Wie die Pandemie uns lehrt, niemandem zu vertrauen

Noch nie war das Interesse an dem Prinzip von "Zero Trust" höher als seit Beginn der Coronapandemie. Die Anzahl Mitarbeitender im Homeoffice ist explodiert. Gleichzeitig hat die Verbreitung von vernetzten Geräten und cloudbasierten Diensten Cyberkriminellen und anderen böswilligen Akteuren neue Angriffsflächen eröffnet. Microsoft sieht den Schutz seiner Kundinnen und Kunden und der breiteren Gemeinschaft als eine sehr zentrale Verantwortung.

Dabei wird sich diese neue Realität noch weiter akzentuieren und an Komplexität zulegen. Deshalb erfordert sie neue Ansätze in Bezug auf IT-Sicherheit wie das Zero-Trust-Sicherheitsmodell. Im Modell wird jede Anforderung so geprüft, als käme sie aus einem öffentlich zugänglichen Netzwerk. Es gilt das Prinzip "Vertrauen ist gut, Kontrolle ist besser", egal, woher die Anforderung stammt und auf welche Ressource sie abzielt.

Genau hier sehen sich Unternehmen mit einer wesentlichen Herausforderung konfrontiert: Die Mitarbeitenden sind meist nicht darauf vorbereitet, von zuhause aus zu arbeiten. Normalerweise sitzen sie in ihren Büros an ihrem Schreibtisch. In einigen Fällen nehmen die Mitarbeitenden ihren PC aus dem Büro nach Hause. Andere Unternehmen erlauben ihren Mitarbeitenden, ihren Heim-PC via VPN im Unternehmensnetzwerk zu nutzen. Beide Vorgehensweisen stellen aber ohne weitere Vorkehrungen erhebliche Sicherheitsrisiken dar.

In einem Zero-Trust-Modell muss eine Anforderung vollständig authentifiziert, autorisiert und verschlüsselt sein, bevor der Zugriff gewährt wird. Mikrosegmentierung und das Prinzip der geringstmöglichen Zugriffsrechte tragen dazu bei, die Ausbreitung im System einzudämmen. Hinzu kommen umfassende Business Intelligence und Analytics, um Anomalien in Echtzeit zu erkennen und abzuwehren.

Die dafür relevanten Kontrollelemente sind: Identitäten, Geräte, Anwendungen, Daten, Infrastruktur und Netzwerke. Da all diese Komponenten wichtige Quellen für Zugriffssignale darstellen, ist deren Integration zentral. Das bedeutet, dass alle Signale, die auf verschiedenen hybriden Infrastrukturen von verschiedenen Herstellern anfallen, zusammengeführt und korreliert werden müssen.

Den Identitäten kommt dabei eine zentrale Rolle zu. Sie bilden das Fundament des Zero-Trust-Modells, in dem netzwerkbasierte Kontrollen durch identitätsbasierte Richtlinien und risikobasierte Prozesse ersetzt werden. Daher sollte auch der Identitätsanbieter mit Bedacht gewählt werden.

Da eine umfassende Einschätzung der Bedrohungslage und damit eine grosse Menge "Threat Intelligence" notwendig ist, bietet sich für die meisten Unternehmen eine cloudbasierte Lösung an. Moderne Applikationen – sowohl SaaS als auch Eigenentwicklungen – werden oft ohne grös­sere Aufwände direkt unterstützt und lassen sich deshalb einfach integrieren. Etwas komplexer wird es bei Legacy-Anwendungen. Oftmals verwenden diese bereits zur Authentifizierung veraltete und aus heutiger Sicht unsichere Protokolle. Geht man davon aus, dass das Unternehmensnetzwerk bereits kompromittiert ist, ist eine Modernisierung sowieso schnellstens angebracht.

Microsoft setzt auf Zero Trust, um Firmen- und Kundendaten zu schützen. Im Mittelpunkt stehen eine starke Nutzeridentität, eine gesicherte Geräte- und Anwendungsintegrität sowie sicherer Zugriff mit geringstmöglichen Rechten auf Firmenressourcen und -dienste. Die Umstellung auf ein Zero-Trust-Modell ist aber eine grosse Herausforderung. Für eine Organisation, die ihre Mitarbeitenden befähigen und die Vorteile der Digitalisierung für sich nutzen will, ist sie jedoch unverzichtbar. Entsprechend gross ist auch das aktuelle Interesse am Zero-Trust-Modell.

Das Zero-Trust-Modell ist keine Sofortlösung. Es ist vielmehr eine schrittweise Veränderung – eine lohnende Reise in eine sichere digitale Zukunft. Microsofts Übergang zu einem Zero-Trust-Modell ist im Gang.

Hier erfahren Sie, wie ­Microsoft sie auf dem Weg zum Zero-Trust-Modell begleiten kann.

Microsoft Schweiz GmbH
Richtistrasse 3
8304 Wallisellen
homeofficeCH@microsoft.com