Zero Trust-Strategie: Was dahintersteckt und wie die Umsetzung gelingt

Spätestens seit dem Ausbruch der COVID19-Pandemie steht fest: Die traditionelle Büroarbeit wird zunehmend von flexiblen, ortsunabhängigen Arbeitsformen abgelöst. Remote Work lautet hier das Stichwort.

Für die Netzwerksicherheit ist dieser Trend eine große Herausforderung. So ist die klassische Herangehensweise nicht mehr zeitgemäß. Diese besteht darin, das Firmennetzwerk nach außen hin abzuschirmen – sodass nur Mitarbeiter innerhalb dieses Netzwerks auf interne Daten und Applikationen zugreifen können. Ob Mitarbeiter als vertrauenswürdig gelten, hängt also nur davon ab, ob sie sich im Firmennetzwerk aufhalten oder nicht.

In Zeiten von Remote Work müssen Mitarbeiter jedoch auch außerhalb des Unternehmensnetzwerks sicher auf interne Anwendungen zugreifen können – wie beispielsweise aus dem Home Office heraus. Sonst drohen Unternehmen empfindliche Produktivitätsverluste.

Insider-Angriffe als große Bedrohung

Hinzu kommt ein weiteres Problem: Insider-Angriffe. Laut der 2020 veröffentlichten Bitkom-Studie “Wirtschaftsschutz in der vernetzten Welt” wurden im untersuchten Zeitraum (2017 bis 2019) ein Drittel aller Angriffe von ehemaligen Mitarbeitern durchgeführt – und das mit voller Absicht. Häufiger aufgetreten seien nur Cyberattacken von Privatpersonen oder Hobby-Hackern (38 Prozent). Insgesamt hätten Cyberangriffe im besagten Zeitraum finanzielle Schäden von über 200 Milliarden Euro verursacht.

Wie aus einem aktuellen Beitrag des Fachportals “Security-Insider” hervorgeht, ist die klassische Netzwerksicherheit gegen Insider-Angriffe machtlos. Gerade temporär freigestellte Mitarbeiter hätten nämlich immer noch die erforderlichen Berechtigungen, um auf das Unternehmensnetzwerk zuzugreifen. Das heißt: Obwohl sie potenziell einen Angriff starten könnten, gelten sie nach der Logik der klassischen Netzwerksicherheit als vertrauenswürdig – weil sie sich im Firmennetzwerk aufhalten.

Der Beitrag veranschaulicht diese Situation wie folgt: “Was nützt ein Burggraben und hohe Mauern, wenn die eigentliche Bedrohung bereits im Inneren sitzt und von innen heraus agiert?”

Zero Trust: Vertrauen ist gut, Kontrolle ist besser

Abhilfe schafft die Zero Trust-Strategie – die sich deutlich von der traditionellen Netzwerksicherheit unterscheidet. Denn hier spielt es keine Rolle, in welchem Netzwerk sich die Mitarbeiter aufhalten. Es ist vielmehr entscheidend, welche digitale Identität der entsprechende Mitarbeiter aufweist – und welche Berechtigungen an diese Identität gekoppelt sind.

Dies soll gewährleisten, dass alle Mitarbeiter nur auf diejenigen Daten und Applikationen zugreifen können, für die sie zweifelsfrei autorisiert sind. Und zwar egal, ob sie remote oder im Büro arbeiten. Entsprechend der Prämisse: Vertrauen ist gut, Kontrolle ist besser.

Wie eine Studie des Unternehmens Gigamon ergeben hat, kommt die Zero Trust-Strategie zunehmend im Unternehmensumfeld an. Demnach haben 67 Prozent der 500 befragten Führungskräfte Zero Trust bereits im Betrieb eingeführt – oder planen dies in naher Zukunft. Als zentrale Gründe werden laut Studie insbesondere genannt:

• die Steigerung der Netzwerksicherheit und die Minimierung von Risiken
• die Erhöhung des Datenschutzes
• der Schutz vor Insider-Angriffen

Experten wie Daniel Graßer (Director Competence Center Security, CANCOM) lassen an der Bedeutung von Zero Trust keine Zweifel. Für ihn steht fest: Die Zero Trust-Strategie ist heute ein Grundstein, damit Firmen eine ganzheitliche Security-Strategie umsetzen können.

Umsetzung von Zero Trust mit SecurID

Doch was müssen Unternehmen beachten, um die Zero Trust-Strategie erfolgreich einzuführen? Der Hersteller RSA, der die Identity & Access Management-Lösung SecurID anbietet, nennt drei zentrale Schlüsselkomponenten. All diese Komponenten ließen sich mit SecurID abbilden.

• Zugriffsmanagement: Laut RSA ist es mit SecurID möglich, genaue Richtlinien für sämtliche Zugriffe auf interne Daten und Anwendungen zu definieren – und konsequent durchzusetzen. Auf diese Weise sollen Nutzer nur auf diejenigen Unternehmensressourcen zugreifen können, für die sie zweifelsfrei autorisiert sind. Um das zu gewährleisten, untersuche SecurID dynamisch und in Echtzeit eine Reihe von Kontextfaktoren.
• Identitätsverwaltung: SecurID biete Firmen die Option, bestimmte Zugriffsberechtigungen zu erteilen, die an die jeweilige digitale Identität gekoppelt sind. Dabei könnten Betriebe das sogenannte “Least Privilege”-Prinzip durchsetzen: Dieses besagt, dass Nutzer nur diejenigen Zugriffsrechte bekommen sollen, die sie zwingend benötigen, um ihre tägliche Arbeit auszuführen. Wie RSA betont, können Unternehmen mit SecurID Berechtigungen schnell erteilen aber auch entziehen. Das bedeutet: Sollte ein Mitarbeiter zum Beispiel temporär freigestellt werden, lassen sich seine Zugriffsberechtigungen drastisch reduzieren – was das Risiko eines Insider-Angriffs deutlich minimiert.
• Integration in Active Directory (AD)-Systeme: Active Directory-Systeme wie von Microsoft oder Amazon sind vor allem darauf ausgerichtet, Netzwerkressourcen oder -objekte zentral zu managen. Laut RSA ist es möglich, SecurID in solche AD-Systeme zu integrieren. Dies gewährleiste, dass das Identity & Access Management innerhalb des AD-Systems die Anforderungen von Zero Trust erfüllt.

Weitere Informationen zu SecurID inklusive Kontaktmöglichkeit finden Sie auf der exklusiven Themenseite.