Im Artikel „Zero Trust – Ein neues Zeitalter der Cyber Security“ hat unser Experte Anton Peter bereits seine Einschätzung zum Zero Trust-Modell gegeben. In diesem Blogbeitrag möchten wir uns mit ein paar grundlegen Fragen beschäftigen: Was bedeutet Zero Trust eigentlich? Was ist das Prinzip hinter Zero Trust? Was ist der Nutzen? All dies und mehr klären wir hier.
Zero Trust – oder lassen Sie jeden rein?
Vorab die Theorie
Zero Trust ist ein Sicherheitsmodell aus der Cyber-Security. Bevor Zugang zu Daten oder IT-Ressourcen generell gewährt wird, müssen verschiedene Prüfmechanismen ausgeführt werden, um die Identität des Anfragenden und die Legitimität des Zugriffes zu verifizieren. Der Zugriff darf – wie der Begriff schon ausdrückt – auf keinen Fall auf Basis von Vertrauen erteilt werden. Ziel ist es, unberechtigte Zugriffe und mögliche Folgerisiken, wie beispielsweise Datenverlust oder andere nachteilige Ereignisse dieser Art, zu vermeiden. Zero Trust ist ein Denkmodell und keine exakte Handlungsvorgabe: Auf Basis des Ansatzes werden operative Modelle entwickelt, um dem Ziel des Datenschutzes und der Datensicherheit so nahe wie möglich zu kommen.
Und in der Praxis?
Um das Konzept ein wenig greifbarer zu machen, möchten wir das Ganze anhand eines Praxisbeispiels näher beleuchten. Folgendes Szenario: Wohnungen in einem Mehrfamilienhaus.
In den Wohnungen werden mehr oder weniger schützenswerte Gegenstände aufbewahrt und der Zugang ist folglich durch Türen eingeschränkt: Eine Tür zum Treppenhaus, weitere Türen zu den jeweiligen Wohnungen.
Situation 1 aka „Full Trust“:
Es klingelt – ohne Nachfrage wird der Türöffner betätigt, der Klingelnde betritt das Treppenhaus – ohne Verifizierung der Identität und Legitimation.
Situation 2 aka „Little Trust“:
Es klingelt – die Gegensprechanlage wird bemüht, um herauszufinden, wer vor der Tür steht und warum. Der Klingelnde informiert mit: „Hallo Herr Schmitz! Ich bin’s Ihr Nachbar Meier. Könnten Sie mich bitte mal reinlassen? Ich habe meinen Schlüssel vergessen.“. Der Türöffner wird betätigt, der Klingelnde betritt nach einfacher Verifizierung der Identität und Legitimation das Treppenhaus.
Situation 2 scheint zunächst kein schlechter Schachzug: Zumindest wurde eine Abfrage der Identität durchgeführt und die Legitimation abgefragt – allerdings ohne Gegenprüfung. So können sowohl Situation 1 als auch Situation 2 schwerwiegende Konsequenzen mit sich ziehen: Wir vertrauen und setzen darauf, dass unser Vertrauen nicht missbraucht wird. Kommen wir zu Situation 3 aka „Zero Trust“:
Situation 3 aka „Zero Trust“:
Es klingelt, die Gegensprechanlage wird bemüht, um herauszufinden, wer vor der Tür steht und warum. Der Klingelnde informiert mit: „Hallo Herr Schmitz, ich bin’s Ihr Nachbar Meier, könnten Sie mich bitte mal reinlassen? Ich habe meinen Schlüssel vergessen.“
Nach dem Zero Trust Modell ergeben sich folgende Handlungsoptionen:
- Prüfung der Identität: Sie erkennen, dass im Haus kein Meier wohnt. Der Klingelnde wird abgewiesen.
- Prüfung der Identität: Im Haus wohnt eine Familie Meier, allerdings haben Sie die Stimme nicht erkannt. Sie fragen bei der Nachbarwohnung an, ob die Situation zutreffend ist. Der angegebene Herr Meier verneint die Situation, der Klingelnde wird abgewiesen.
- Prüfung der Identität: Es ist eine Gegensprechanlage mit Videofunktion installiert. Sie erkennen den Klingelnden nicht als Herrn Meier, die Person wird abgewiesen.
- Prüfung der Identität: Keine der vorherigen Optionen ist ausführbar. Sie delegieren die Entscheidung an eine höher gestellte Autorität, beispielsweise den Hausmeister.
- Prüfung der Legitimität: Sie bestehen darauf, dass der Klingelnde einen Schlüssel nutzt, um den geschützten Bereich zu betreten
Die alles entscheidende Frage ist also: Wann und unter welchen Umständen darf jemandem die Tür geöffnet werden, nur aufgrund…
- …der Kenntnis Ihres Namens.
- …der Angabe des Namens eines möglichen Nachbarn.
- …der Aussage, dass der eigentlich legitime Weg nicht möglich ist, man aber trotzdem gerne den geschützten Raum betreten möchte.
Und in der digitalen Welt?
Verhält es sich ähnlich. Es werden digitale Dienste in Form von Websites, Apps etc. bereitgestellt, deren Nutzung im Idealfall erheblich zum ökonomischen Vorteil eines Unternehmens beitragen. Aufgrund diverser Regularien sowie im Interesse des Business und des unternehmerischen Selbstschutzes sind manche Funktionen nicht nutzbar und bestimmte Daten ohne erfolgreiche Identifizierung, Authentisierung und Autorisierung nicht zugreifbar – das heißt, der Anwender muss sich einloggen.
In den meisten Fällen müssen Anwender leider nur einen Benutzernamen und ein passendes Kennwort (auch „Credentials“ genannt) angeben und der Zugang ist gewährt. Doch wie sicher ist diese Art der Zugriffskontrolle? Nur bedingt.
Das Risiko
Credentials sind heutzutage nicht mehr sicher. In den Medien wird regelmäßig über „digitale Einbrüche“ berichtet – meistens handelt es sich um den Verlust von Zugangs- und Bezahldaten, auf Basis von Spoofing und Phishing, d.h. dem Vorgaukeln falscher (Identitäts-)Tatsachen bzw. dem Verlust der Credentials durch Betrug oder Diebstahl. Den eigentlichen Eigentümern der Daten ist der Verlust erstmal nicht bewusst, kann aber ungeahnte Folgen haben und eine große Sicherheitslücke hinterlassen. Es ist hinreichend bekannt, dass Credentials über illegale Wege sehr einfach zu beschaffen sind, sodass sich in den letzten Jahren ein Markt entwickelt hat.
Die verlorenen Credentials können nun missbraucht werden, weil die Prüfung der Originalität und Authentizität auf Seiten der Service-Anbieter nicht mehr stattfindet. Es wird darauf vertraut, dass derjenige, der die Credentials präsentiert, auch dazu legitimiert ist, diese zu nutzen. Die unrechtmäßige Aneignung wird leider häufig übersehen.
Die Lösung
Eigentlich sollte der Service-Anbieter im eigenen Interesse eine weiterführende Prüfung der Legitimität durchführen. Das ist sehr einfach möglich: In der digitalen Welt lassen sich diverse Informationen beschaffen und als Indizien nutzen, ohne dass dies dem Anwender zur Last fällt.
- Die Uhrzeit: Der erwartete Eigentümer der Credentials sitzt in Deutschland, die Nutzung erfolgt allerdings um 3:44 Uhr in der Nacht?
- Die Lokation der Anfrage: Der Zugriff erfolgt von einem anderen Kontinent?
- Das genutzte Gerät bzw. dessen Einstellungen: Der Inhalt der Services wird aufgrund der erkannten Settings nicht in Deutsch, sondern in einer anderen Sprache angezeigt?
- Nutzerverhalten in der Anwendung: Der Eigentümer weicht von seinem regulären Verhalten stark ab?
- Die Nachfrage nach einem weiteren Faktor, über den der rechtmäßige Nutzer verfügt. Beispiel: Ein SMS Code zusätzlich zu den Credentials.
Fazit
Die Handlungsempfehlung nach Zero Trust sollte immer in Betracht gezogen werden, wenn Zugriffe auf Daten und Ressourcen bereitgestellt werden – egal, ob für die eigenen Mitarbeiter, Kunden oder Partner. Datenschutz und -sicherheit haben insbesondere aufgrund der derzeit gültigen und in Zukunft weiter verschärften Datenschutzrichtlinien immer die höhere Priorität gegenüber möglichen Kosten. Aber auch im eigenen Interesse, um das Unternehmen, die Marke und die Reputation zu schützen. Wir von der TIMETOACT unterstützen und helfen unseren Kunden schon seit Jahren: Sollten Sie Interesse an lösungsorientierten Vorschlägen haben, können Sie hier mehr erfahren.
Erfahren Sie mehr
Spoofing und Phishing
IPG
Was ist eigentlich „Single-Sign-On“ (SSO)?
Ein neues Zeitalter der Cyber Security
Digitaler Wandel in der Öffentliche Verwaltung
IT-Security – Schutz vor Cyberangriffen
IPG
Administrationstiefe von IAM-Systemen
IPG
Darum sollte PAM für Sie kein unbekanntes Wort sein!
So verheiraten Sie One Identity Safeguard & -Manager
Warum der Überwacher überwacht werden muss
So finden Sie das optimale IAM-Tool für sich!
IPG
Warum Authentifizierung unser ständiger Begleiter ist
Wie cloudbasiert digitale Kundenprozesse optimiert werden
Security, Identity & Access Management
Passwörter heute – der Status quo
GARANCY – vielfältigen IAM-Möglichkeiten
IPG
GARANCY IAM Suite – Das bietet Version 3
CIAM als wertvolle Unterstützung im digitalen Vertrieb
Kleine Geschichte des Passworts
IBM
Self-Sovereign Identity Teil 2: Identitäten
Self-Sovereign Identity Teil 1: Die Geschichte
Webcast: "Expedition zum Identity Management"
Die Zukunft des Passworts – Login ohne Gehirnakrobatik
Releasewechsel eines eingesetzten IAM-Tools
Innere und äußere Sicherheit
Self-Sovereign Identity Teil 3: Eine neue Ära
IPG
Customer IAM mit Azure
DRV erhält BSI-geprüftes Identity Management
Enterprise Identity Roadshow
Identity & Access Management
IPG
Customer IAM - die praktische Einordnung ins IAM
Mit Single Sign-On Login auf beliebigen Rechner
Was hat ein Schuhkauf mit Identitätsverwaltung zu tun?
IPG
Zero Trust dank modernem Authorization Management
IPG
So bringen Sie mehr Speed in Ihr IAM-Projekt
IPG
Die schlaue Seite der Identity und Access Governance
HOCHBAHN Managed Services
PAM Systeme im Vergleich
Cyberkriminalität – Schützen Sie Ihre Assets durch PAM.
IPG
Identity Fabric
IPG
Neue Wege in Richtung Identity and Access Governance
IBM Cloud Pak for Data System
IPG
IAM Legacy - Ist mein IAM noch zukunftsfähig?
IPG
Fernzugriff aus dem Ausland
IPG
Pam beschützt Sie vor kostspieligen Schäden
Microsoft Spezialisierung Azure Virtual Desktop
IPG
Zutrittsberechtigungen zu Gebäuden über IAM verwalten
IPG
Access Management – es betrifft uns mehr, als wir glauben!
Identity & Access Management in der Cloud
Frauenpower in der IT
Einführung eines Identity Management Systems (IDM)
Dateizugriffsrechte verwalten mit Microsoft RMS – Teil 1
Conditional Access für volle Kontrolle bei Datenzugriffen
Cybersecurity Evolution: NIS-2
IPG
Self Sovereign Identity - Identitäten im digitalen Zeitalter
IPG
Digitale Identitäten als Ausweis
Die Bedeutung einer Governance
SICPA SA
IPG
Was bringt die Cloud?
Azure Information Protection
Multi-Faktor-Authentifizierung
IBM DataStage
IPG
Berechtigungen mit Hilfe künstlicher Intelligenz
re.alto: Marktplatz für Energie nutzt Azure und DevOps
IPG
Smarte digitale Berechtigungskonzepte mit NEXIS 4.1
GILAI
IBM Watson® Knowledge Catalog
Miltenyi Biotec: Azure und Xamarin optimieren Prozesse
IPG
Kann meine IAM Lösung auch Internet of Things?
IAM-Projekt – 360 Grad Assessment
Enterprise Architecture Management Consulting
IPG
DORA: Stärkung der Resilienz im europäischen Finanzwesen
Wieviel IAM braucht ein Krankenhaus?
Brauchen wir ein "Patient-IAM"?
IPG
Sicheres Berechtigungsmanagement leicht gemacht!
IPG
Identity Management für Banken: Anforderungen & Vorteile
Digitalisierungspartner vor Ort für Versicherungen
IPG
IAM für Banken & Finanzinstitute in der Schweiz
DORA-Compliance: Was Finanzunternehmen jetzt wissen müssen
IPG
Sicherer Zugriff von Extern ohne VPN
IPG
Neues Datenschutzgesetz – Schutz vor Sanktionen dank IAM
IPG
