Treecha - stock.adobe.com
Vom Perimeter zu kontextbasierten Zugriffskontrollen
Während Cyberangriffe immer schneller werden, verliert der Netzwerkperimeter sein Schutzwirkung. Zero Trust verspricht einen neuen Ansatz – setzt aber Transparenz voraus.
Die Bedrohungslage in der IT-Sicherheit verändert sich qualitativ. Laut aktuellen Daten von Check Point Research erreichten Ransomware-Angriffe im Mai 2026 mit einem weltweiten Anstieg von 48 Prozent gegenüber dem Vorjahr einen neuen Jahreshöchstwert. In Deutschland blieb die absolute Zahl der Vorfälle mit 1318 Vorfällen pro Woche nahezu konstant. Jedoch verändert sich die Geschwindigkeit, mit der Schwachstellen ausgenutzt werden, rasant. Lagen im Jahr 2018 noch durchschnittlich zwei Jahre zwischen der Entdeckung einer Lücke und ihrer aktiven Ausnutzung, sind es heute oft nur noch Tage bis Stunden. Patches, die früher innerhalb eines geregelten Wartungsfensters eingespielt werden konnten, müssen heute in kürzester Zeit bereitstehen.
Diese Entwicklung trifft auf Infrastrukturen, die sich in den letzten Jahren grundlegend verändert haben. Applikationen laufen in der Cloud, Nutzer arbeiten von wechselnden Standorten und zahlreiche Schnittstellen verbinden Partner, SaaS-Dienste und APIs. Der klassische Netzwerkperimeter als primäre Verteidigungslinie kann hier kaum noch mithalten. Er beruht auf einem Architekturprinzip, das von einem klar abgegrenzten Inneren ausgeht. Eine Grenze, die sich in modernen Unternehmensumgebungen kaum noch findet. Auch Modelle wie DMZs oder VPN-Tunnel greifen zu kurz. Ist ihr äußerer Schutzring überwunden, können sich Angreifer in konventionell gerouteten Netzwerken weitgehend ungehindert bewegen. Konzepte wie Zero Trust können hier Abhilfe schaffen.
Mikrotunnel statt Dumb-Pipes
Der Kern von Zero Trust ist einfach: Kein Nutzer, kein Gerät und kein System erhält implizit Vertrauen, nur weil es sich innerhalb eines bestimmten Netzwerksegments befindet. Stattdessen wird jede Kommunikationsanfrage anhand von Identität, Standort, Gerätezustand und weiteren Merkmalen einzeln verifiziert. Diese Verifikation übernimmt ein zentraler Broker, der als Policy-Instanz zwischen Anfragenden und Zielressourcen steht.
Das hat eine strukturelle Konsequenz, die über reine Zugangskontrolle hinausgeht. Anwendungen, die nicht offen im Netz exponiert sind, sondern ausschließlich über verifizierte Verbindungen erreichbar bleiben, bieten Angreifern keine sichtbare Angriffsfläche. You can’t attack what you can’t see. Wenn du deine Infrastruktur hinter einem Broker versteckst, kann sie auch keiner scannen“, beschreibt Christoph Schuhwerk, CISO in Residence bei Zscaler, das Prinzip. Wer sich Zugang zum Netzwerk verschafft, physisch oder über ein kompromittiertes Endgerät, findet keine adressierbaren Komponenten vor. Lateral Movement, wie es in klassisch gerouteten Netzwerken möglich ist, läuft somit ins Leere.
Der Unterschied zu einem VPN ist dabei grundlegend. Ein VPN verschlüsselt den Transportweg, gibt dafür aber keinen Aufschluss über den Inhalt oder die Legitimität der Kommunikation. Es entsteht eine verlängerte Netzwerkverbindung - eine Dumb-Pipe - in der ein kompromittiertes Gerät dieselben Möglichkeiten hat wie legitime Nutzer. Zero Trust ersetzt dieses Modell durch kontextbasierte Mikrotunnel, die für jeden einzelnen Applikationszugriff aufgebaut und bei jeder Anfrage erneut auf Vertrauenswürdigkeit bewertet werden.
Was das für die Praxis bedeutet
Zero Trust ist kein Schalter, den man umlegt. Es ist ein schrittweiser Prozess, der mit einer ehrlichen Bestandsaufnahme beginnen muss. Bevor Architekturentscheidungen sinnvoll getroffen werden können, müssen Unternehmen wissen, welche Systeme sie betreiben, welche davon kritisch sind und wie diese miteinander kommunizieren.
Der sinnvolle Einstieg liegt entsprechend nicht in der unternehmensweiten Einführung eines neuen Architekturmodells, sondern in der Priorisierung. Welche fünf bis zehn Systeme sind so kritisch, dass ihr Ausfall den Betrieb unmittelbar gefährdet? Mit diesen beginnt die Absicherung. Ein Pilotprojekt mit überschaubarem Nutzer- und Systemkreis reicht oftmals aus, um Kommunikationsflüsse transparent zu machen, Altlasten zu identifizieren und einen belastbaren Ausgangspunkt für weitere Schritte zu schaffen.
Wichtig ist dabei eine realistische Einordnung. Zero Trust löst keine Probleme, die aus mangelnder Transparenz in der eigenen Infrastruktur entstehen. Es setzt Sichtbarkeit voraus, es erzeugt sie nicht automatisch. Ob das Konzept in einem konkreten Umfeld der geeignete nächste Schritt ist, hängt von Faktoren ab, die sich nicht pauschal beantworten lassen: Von der bestehenden Architektur, den regulatorischen Anforderungen, den verfügbaren Ressourcen sowie dem tatsächlichen Risikoprofil des Unternehmens.
