„Vertraue niemals, überprüfe immer“ – leichter gesagt als getan. Wir alle kennen diesen bekannten Grundsatz von Cybersicherheitsexperten, der dazu aufruft, stets skeptisch zu sein, bevor man sich Hals über Kopf in etwas stürzt. Das Prinzip selbst ist jedoch etwas komplexer, als der einprägsame Slogan vermuten lässt. Zero Trust hat sich von einer aufstrebenden Sicherheitsphilosophie zu einem zentralen Bestandteil der meisten Cybersicherheitsstrategien von Unternehmen, staatlichen Richtlinien und Sicherheitsarchitekturen entwickelt.
Es besteht jedoch ein wichtiger Unterschied zwischen der Einführung von Zero Trust als Strategie und der tatsächlichen Implementierung einer Zero-Trust-Netzwerkarchitektur. In vielen Organisationen versteht man unter Zero Trust lediglich eine Sammlung von Sicherheitstechnologien, etwa Multifaktor-Authentifizierung, Netzwerksegmentierung und gegebenenfalls eine ZTNA-Plattform für Remote-Mitarbeiter. Obwohl all diese Maßnahmen wertvoll sind, schafft ihre bloße Implementierung keine robuste Zero-Trust-Architektur.
Zunächst einmal ist es wichtig zu verstehen, dass die meisten Probleme mit Zero Trust auf architektonischer Komplexität beruhen. Große Unternehmen betreiben oft Tausende von Benutzern, Endpunkten, Anwendungen und Workloads in Rechenzentren, öffentlichen Clouds, Niederlassungen und IT-Umgebungen. Das bedeutet, dass in der modernen IT-Landschaft ein sehr umfangreiches Gebiet abgedeckt werden muss. Dadurch wird die Einführung von Zero Trust deutlich erschwert.
Ältere Anwendungen basieren leider möglicherweise auf undokumentierten Netzwerkbeziehungen, und geschäftskritische Systeme lassen sich nicht einfach offline nehmen, um ihre Zugriffsmodelle neu zu gestalten. Dies führt zu einer Implementierungslücke. Das Prinzip ist zwar einfach, die Umsetzung jedoch nicht.
Heute beschäftigen wir uns mit der Zero-Trust-Netzwerkarchitektur, ihren Kernprinzipien und deren praktischer Umsetzung. Wir gehen auch auf häufige Fallstricke ein und zeigen, wie das Framework in einer ausgereiften Unternehmensumgebung des Jahres 2026 aussieht. Beginnen wir mit den Grundlagen.
Was ist eine Zero-Trust-Netzwerkarchitektur?
Das National Institute of Standards and Technology (NIST) definiert in SP 800-207 Zero Trust als einen Ansatz, der implizites Vertrauen aufgrund von Netzwerkstandort oder Asset-Besitz aufhebt und sich stattdessen auf den Schutz von Benutzern, Assets und Ressourcen konzentriert. Die Zero Trust Architecture (ZTA) wird als eine auf Zero-Trust-Prinzipien basierende Cybersicherheitsarchitektur für Unternehmen beschrieben, die Datenlecks verhindern und die interne laterale Ausbreitung von Angriffen einschränken soll. Ein Zero-Trust-Sicherheitsmodell geht grundsätzlich davon aus, dass sich ein Angreifer im System befindet und dass ein unternehmenseigenes Netzwerk nicht vertrauenswürdiger ist als ein externes.
Vereinfacht ausgedrückt ist eine Zero-Trust-Netzwerkarchitektur (ZTNA) ein Sicherheitsansatz, der für jeden Zugriff eine Autorisierung erfordert und Benutzern, Geräten oder Workloads nicht automatisch vertraut, nur weil sie sich im Unternehmensnetzwerk befinden. Jede Zugriffsanfrage muss authentifiziert, autorisiert und kontinuierlich validiert werden. Dies stellt einen grundlegenden Wandel gegenüber der traditionellen Perimetersicherheit dar.
Früher basierten traditionelle Unternehmensnetzwerke oft auf einem Burggrabenmodell, bei dem alles innerhalb des Netzwerks als sicher und vertrauenswürdig galt. Eine Firewall schützte zwar den Perimeter, doch sobald ein Benutzer oder ein Gerät in das vertrauenswürdige interne Netzwerk eingedrungen war, konnte er problemlos auf interne Ressourcen zugreifen. Dieses Modell war sinnvoll, solange die Mitarbeiter hauptsächlich in den Büros arbeiteten und die Anwendungen in firmeneigenen Rechenzentren konzentriert waren. Moderne Unternehmen unterscheiden sich jedoch grundlegend.
Heutzutage arbeiten Mitarbeiter im Homeoffice, Anwendungen sind über SaaS-Plattformen und öffentliche Clouds verteilt, externe Dienstleister benötigen unter Umständen temporären Zugriff, und mobile sowie nicht verwaltete Geräte können mit Unternehmensressourcen interagieren. Dies eröffnet völlig neue Möglichkeiten für komplexere Bedrohungen.
Es ist wichtig zu beachten, dass die Begriffe Zero Trust und ZTNA zwar oft synonym verwendet werden, aber im Allgemeinen unterschiedliche Anwendungsbereiche beschreiben. Zero Trust ist das umfassendere Sicherheitsmodell, das Identität, Geräte, Anwendungen, Workloads, Netzwerke und Daten abdeckt, während ZTNA lediglich eine spezifische Komponente innerhalb dieses Modells darstellt. Es steuert den Zugriff auf Anwendungen und Ressourcen basierend auf Identität und Kontext, anstatt einen umfassenden Netzwerkzugriff zu gewähren. Man kann es sich folgendermaßen vorstellen: Zero Trust ist die Sicherheitsstrategie, und ZTNA ist einer der Mechanismen, die zu ihrer Umsetzung verwendet werden. Betrachten wir nun die Kernprinzipien von ZTNA.
Die fünf Kernprinzipien der Zero-Trust-Netzwerkarchitektur
Unternehmen implementieren Zero Trust zwar je nach Plattform und Bedarf auf unterschiedliche Weise, doch die meisten ausgereiften Zero-Trust-Programme basieren auf folgenden einheitlichen Prinzipien:
1. Explizite Überprüfung: Jede Zugriffsanfrage sollte anhand relevanter Signale geprüft und nicht automatisch als vertrauenswürdig eingestuft werden. Die Authentifizierung kann Identität, MFA-Status, Gerätestatus, Standort, Anwendung, Arbeitslast, Zeit und Ressourcensensibilität berücksichtigen.
Ein Mitarbeiter, der beispielsweise von einem verwalteten Firmenlaptop auf eine Geschäftsanwendung mit geringem Risiko zugreift, erhält in der Regel normale Zugriffsrechte. Versucht derselbe Mitarbeiter hingegen, von einem nicht verwalteten Gerät auf ein sensibles Finanzsystem zuzugreifen, kann dies eine zusätzliche Authentifizierung auslösen oder ihm der Zugriff verweigert werden. Ziel ist es nicht, den Zugriff unnötig zu erschweren, sondern Vertrauen an Bedingungen zu knüpfen und auf Fakten zu basieren.
2. Prinzip der minimalen Berechtigungen durchsetzen: Benutzer, Geräte und Workloads sollten nur die Zugriffsrechte erhalten, die sie für eine bestimmte Aufgabe benötigen. Das bedeutet, weitreichende, dauerhafte Berechtigungen nach Möglichkeit durch präzisere Richtlinien zu ersetzen. Das Prinzip der minimalen Berechtigungen ist insbesondere nach einem Angriff auf Zugangsdaten wichtig.
Im Data Breach Investigations Report (DBIR) von Verizon war die Verwendung kompromittierter Zugangsdaten in 22 % der untersuchten Fälle der erste Zugriffsweg. Gewähren gestohlene Zugangsdaten automatisch weitreichenden internen Zugriff, erbt der Angreifer die Berechtigungen des Opfers. Ist der Zugriff hingegen stark eingeschränkt, ist das potenzielle Ausmaß desselben Angriffs geringer.
3. Gehen Sie von einem Sicherheitsvorfall aus: Zero Trust basiert auf einer unbequemen, aber realistischen Annahme: Ein Angreifer könnte sich bereits im System befinden. Dadurch verschiebt sich das Sicherheitsziel von „Angreifer fernhalten“ zu „Angreifer daran hindern, sich frei zu bewegen“. Dies erfordert Transparenz, Segmentierung, strenge Identitätskontrollen und eine schnelle Erkennung.
4. Mikrosegmentierung nutzen: Die Mikrosegmentierung unterteilt eine Umgebung in fein abgestufte Sicherheitsgrenzen und steuert die Kommunikation zwischen Workloads, Anwendungen und Systemen. Während die traditionelle Segmentierung ein Produktionsnetzwerk von einem Entwicklungsnetzwerk trennt, geht die Mikrosegmentierung noch einen Schritt weiter, indem sie die Kommunikation zwischen einzelnen Workloads oder Anwendungskomponenten kontrolliert. Dies ist besonders wertvoll, um den Ost-West-Verkehr oder die Kommunikation zwischen Systemen innerhalb der Umgebung einzuschränken.
5. Kontinuierliche Validierung: Authentifizierung sollte nicht als einmaliges Ereignis betrachtet werden. Das Risikoprofil eines Benutzers kann sich unmittelbar nach Beginn einer Sitzung ändern. Sein Gerät könnte kompromittiert werden, sein Verhalten könnte anomal werden oder die Ressource, auf die er zugreifen möchte, könnte plötzlich als risikoreich eingestuft werden. Ein ausgereiftes Zero-Trust-Modell kann auf diese sich ändernden Bedingungen mit zusätzlicher Authentifizierung, eingeschränkten Berechtigungen oder Sitzungsbeendigung reagieren.
Dies sind die grundlegenden Schritte, die Sie unternehmen müssen, um die effektive Einhaltung der Zero-Trust-Richtlinien in Ihrem Unternehmen sicherzustellen. Aber warum sollten wir uns heute so viele Gedanken darüber machen?
Warum Zero Trust im Jahr 2026 wichtiger ist als je zuvor
Die Arbeitswelt von heute ist nicht mehr dieselbe wie noch vor wenigen Jahren. Dank immer fortschrittlicherer Technologien, der KI-Revolution und der Zunahme von Remote-Arbeitsplätzen hat sich die Angriffsfläche deutlich vergrößert und reicht mit traditionellen Sicherheitsmaßnahmen nicht mehr aus. Zero Trust gewinnt zunehmend an Bedeutung, da die Annahmen hinter der Perimeter-Sicherheit immer weniger realistisch werden. Dies sind einige der wichtigsten Gründe, warum Zero Trust im Jahr 2026 Priorität haben sollte:
Der Unternehmensperimeter ist verschwunden.
Heutzutage kann Ihr Unternehmen praktisch von überall auf der Welt geführt werden. Cloud-Infrastruktur, SaaS, Remote-Arbeit, mobile Geräte, Zugriffe von Drittanbietern und verteilte Anwendungen haben die traditionellen Grenzen von Unternehmensnetzwerken zunehmend schwerer definierbar gemacht. Das NIST hat zudem Remote-Nutzer, Bring Your Own Device (BYOD) und Cloud-basierte Ressourcen außerhalb der Unternehmensgrenzen explizit als Haupttreiber für Zero Trust identifiziert. Letztendlich wird der Standort Ihrer Geräte zu einem Sicherheitsrisiko für Angreifer.
Angreifer begnügen sich nicht mit dem ersten Zugriff
Nachdem sie Zugriff auf ein Konto oder einen Endpunkt erlangt haben, geben Cyberkriminelle selten auf. Meist ist der erste Zugriff nur der Anfang eines Angriffs. Vertrauen interne Systeme einander implizit, können Angreifer ihren Zugriff auf weitere Systeme ausweiten und so an wertvollere Daten gelangen. Mikrosegmentierung und das Prinzip der minimalen Berechtigungen wirken diesem Problem entgegen, indem sie die laterale Ausbreitung erschweren.
Lieferkettenangriffe stellen das Konzept von „vertrauenswürdiger“ Software in Frage.
Der SolarWinds- Sicherheitsvorfall verdeutlicht eindrücklich, wie verwundbar jede Branche ist. Als Angreifer die mit SolarWinds Orion verbundene Software-Lieferkette kompromittierten, wurde Schadcode über einen vertrauenswürdigen Softwaremechanismus verbreitet. Die Lehre daraus ist jedoch weitreichender: Vertrauen innerhalb einer Organisation bedeutet nicht automatisch, dass ein Benutzer, eine Anwendung, ein Lieferant oder eine Softwarekomponente vertrauenswürdig ist. Mit Zero Trust ist Ihr Unternehmen gezwungen, die Zugriffsrechte von Lieferanten kontinuierlich zu überprüfen.
Regulierung verleiht Dynamik
Zero Trust entwickelt sich zunehmend von einer Empfehlung hin zu einer verbindlichen Richtlinie. In den USA triebdie Executive Order 14028 bundesweite Zero-Trust-Initiativen voran, während die OMB-Richtlinie M-22-09 spezifische Zero-Trust-Ziele für Identität, Geräte, Netzwerke, Anwendungen und Workloads sowie Daten festlegte. Das Zero-Trust-Reifegradmodell der CISA strukturiert den Weg ebenfalls anhand von fünf Säulen: Identität, Geräte, Netzwerke, Anwendungen und Workloads sowie Daten. Unterstützt werden diese durch Transparenz und Analysen, Automatisierung und Orchestrierung sowie Governance. Für multinationale Unternehmen bedeutet dies, dass Zero Trust zunehmend im Zusammenhang mit regulatorischen Anforderungen, Risikomanagement und Geschäftskontinuität betrachtet werden sollte und nicht mehr ausschließlich als Netzwerksicherheitsinitiative.
KI-gestützte Angriffe erhöhen die Kosten impliziten Vertrauens.
Cyberangriffe entwickeln sich parallel zur KI. Heute kann KI zur Automatisierung der Aufklärung, zur Erstellung überzeugender Phishing- und Social-Engineering-Inhalte, zur Anpassung von Taktiken und zum Operieren in einem Umfang und einer Geschwindigkeit eingesetzt werden, die manuell kaum zu erreichen wären. Der kontinuierliche Validierungsansatz von Zero Trust ist für dieses Bedrohungsumfeld besser geeignet als perimeterbasierte Modelle. In einer Umgebung, in der Angreifer schneller agieren und sich rascher anpassen können, hilft die kontinuierliche Validierung von Vertrauenswerten Unternehmen, die durch kompromittierte Zugangsdaten und vertrauenswürdige Verbindungen entstehenden Risiken zu minimieren.
Nachdem wir nun wissen, warum Zero-Trust-Prinzipien immer mehr an Bedeutung gewinnen, werfen wir einen Blick auf einige der wichtigsten praktischen Komponenten, die Sie in einem effektiven ZTNA-Plan finden würden.
Zero-Trust-Netzwerkarchitektur in der Praxis: Schlüsselkomponenten
Die praktische Implementierung von Zero Trust konzentriert sich auf die Schaffung eines Ökosystems anstatt auf ein einzelnes Produkt. Dies sind einige der wichtigsten Bestandteile dieses Ökosystems, die ZTNA zu einem praktikablen Ansatz für Ihr Unternehmen machen.
1. Identitäts- und Zugriffsmanagement: Identität ist die Grundlage. Unternehmen sollten eine starke Authentifizierung mittels Multi-Faktor-Authentifizierung (MFA) und Single Sign-On (SSO) implementieren, während Privileged Access Management (PAM) weiterhin administrative Konten schützt. Auch Servicekonten verdienen Beachtung. Maschinen können zwar weitreichende Berechtigungen erhalten, sind aber oft weniger transparent als menschliche Benutzer. Daraus ergibt sich die Frage: Kann Ihr Unternehmen jede Identität identifizieren, die auf eine kritische Ressource zugreifen kann, und kann es die Gründe für diesen Zugriff erklären? Lautet die Antwort „Nein“, reichen Netzwerkkontrollen allein nicht aus, um das Problem zu lösen.
2. Gerätevertrauen und Endpunktsicherheit: Stellen Sie sich einen legitimen Mitarbeiter vor, der ein kompromittiertes oder ungepatchtes Gerät verwendet. Dieser sollte natürlich nicht automatisch dieselben Zugriffsrechte erhalten wie ein Mitarbeiter mit einem fehlerfreien, verwalteten Endpunkt. Die Gerätesicherheit Ihres Unternehmens umfasst den Patch- und Verwaltungsstatus, die Endpunktsicherheitskontrollen, die Verschlüsselung und weitere Indikatoren. Hier wird die Endpunktsicherheit zu einem wichtigen Bestandteil der Zero-Trust-Architektur.
3. Mikrosegmentierung: Mikrosegmentierung sollte, wo immer praktikabel, auf Workload-Ebene erfolgen. Betrachten wir beispielsweise eine Anwendung im Finanzdienstleistungssektor mit Web-, Anwendungs- und Datenbankschicht. Anstatt eine umfassende interne Vernetzung zuzulassen, können Richtlinien genau festlegen, welche Komponenten miteinander kommunizieren dürfen. Wird eine Komponente kompromittiert, kann die Segmentierung verhindern, dass ein Angreifer ungehindert auf andere Systeme zugreifen kann. Die Segmentierung sollte jedoch auf tatsächlichen Anwendungsabhängigkeiten basieren, um zu vermeiden, dass Sicherheitsteams legitimen Geschäftsdatenverkehr blockieren.
4. ZTNA-Gateways und Software-Defined Perimeter: Traditionelle VPNs verbinden Benutzer typischerweise mit einem Netzwerk. ZTNA verfolgt jedoch einen anderen Ansatz, indem es den Benutzer mit der spezifischen Anwendung verbindet, für deren Nutzung er autorisiert ist. Dies reduziert unnötige Netzwerktransparenz und kann die Angriffsfläche für Remote-Benutzer verringern. Moderne ZTNA-Plattformen können zudem Identität, Gerätestatus und Richtlinien kombinieren, um zu bestimmen, ob eine Anwendung zugänglich sein soll.
5. Kontinuierliche Überwachung und Analyse: Zero Trust erfordert Transparenz. Sicherheitsteams müssen Authentifizierungsaktivitäten, Netzwerkverkehr, Endpunktverhalten und Anwendungszugriffe verstehen. Diese Informationen können SIEM-, NDR-, XDR- und anderen Sicherheitsanalyseplattformen zur Verfügung gestellt werden, um ungewöhnliches Verhalten zu erkennen und automatisierte Reaktionen zu ermöglichen.
6. Verschlüsselung überall: Wenn der Netzwerkstandort nicht mehr als selbstverständlich gilt, gewinnt die Verschlüsselung zunehmend an Bedeutung. Unternehmen sollten die Verschlüsselung sowohl für den Nord-Süd-Verkehr, der in die oder aus den Netzwerken ein- und ausgeht, als auch für den Ost-West-Verkehr zwischen internen Workloads in Betracht ziehen. Ziel sollte stets die Wahrung der Vertraulichkeit und Integrität der Daten sein, unabhängig vom Kommunikationsort.
Häufige Fallstricke bei der Implementierung von Zero Trust
Trotz zahlreicher Komponenten für unterschiedliche Aufgaben kann Ihr Zero-Trust-Plan Schwachstellen aufweisen. Es ist jedoch wichtig zu verstehen, dass die größten Herausforderungen im Zero-Trust-Umfeld oft organisatorischer und nicht technologischer Natur sind. Im Folgenden finden Sie einige der Herausforderungen, denen Sie auf Ihrem Weg zu einer Zero-Trust-Umgebung begegnen könnten:
Zero Trust als Produkt behandeln
Es gibt keine Zero-Trust-Lösung, die man einfach installieren kann, um alles in Ordnung zu bringen. Eine ZTNA-Plattform kann schwaches Identitätsmanagement nicht kompensieren. Mikrosegmentierung kann unkontrollierte Endpunkte nicht ersetzen. Endpunktschutz kann übermäßige Berechtigungen nicht ausgleichen. Ihr Zero Trust ist lediglich die grundlegende Architektur, die diese Funktionen miteinander verbindet.
Beginnend mit dem Netzwerk
Netzwerkkontrollen sind wichtig, aber Identitätsfragen sollten generell frühzeitig angegangen werden. Wenn eine Organisation Tausende von überflüssigen Berechtigungen und schwache Authentifizierungskontrollen aufweist, kann eine zusätzliche Segmentierung die Komplexität nur erhöhen, ohne das zugrunde liegende Problem zu lösen.
Ignorieren des Ost-West-Verkehrs
Perimeterverteidigungen bleiben wichtig, bieten aber keinen ausreichenden Schutz, sobald ein Angreifer den Perimeter durchbrochen hat. Der interne Datenverkehr verdient daher dieselbe strategische Aufmerksamkeit wie der Datenverkehr, der mit dem Internet in Verbindung steht.
Zu schnelle Übersegmentierung
Mikrosegmentierung kann sich als operativ aufwendig erweisen, wenn sie ohne Verständnis der Anwendungsabhängigkeiten implementiert wird. Bevor Hunderte oder Tausende von Richtlinien erstellt werden, sollten Unternehmen abbilden, wie die Anwendungen tatsächlich kommunizieren. Ein besserer Ansatz ist es, mit den wertvollsten Assets zu beginnen und die Segmentierung schrittweise auszuweiten.
Opferung der Benutzererfahrung
Sicherheitskontrollen, die legitime Benutzer ständig behindern, können Umgehungen begünstigen. Zero Trust sollte daher auf risikogerechter Reibungsbegrenzung basieren. Aktivitäten mit geringem Risiko sollten unkompliziert bleiben, während Aktivitäten mit hohem Risiko strengere Kontrollen erfordern.
Dies sind zwar allesamt dringende Anliegen, doch die Sicherheitsteams sind dafür verantwortlich, dass ihr Zero-Trust-Plan alle Aspekte angemessen abdeckt. Wie also schafft man von Anfang an das richtige Framework?
Entwicklung einer Zero-Trust-Roadmap: Ein praktischer Ansatz
Eine erfolgreiche Zero-Trust-Implementierung verläuft in der Regel schrittweise und nicht revolutionär. Die folgenden strukturierten Schritte bieten einen praktischen Ansatz zur effizienten und präzisen Umsetzung Ihres Zero-Trust-Plans.
Phase 1: Schaffung der Identitätsgrundlage
Beginnen Sie stets mit Multi-Faktor-Authentifizierung (MFA), privilegierten Zugriffskontrollen und zentralisierter Identitätsverwaltung. Erstellen Sie gleichzeitig ein zuverlässiges Verzeichnis der Benutzer, Dienstkonten und Geräte.
Hier fragen Sie sich: „Kann meine Organisation zuverlässig feststellen, wer oder was Zugriff anfordert?“
Phase 2: Sichtbarkeit gewinnen
Bevor Sie das Netzwerk aggressiv segmentieren, sollten Sie es verstehen. Erfassen Sie Anwendungen, Workloads, Abhängigkeiten und Datenflüsse. Identifizieren Sie sensible Daten und kritische Geschäftsdienste. Netzwerkanalysen können zudem helfen, einen Normalzustand zu ermitteln.
Hier stellt sich die Frage: „Versteht das Sicherheitsteam, welche Systeme miteinander kommunizieren und warum?“
Phase 3: Strategische Segmentierung
Beginnen Sie mit der Makrosegmentierung, wo die Sicherheitsvorteile am deutlichsten sichtbar sind: beispielsweise durch die Trennung von Entwicklungs-, Produktions- und Betriebsumgebungen. Anschließend können Sie die Mikrosegmentierung um besonders wichtige Anwendungen und Workloads herum einführen.
Dies beantwortet die Frage: „Welche Systeme hätten die größten Auswirkungen auf das Geschäft, wenn sie kompromittiert würden?“
Phase 4: Umstellung von VPN auf ZTNA
Priorisieren Sie Anwendungsfälle für den Fernzugriff, in denen ein umfassender Netzwerkzugriff schwer zu rechtfertigen ist. Gehen Sie hin zu anwendungsspezifischem Zugriff über, beginnend mit externen Benutzern und schrittweiser Anwendung derselben Prinzipien auf den internen Zugriff. Sangfors Zero Trust Guard bietet beispielsweise ZTNA-Funktionen für Anwendungen, die in Unternehmensrechenzentren und öffentlichen Clouds gehostet werden, mithilfe adaptiver Authentifizierung, Zugriffskontrollen und Gerätestatusanalyse.
In dieser Phase wird geprüft, ob jeder Remote-Benutzer Netzwerkzugriff benötigt oder ob er nur Zugriff auf bestimmte Anwendungen benötigt.
Phase 5: Einführung der kontinuierlichen Validierung
Die letzte Phase geht über statische Richtlinien hinaus. Mithilfe von Verhaltensanalysen, Endpunktsignalen und Netzwerktelemetrie werden Zugriffsentscheidungen dynamischer getroffen. Nach der Implementierung wird Zero Trust zu einem Betriebsmodell und nicht mehr zu einem Projekt mit einem festgelegten Fertigstellungstermin.
Letztendlich basiert Zero-Trust-Planung auf Durchsetzung, Schulung und Konsistenz; sie hängt jedoch auch stark von der gewählten Architektur ab. Sangfor verfolgt bei Zero Trust einen integrierten Sicherheitsansatz, der Netzwerk, Endpunkte, Zugriff und Bedrohungstransparenz umfasst.
Wie Sangfor die Zero-Trust-Netzwerkarchitektur unterstützt
Am Netzwerkperimeter bietet Sangfor Athena NGFW Next-Generation-Firewall-Funktionen wie Datenverkehrsprüfung, Bedrohungserkennung und Richtliniendurchsetzung. Dies bildet die Grundlage für die Perimetersicherheit, die Zero-Trust-Architekturen benötigen, und ermöglicht anwendungsorientierte Datenverkehrsprüfung, Integration von Bedrohungsdaten und Richtliniendurchsetzung an der Netzwerkgrenze.
Sangfor aNET bietet Netzwerkvirtualisierung, die eine detaillierte Netzwerksteuerung und -segmentierung unterstützt. Dies ist besonders relevant für Unternehmen, die Zero-Trust-Prinzipien auf den Ost-West-Verkehr zwischen virtualisierten Workloads und hyperkonvergenten Infrastrukturen (HCI) anwenden.
Die Athena Endpoint Protection Platform legt den Fokus auf Gerätevertrauen. Der Zustand und das Verhalten von Endgeräten sind entscheidende Faktoren, um zu bestimmen, ob einer legitimen Identität Zugriff auf sensible Ressourcen gewährt werden soll. Daher unterstützt Sangfor mit seiner kontinuierlichen Überwachung des Gerätestatus, der Erkennung von Verhaltensbedrohungen und den EPP/EDR-Funktionen die Zero-Trust-Endpunktvertrauensbewertung als Teil eines umfassenderen Zugriffsentscheidungsrahmens.
Darüber hinaus bietet Athena NDR von Sangfor Netzwerk-Erkennungs- und Reaktionsfunktionen, die das Prinzip „Verdacht auf Sicherheitsvorfälle“ unterstützen, indem sie das Netzwerkverhalten analysieren und verdächtige Aktivitäten identifizieren. Dies hilft bei der Erkennung von lateralen Bewegungen, anomalen Zugriffsmustern und Bedrohungen, die Perimeterkontrollen umgehen.
Das Zero-Trust-Portfolio von Sangfor ermöglicht zudem sicheren, anwendungsspezifischen Zugriff über Sangfor Zero Trust Guard und gewährleistet so den adaptiven Zugriff auf private Anwendungen, die in öffentlichen Cloud- und Rechenzentrumsumgebungen gehostet werden. Sangfor Athena SASE integriert ZTNA sowie weitere Sicherheits- und Netzwerkfunktionen. Dieser mehrschichtige Ansatz ist wichtig, da Zero-Trust-Entscheidungen selten auf einem einzelnen Signal basieren.
Die Zusammenführung dieser Sicherheitsdomänen kann Unternehmen helfen, die Fragmentierung von Richtlinien zu reduzieren und die Transparenz in verteilten Umgebungen zu verbessern. Dadurch wird Zero Trust zu einer kontinuierlichen Architektur- und Governance-Disziplin und nicht zu einer einmaligen Technologieimplementierung. Letztendlich basieren die stärksten Zero-Trust-Programme auf Geschäftsprioritäten, kehren aber stets zu einer kontinuierlichen Überprüfung zurück. Denn die Weiterentwicklung in einer dynamischen IT-Landschaft erfordert ein weiterentwickeltes Denken.
Häufig gestellte Fragen
Ein Ansatz für Netzwerksicherheit, der implizites Vertrauen basierend auf dem Netzwerkstandort aufhebt. Dadurch wird sichergestellt, dass jede Zugriffsanfrage anhand von Identität, Gerätestatus, Ressourcensensibilität und Sicherheitskontext bewertet wird.
Zero Trust ist ein umfassendes Cybersicherheitsmodell, das Identitäten, Geräte, Netzwerke, Anwendungen, Workloads und Daten abdeckt. Zero Trust Network Access ist eine spezifische Funktion, die kontrollierten, identitäts- und kontextbasierten Zugriff auf Anwendungen und Ressourcen ermöglicht.
Explizite Überprüfung, Durchsetzung des Prinzips der minimalen Berechtigungen, Annahme eines Sicherheitsverstoßes, Nutzung von Segmentierung zur Begrenzung der lateralen Bewegung und kontinuierliche Validierung des Zugriffs.
Beginnen Sie mit der Identitäts- und Gerätesicherheit, schaffen Sie dann Transparenz über Anwendungen, Workloads und Datenverkehr, bevor Sie schrittweise Segmentierung und ZTNA einführen. Ein stufenweises Vorgehen reduziert Betriebsunterbrechungen und ermöglicht es Sicherheitsteams, die Systeme mit dem höchsten Geschäftsrisiko zu priorisieren.
Mikrosegmentierung schafft fein abgestufte Sicherheitsgrenzen zwischen Workloads, Anwendungen oder Systemen und kontrolliert die Kommunikation zwischen ihnen. Sie trägt dazu bei, die seitliche Ausbreitung einzuschränken, wenn ein Angreifer ein Konto, ein Gerät oder einen Workload kompromittiert hat.
Ein herkömmliches VPN gewährt einem authentifizierten Benutzer Zugriff auf ein Netzwerk oder ein Netzwerksegment. ZTNA hingegen ermöglicht den Zugriff auf spezifische Anwendungen basierend auf Identität, Gerätestatus und Richtlinien und reduziert so unnötige Netzwerkrisiken.
