Zero Trust
Zero Trust erklärt: ZTNA, ZTHA und ZTAA
„Zero Trust" ist zum Buzzword / Schlagwort geworden und wird dabei oft auf einen einzelnen Baustein verkürzt. Jeder Hersteller minimiert Zero Trust auf sein Produkt. Jedes Produkt ist um "Zero Trust" erweitert worden und dabei bleibt jeder Hersteller bei seinen Wurzeln: Ein Hersteller kommt aus dem Bereich VPN und erweitert sein fully-meshed-VPN-Produkt, der andere erweitert seine Proxy-Fahigkeit. Viele kommen aus dem klassischen Bereich Firewalling. Darum können fast alle Herstseller dieser Produkte nur ZTNA (Zero Trust Network Access). Netfoundry OpenZiti z.B. ist von Anfang an für Zero Trust konzipiert worden. Dieser Beitrag ordnet ein, was das Prinzip Zero Trust tatsächlich bedeutet, worin sich die Ebenen ZTNA, ZTHA und ZTAA unterscheiden und warum kryptografische Identität die IP-Adresse als Vertrauensanker ablöst.
Das Grundprinzip: niemals vertrauen, immer prüfen
Klassische Netzwerksicherheit funktioniert nach dem Burg-und-Graben-Modell: Innerhalb des Firmennetzes gilt weitgehendes Vertrauen, die Grenze nach außen bildet die Firewall. Das Problem ist bekannt - wer die Grenze einmal überwindet, etwa über ein kompromittiertes Notebook oder einen Fernwartungszugang, bewegt sich innen oft weitgehend frei.
Zero Trust dreht diese Annahme um: Kein Gerät und keine Verbindung ist allein aufgrund ihres Standorts im Netz vertrauenswürdig. Jede Zugriffsanfrage wird einzeln authentifiziert und autorisiert - unabhängig davon, ob sie aus dem Büro, dem Homeoffice oder der Cloud kommt. Vertrauen wird nicht mehr vom Netzwerkort abgeleitet, sondern von einer geprüften Identität. Darum reicht es nicht aus, Die Verschlüsselung im Netzwerk zu terminieren. Am Host ist es schon besser und direkt an der Applikation (Ihre Daten werden von Applikation zu Applikation gesendet) ist es ideal.
Warum Identität die IP-Adresse ablöst
IP-Adressen sind ein schlechter Vertrauensanker: Sie lassen sich fälschen, wechseln in dynamischen und Cloud-Umgebungen ständig und sagen nichts darüber aus, wer oder was tatsächlich kommuniziert. Zero Trust ersetzt diesen Anker durch eine kryptografische Identität - ein eindeutiges, nicht fälschbares Zertifikat je Teilnehmer. Erst wenn beide Seiten ihre Identität nachgewiesen haben und eine Richtlinie den Zugriff erlaubt, entsteht überhaupt eine Verbindung.
Ein praktischer Nebeneffekt: Dienste müssen keine eingehenden Ports mehr offen halten. Sie sind für das öffentliche Internet schlicht nicht sichtbar und nur für autorisierte Identitäten erreichbar. Was nicht sichtbar ist, lässt sich auch nicht scannen oder direkt angreifen.
Die drei Ebenen: ZTNA, ZTHA und ZTAA
Zero Trust ist kein einzelnes Produkt, sondern lässt sich auf verschiedenen Ebenen umsetzen. Die drei gebräuchlichen Abkürzungen beschreiben genau diese Tiefe:
ZTNA - Zero Trust Network Access
Die bekannteste Ebene. Sie regelt den sicheren Zugang zum Netzwerk beziehungsweise zu einzelnen Diensten und wird häufig als moderner VPN-Ersatz eingesetzt. Statt einen Nutzer pauschal ins Netz zu lassen, gewährt ZTNA gezielten Zugriff auf genau die Anwendung, für die eine Berechtigung besteht. Viele Anbieter decken ausschließlich diese Ebene ab.
ZTHA - Zero Trust Host Access
Eine Ebene tiefer: Hier wird der Zugriff auf einzelne Hosts - Server, Maschinen, Endgeräte - identitätsbasiert kontrolliert. Das ist besonders dort relevant, wo einzelne Systeme unabhängig vom umgebenden Netz abgesichert werden müssen, etwa in gemischten IT-/OT-Umgebungen.
ZTAA - Zero Trust Application Access
Die feinste Granularität: Der Zugriff wird bis auf die Ebene einzelner Anwendungen terminiert. Nicht „darf dieser Nutzer ins Netz", sondern „darf diese Identität mit genau dieser Anwendung sprechen" - und sonst mit nichts. Damit lässt sich das Prinzip der minimalen Berechtigung konsequent bis zur Anwendung durchziehen.
Mikrosegmentierung als logische Folge
Werden Zugriffe konsequent identitäts- und anwendungsbezogen geregelt, ergibt sich Mikrosegmentierung fast von selbst: Jede Verbindung ist genau definiert, Workloads sind präzise voneinander isoliert, und die seitliche Ausbreitung eines Angreifers - das gefürchtete „Lateral Movement" - wird strukturell erschwert. Ein kompromittiertes System kann nur noch das erreichen, wofür seine Identität ausdrücklich berechtigt ist.
Worauf es in der Praxis ankommt
Entscheidend ist, Zero Trust nicht als einzelnes Werkzeug misszuverstehen, sondern als durchgängiges Architekturprinzip. Eine Lösung, die nur ZTNA abdeckt, sichert den Netzzugang - lässt aber Host- und Anwendungsebene offen. Echtes Zero Trust reicht über alle drei Ebenen und ist am wirksamsten, wenn es von Grund auf so gedacht ist und nicht nachträglich auf eine gewachsene Struktur aufgesetzt wird.