Zero Trust Architecture: Cloud-Sicherheit ohne Firewall
Die Zero Trust Architecture sichert Cloud-Umgebungen, indem sie jeden Zugriff verifiziert. Erfahren Sie, wie Sie Ihr Sicherheitskonzept neu denken.
Das Wichtigste in Kürze
- Zero Trust eliminiert das Konzept des vertrauenswürdigen Netzwerks – jeder Zugriff wird verifiziert.
- Identity ist der neue Perimeter: Authentifizierung und Autorisierung bei jedem Request.
- Microsegmentierung isoliert Workloads und begrenzt die Blast Radius bei Breaches.
- ZTNA (Zero Trust Network Access) ersetzt klassische VPNs für Remote-Zugriff.
- Google BeyondCorp hat bewiesen, dass Zero Trust im Enterprise-Maßstab funktioniert.
Die klassische Firewall-Logik – innen ist sicher, außen ist gefährlich – funktioniert in der Cloud nicht. Mitarbeiter arbeiten von überall, Anwendungen laufen bei verschiedenen Cloud-Providern, und Angreifer sind längst innerhalb des Netzwerks. Zero Trust dreht das Sicherheitsmodell um: Vertraue niemandem, verifiziere alles, minimiere Zugriffsrechte.
Warum das Perimeter-Modell gescheitert ist
Das traditionelle Sicherheitsmodell basiert auf einer klaren Grenze: Innerhalb des Unternehmensnetzwerks ist es sicher, außerhalb nicht. VPNs erweitern diesen Perimeter auf Remote-Mitarbeiter. Das Problem: In der Cloud gibt es keinen Perimeter. Workloads laufen bei AWS, Azure und GCP, Mitarbeiter nutzen SaaS-Dienste direkt, und IoT-Devices verbinden sich ohne VPN.
Dazu kommt: 60% aller Breaches gehen von Insider-Threats oder kompromittierten Credentials aus. Sobald ein Angreifer innerhalb des Perimeters ist, kann er sich lateral bewegen – das Netzwerk vertraut ihm ja. Zero Trust adressiert genau dieses Versagen.
Die Grundprinzipien von Zero Trust
Verify Explicitly: Jeder Zugriff wird basierend auf allen verfügbaren Datenpunkten verifiziert – User Identity, Device Health, Location, Anomaly Detection. Kein implizites Vertrauen, auch nicht aus dem Firmennetz.
Least Privilege Access: User und Services erhalten nur die minimal notwendigen Rechte, zeitlich begrenzt (Just-in-Time Access). Admin-Rechte werden nicht dauerhaft vergeben, sondern per Workflow angefordert und nach Nutzung automatisch entzogen.
Assume Breach: Das Sicherheitsmodell geht davon aus, dass der Angreifer bereits im Netzwerk ist. Microsegmentierung begrenzt die Blast Radius, End-to-End-Verschlüsselung schützt Daten auch intern, und kontinuierliches Monitoring erkennt anomales Verhalten.
ZTNA: Das Ende des VPN
Zero Trust Network Access (ZTNA) ersetzt klassische VPNs durch applikationsspezifischen Zugriff. Statt eines Netzwerktunnels, der Zugriff auf das gesamte Firmennetz gibt, verbindet ZTNA den User nur mit der spezifischen Anwendung, die er braucht – basierend auf Identity, Device Posture und Context.
Zscaler Private Access, Cloudflare Access und Google BeyondCorp Enterprise sind die führenden ZTNA-Lösungen. Der Vorteil ist doppelt: Bessere Security (kein lateraler Zugriff) und bessere User Experience (kein VPN-Client, keine Latenz durch Backhauling).
Microsegmentierung in der Cloud
Microsegmentierung unterteilt das Netzwerk in isolierte Segmente auf Workload-Ebene. Statt einer Firewall am Rand hat jeder Workload eigene Zugriffsregeln. In Kubernetes implementieren Network Policies und Service Meshes (Istio, Cilium) Microsegmentierung nativ.
Der praktische Effekt: Wenn ein Container kompromittiert wird, kann der Angreifer nicht auf benachbarte Services zugreifen. Die Blast Radius eines Breach schrumpft von „gesamtes Netzwerk“ auf „einzelner Service“.
Implementierungsstrategie: Schritt für Schritt
Zero Trust ist kein Produkt, das man kauft, sondern eine Architektur, die man baut. Die Implementierung erfolgt schrittweise:
Phase 1: Identity Foundation – SSO mit MFA für alle Anwendungen. Conditional Access Policies basierend auf User, Device und Location. Das ist der höchste-ROI-Schritt.
Phase 2: ZTNA für Remote-Zugriff – VPN durch applikationsspezifischen Access ersetzen. Parallel: Device Trust (nur verwaltete, konforme Geräte erhalten Zugriff).
Phase 3: Microsegmentierung für kritische Workloads – Network Policies in Kubernetes, Security Groups in der Cloud mit Deny-by-Default.
Phase 4: Continuous Verification – UEBA (User and Entity Behavior Analytics) für anomale Zugriffsmuster, automatisierte Incident Response.
Häufige Fragen
Ist Zero Trust wirklich „never trust“?
Der Name ist irreführend. Zero Trust bedeutet nicht, dass niemandem vertraut wird, sondern dass Vertrauen nicht implizit ist. Jeder Zugriff wird explizit verifiziert – basierend auf Identity, Device Health, Context und Verhalten. Nach erfolgreicher Verifikation wird Zugriff gewährt, aber zeitlich und scope-mäßig begrenzt.
Wie lange dauert die Einführung von Zero Trust?
Zero Trust ist eine mehrjährige Reise, kein einmaliges Projekt. Phase 1 (Identity + MFA) kann in 3-6 Monaten umgesetzt werden und liefert sofort Sicherheitsgewinn. Volle Microsegmentierung und Continuous Verification dauern 2-3 Jahre für ein mittelgroßes Unternehmen.
Funktioniert Zero Trust auch für kleine Unternehmen?
Ja. Die Grundprinzipien (MFA, Least Privilege, Conditional Access) sind mit Cloud-nativen Tools (Azure AD Conditional Access, Google BeyondCorp) auch für KMU umsetzbar. Microsegmentierung und UEBA sind eher für größere Umgebungen relevant. Der Einstieg über Identity und ZTNA ist für jede Unternehmensgröße sinnvoll.
Was kostet Zero Trust?
Die größten Kosten sind organisatorisch, nicht technologisch. Identity-Plattformen (Azure AD P2, Okta) kosten 5-15 € pro User/Monat. ZTNA-Lösungen liegen bei 5-20 € pro User/Monat. Die Implementierung erfordert Cloud-Security-Expertise – intern oder durch Beratung. Der ROI liegt in reduzierten Breach-Kosten und vereinfachtem Remote-Zugriff.
Ersetzt Zero Trust die Firewall?
Nein, sondern ergänzt sie. Firewalls bleiben relevant für Perimeter-Schutz, DDoS-Mitigation und Traffic-Filtering. Zero Trust verlagert den Fokus von Netzwerk-Perimeter auf Identity und Workload – aber die Netzwerk-Sicherheit bleibt eine Schicht im Defense-in-Depth-Modell.
Quelle des Titelbildes: Pexels / Matias Mango
Lesetipps der Redaktion
cloudmagazinLenovo ThinkCentre M75q Tiny Gen 5: Enterprise-Mini-PC mit AMD PRO und 5 Watt Idle für Edge und KioskcloudmagazinServerless KI ist überbewertet – hier ist was stattdessen zähltcloudmagazinQNAP TS-464: 4-Bay-NAS mit Docker, HDMI und PCIe-Slot – was Synology in dieser Klasse nicht bietet
