Cybersicherheit | IT-Sicherheit | How Tos | Alltägliche Hinweise
Das Zero Trust Modell ist als IT-Sicherheitskonzept in aller Munde. Aber was bedeutet es konkret? Und können auch kleine und mittlere Unternehmen es realistisch umsetzen? Wir geben einen ersten Überblick und unsere Einschätzung.
Wörtlich übersetzt bedeutet Zero Trust „Null Vertrauen“. Damit ist sein Grundprinzip bereits gut umrissen. Denn es geht darum, in einem Netzwerk keinem Gerät, keiner Anwendung und keiner Nutzeridentität zu vertrauen, sondern sie stets zu überprüfen. Das Ziel ist, dass nur legitimierte Geräte, Anwendungen, Nutzerinnen und Nutzer Zugriff erhalten – Hacker aber nicht.
Lange war ein IT-Sicherheitsmodell vorherrschend, das anschaulich als „Burggraben-Konzept“ charakterisiert wird. Dabei wird ein Unternehmen gleich einer Burg stark gegen Zugriffe von außen abgesichert. Unter anderem durch Firewall, Virenscanner und Co. Im Inneren werden hingegen deutlich schwächere Sicherheitsvorkehrungen getroffen. Zugriffe von hier aus sind vergleichsweise leicht möglich, denn sie werden tendenziell als legitim angesehen.
Dadurch können Hacker große Schäden anrichten, wenn sie den metaphorischen Burggraben überwunden haben und sich im Unternehmensnetzwerk bewegen. Dies gelingt ihnen häufig z. B. durch Phishing-Attacken, Social Engineering oder Sicherheitslücken in Programmen. Cloudanwendungen und die weitere Verbreitung des Homeoffice stellen zusätzliche Herausforderungen für das Burggraben-Konzept dar – denn wo genau soll dort jeweils der Burggraben gezogen werden?
Mit dem Zero Trust Konzept ist hingegen nicht so wichtig, wo sich die Person, das Gerät oder die Anwendung befindet, um einzuschätzen, ob ein Zugriff legitim ist. Sondern wichtig ist die Authentifizierung – die Überprüfung, ob die Person, das Gerät oder die Anwendung wirklich diejenigen sind, die sie vorgeben zu sein. Damit passt das Zero Trust Modell prinzipiell besser zu den aktuellen Gegebenheiten des digitalen Unternehmens-Alltags.
An erster Stelle des Zero Trust Modells steht die Authentifizierung aller Zugriffe. Aber es geht darüber hinaus. Denn es basiert auf der Erfahrung, dass Cyberangriffe oft aus dem Inneren eines Unternehmens erfolgen. Zum Beispiel wenn Hacker durch einen Phishing-Angriff in das Firmennetzwerk eingedrungen sind. Daher beinhaltet das Zero Trust Modell auch Elemente, die helfen, solche Angriffe aufzuspüren und ihre Schäden zu begrenzen.
Keine Frage: Die vollständige Umsetzung des Zero Trust Modells bedeutet Aufwand. Zum Beispiel muss zunächst erfasst werden, welche Anwendungen, Geräte und Nutzenden es gibt, welche legitim sind und wie sie sich in Zukunft sicher authentifizieren sollen. Verschlüsselungen müssen angelegt werden, Abläufe etabliert und dann zur Routine werden. Zugriffsrechte müssen überprüft, durchdacht vergeben und ggf. angepasst werden, um ein reibungsloses Arbeiten zu ermöglichen. Analysemöglichkeiten müssen geschaffen und genutzt werden.
Aber: Dieser Weg lässt sich Schritt für Schritt gehen. In vielen Unternehmen gehören einzelne Bestandteile des Zero Trust Modells bereits zum Alltag. Darauf lässt sich aufbauen. Alternativ steht am Anfang die Überlegung, welche Maßnahmen am einfachsten und mit dem größten Gewinn an Sicherheit umzusetzen sind. Bei Bedarf stehen Ihnen dabei Cybersecurity-Unternehmen wie Perseus gerne beratend zur Seite.
Für uns Menschen ist der Begriff „Vertrauen“ emotional sehr aufgeladen. Vertrauen ist ein hoher Wert. Wird uns Vertrauen geschenkt, empfinden wir das oft als Auszeichnung. Wird uns hingegen Vertrauen entzogen oder Misstrauen entgegengebracht, ist dies höchst unerfreulich. Wenn Mitarbeitende eines Unternehmens den Ausdruck Zero Trust/ Null Vertrauen missverstehen und auf sich beziehen, können sie ihn daher nachvollziehbarerweise als Affront empfinden. Aber ohne ihre aktive Unterstützung ist das Zero Trust Modell nicht machbar.
Daher ist bei der Umsetzung des Zero Trust Modells überaus wichtig, sein Ziel von Anfang an für alle im Unternehmen klar verständlich zu machen: Bei Zero Trust geht es nicht um Misstrauen dem Menschen gegenüber. Sondern darum, sicherzustellen, dass nur die vertrauenswürdigen Menschen Zugriff auf ein System, eine Anwendung, ein Gerät usw. erhalten – nicht aber Hacker, die sich als sie ausgeben.
In Zeiten von gestohlenen oder gehackten Anmeldedaten, Eindringlingen im Unternehmensnetzwerk und raffinierten Betrugsversuchen ist das leider eine sinnvolle Maßnahme. Wenn alle in Ihrem Unternehmen dies verstehen und mittragen, haben Sie einen häufigen Stolperstein für das Zero Trust Modell aus dem Weg geräumt.
Unser Tipp: Die Differenzierung zwischen Authentisierung, Authentifizierung und Autorisierung ist Ihnen nicht ganz klar? Dieser Beitrag kann Ihnen helfen und Missverständnisse aufklären.
Cyber security | IT security | How-tos | Everyday tips
The zero trust model is an IT security concept that is currently on everyone’s lips. But what does it actually mean? And can small and medium-sized enterprises realistically implement it? We provide an initial overview and our assessment.
Literally translated, zero trust means ‘no trust’. This already outlines its basic principle. It is about not trusting any device, application or user identity in a network, but always checking them. The goal is to ensure that only authorised devices, applications and users have access – but not hackers.
For a long time, an IT security model was prevalent that can be clearly characterised as the ‘moat concept’. In this model, a company is secured against external access like a castle. This is achieved through firewalls, virus scanners and other measures. Inside, however, the security measures are significantly weaker. Access from within is comparatively easy because it tends to be considered legitimate.
This allows hackers to cause considerable damage once they have overcome the metaphorical moat and are able to move around the company network. They often achieve this through phishing attacks, social engineering or security vulnerabilities in programs. Cloud applications and the increasing prevalence of working from home pose additional challenges for the moat concept – because where exactly should the moat be drawn?
With the zero trust concept, on the other hand, it is not so important where the person, device or application is located in order to assess whether access is legitimate. What is important is authentication – verifying that the person, device or application really is who or what it claims to be. This means that the zero trust model is fundamentally better suited to the current realities of everyday digital business.
The first step in the zero trust model is to authenticate all access. But it goes beyond that. It is based on the experience that cyber attacks often originate from within a company. For example, when hackers penetrate the company network through a phishing attack. The Zero Trust model therefore also includes elements that help to detect such attacks and limit the damage they cause.
There’s no question about it: fully implementing the Zero Trust model takes effort. For example, you first need to identify which applications, devices and users exist, which ones are legitimate and how they should be securely authenticated in the future. Encryption must be set up, processes established and then become routine. Access rights must be reviewed, carefully assigned and, if necessary, adjusted to enable smooth workflows. Analysis options must be created and utilised.
However, this path can be taken step by step. In many companies, individual components of the zero trust model are already part of everyday life. This can be built upon. Alternatively, you can start by considering which measures are the easiest to implement and offer the greatest security benefits. If necessary, cybersecurity companies such as Perseus are happy to advise you.
For us humans, the term ‘trust’ is emotionally charged. Trust is a high value. When we are trusted, we often feel honoured. When trust is withdrawn or mistrust is shown, however, it is highly unpleasant. If employees misunderstand the term ‘zero trust’ and apply it to themselves, they may understandably perceive it as an affront. But without their active support, the zero trust model is not feasible.
When implementing the zero trust model, it is therefore extremely important to make its goal clear to everyone in the company from the outset: Zero Trust is not about mistrusting people. It is about ensuring that only trusted people have access to a system, application, device, etc. – not hackers pretending to be them.
In times of stolen or hacked login data, intruders in the company network and sophisticated fraud attempts, this is unfortunately a sensible measure. If everyone in your company understands and supports this, you will have removed a common stumbling block for the Zero Trust model.
Our tip: Are you unsure about the difference between authentication, authorisation and authorisation? This article can help you and clear up any misunderstandings.