Zero-Trust-Architektur (ZTA) ist ein Sicherheitsmodell, das auf einem fundamentalen Paradigmenwechsel beruht: kein implizites Vertrauen – nicht innerhalb des Netzwerks, nicht für bestimmte Nutzergruppen, nicht für bekannte Geräte. Jeder Zugriffsversuch wird explizit authentifiziert und autorisiert, unabhängig davon, ob er aus dem internen Netzwerk, dem VPN oder dem öffentlichen Internet kommt. Das Leitprinzip lautet: „Niemals vertrauen, immer verifizieren“ (Never Trust, Always Verify).
Zero Trust ist die Antwort auf eine veränderte Bedrohungsrealität: Traditionelle Sicherheitsmodelle basierten auf einem vertrauenswürdigen Intranet (Perimeter-Security) – wer im Netzwerk ist, ist vertrauenswürdig. In modernen, verteilten Architekturen mit Cloud-Diensten, Remote-Arbeit und Microservices gibt es keinen sicheren Perimeter mehr. Ein Angreifer mit gestohlenen VPN-Credentials hat im klassischen Modell freie Fahrt – im Zero-Trust-Modell trifft er auf kontinuierliche Verifikation bei jedem Schritt.
Zero-Trust-Kernprinzipien
Explizite Verifikation
Jeder Zugriff wird authentifiziert und autorisiert – basierend auf allen verfügbaren Datenpunkten: Identität, Gerät, Standort, Verhalten, Anfrage-Kontext.
Least Privilege
Minimale Zugriffsrechte, zeitlich begrenzt. Just-in-Time-Zugriff statt dauerhafter Berechtigungen. Zugriffsrechte adaptieren sich an das aktuelle Risikoprofil.
Assume Breach
Davon ausgehen, dass das System bereits kompromittiert ist. Laterale Bewegung erschweren, Blast Radius minimieren, alle Aktivitäten monitoren und protokollieren.
Mikrosegmentierung
Netzwerk in kleine Segmente aufteilen. Jeder Dienst kommuniziert nur mit explizit erlaubten anderen Diensten. Breached-Komponente kann nicht frei im Netzwerk agieren.
Kontinuierliches Monitoring
Alle Zugriffsversuche und Aktivitäten werden lückenlos protokolliert und auf Anomalien analysiert – in Echtzeit, nicht nur bei bekannten Angriffsmustern.
Gerätevertrauen
Zugriff nur von bekannten, gemanagten Geräten. Gerätezustand (aktuell, compliant, nicht kompromittiert) fließt in die Zugangsentscheidung ein.
Praxisbeispiel
Ein Automationsdienstleister setzt Zero-Trust-Prinzipien schrittweise um. Schritt 1: MFA für alle Zugänge – explizite Verifikation bei jedem Login. Schritt 2: Service-Mesh zwischen Microservices (Istio) – alle Dienst-zu-Dienst-Kommunikation ist verschlüsselt und authentifiziert, kein freier Netzwerkverkehr. Schritt 3: Kurzlebige Credentials – AWS-Rollen werden nur für die Dauer einer Anfrage ausgestellt, keine dauerhaften API-Keys. Schritt 4: Kontinuierliches Monitoring mit Anomalie-Alerting – ungewöhnliche Zugriffspattern (neuer Standort, ungewöhnliche Uhrzeit, hohes Datenvolumen) lösen sofort Alerts aus. Schritt 5: Device-Trust – Zugriff auf Produktionssysteme nur von managed Geräten mit aktuellem Patch-Stand. Nicht alle Schritte sofort – Zero Trust ist eine Reise, kein Projektziel.
