Zero Trust
Kein-Vertrauen-Architektur
TL;DR
Zero Trust (NIST SP 800-207) ist ein Sicherheitsmodell, bei dem keine Komponente vertraut wird, nur weil sie 'innerhalb' des Netzwerks liegt. Jede Anfrage wird verifiziert.
Was ist Zero Trust?
Zero-Trust-Prinzipien:
- Niemals vertrauen, immer verifizieren
- Mindestrechte (Least Privilege)
- Mikrosegmentierung
- Continuous Verification
- Identity-First Security
Microsoft Entra ID + Conditional Access ist Zero-Trust-Implementierung.
Praxisbeispiel
KMU 100 MA: Zero Trust via Microsoft 365 E5. Conditional Access: nur compliant Devices, MFA, Geographic Block. Kosten: in M365 E5 enthalten.
Häufig gestellte Fragen
Migrations-Aufwand?
6-18 Monate für KMU. Start mit Conditional Access + MFA + Device Compliance.
Pflicht?
NIS2 verlangt Zero Trust nicht ausdrücklich als Begriff. Die einzelnen Bausteine sind aber Teil der gesetzlichen Mindestmaßnahmen: Zugriffskontrolle und Least Privilege fallen unter § 30 Abs. 2 Nr. 9 BSIG (Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen), Multi-Faktor- bzw. kontinuierliche Authentifizierung und gesicherte Kommunikation unter § 30 Abs. 2 Nr. 10 BSIG. (§ 30 Abs. 2 Nr. 8 betrifft dagegen kryptographische Verfahren, nicht Zero Trust.)
Siehe auch
Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.