Zero Trust

So funktioniert es

Das Modell ersetzt die Burgmauer durch eine Prüfung an jeder Tür. Forrester hat den Begriff 2010 geprägt, das US-amerikanische NIST hat ihn 2020 in der Special Publication 800-207 formalisiert, und das BSI greift die Prinzipien in seinen Empfehlungen zu Cloud und Fernzugriff auf. Im Kern stehen drei Annahmen: Das Netz ist bereits kompromittiert, Identität ersetzt Standort, und Rechte gelten so knapp und so kurz wie möglich.

Technisch entsteht daraus eine Entscheidungsstelle, die bei jedem Zugriff mehrere Signale zusammenzieht: Wer fragt (Identität, MFA), von welchem Gerät (registriert, konform, verschlüsselt, aktuell), auf was (Klassifizierung der Ressource), unter welchen Umständen (Ort, Tageszeit, Risikobewertung). Erst danach gibt es Zugang, oft befristet und auf eine einzelne Anwendung beschränkt statt auf ein ganzes Netz.

Auf der Netzseite ersetzt Zero Trust Network Access das klassische VPN: Der Client verbindet sich mit einem Vermittler, der genau eine Anwendung freischaltet, ohne Route ins Rechenzentrum. Auf der Geräteseite liefert das MDM den Konformitätsstatus und Zertifikate, und Per-App-VPN sorgt dafür, dass nur geprüfte Apps überhaupt tunneln.

Warum es für eine Flotte wichtig ist

Mobile Geräte haben das alte Modell zuerst gebrochen. Ein Außendienstmitarbeiter am Hotel-WLAN war nie im Firmennetz, und trotzdem brauchte er Zugriff auf dieselben Systeme. Zero Trust beschreibt genau diesen Normalfall, statt ihn als Ausnahme zu behandeln.

Der praktische Hebel liegt im Gerätesignal. Ohne MDM wissen Sie nicht, ob das iPhone, das gerade auf SharePoint zugreift, einen Sperrcode hat, ob iOS aktuell ist oder ob es gejailbreakt wurde. Mit MDM wird daraus eine prüfbare Aussage, die Ihr Identitätsanbieter in eine Entscheidung umsetzen kann.

Ehrlich bleiben muss man beim Aufwand. Zero Trust ist kein Produkt, das man kauft, und Anbieter, die es als Paket verkaufen, verkürzen. Es ist ein Umbau über Jahre, der bei Identität und Geräteverwaltung beginnt, weil diese beiden Bausteine den größten Anteil der Entscheidungen tragen. Wer mit Mikrosegmentierung im Rechenzentrum anfängt, investiert viel und bekommt wenig.

So handhabt es Appaloosa

Appaloosa liefert die Gerätesäule: registrierte iOS-, Android-, Windows- und macOS-Geräte, laufende Konformitätsprüfungen auf Systemversion, Verschlüsselung und Sperrcode, verteilte Zertifikate für die Authentifizierung, Per-App-VPN für verwaltete Apps und selektive Löschung bei Verlust. Diesen Status können Ihre Zugriffsrichtlinien auswerten, wie die Seite Mobile Device Management zeigt.