inh\u00e4rente Vertrauen in das Netz entfernt wird.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[421,393,403],"class_list":["post-34074","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-zero-trust-architektur-ztna","glossary_intl_topic-cybersecurity","glossary_intl_topic-netzwerk-infrastruktur"],"acf":{"card_description":"Zero Trust verlagert den Schutz von Netzsegmenten auf Ressourcen: Daten, Systeme und Anwendungen stehen im Fokus der Architektur.","nav_theme":"Netzwerk & Infrastruktur","nav_subtheme":"Zero-Trust-Architektur & ZTNA","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Zero-Trust-Ansatz"}],"lead_definition":"Zero Trust bezeichnet nach dem BSI ein Architekturdesign-Paradigma, das im Kern auf dem Prinzip der minimalen Rechte aller Entit\u00e4ten in der Gesamtinfrastruktur basiert und kein implizites Vertrauen zwischen Entit\u00e4ten vorsieht.","at_a_glance":[{"bullet":"Das BSI hat ein Positionspapier zu Zero Trust ver\u00f6ffentlicht, das eine Diskussionsgrundlage schaffen soll."},{"bullet":"Die Schutzwirkung bezieht sich vorrangig auf die Schutzziele Integrit\u00e4t und Vertraulichkeit und nicht auf die Verf\u00fcgbarkeit."},{"bullet":"Die Umsetzung verhindert Angriffe nicht vollst\u00e4ndig, kann aber dazu beitragen, das Schadensausma\u00df deutlich zu reduzieren."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Das BSI nennt als Beispiel die Zero-Trust-Architektur \u201eBeyondCorp\u201c, deren Konzeption vorsah, den Netzperimeter des Unternehmens vollst\u00e4ndig aufzuheben; Google hat dies gr\u00f6\u00dftenteils realisiert und Details dazu 2014 in mehreren Forschungsberichten ver\u00f6ffentlicht."},{"example":"Ein Angreifer verschafft sich einen Zugang zu einem Netz, um sich von dort seitlich weiterzubewegen; in einer Zero-Trust-Architektur gilt das Netz als feindlich, und auch seine Anfragen nach Daten oder Diensten werden fortlaufend anhand einer Zugriffsrichtlinie \u00fcberpr\u00fcft."},{"example":"Ein Versicherer verlangt auch bei Zugriffen aus dem eigenen Netz auf Bestands- und Schadensysteme eine Authentisierung und Autorisierung der zugreifenden Entit\u00e4t."}],"misconception":[{"myth":"Wer ein unter dem Label \u201eZero Trust\u201c beworbenes Produkt einf\u00fchrt, hat damit eine Zero-Trust-Architektur umgesetzt.","reality":"Nach dem Positionspapier des BSI stellen die unter dem Label \u201eZero Trust\u201c beworbenen Produkte derzeit lediglich einen Teil der Funktionalit\u00e4t einer idealen Zero-Trust-Architektur zur Verf\u00fcgung; eine ganzheitliche, wirksame Umsetzung ist ein langfristiges Vorhaben."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34078,34070],"pillar_link":null,"sources":[{"publisher":"","name":"Positionspapier Zero Trust 2023","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Publikationen\/TechnischeLeitlinien\/Zero-Trust\/Zero-Trust_04072023.pdf?__blob=publicationFile&v=4","doc_type":"2026","group":"used"},{"publisher":"","name":"Zero Trust - Zero Trust","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Informationen-und-Empfehlungen\/Zero-Trust\/zero-trust.html","doc_type":"","group":"used"},{"publisher":"","name":"SP 800-207, Zero Trust Architecture | CSRC","url":"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/207\/final","doc_type":"2020","group":"used"},{"publisher":"","name":"Zero Trust | Introduction to Zero Trust | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/collection\/zero-trust-architecture\/introduction-to-zero-trust","doc_type":"2026","group":"used"},{"publisher":"","name":"Zero Trust | Zero trust architecture design principles | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/collection\/zero-trust-architecture","doc_type":"2026","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-10"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Zero Trust in der Praxis?<\/h2>\n
Zero Trust im Vergleich<\/h2>\n
Woran erkenne ich die Umsetzung von Zero Trust?<\/h2>\n
\n\n
\n \nMerkmal<\/th>\n Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n \n Kein Unterschied zwischen innerhalb und au\u00dferhalb des Netzes<\/td>\n Nach dem Positionspapier des BSI existiert keine Differenzierung von innerhalb oder au\u00dferhalb des eigenen Netzes mehr; das Vertrauen wird fortw\u00e4hrend bewertet und \u00fcber Zugriffe jeweils neu entschieden.<\/td>\n<\/tr>\n \n Vertrauen wird bei jeder Kommunikation neu aufgebaut (\u201eearned trust\u201c)<\/td>\n Bei notwendiger Kommunikation von Entit\u00e4ten muss nach dem BSI ein Vertrauen durch verl\u00e4ssliche Nachweise und Pr\u00fcfungen jedes Mal neu aufgebaut werden (\u201eearned trust\u201c).<\/td>\n<\/tr>\n \n Jede Anfrage wird gegen eine Zugriffsrichtlinie autorisiert<\/td>\n Nach dem NCSC sollte jede Anfrage nach Daten oder Diensten gegen eine Richtlinie autorisiert werden.<\/td>\n<\/tr>\n \n Zugriffsentscheidung ber\u00fccksichtigt mehrere Signale (Ger\u00e4tezustand, Identit\u00e4t, Standort)<\/td>\n Nach dem NCSC sollten Authentifizierungs- und Autorisierungsentscheidungen mehrere Signale ber\u00fccksichtigen, etwa Ger\u00e4testandort, Ger\u00e4tezustand, Benutzeridentit\u00e4t und -status, um das mit der Zugriffsanfrage verbundene Risiko zu bewerten.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n