Zero Trust

Zero Trust schützt die Vertraulichkeit und die Integrität der Daten, nicht deren Verfügbarkeit. Das Bundesamt für Sicherheit in der Informationstechnik benennt diesen Verzicht in seinem Positionspapier von 2023 ausdrücklich: Einschränkungen bei der Verfügbarkeit werden in Kauf genommen, weil ein Zugriff, der sich nicht eindeutig nachweisen lässt, verweigert wird – im Zweifel auch der berechtigte. Ausfallsicherheit entsteht deshalb auf einem anderen Weg: geprüfte Sicherungen, ein Wiederanlaufplan und doppelt ausgelegte Dienste.

Sieben. Der Standard SP 800-207 „Zero Trust Architecture“ der US-Normungsbehörde NIST vom 11. August 2020 listet in Abschnitt 2.1 genau sieben Grundsätze – darunter, dass jede Datenquelle als Ressource gilt, dass Zugriff je Sitzung neu gewährt wird und dass eine Organisation den Sicherheitszustand aller eigenen Geräte laufend messen muss. NIST bezeichnet die sieben ausdrücklich als Ideal und hält fest, dass sich nicht jeder davon in reiner Form umsetzen lässt.

Die Komponente, die über jeden einzelnen Zugriff entscheidet. In einer Zero-Trust-Architektur entsteht keine Verbindung ohne deren Freigabe; fällt diese Stelle aus oder wird sie blockiert, steht der Zugriff auf alle Ressourcen gleichzeitig. Der NIST-Standard SP 800-207 beschreibt in Abschnitt 5.2, dass bereits ein Betriebsfehler eine ganze Organisation arbeitsunfähig machen kann. Eine Verteilung auf mehrere Standorte mindert dieses Risiko, beseitigt es nicht.

Ein Verzeichnis der eigenen Geschäftsprozesse und der Ressourcen, die darin vorkommen. Das Bundesamt für Sicherheit in der Informationstechnik nennt sechs Voraussetzungen, die vor der Planung technischer Maßnahmen erfüllt sein müssen – von den priorisierten Kernprozessen über die beteiligten Organisationseinheiten bis zu schriftlich formulierten Zugriffsrichtlinien. Fehlen sie, ist laut Positionspapier die Wahrscheinlichkeit hoch, dass der Ansatz scheitert oder die Sicherheit sogar sinkt.

Nie in dem Sinn, in dem ein Projekt einen Abnahmetermin hat. Der NIST-Standard SP 800-207 hält in Abschnitt 7 fest, dass die meisten Organisationen auf unbestimmte Zeit im Mischbetrieb aus Zero Trust und klassischem Perimeter arbeiten werden und ein vollständiger Umbau innerhalb eines einzigen Technologiezyklus unwahrscheinlich ist. Tragfähig ist deshalb die Frage nach dem nächsten abgesicherten Geschäftsprozess statt nach einem Endtermin.

Weniger, als sie klingt. Eine Erhebung des Marktforschers Gartner unter 303 Sicherheitsverantwortlichen aus dem vierten Quartal 2023, veröffentlicht im April 2024, ergab: 63 Prozent der Organisationen weltweit haben eine Zero-Trust-Strategie ganz oder teilweise umgesetzt. Bei den meisten davon deckt sie jedoch die Hälfte der IT-Umgebung oder weniger ab und mindert ein Viertel des Unternehmensrisikos oder weniger. Die Selbstauskunft sagt also nichts über die Reichweite.