Zero Trust Architektur (NIST SP 800-207)

Eine Zero Trust Architektur (ZTA) nach dem Referenzstandard NIST SP 800-207 sowie den Empfehlungen des BSI beschreibt ein modernes IT-Sicherheitskonzept nach dem Leitsatz „Never trust, always verify“ (Vertraue niemals pauschal, überprüfe jeden Zugriff). Während klassische Netzwerksicherheit wie eine mittelalterliche Burg funktionierte – wer einmal per Netzwerkkabel im Büro oder per VPN-Einwahl „drinnen“ war, hatte freien Zugriff auf das gesamte interne Netz –, behandelt Zero Trust auch das interne Firmennetzwerk grundsätzlich als ungesichert.

Jeder einzelne Verbindungsversuch zu einem Server oder einer Fachanwendung wird individuell auf Benutzeridentität, Zwei-Faktor-Anmeldung, Sicherheitszustand des Endgeräts und konkrete Rollenberechtigung geprüft und verschlüsselt übertragen.

Warum klassische Komplett-VPNs bei modernen Cyberangriffen zum Risiko werden

Die meisten erfolgreichen Cyberangriffe im Mittelstand laufen heute nach demselben Muster ab: Über eine Phishing-Mail oder ein kompromittiertes Homeoffice-Notebook gelangt ein Angreifer über den offenen VPN-Tunnel in das flache Firmennetzwerk und breitet sich dort ungehindert von Server zu Server aus (sogenanntes Lateral Movement), bis alle Systeme verschlüsselt sind.

Eine Zero-Trust-Architektur riegelt diese seitliche Ausbreitung technisch ab: Da ein Mitarbeiter im Vertrieb oder im Homeoffice niemals Zugriff auf das gesamte Servernetz erhält, sondern nur exakt die eine Webanwendung oder Schnittstelle erreicht, für die er freigeschaltet ist, bleibt ein Schadensfall eng auf das einzelne Gerät begrenzt.

Vorsicht vor fremden Cloud-Proxys bei „Zero Trust“-Mietdiensten

Viele internationale Sicherheitsanbieter verkaufen unter dem Namen „Zero Trust Network Access (ZTNA)“ Cloud-Dienste, bei denen der gesamte interne Datenverkehr Ihres Unternehmens zunächst über fremde Cloud-Server geleitet und dort zur Prüfung entschlüsselt wird.

Für Unternehmen, die ihre Datenhoheit behalten möchten, ist ein selbst betriebenes Zero-Trust-Overlay-Netz auf Basis von WireGuard (z. B. mit NetBird) in Kombination mit einer eigenen Firewall (OPNsense) und eigener Anmeldung (Keycloak) der deutlich transparentere Weg: Die verschlüsselte Verbindung wird dabei direkt Punkt-zu-Punkt zwischen Endgerät und Zielsystem aufgebaut.

3 Schritte für den schrittweisen Umbau zum Zero-Trust-Netzwerk

• Flache Vollzugriffs-VPNs durch rollenbasierte Zugriffe ablösen: Ersetzen Sie alte VPN-Zugänge, die das gesamte interne Subnetz freigeben, durch moderne WireGuard-Plattformen (wie NetBird im Eigenbetrieb), die nur konkret benötigte Dienste und Ports freischalten.
• Interne Webanwendungen hinter ein Anmelde-Gateway stellen: Schalten Sie Ihren zentralen Identity Provider (Keycloak) mit verpflichtender FIDO2-Zwei-Faktor-Anmeldung vor interne Verwaltungs- und Fachoberflächen.
• Servernetzwerke konsequent segmentieren: Nutzen Sie die integrierte Firewall auf Ihrem Virtualisierungs-Cluster (Proxmox VE) und Ihre zentrale Firewall (OPNsense), um Produktionsserver, Datenbanken und Backup-Systeme strikt voneinander zu trennen.