Zero Trust ist ein Sicherheitskonzept nach dem Grundsatz „niemals vertrauen, immer überprüfen“: Kein Zugriff gilt automatisch als vertrauenswürdig, nur weil er aus dem internen Netz kommt.
Die Grundprinzipien
Jeder Zugriff wird anhand von Identität, Gerätezustand und Kontext geprüft. Rechte werden so knapp wie möglich vergeben, Netzwerke werden segmentiert, und es wird davon ausgegangen, dass ein Angreifer bereits im Netz sein könnte. Zero Trust ist kein Produkt, sondern eine Architektur, die schrittweise eingeführt wird.
Bezug zur ISO/IEC 27001
Die ISO/IEC 27001 schreibt Zero Trust nicht vor, viele Prinzipien finden sich aber in Anhang A wieder: Zugangssteuerung (5.15), sichere Authentisierung (8.5), Trennung von Netzwerken (8.22) und Grundsätze für sichere Systemarchitektur (8.27). Die ISO/IEC 27002 nennt Zero Trust ausdrücklich als möglichen Ansatz für eine sichere Architektur.
Praxisbeispiel
Ein Unternehmen ersetzt den pauschalen VPN-Zugang ins gesamte Netz durch Zugriffe, die je Anwendung freigegeben werden – nach MFA und nur von verwalteten, aktuellen Geräten.
Typische Fehler im Audit
- Zero Trust wird als einmaliges Produktprojekt verstanden statt als schrittweiser Umbau.
- Altsysteme, die moderne Authentisierung nicht unterstützen, werden nicht gesondert abgesichert.
Bezug zur Norm: ISO/IEC 27001:2022, u. a. Anhang A 5.15, 8.5, 8.22 und 8.27
← Alle Begriffe mit Z