Zero Trust ist ein Sicherheitsmodell nach dem Grundsatz „Vertraue niemandem, überprüfe jeden Zugriff“. Anders als das klassische Perimeter-Modell, das alles innerhalb des Firmennetzes für vertrauenswürdig hält, prüft Zero Trust jede einzelne Anfrage neu – egal ob sie von innen oder außen kommt. Jeder Nutzer, jedes Gerät und jede Anwendung muss sich bei jedem Zugriff aufs Neue ausweisen und bekommt nur genau die Rechte, die es in diesem Moment wirklich braucht.
Das alte Modell: die Burg mit dem Burggraben
Um Zero Trust zu verstehen, hilft der Blick auf das Konzept, das es ablöst. Klassische Netzwerksicherheit funktioniert wie eine mittelalterliche Burg: außen ein tiefer Graben (die Firewall), eine kontrollierte Zugbrücke (der VPN-Zugang) – und wer einmal drin ist, gilt als Freund. Dieses Prinzip heißt Perimetersicherheit. Der „Perimeter“ ist die Außengrenze des Netzwerks, und praktisch die gesamte Verteidigung sitzt genau dort.
Das Problem daran zeigt sich, sobald jemand die Mauer überwindet – etwa über ein abgefischtes Passwort oder ein infiziertes Notebook. Innen kann sich ein Angreifer dann oft frei bewegen, von einem gekaperten Rechner zum nächsten Server, weil intern kaum noch jemand nachfragt. Fachleute nennen das Lateral Movement, also die seitliche Ausbreitung im Netz. Homeoffice, Cloud-Dienste und private Geräte haben die klare Innen-Außen-Grenze ohnehin längst aufgeweicht: Der „innen“ liegende Mitarbeiter sitzt heute im Zug, die Anwendung in der Cloud. Genau hier setzt Zero Trust an.
Anzeige
Die drei Grundprinzipien von Zero Trust
Zero Trust ist kein einzelnes Programm, sondern eine Denkweise, die auf drei Prinzipien ruht. Diese drei tauchen in fast jeder Definition auf – und lohnen sich zu merken:
- Explizit verifizieren (Verify Explicitly): Jeder Zugriff wird anhand aller verfügbaren Signale geprüft – Identität, Zustand des Geräts, Standort, Uhrzeit. Und zwar nicht nur einmal beim Anmelden, sondern fortlaufend.
- Minimale Rechte (Least Privilege): Jeder Nutzer und jedes System bekommt nur so viele Berechtigungen, wie für die aktuelle Aufgabe nötig sind – nicht mehr. Idealerweise zeitlich begrenzt (Just-in-Time) statt dauerhaft.
- Vom Ernstfall ausgehen (Assume Breach): Man plant so, als sei bereits jemand im Netz. Deshalb wird konsequent segmentiert, protokolliert und verschlüsselt, damit ein einzelner Einbruch möglichst wenig Schaden anrichtet.
Die fünf Säulen – so wird das Modell greifbar
Damit Zero Trust nicht nur ein Schlagwort bleibt, gliedert die US-Cyberbehörde CISA es in fünf Bereiche, an denen jeder Zugriff bewertet wird. Diese Einteilung ist auch ein dankbares Prüfungsthema für die Fachinformatiker-Ausbildung:
| Säule | Zentrale Frage | Typische Maßnahme |
|---|---|---|
| Identität | Wer will zugreifen? | Multi-Faktor-Authentifizierung, zentrales Identitätsmanagement (IAM) |
| Geräte | Ist das Gerät vertrauenswürdig? | Patchstand und Verschlüsselung prüfen, Geräteverwaltung (MDM) |
| Netzwerk | Woher kommt die Anfrage? | Mikrosegmentierung, verschlüsselte Verbindungen |
| Anwendungen | Auf welche App wird zugegriffen? | Zugriff pro Anwendung statt aufs ganze Netz (ZTNA) |
| Daten | Wie schützenswert sind die Daten? | Klassifizierung, Verschlüsselung, Zugriffsprotokolle |
Der Kerngedanke: Nicht mehr der Netzwerkstandort entscheidet über Vertrauen, sondern die Kombination aus Identität, Kontext und Sensibilität der Daten.
Die wichtigsten Bausteine in der Praxis
Multi-Faktor-Authentifizierung (MFA): Neben dem Passwort wird ein zweiter Faktor verlangt, etwa ein Code aus einer App oder ein Hardware-Token. Ein gestohlenes Passwort allein reicht dann nicht mehr für den Zugriff – das ist der wirkungsvollste erste Schritt Richtung Zero Trust.
Mikrosegmentierung: Das Netzwerk wird in viele kleine, voneinander abgeschottete Zonen zerlegt. Jede Zone hat eigene Zugriffsregeln. Fällt eine Zone aus oder wird kompromittiert, kann sich ein Angreifer nicht einfach zur nächsten weiterhangeln – das oben erwähnte Lateral Movement wird ausgebremst.
Least Privilege und IAM: Ein Identitäts- und Zugriffsmanagement (IAM, kurz für Identity and Access Management) verwaltet zentral, wer was darf. Rechte werden rollenbasiert und knapp vergeben und regelmäßig überprüft, statt über Jahre mitzuwachsen.
ZTNA statt klassischem VPN: Ein herkömmliches VPN legt das Gerät ins gesamte Firmennetz. Zero Trust Network Access (ZTNA) gewährt stattdessen Zugriff nur auf die eine benötigte Anwendung – nach vorheriger Prüfung von Nutzer und Gerät. Der Rest des Netzes bleibt für den Nutzer unsichtbar.
Was Zero Trust ausdrücklich nicht ist
Rund um den Begriff kursieren ein paar Missverständnisse, die man kennen sollte:
- Kein Produkt, das man kauft. Es gibt kein „Zero-Trust-Programm“ von der Stange. Der Begriff beschreibt eine Strategie, die aus vielen Bausteinen zusammengesetzt wird – Hersteller, die etwas anderes behaupten, verkaufen Marketing.
- Kein Projekt mit Enddatum. Zero Trust wird schrittweise eingeführt und laufend gepflegt, meist beginnend bei Identität und MFA. Ein Reifegradmodell hilft, den Fortschritt zu messen.
- Kein Misstrauen gegen Mitarbeiter. „Vertraue niemandem“ meint keine Person, sondern jede technische Anfrage. Gut umgesetzt merkt der Nutzer davon wenig – im besten Fall entfällt sogar das umständliche VPN.
Woher der Begriff kommt und warum er in die Prüfung gehört
Den Ausdruck „Zero Trust“ prägte 2010 der Analyst John Kindervag bei Forrester Research. Zum anerkannten Standard wurde das Modell 2020 mit der Veröffentlichung NIST SP 800-207, die die Zero-Trust-Architektur formal beschreibt – die zentrale Referenz, wenn du tiefer einsteigen willst. Auch das deutsche BSI und EU-Regelwerke wie die NIS2-Richtlinie greifen den Ansatz auf.
Für Fachinformatiker ist Zero Trust deshalb doppelt relevant: Es ist einerseits ein prüfungsrelevantes Grundlagenkonzept, das den Wandel weg von der reinen Perimetersicherheit erklärt. Andererseits begegnet es dir in der Praxis überall dort, wo Homeoffice, Cloud und mobile Geräte die alte Netzwerkgrenze aufgelöst haben. Wer die drei Prinzipien und die fünf Säulen sauber erklären kann, hat den Kern verstanden – der Rest sind Werkzeuge, die genau diese Ideen umsetzen.
Häufige Fragen
Was bedeutet Zero Trust einfach erklärt?
Zero Trust ist ein Sicherheitsmodell nach dem Grundsatz „Vertraue niemandem, überprüfe jeden Zugriff“. Jede Anfrage wird neu geprüft – egal ob sie aus dem internen Netz oder von außen kommt.
Ist Zero Trust ein Produkt, das man kaufen kann?
Nein. Zero Trust ist eine Sicherheitsstrategie, keine fertige Software. Sie entsteht aus vielen Bausteinen wie MFA, Mikrosegmentierung und Least-Privilege-Rechten und wird schrittweise eingeführt.
Worin unterscheidet sich Zero Trust vom Perimeter-Modell?
Das Perimeter-Modell vertraut allem im internen Netz und sichert nur die Außengrenze. Zero Trust kennt keine vertrauenswürdige Innenzone und verifiziert jeden Zugriff einzeln – nach Identität, Gerät und Kontext.
Was ist der Unterschied zwischen ZTNA und einem VPN?
Ein VPN legt das Gerät ins gesamte Firmennetz. ZTNA (Zero Trust Network Access) gewährt nach Prüfung von Nutzer und Gerät nur Zugriff auf die eine benötigte Anwendung; der Rest des Netzes bleibt unsichtbar.
Brauche ich Zero Trust auch privat?
Den vollen Unternehmensansatz nicht, aber die Grundidee lohnt sich: Aktiviere Multi-Faktor-Authentifizierung für wichtige Konten und vergib Rechte sparsam. Das ist gelebtes Zero Trust im Kleinen.
