Das Prinzip klingt einfach: Zero Trust bedeutet “Niemals vertrauen, immer überprüfen”. Kein Benutzer, kein Gerät, keine Anwendung erhält automatisch Zugriff, nur weil es sich im Firmennetzwerk befindet. Das ist eine radikale Abkehr vom klassischen Burgen-Modell, bei dem man nach dem Überqueren der Zugbrücke freie Bahn hatte.
Doch in der Realität hapert es bei der Umsetzung. Die meisten Organisationen haben zwar Multi-Faktor-Authentifizierung (MFA) und bedingte Zugriffrichtlinien implementiert. Sie checken also: Bist du wirklich dieser Benutzer? Aber sie vergessen die zweite entscheidende Frage: Ist dein Gerät vertrauenswürdig?
Hier liegt das Kernproblem. MFA beantwortet nur das “Wer”, nicht das “Wo” und “Wie”. Ein Angreifer kann die MFA-Herausforderung mit gestohlenen Zugangsdaten durchaus erfolgreich bestehen. Wenn das Gerät aber mit Malware infiziert ist, hat der Hacker damit eine direkte Tür ins Unternehmensnetzwerk geöffnet. Das System sieht ihn als authentifizierten Nutzer und gewährt Zugang.
Cyberkriminelle nutzen diese Lücke systematisch aus. Sie setzen auf Infostealers und Session-Hijacking, um Authentifizierungs-Token zu stehlen. Nachdem ein Benutzer sich erfolgreich angemeldet hat, laden sie das Token in ihren eigenen Browser und schon sehen sie das System als legitimen Nutzer. Das “Never Trust, Always Verify” wird zur leeren Phrase.
Die Lösung liegt in der Verknüpfung von Benutzer-Identität und Geräte-Vertrauen. Der Zugriff muss davon abhängen, nicht nur wer sich anmeldet, sondern auch in welchem Zustand sich das Gerät befindet. Ist es auf dem neuesten Sicherheitsstand? Sind kritische Sicherheits-Features aktiviert? Hat das Gerät verdächtige Aktivitäten gezeigt?
Das bedeutet auch: Sicherheit darf nicht statisch sein. Ein erfolgreiches MFA-Login ist nicht das Ende der Überprüfung, sondern der Anfang. Während einer aktiven Session müssen Systeme kontinuierlich die Geräte-Gesundheit überprüfen. Wenn ein Laptop infiziert wird oder ein Sicherheits-Feature deaktiviert wird, muss das System sofort reagieren können.
Für deutsche Unternehmen, insbesondere im Finanz-, Gesundheits- und Verwaltungssektor, ist diese Zwei-Ebenen-Kontrolle nicht nur Best Practice, sondern angesichts steigender Cyberangriffe mittlerweile notwendig. Zero Trust bleibt nur ein Konzept auf dem Papier, wenn die Geräte-Validierung fehlt.