Zero Trust: Warum Vertrauen allein kein Sicherheitskonzept mehr ist

Miljenko Krvaric (0:06)

Hallo und herzlich willkommen zu einer neuen Folge des in2success Podcasts. Wer mich da draußen kennt, der weiß schon Bescheid für alle anderen. Ganz kurz, ich als M365 Consultant bin ja tatsächlich eher so im Schwerpunkt IT Security unterwegs. Heute möchte ich mit euch über ein Thema sprechen, das tatsächlich immer wieder auftaucht und das mittlerweile praktisch eine Art Grundlage aller modernen Sicherheitsstrategien geworden ist. Wir sprechen heute über Zero Trust. Ich bin mir ziemlich sicher, der ein oder andere von euch hat diesen Begriff schon einmal gehört, in welchem Zusammenhang auch immer.

Vielleicht denkt man dabei erst mal an eine neue Sicherheitslösung oder an ein weiteres neues Microsoft Produkt aus dieser riesengroßen Microsoft Palette. Aber genau das ist Zero Trust eben nicht. Zero Trust ist kein eigenständiges Produkt in dem Sinne. Zero Trust ist eher eine Denkweise. Wir sprechen hier von einem Sicherheitskonzept. Und ich würde fast sogar so weit gehen und sagen, wenn Unternehmen heute ihre IT also von Grund auf neu planen würden, dann würden sie wahrscheinlich von Anfang an nach den Prinzipien von Zero Trust aufbauen. Und in dieser Podcastfolge möchte ich so ein bisschen darüber sprechen, warum das klassische Sicherheitsmodell heute, wie wir es aber von früher mal kannten, überhaupt nicht mehr ausreicht, was Zero Trust tatsächlich eigentlich bedeutet, welche Grundprinzipien dahinter stecken, und warum das Konzept, was wir jetzt hier in der Podcastfolge machen, eigentlich nicht mehr ausreicht. Also, wir schauen uns natürlich an als Microsoft Consultant ganz klar, wie Microsoft die Thematik Zero Trust umsetzt. Und wie immer spielt in jedem unserer Podcasts KI irgendwie eine kleine Rolle, warum dieses Konzept gerade auch durch Cloud und KI immer wichtiger wird.

Also, lasst uns starten. Lasst uns einmal komplett zurückschauen. Und mit zurück meine ich jetzt nicht mal ein, zwei Jährchen zurück. Lass uns mal einen großen Batzen nehmen. 15, 20 Jahre. Wir schauen 15, 20 Jahre zurück. Wie war die IT Welt damals? Es war auf jeden Fall deutlich einfacher. Also deutlich einfacher dahingehend. Ich denke jetzt gerade dran, die Mitarbeiter, die saßen alle im Büro. Sämtliche Server, die standen im eigenen Rechenzentrum. Alle Geräte, die im Einsatz waren, seine Server, Laptops, PCs, Workstations, die gehörten dem Unternehmen. Und der Zugriff auf sämtliche Daten erfolgte fast ausschließlich aus dem eigenen internen Netzwerk. Und entsprechend war auch das Sicherheitskonzept damals relativ simpel. Man baut eine starke Firewall auf. Alles das, was wir intern im Unternehmen an IT-Infrastruktur haben, das schützen wir mit einer gut aufgestellten und sicheren Firewall. Wir schützen also den Eingang ins Unternehmen rein. Und ja, alles, was sich innerhalb des Firmennetzwerks befand, das galt automatisch als vertrauenswürdig.

Der ein oder andere kennt das in diesem Prinzip. Ich kenn's auch noch aus meiner Ausbildung damals. Man nannte das ganze Burggraben Prinzip, weil im Endeffekt genau das ist es. Ich habe meine Burg als Unternehmen und mit der Firewall grabe ich mir jetzt meinen Burggraben, um zu verhindern, dass nichts Böses in mein Unternehmen reinkommt. Das heißt, komplett zusammengefasst, innerhalb meiner Burgmauern galt alles als sicher und alles, was außerhalb war, das war gefährlich. Und genau diese Denkweise, genau dieses Modell, das funktioniert heute eben nicht mehr. Warum funktioniert das heute nicht mehr? Ich habe gerade beschrieben, alle saßen im Büro, interne Geräte und und und und und.

Und jetzt reicht es eigentlich nur, wenn man sich genau das Gegenteil vorstellt. Heute arbeiten viele Unternehmen völlig anders. Die Daten, die liegen eben nicht mehr nur im eigenen Rechenzentrum, zum Teil haben Unternehmen noch nicht mal mehr ein eigenes Rechenzentrum. Server stehen tatsächlich nicht mehr im eigenen Unternehmen in einem verschlossenen Räumchen im Server-Schrank. Sie liegen bei Microsoft 365 oder irgendwo in der Cloud. Wir haben Azure, wir haben Dateien, die in SharePoint OneDrive liegen. Mitarbeiter arbeiten eben nicht mehr nur im Büro. Sie arbeiten von zu Hause. Sie arbeiten aus dem Hotel heraus, vom Flughafen, vom Bahnhof. Mitarbeiter sind unterwegs mit dem Smartphone, mit dem Laptop, mit einem Tablet. Dazu kommen vielleicht tatsächlich auch Stichwort Bring Your Own Device, private Geräte. Jetzt werden private Geräte auch dienstlich genutzt. Wir haben so Faktoren wie externe Dienstleister, die uns unterstützen, die von extern auf unsere Daten zugreifen. Wir haben Cloud-Anwendungen, wir haben ganz klar KI-Systeme, ganz viel davon. Und plötzlich gibt es gar keinen klar definierten Unternehmensrand mehr. Also das, was wir damals mit der Stadtmauer, mit der Burgmauer und dem Burggraben beschrieben haben. Diesen Unternehmensrand, den gibt es, der verschwimmt völlig. Das heißt, diese klassische Firewall, die schützt längst nicht mehr alles. Und genau deshalb musste sich auch im Endeffekt dieses Sicherheitsdenken, wie wir es von damals kennen, einfach grundlegend verändern. Was bedeutet denn jetzt tatsächlich Zero Trust?

Zero Trust lässt sich ziemlich gut in einem Satz zusammenfassen. Never trust, always verify. Also vertraue grundsätzlich niemandem. Überprüfe alles.

Das klingt jetzt zunächst ziemlich hart, wenn wir sagen, wir vertrauen niemandem und alles, wirklich alles wird überprüft. Wichtig ist jetzt aber, daran zu verstehen, gemeint ist nicht, dass wir unseren Mitarbeitern nicht mehr vertrauen, dass wir unseren Mitarbeitern jetzt misstrauen. Es geht vielmehr darum, jeden Zugriff zu prüfen. Jeder Zugriff muss geprüft werden. Ganz egal, ob er von außen kommt, ob er tatsächlich sogar intern aus dem eigenen Unternehmen kommt. Es spielt überhaupt gar keine Rolle, ob irgendein Zugriff gerade sogar vom Geschäftsführer persönlich initiiert wird. Es gibt bei Zero Trust kein automatisches Vertrauen mehr. Jede Anmeldung, jedes Gerät, jede Applikation, jeder Zugriff auf Daten, alles wird im Detail bewertet.