Drei Fragen und Antworten: Wie man Zero Trust mit Minimalansatz einführt

Ein deutscher Cybersicherheitsexperte hat beschrieben, wie Unternehmen den als Zero Trust bekannten Sicherheitsrahmen mit einem minimal tragfähigen Ansatz innerhalb von nur 90 Tagen einführen können. Die Methode, die als Minimum Viable Zero Trust (MVZT) bezeichnet wird, konzentriert sich auf die Verringerung des Risikos in den kritischsten Bereichen der Infrastruktur einer Organisation, ohne zu versuchen, das gesamte System auf einmal zu überarbeiten. Laut Marcel Küppers, einem erfahrenen Cybersicherheitsexperten mit über zwei Jahrzehnten Erfahrung, vermeidet diese Strategie die Fallstricke traditioneller Zero Trust-Implementierungen, die oft außer Kontrolle geraten und zu weitläufigen, unüberschaubaren Projekten werden.

Küppers erklärt, dass viele Unternehmen versuchen, Zero Trust als eine umfassende Architektur anzuwenden, die darauf abzielt, Netzwerke, Identitäten, Endpunkte, Anwendungen, Cloud-Dienste und Betriebsprozesse gleichzeitig zu transformieren. Dieser breite Umfang führt häufig zu Verzögerungen und Ineffizienzen, insbesondere in großen Unternehmen, in denen Legacy-Systeme, mehrere Identitätsanbieter und komplexe administrative Wege die Implementierung erschweren. Darüber hinaus sehen einige Organisationen Zero Trust fälschlicherweise als ein Produkt, wie eine neue Netzwerklösung oder ein Firewall-Upgrade, anstatt als einen konzeptionellen Wandel in der Art und Weise, wie der Zugriff verwaltet wird. Das Kernproblem liegt in der Unklarheit über messbare Ergebnisse.

Ohne definierte Metriken zur Risikominderung und klare Benchmarks verlieren Zero Trust-Initiativen oft die Richtung. MVZT befasst sich mit diesen Herausforderungen, indem es sich auf Hochrisikogebiete wie privilegierte Konten, Cloud-Administration, Continuous Integration / Continuous Deployment (CI / CD) Pipelines, Geheimnismanagement, Backups und zentrale Sicherheitswerkzeuge konzentriert. Diese Elemente stellen die primären Angriffsvektoren dar, bei denen unbefugter Zugriff den größten Schaden verursachen könnte. Anstatt jede Anwendung oder jeden Prozess neu zu gestalten, behandelt MVZT Zero Trust als Kontrollmechanismus.

Zugriffsentscheidungen basieren auf Faktoren wie Benutzeridentität, Authentifizierungsstärke, Gerätestatus, Risikosignalen und der Empfindlichkeit der Zielressource. Beispielsweise können Richtlinien eine stärkere Authentifizierung für sensible Aktionen erfordern, die Sitzungsdauer begrenzen oder den Zugriff unter bestimmten Bedingungen vollständig blockieren. Dieser Ansatz stellt sicher, dass das System funktionsfähig bleibt und gleichzeitig die Sicherheitslage erheblich verbessert.

Diese Elemente ermöglichen eine sofortige Sichtbarkeit, wie gut das System funktioniert, und ermöglichen schnelle Anpassungen. Bis zum Ende des 90-Tage-Zeitraums sollten Organisationen ein klares Verständnis davon haben, welche Risiken abgeschwächt wurden und wie schnell sie auf potenzielle Verstöße reagieren können. Der 90-Tage-Plan beginnt mit der Definition des Umfangs, der Identifizierung kritischer Assets und administrativer Pfade und der Einrichtung von Basissicherheitskontrollen. In den ersten zwei Wochen erstellen die Teams privilegierte Rollen und Identitäten, definieren Tier-0- und Tier-1-Systeme und bestimmen die wesentlichen Administratorpfade. Sie implementieren dann phishing-resistente Authentifizierung und erzwingen strenge Geräte-Compliance-Standards.

Gleichzeitig wird eine zentrale Protokollierung von Authentifizierungsversuchen und administrativen Aktivitäten eingerichtet, um Transparenz und Rückverfolgbarkeit zu gewährleisten. Dieser strukturierte und dennoch flexible Ansatz ermöglicht es Organisationen, eine solide Grundlage für Zero Trust aufzubauen, ohne die internen Ressourcen zu überfordern. Es bietet auch einen greifbaren Ausgangspunkt für eine weitere Expansion und ermöglicht es Unternehmen, ihre Strategien basierend auf realen Daten und sich entwickelnden Bedrohungen zu verfeinern.