Zero Trust

Das klassische Netz war eine Burg mit Wassergraben. Das Problem mit Gräben: Wer einmal drüben ist, findet in der Burg ein Großraumbüro vor.

Kurz gesagt

Zero Trust ist eine Sammlung von Grundsätzen, kein Produkt: Kein Gerät, kein Benutzer und keine Anfrage gilt als vertrauenswürdig, nur weil sie im eigenen Netz sitzt oder dir gehört. Jeder Zugriff auf eine Ressource wird geprüft, pro Sitzung und nur mit den Rechten, die er braucht. Das NIST definiert das Modell, die US-Behörde CISA und das BSI beschreiben Wege dorthin, und alle drei sind sich einig, dass man Zero Trust Schritt für Schritt erarbeitet und nicht kauft.

So funktioniert’s

1. Das Problem ist das stillschweigende Vertrauen. NIST SP 800-207 beschreibt Zero Trust als Ansatz ohne implizites Vertrauen aufgrund des physischen oder Netzwerkstandorts (etwa des internen Netzes) oder des Besitzes eines Geräts. Das NIST benennt die Schwäche des klassischen Perimetermodells: Ist der Perimeter einmal durchbrochen, kann sich ein Angreifer ungehindert seitlich durchs Netz bewegen.
2. Es sind Leitprinzipien, keine einzelne Architektur. Das NIST nennt Zero Trust „eine Reihe von Leitprinzipien“ für Entwurf und Betrieb von Systemen. Es beschreibt den Weg als Reise, die nicht verlangt, die gesamte Technik auf einmal auszutauschen, und hält fest, dass ein Mischzustand aus Zero-Trust-Teilen und klassischen Teilen üblich ist.
3. Sieben Grundsätze. Das NIST führt sie auf (§2.1, sinngemäß): alle Datenquellen und Dienste als Ressourcen behandeln; jede Kommunikation unabhängig vom Netzstandort absichern; Zugriff pro Sitzung und mit minimalen Rechten gewähren; nach dynamischer Richtlinie entscheiden; den Zustand aller Assets überwachen; Authentifizierung und Autorisierung dynamisch und strikt durchsetzen, bevor der Zugriff erlaubt wird; möglichst viele Informationen über Assets und Verkehr sammeln und zum Verbessern nutzen.
4. Entscheiden und Durchsetzen sind getrennte Teile. Im NIST-Modell entscheidet ein Policy Decision Point, ob ein Zugriff erlaubt ist, und ein Policy Enforcement Point setzt die Entscheidung an der Verbindung durch. Der Decision Point besteht aus einer Policy Engine, die entscheidet, und einem Policy Administrator, der die Sitzung aufbaut oder beendet. Der Bereich, in dem implizites Vertrauen bleibt, soll so klein wie möglich sein.
5. Die CISA gibt ein Raster vor. Das Zero Trust Maturity Model 2.0 der CISA (April 2023) hat fünf Säulen: Identität, Geräte, Netzwerke, Anwendungen und Workloads sowie Daten. Drei Fähigkeiten ziehen sich quer hindurch: Sichtbarkeit und Analyse, Automatisierung und Orchestrierung sowie Governance. Die CISA beschreibt das Modell als Abstufung der Umsetzung, nicht als Schalter.
6. Das BSI liefert Haltung und Vorbehalte. Die BSI-Webseite zu Zero Trust nennt das Paradigma „Assume Breach“, das heißt: Plane so, als wäre der Angreifer schon drin, zusammen mit dem Prinzip der minimalen Rechte. Sie nennt Integrität und Vertraulichkeit als Schutzziele und hält fest, dass die Verfügbarkeit keines davon ist. Die Einführung sei ein langfristiges Vorhaben, keine einmalige Investition, und die Interoperabilität sei schwierig, weil Standards fehlen. Das BSI-Positionspapier von 2023 ergänzt, dass Zero Trust kein definierter Standard ist und Produkte meist nur einen Teil abdecken.
7. Der größte Teil der Arbeit passiert vor der Technik. Das BSI-Management-Blitzlicht vom Oktober 2023 nennt sieben Schritte (Geschäftsprozesse, Beteiligte, rechtliche Anforderungen, Ressourcen, Sicherheitsrichtlinien, Marktsondierung, Priorisierung) und hält fest, dass 70 bis 80 Prozent der Umsetzung vor einer IT-technischen Realisierung stattfinden. Auch der Einführungsweg im NIST-Dokument (§7.3) beginnt so: Akteure, Assets, Prozesse und Risiken, Richtlinien, danach Lösungskandidaten, erste Einführung und Ausbau.

In der Praxis

Für Zero Trust gibt es keinen Befehl, aber eine erste Übung, die nur Stift und Papier braucht:

1. Liste deine Ressourcen (Dienste, Daten, Verwaltungsoberflächen) und zu jeder, wer oder was sie nutzt.
2. Schreib neben jede Ressource die Rechte, die wirklich nötig sind, und woher die Anfrage kommt.
3. Markiere jede Stelle, an der „es ist ja im Heimnetz“ der einzige Grund für den Zugriff ist. Das sind deine Zonen mit implizitem Vertrauen.

Ein Beispiel aus den Arbeitsregeln von Bytearium, als Baustein und nicht als Zero-Trust-Behauptung: Die Zugriffsregeln im Repository halten je System und Konto fest, welcher Zugriff besteht, ein neuer Zugriff beginnt nur lesend, Schreibrechte folgen je System nach Freigabe, und Zugangsdaten liegen nicht im Repository. Das deckt ein Inventar und minimale Rechte ab, zwei der Ausgangspunkte oben. Nicht abgedeckt sind sitzungsbezogene Entscheidungen, laufende Überwachung jedes Geräts oder ein Policy Decision Point, und wir behaupten nicht, dass Bytearium „Zero Trust macht“. Das Beispiel nennt weder Konten noch Systeme.

Ein erster Schritt in Homelab-Größe

Du brauchst keine Identitätsplattform, um anzufangen. Leg Verwaltungsoberflächen (iLO, den Hypervisor, die NAS-Adminseite, den Router) in ein eigenes Netzsegment, das nur dein Admin-Gerät erreicht, verlange einen zweiten Faktor für die wenigen Konten, die etwas ändern können, und lass jeden Dienst auch im Haus nach einer Anmeldung fragen. Dann protokolliere, wer sich wo verbunden hat. Das ist kein vollständiges Zero Trust, aber es räumt die Annahme ab, vor der das Modell warnt: dass im LAN zu sein heißt, vertrauenswürdig zu sein.

Prüfliste

• Erfasse zuerst Ressourcen, Benutzer und Geräte; was du nicht aufzählen kannst, kannst du nicht schützen.
• Frage bei jedem Zugriff: wer, von welchem Gerät, auf was, mit welchen Rechten und warum.
• Vergib Rechte je Ressource und je Aufgabe und entziehe sie wieder, wenn die Aufgabe endet.
• Behandle das interne Netz nicht als vertrauenswürdig: Sichere den Verkehr darin so ab wie außerhalb.
• Protokolliere und überwache Zugriffe und nutze das Gelernte, um Regeln zu verschärfen.
• Wähle einen kleinen Bereich, ändere ihn, prüfe das Ergebnis und baue dann aus.
• Prüfe, was ein „Zero-Trust-Produkt“ wirklich abdeckt (Identität, Geräte, Netz, Anwendungen, Daten), bevor du es als erledigt zählst.
• Plane Zeit und Aufwand für Prozesse und Richtlinien ein, nicht nur für Werkzeuge.