Zero Trust für KMU: Prinzipien und Einstieg nach NIST und BSI

Lange galt in vielen Unternehmen eine einfache Regel: Was im Firmennetz ist, ist vertrauenswürdig. Die Firewall schützt die Grenze nach außen, dahinter wird wenig geprüft. Heute arbeiten Mitarbeitende im Homeoffice, Daten liegen in Microsoft 365 und anderen Cloud-Diensten, Dienstleister greifen aus der Ferne zu. Eine klare Grenze zwischen innen und außen gibt es kaum noch.

Zero Trust ist die Antwort auf diese Entwicklung. Dieser Beitrag erklärt den Ansatz anhand der Grundlagen der US-Standardisierungsbehörde NIST und des Bundesamts für Sicherheit in der Informationstechnik (BSI). Er zeigt, was Zero Trust leisten kann, wo die Grenzen liegen und wie kleine und mittlere Unternehmen (KMU) schrittweise einsteigen.

Was Zero Trust bedeutet

Zero Trust heißt wörtlich „kein Vertrauen“. Gemeint ist: kein Vertrauen ohne Prüfung. Die US-Standardisierungsbehörde NIST beschreibt den Ansatz in ihrer Veröffentlichung SP 800-207 „Zero Trust Architecture“ vom August 2020. Danach verlagert Zero Trust den Schutz weg von festen Netzgrenzen hin zu Benutzern, Geräten und Ressourcen. Ein Gerät oder Benutzerkonto erhält kein Vertrauen allein deshalb, weil es sich in einem bestimmten Netz befindet oder dem Unternehmen gehört. Benutzer und Geräte werden geprüft, bevor eine Verbindung zu einer Ressource entsteht.

Das BSI beschreibt Zero Trust in seinem Positionspapier Zero Trust 2023 als Architekturansatz, der auf dem Prinzip der minimalen Rechte beruht. Zwischen Nutzern, Geräten und Systemen gibt es kein implizites Vertrauen. Vertrauen muss bei jedem Zugriff durch verlässliche Nachweise neu aufgebaut werden. Der Ansatz ist aus dem Gedanken „Assume Breach“ entstanden: Man geht davon aus, dass erfolgreiche Angriffe auf die eigene IT nicht auszuschließen sind, und plant die Schutzmaßnahmen entsprechend. Auch NIST empfiehlt, sich so zu verhalten, als sei ein Angreifer bereits im Firmennetz.

Wichtig: Zero Trust ist kein einzelnes Produkt. NIST nennt es ausdrücklich keine einzelne Architektur, sondern eine Sammlung von Leitprinzipien für Abläufe, Systemgestaltung und Betrieb.

Die Grundprinzipien

NIST fasst Zero Trust in sieben Grundsätzen zusammen. Für den Alltag lassen sie sich so zusammenfassen:

1. Alles ist eine Ressource: Daten, Anwendungen, Cloud-Dienste und Geräte werden als schützenswerte Ressourcen betrachtet.
2. Der Standort im Netz begründet kein Vertrauen: Ein Zugriff aus dem Firmennetz muss dieselben Anforderungen erfüllen wie ein Zugriff von außen. Die Kommunikation wird so sicher wie möglich gestaltet.
3. Zugriff je Sitzung und mit minimalen Rechten: Zugriff wird einzeln gewährt, nur so weit wie für die Aufgabe nötig. Der Zugriff auf eine Ressource berechtigt nicht automatisch zum Zugriff auf eine andere.
4. Regeln statt Pauschalfreigaben: Ob ein Zugriff erlaubt wird, hängt von festgelegten Regeln ab, etwa von der Identität, der Anwendung und dem Zustand des Geräts.
5. Geräte werden überwacht: Das Unternehmen prüft den Sicherheitszustand seiner Geräte, zum Beispiel den Update-Stand. Geräte mit bekannten Schwachstellen oder ohne Verwaltung können anders behandelt werden.
6. Anmeldung und Berechtigung werden durchgesetzt: Vor jedem Zugriff werden Identität und Berechtigung geprüft. NIST nennt dabei ausdrücklich die Multi-Faktor-Authentifizierung.
7. Informationen fließen zurück: Daten über Geräte, Netzverkehr und Zugriffe werden gesammelt und genutzt, um die Regeln zu verbessern.

Das BSI fasst die wichtigsten Aspekte in seinem Management-Blitzlicht zu Zero Trust (Stand Oktober 2023) ähnlich zusammen: jeden Zugriff authentifizieren und autorisieren, minimale Rechte für alle Beteiligten, Aktivitäten protokollieren, überwachen und auswerten.

Was Zero Trust leisten kann und wo die Grenzen liegen

Nach Einschätzung des BSI lassen sich Zugriffe auf Anwendungen mit Zero-Trust-Prinzipien besser absichern, und das Schadensausmaß von Angriffen kann sinken. Wer das bisher selbstverständliche Vertrauen im internen Netz kritisch hinterfragt, macht außerdem Risiken sichtbar, die vorher nicht betrachtet wurden.

Das BSI nennt aber auch klare Grenzen:

• Schutzziele: Zero Trust schützt vor allem die Vertraulichkeit und Integrität von Daten. Die Verfügbarkeit wird nur indirekt adressiert. Überlastungsangriffe (Denial of Service) verhindert der Ansatz nicht. Datensicherung und Notfallplanung bleiben deshalb nötig.
• Innentäter: Personen mit legitimen Berechtigungen kann Zero Trust nicht vollständig davon abhalten, Daten abfließen zu lassen. Minimale Rechte und auffällige Zugriffe zu erkennen, kann den Schaden aber begrenzen.
• Aufwand: Eine ganzheitliche Umsetzung ist ein langfristiges Vorhaben mit dauerhaftem Bedarf an Geld und Personal.
• Produkte: Produkte, die als „Zero Trust“ beworben werden, decken nach Einschätzung des BSI derzeit nur einen Teil der Funktionen einer idealen Zero-Trust-Architektur ab.

Auch NIST geht davon aus, dass die meisten Unternehmen über lange Zeit in einer Mischform arbeiten: Einige Abläufe folgen bereits Zero-Trust-Prinzipien, andere noch dem klassischen Schutz an der Netzgrenze. NIST weist zudem darauf hin, dass Angreifer ihr Vorgehen anpassen können, etwa mit Phishing gegen die Multi-Faktor-Authentifizierung.

Zero Trust schrittweise einführen

Zero Trust muss nicht auf einmal kommen. NIST empfiehlt, die Prinzipien schrittweise umzusetzen und dabei mit den wertvollsten Daten und Abläufen zu beginnen. Viele Unternehmen haben nach NIST bereits einzelne Bausteine im Einsatz. Das BSI beschreibt in seinem Positionspapier fünf Säulen, die sich zunächst unabhängig voneinander weiterentwickeln lassen: Identität, Gerät, Netz, Anwendung und Daten.

Erst die Grundlagen

Das BSI betont, dass ein großer Teil der Arbeit vor der Technik liegt. Das Management-Blitzlicht nennt dafür unter anderem diese Schritte: Geschäftsprozesse erfassen und priorisieren, beteiligte Organisationseinheiten und Rollen bestimmen, rechtliche Vorgaben klären, betroffene Daten, Systeme und Anwendungen ableiten und Sicherheitsrichtlinien formulieren. Erst danach folgen Marktprüfung und Umsetzung.

Laut Positionspapier ist eine verlässliche Bestandsaufnahme ein wesentlicher erster Schritt. Fehlen Informationen, kann es zu gesperrten Zugriffen und damit zu Ausfällen kommen, oder es werden zu viele Zugriffe erlaubt. Bestehende Sicherheitsmaßnahmen sollen während der Einführung erhalten bleiben.

Bausteine, mit denen KMU beginnen können

Für kleine und mittlere Unternehmen empfehlen wir, mit Bausteinen zu beginnen, die schnell Wirkung zeigen und auf die übrigen Schritte einzahlen:

• Identität: Multi-Faktor-Authentifizierung für alle Konten, zuerst für Administratoren und Fernzugänge. Wie das in Microsoft 365 gelingt, beschreibt unser Beitrag zur Multi-Faktor-Authentifizierung.
• Rechte: Zugriffsrechte nach dem Prinzip der minimalen Rechte vergeben und regelmäßig überprüfen. Administratorrechte nur dort, wo sie gebraucht werden.
• Geräte: Geräte zentral verwalten und aktuell halten. Nur verwaltete Geräte mit aktuellem Stand erhalten Zugriff auf sensible Daten.
• Netz: Netz in Bereiche aufteilen, etwa für Verwaltung, Produktion, Gäste und Drucker. Regeln, welche Geräte überhaupt ins Firmennetz dürfen. Wie das funktioniert, erklärt unser Beitrag zu Network Access Control.
• Protokolle: Anmeldungen und Zugriffe protokollieren und regelmäßig auswerten, damit auffällige Vorgänge auffallen.

Jeder dieser Bausteine ist auch ohne vollständige Zero-Trust-Architektur sinnvoll. Zusammen bilden sie eine solide Grundlage, auf der Sie später weitere Schritte aufbauen.

Drei Fragen für den Einstieg

• Welche Daten und Abläufe wären am stärksten betroffen, wenn ein Angreifer Zugang zu Ihrem Netz hätte?
• Welche Zugriffe sind heute nur deshalb erlaubt, weil ein Gerät im Firmennetz steht?
• Wer hat Administratorrechte, und braucht jede dieser Personen sie wirklich?

Zero Trust mit der GSL Groß GmbH angehen

Die GSL Groß GmbH betreut Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Wie wir Sie bei der Absicherung Ihrer Systeme unterstützen, beschreibt unsere Seite zur IT-Sicherheit. Informationen zu Microsoft 365 und Azure finden Sie auf unserer Seite zu Cloud-Lösungen. Den laufenden Betrieb Ihrer IT übernehmen wir im Rahmen unserer Managed Services zum monatlichen Festpreis.

Sie möchten wissen, mit welchen Schritten Sie in Ihrem Unternehmen beginnen sollten? Sprechen Sie uns an. Wir besprechen Ihre Ausgangslage und die nächsten Schritte.