“Zero Trust” taucht in jeder Präsentation von Sicherheitsanbietern auf und fast immer mit einem sechsstelligen Preisschild im Schlepptau. Für ein portugiesisches KMU klingt das nach Bank oder multinationalem Konzern. Das ist es nicht. Zero Trust ist eine einfache Idee — Niemandem vertrauen, nur weil er sich im Netzwerk befindet — und die meisten Schritte lassen sich mit Werkzeugen umsetzen, für die das Unternehmen ohnehin schon bezahlt. Dieser Artikel übersetzt das Konzept in vier konkrete Schritte, in der Reihenfolge, in der sie in einem Unternehmen mit 10 bis 200 Arbeitsplätzen Sinn ergeben.
Das alte Modell: die Wassermühle
Zwanzig Jahre lang funktionierte die Unternehmenssicherheit wie eine Burg: eine Firewall am Eingang, und wer sich innerhalb des Netzwerks befand, konnte sich frei bewegen. Das funktionierte, als alle im Büro arbeiteten, an Firmencomputern, mit Servern im Rechenzentrum. Heute arbeiten die Menschen von zu Hause aus, E-Mails und Dateien befinden sich in Microsoft 365, Lieferanten verbinden sich mit dem Netzwerk und Mobiltelefone greifen auf alles zu. Das “Drinnen” existiert nicht mehr. Wenn ein Angreifer mit den Zugangsdaten eines Mitarbeiters eindringt – was die Art ist, wie die meisten Angriffe beginnen –, hält ihn die Burg nicht auf, denn für das Netzwerk ist er ein legitimer Benutzer.
Das Zero-Trust-Modell in einem Satz: Vertraue niemals, verifiziere immer.
Jeder Zugriff wird überprüft: Wer ist der Nutzer, welches Gerät wird verwendet, von wo aus, auf welche Ressource möchte er zugreifen und wird sie wirklich benötigt. Nicht einmal am Eingang, sondern bei jeder Anfrage. Das klingt mühsam, aber der Großteil der Überprüfung läuft automatisch und für die Arbeitenden unsichtbar ab.
Schritt 1 — Identität: wissen, wer wer ist
Ohne verlässliche Identität gibt es kein Zero Trust. Der konkrete Schritt ist die Aktivierung der Multifaktor-Authentifizierung in allen Konten, beginnend mit Microsoft 365, und die Konten derer bereinigen, die das Unternehmen bereits verlassen haben. Danach die Anzahl der Administratoren auf zwei oder drei namentlich genannte Personen reduzieren und geteilte Konten abschaffen. Kosten: Null bei den Lizenzen in den meisten Microsoft-365-Plänen; der Aufwand besteht im Organisieren und Kommunizieren. Dies ist auch der Schritt mit der höchsten Rendite: Bei aktiver MFA reicht ein durch Phishing gestohlenes Passwort nicht mehr aus, um sich einzuloggen.
Schritt 2 – Geräte: Nur solche, die dem Unternehmen bekannt sind
Ein privater Laptop ohne Antivirenprogramm und mit einem nicht aktualisierten Windows sollte nicht genauso auf die Firmen-E-Mail zugreifen dürfen wie ein verwaltetes Endgerät. Der konkrete Schritt besteht darin, ein Inventar der Unternehmensgeräte zu führen, sicherzustellen, dass alle über einen aktiven Endpoint-Schutz und aktuelle Updates verfügen, und den Zugriff auf Daten an Geräte zu knüpfen, die diese Anforderungen erfüllen. In Microsoft 365 geschieht dies über Richtlinien für bedingten Zugriff (Conditional Access); in lokalen Netzwerken über die Geräteauthentifizierung im WLAN und an den Netzwerkdosen. Noch genutzte Endgeräte mit Windows 10 ohne Support sind das erste Problem, das gelöst werden muss — siehe Was Sie beim Ende des Windows 10-Supports tun können.
Schritt 3 — Netzwerk: Teilen, um zu beherrschen
Wenn ein Arbeitsplatz kompromittiert wird, darf es dem Angreifer nicht gelingen, den Abrechnungsserver, die Kameras oder das Zahlungsterminal (TPA) zu erreichen. Der konkrete Schritt besteht darin, das Netzwerk in VLANs zu segmentieren: Arbeitsplätze, Server, Gäste, Drucker und Kameras in separaten Netzwerken, wobei die Firewall entscheidet, was zwischen ihnen passiert. Wir haben erklärt, wie das geht, in dem Artikel über VLANs und Netzwerksegmentierung. Bei einem KMU mit verwaltbaren Switches und einer verwalteten Firewall ist das Konfiguration, kein Kauf. Das ist auch der Schritt, der den Schaden durch Ransomware am meisten reduziert: Anstatt alles zu verschlüsseln, wird nur ein Segment verschlüsselt.
Schritt 4 — Minimaler Zugriff: Jede Person nur auf das, was sie braucht
Der Vertriebsmitarbeiter muss nichts in den Buchhaltungsordner schreiben; der Praktikant muss nicht Administrator Ihres Laptops sein; der Anbieter der Management-Software braucht keinen permanenten Zugriff auf das gesamte Netzwerk. Der konkrete Schritt besteht darin, die Berechtigungen für freigegebene Ordner und SharePoint zu überprüfen, den Benutzern lokale Administratorrechte zu entziehen und das offene VPN durch protokollierten Zugriff auf spezifische Anwendungen zu ersetzen. Darüber haben wir im Artikel gesprochen Ein VPN reicht nicht mehr aus. Das ist der mühsamste Schritt, weil er an Gewohnheiten rührt — und deshalb sollte er der letzte sein, wenn die anderen bereits funktionieren.
Was draußen bleibt (und warum)
Ein “vollständiges” Zero-Trust-Modell umfasst Dinge wie Verhaltensanalyse, anwendungsspezifische Mikrosegmentierung und kontinuierliche Überprüfung des Gerätestatus. Sie sind nützlich, teuer und bringen in einem KMU nur einen geringen Nutzen, solange die oben genannten vier Schritte nicht umgesetzt sind. Die Reihenfolge ist wichtig: MFA ohne Segmentierung schützt die Konten, aber nicht das Netzwerk; Segmentierung ohne MFA schützt das Netzwerk, aber nicht die Konten.
Wie lange dauert es?
Schritt 1: ein bis zwei Wochen, vor allem Kommunikation mit den Nutzern. Schritt 2: zwei bis vier Wochen, je nach Zustand des Geräteparks. Schritt 3: ein Eingriff in das Netzwerk, normalerweise außerhalb der Arbeitszeiten, plus einige Tage für Anpassungen. Schritt 4: eine kontinuierliche Arbeit, Abteilung für Abteilung. In unseren Verträgen Geführte Cybersicherheit Diese Schritte bilden die Grundlage des Plans – und werden im Monatsbericht schriftlich mit dem Status der einzelnen Punkte festgehalten.
Häufig gestellte Fragen
Ist Zero Trust ein Produkt, das man kaufen kann?
Nein. Es ist eine Art, die Zugänge zu gestalten. Es gibt Produkte, die helfen, aber die wesentlichen Schritte – MFA, Geräteinventar, Netzwerksegmentierung und minimaler Zugriff – werden mit Tools durchgeführt, die die meisten Unternehmen bereits haben.
Wird das die Arbeit der Leute verzögern?
Gut gemacht, man merkt es kaum: Die MFA verlangt einmal täglich pro Gerät eine Bestätigung, und der bedingte Zugriff ist unsichtbar, wenn das Gerät die Anforderungen erfüllt. Was die Leute merken, ist, wenn sie keine Programme mehr auf eigene Faust installieren können – und das ist Absicht.
Braucht ein Unternehmen mit 15 Arbeitsplätzen das?
Schritt 1 und 3 werden definitiv benötigt: MFA und ein separates Gastnetzwerk. Die Schritte 2 und 4 skalieren mit der Größe und der Sensibilität der verarbeiteten Daten.
Verlangt die NIS2 Zero Trust?
Der Begriff wird nicht verwendet, aber das Zugangsmanagement, die Multifaktor-Authentifizierung und die Segmentierung werden als Risikomanagementmaßnahmen gefordert. Wer diese vier Schritte befolgt, hat einen Großteil der technischen Arbeit erledigt. Siehe wenn Ihr Unternehmen unter die NIS2-Richtlinie fällt.
Möchten Sie wissen, in welchem Schritt sich Ihr Unternehmen befindet?
Wir erfassen Zugriffe, Netzwerk und Geräte und übergeben einen schriftlichen Plan mit Prioritäten und Fristen. Sehen Sie sich unsere an Managed Cybersecurity für Unternehmen Oder rufen Sie 211 459 950 an.
