Zero Trust: Die neue Normalität für Cybersicherheit und Remote Access

Früher betraten die typischen Angestellten das Büro, gingen zu einer Workstation, loggten sich ein und griffen über lokale Server auf alle Programme zu. Durch die zunehmende Digitalisierung und den vermehrten Einsatz von Clouds ändert sich diese Art zu Arbeiten jedoch. Und in einer Welt, in der Remote Work, Hybridmodelle und BYOD der Standard sind, müssen IT-Teams nicht nur jedem von überall aus das Arbeiten ermöglichen: Sie müssen dafür sorgen, dass jede Verbindung immer absolut sicher ist. Deswegen führen immer mehr Unternehmen das Zero-Trust-Modell ein und verbessern so die Sicherheit ihrer Systeme. [von Romain Pradelle]

Laut Forbes ist ein Zero-Trust-Ansatz heutzutage dringend erforderlich, denn „Angestellte arbeiten ortsungebunden: zu Hause, in Cafés, auf Konferenzen, auf Laptops, iPads und iPhones und mit und ohne VPNs.“ Um jedoch genau zu verstehen, was dieses Modell – manchmal auch mit „Traue niemandem“ umschrieben – wirklich bedeutet, sehen wir uns an, wie es sich aus früheren Sicherheitskonzepten entwickelt hat.

Bei den herkömmlichen Perimeter-basierten Sicherheitskonzepten geht man davon aus, dass alle Anwendungen, Geräte und Nutzerinnen und Nutzer innerhalb des eigenen Netzwerks vertrauenswürdig sind. Im Gegensatz dazu gelten der Datenverkehr und Zugriffe von „außerhalb“ des Netzwerks als potenziell gefährlich und müssen überprüft und eingeschränkt werden. Das bedeutet allerdings auch: Wenn jemand erst einmal in das Unternehmensnetz eingedrungen ist, gibt es kaum noch Maßnahmen, die gefährliche Aktivitäten verhindern – etwa wenn ein jemand versucht, sich Administratorrechte im gesamten Netzwerk zu verschaffen.

Früher war mehr Firewall

E-Mails mit schädlichen Anhängen und Links, sogenannte Phishingmails, sind ein anschauliches Beispiel dafür, wie klassische Perimeter-basierte IT-Sicherheitskonzepte funktionieren: In der guten alten Zeit – vor etwa 25 Jahren – konnten Mitarbeitende ihre E-Mails ausschließlich an ihren eigenen Desktop-Computern im Büro empfangen, öffnen und lesen. Der Computer war Teil des Firmennetzwerks und mit dem E-Mail-Server verbunden. Der Server wiederum hatte eine Verbindung zum Internet und war durch eine Firewall geschützt. Die Firewall hatte und hat im Wesentlichen denselben Zweck wie die Brandschutzwände und -türen in einem Gebäude: die Menschen „innen“ vor von „außen“ kommenden Gefahren zu bewahren oder umgekehrt.

„Außen“ in diesem Beispiel bezeichnet das Internet und E-Mails, die von anderen Servern auf der ganzen Welt eingehen. „Innen“ bezeichnet das Firmennetzwerk und die lokalen Server, die früher im Keller standen. Hier mussten die Daten nur dann auf schädliche Anhänge oder andere Malware geprüft werden, wenn E-Mails das Netzwerk erreichten.

Zero Trust ist nicht mit Misstrauen gleichzusetzen

Seit Unternehmen Laptops und Smartphones an ihre Beschäftigten herausgeben, hat sich die Lage deutlich geändert. In unserer digitalen und vernetzten Arbeitswelt, in der Cloud-Computing und Remote Work die Regel sind, gibt es überhaupt kein „innen“ oder „außen“ mehr. Alle können von überall aus mit mehreren Geräten arbeiten oder aus der Ferne auf IoT-Geräte, Maschinen und Roboter in intelligenten Fabriken und Lagern zugreifen. Das bietet jedoch neue und größere Angriffsflächen.

Heutzutage spielt es keine Rolle mehr, von welchem Standort aus jemand auf das Firmennetzwerk zugreift. Wichtiger ist, wer bzw. welches Gerät dies tut. Menschen arbeiten nicht mehr ausschließlich im Büro und so können wir ihre vertrauten Gesichter nicht mehr direkt an ihren Plätzen sehen. Also müssen wir auf andere Weise sicherstellen, dass Verbindungen zu, innerhalb und von unseren Netzwerken aus vertrauenswürdig sind. Und da dies aufgrund einer stetig wachsenden Zahl an Geräten und Verbindungen schwierig, wenn nicht gar unmöglich ist, benötigen wir ein neuartiges Sicherheitskonzept: Trauen Sie niemandem oder einfach Zero Trust.

Das Zero-Trust-Modell steht für ein Umdenken: Es stuft alle Geräte, Dienste und Nutzende gleichermaßen als nicht vertrauenswürdig ein. Die Grundannahme ist, dass in einer digitalisierten Welt das zwischenmenschliche Vertrauen kein Maßstab für die Cybersicherheit mehr sein kann – wenn es das jemals war.

Im Zero-Trust-Modell wird jede Aktion, die eine Nutzerin oder ein Nutzer über das Netzwerk ausführt, anhand eines Regelwerks überprüft. So kann man ungewöhnliche Muster erkennen. Ein Beispiel: Monica arbeitet normalerweise von einem Büro in Berlin aus. Eines Tages versucht sie um drei Uhr morgens, von einer Moskauer IP-Adresse aus auf das Firmennetzwerk zuzugreifen. Diese Aktion löst entweder einen Alarm aus oder führt dazu, dass ihr Zugang sofort gesperrt wird, bis ihre Identität verifiziert werden kann.

Dieser grundlegende Wandel hat erhebliche Auswirkungen auf die IT-Sicherheitsarchitektur. Denn die Systeme müssen nicht mehr nur an den Grenzen geschützt werden, sondern im gesamten globalen Netzwerk und bei jedem einzelnen Schritt dazwischen. Zero Trust bedeutet also nicht, dass wir unseren Mitarbeitenden oder anderen Nutzerinnen und Nutzern misstrauen – stattdessen schützen wir sie und unser Netzwerk nicht mehr durch die Verifizierung ihrer Anwesenheit vor Ort, sondern auf anderem Weg.

Wie man Zero Trust richtig einsetzt

Cybersicherheit ähnelt einem Angriff-Abwehr-Spiel: Das verteidigende Team aus Sicherheitsprofis darf sich keine Fehler erlauben, da eine Schwachstelle in der Verteidigungslinie für die Angreifenden oder Hacker ausreicht, um einen Treffer zu erzielen – Game Over.

Das Zero-Trust-Modell einzuführen, stellt in der Regel eine erhebliche Investition für Unternehmen dar, insbesondere dann, wenn bereits eine Infrastruktur vorhanden ist. Zunächst gilt es, sich einen Überblick über den Status quo zu verschaffen, Lücken zu finden und eine Strategie festzulegen. In den meisten Fällen wird der Ansatz „Aktionspunkte mit geringem Aufwand und hoher Wirkung zuerst“ verfolgt.

Wenn Sie 90 % der Aktionspunkte umgesetzt haben, sind sie in einer guten Position, obgleich die allgemeine Überzeugung, dass Angreifende faul und nur auf leichte Beute aus sind, lediglich teilweise zutrifft. Professionelle Angriffe sind ausgeklügelt, strategisch geplant und können über einen langen Zeitraum hinweg stattfinden. Um Ihren Schutz absolut zu gewährleisten, benötigen Sie eine 360-Grad-Sicht auf Ihr Netzwerk sowie sichere Voreinstellungen.

Remote Access und Zero Trust

Nehmen wir Software für Fernzugriff und -steuerung als Beispiel: Mithilfe einer Remote-Verbindung erhält jemand die Kontrolle über ein Gerät in Ihrem Netzwerk. Können Sie dem Mitarbeitenden am anderen Ende vertrauen oder dessen Identität überprüfen? Ist es der freundliche IT-Typ oder nur jemand, der vorgibt, Ihnen zu helfen?

Das Problem dabei ist der sogenannte „Faktor Mensch“: Nutzerinnen und Nutzer wissen oft nicht, was sie tun. Andere wollen Ihnen sogar aktiv schaden. In Kombination mit ungenügend kontrollierten IT-Systemen oder Benutzerrechten, nicht gepatchter Software, mangelnder Transparenz und unerwarteten Anwendungsfällen einer Software bewegt man sich sicherheitstechnisch auf dünnem Eis.

So funktioniert der bedingte Zugriff mit TeamViewer

Mit der Möglichkeit, bedingten Zugriff einzurichten, bietet TeamViewer Tensor Ihrem Unternehmen ein praktisches Tool, um Zero-Trust-Prinzipien einzuführen oder vorhandene auszubauen sowie Ihre IT-Sicherheit zu verbessern. Mit bedingtem Zugriff verwalten Sie ganz genau, wer remote auf Ihr Netzwerk zugreifen darf. Sprich: Anstatt festzulegen, was Nutzerinnen und Nutzer nicht dürfen, entscheiden Sie, was erlaubt ist. Als Sicherheitsfachkraft, IT-Verantwortliche oder Infrastruktur-Profi haben Sie jetzt also die volle Kontrolle.

Durch die Kombination von Single Sign-On (SSO) und fein einstellbaren Kontrollen innerhalb des bedingten Zugriffs können Sie detailliert verwalten, wer sich mit wem und mit welchem ​​Gerät verbindet und wann und wie diese Verbindungen hergestellt werden. Somit ist die Richtlinie, die Sie innerhalb des bedingten Zugriffs definiert haben, Ihr bester Verbündeter und stärkster Schutz, selbst wenn ein cleverer Benutzer andere von Ihnen getroffene Maßnahmen umgeht.

Und es geht noch weiter: Mit Tensor haben Sie auch die Möglichkeit, Multi-Faktor-Authentifizierung für Ihre Konten und eingehenden Verbindungen zu aktivieren.