Wenn Sie Partnerlinks in unseren Inhalten folgen, erhalten wir möglicherweise eine Provision. Dabei entstehen Ihnen keine zusätzliche Kosten. Wir zeigen transparent, wie 
Vor fünfzehn Jahren vertrauten Organisationen automatisch allem und jedem im Unternehmensnetzwerk und nichts außerhalb.
John Kindervag wagte es, dieses traditionelle Vertrauensmodell in Frage zu stellen und entwickelte das Zero-Trust-Framework, das auf dem Prinzip „never trust, always verify“ basiert.
Das Konzept setzte sich schnell durch und veränderte die Einstellung vieler Menschen zur Cybersicherheit.
Trotz des häufigen Missverständnisses haben Chief Information Security Officers (CISOs) erkannt, wie entscheidend ein anderer Ansatz ist, um die Sicherheitsherausforderungen zu meistern, die durch Remote-Arbeit, hybride Cloud-Dienste und BYOD (Bring Your Own Devices) entstehen.
Techopedia sprach mit Kindervag über die Entwicklung der Zero-Trust-Sicherheit und warum er glaubt, dass sie für Unternehmen bei der Migration zu Cloud-basierten Umgebungen bedeutender denn je ist.
Wichtigste Erkenntnisse
- Zero Trust eliminiert inhärentes Vertrauen – „never trust, always verify“ für jede Verbindung.
- John Kindervag begann mit der Anwendung des Prinzips während seiner Tätigkeit bei Forrester. Sein Rahmenwerk wird inzwischen von 82 % der Organisationen, einschließlich aller US-Bundesbehörden, übernommen.
- Bei Zero-Trust-Richtlinien wird standardmäßig alles verweigert und nur legitime Vorgänge für autorisierte Benutzer zugelassen.
- KI/ML verbessert Zero Trust und schafft anpassungsfähige, unflexible Systeme, die sich bei Angriffen behaupten.
- Dank Automatisierung kann Zero Trust Angreifern durch schnellere Reaktionen und Neutralisierung von Bedrohungen in Echtzeit zuvorkommen.
Die Entstehungsgeschichte von Zero Trust
Laut Gartner haben 63 % der Unternehmen eine Zero-Trust-Strategie eingeführt, und dennoch ist das Konzept noch relativ neu. 82 % der Organisationen haben sie in den letzten drei Jahren implementiert.
Wie ist das möglich?
Zero Trust entstand, als John Kindervag Firewalls installierte und mit einem künstlichen Trust-Modell konfrontiert wurde, bei dem alles sowohl innerhalb als auch außerhalb der Firewall vertrauenswürdig war.
„Das kam mir blöd vor“, erinnert er sich.
„Ich dachte, dass Firewalls ein Vertrauensniveau von Null haben sollten. Sie sollten alle Pakete gleich behandeln.“
Diese einfache, aber revolutionäre Idee – dass kein System, kein Benutzer und kein Paket von Natur aus vertrauenswürdig sein sollte – wurde zur Grundlage von Zero Trust.
Als Kindervag 2008 zur Research Group Forrester kam, führte er zwei Jahre lang Primärforschung durch und begann mit dem Bau von Prototypen von Zero-Trust-Umgebungen.
Während seiner Zeit bei Forrester verfeinerte Kindervag seine Ideen, stellte Nachforschungen an und schuf Proof-of-Concept-Umgebungen, um die Realisierbarkeit des Zero-Trust-Modells zu demonstrieren.
Er stieß jedoch schnell auf den Widerstand von Fachleuten, die sich nicht von den traditionellen Sicherheitsmodellen lösen wollten.
„Ich kann Ihnen gar nicht sagen, wie oft ich gehört habe: ‚So sind wir das nicht immer angegangen.‘ Und ich habe dann gesagt: ‚Nun, so wie wir es immer gemacht haben, funktioniert es nicht.‘“
Ironischerweise ebnete seine Beharrlichkeit, den Status quo in Frage zu stellen, den Weg für den Erfolg von Zero Trust. In den ersten fünf Jahren war Kindervag einer der wenigen, die Zero-Trust-Umgebungen entwarfen und beaufsichtigten.
Er musste viele Fehler machen, aus ihnen lernen und sie dann dokumentieren, damit andere sie nicht wiederholen.
„Ich habe das Konzept der Angriffsfläche in eine geschützte Fläche umgewandelt. Konzentrieren wir uns nicht auf all die Möglichkeiten, wie man angegriffen werden kann, sondern darauf, was man schützen muss.“
Dank seiner Hartnäckigkeit, mit der er sich gegen den Status quo wehrte, wurde der Weg zum Erfolg bereitet. Elf Jahre später erließ der Präsident der Vereinigten Staaten eine Verordnung, die Zero Trust für Bundesbehörden vorschreibt.
Beseitigung der Mythen rund um Zero Trust
Von einigen Fachleuten wurde Zero Trust absichtlich als kompliziert dargestellt, um schlauer zu wirken, was nach Ansicht von Kindervag die Unternehmen von der Übernahme des Rahmenwerks nur abhält.
Kindervag ist der Meinung, dass Zero Trust nichts anderes bedeutet, als den veralteten Begriff des Vertrauens vollständig aus digitalen Systemen zu entfernen: Als menschliches Gefühl hat es keinen Platz in der Cybersicherheit, und die Systeme sollten unter der Annahme arbeiten, dass keine Einheit oder Verbindung von Natur aus sicher ist.
Humorvoll regt er an, ein „Vertrauensgefäß“ zu verwenden, in das die Menschen jedes Mal Geld einzahlen, wenn sie sich im Zusammenhang mit digitalen Systemen positiv auf das Vertrauen beziehen, und unterstreicht damit die Notwendigkeit, das Konzept des Vertrauens in der Cybersicherheit zu beseitigen.
Er weist außerdem darauf hin, dass es bei Zero Trust nicht darum geht, Systeme vertrauenswürdig zu machen, und dass Zero Trust nicht als Produkt „gekauft“ werden kann.
Anbieter behaupten zwar, Zero-Trust-Lösungen zu verkaufen, aber in Wirklichkeit wird Zero Trust durch eine Strategie, maßgeschneiderte Richtlinien und die richtigen Technologien umgesetzt – nicht durch einen einfachen Kauf.
Oder noch präziser formuliert:
„Zero Trust kann man nicht kaufen – man muss es tun.“
Kindervag unterstreicht ferner, dass man bei Zero Trust nicht die Versuche von Angreifern verhindern will. Es ist vielmehr so, dass ihre Versuche unwirksam sind, indem der Zugang streng kontrolliert und Schwachstellen reduziert werden.
„Zero Trust stoppt keine Angriffe – es macht sie erfolglos.“
Entgegen der landläufigen Meinung besteht Kindervag darauf, dass die Umsetzung von Zero Trust nicht kompliziert ist und in einen einfachen 5-Schritte-Plan zerlegt werden kann.
Zero Trust: 5-Schritte-Plan von John Kindervag
Schritt 1: Festlegung der zu schützenden Fläche
Der erste Schritt für jedes Unternehmen, das mit Zero Trust beginnt, ist die Verkleinerung der Angriffsfläche auf ein überschaubares Maß.
Bestimmen Sie zum Beispiel die kritischen Elemente, die Sie schützen müssen, wie Daten, Anwendungen, Assets oder Dienste (DAAS).
Im Gegensatz zu traditionellen Ansätzen, die sich auf die große Angriffsfläche konzentrieren, zielt Zero Trust auf spezifische, hochwertige Elemente ab.
Indem sie den Schwerpunkt eingrenzen, können Organisationen ihre Ressourcen und Bemühungen auf das beschränken, was wirklich wichtig ist, und den Prozess überschaubar und effektiv halten.
Schritt 2: Abbildung der Transaktionsflüsse
Man kann nicht schützen, was man nicht versteht. Die Abbildung der Transaktionsflüsse zeigt, wie das System funktioniert.
Dieser Schritt macht deutlich, wie sich Daten durch Ihr Netzwerk bewegen und wie Benutzer und Systeme mit der geschützten Oberfläche interagieren. Es werden Abhängigkeiten und betriebliche Abläufe identifiziert.
Das Verständnis dieser Ströme stellt sicher, dass die Sicherheitsrichtlinien so gestaltet sind, dass sie legitime Transaktionen unterstützen und gleichzeitig bösartige blockieren.
Außerdem wird damit die Grundlage für die Mikrosegmentierung geschaffen.
Schritt 3: Aufbau einer Zero-Trust-Umgebung
In diesem Schritt wird die Architektur um die geschützte Oberfläche und die Transaktionsströme herum aufgebaut.
Dazu gehören Tools wie Mikrosegmentierung und auf das Unternehmen zugeschnittene Technologien.
Anstatt Systeme nachträglich in eine generische Architektur einzubauen, sorgt diese Phase dafür, dass die Umgebung individuell – zur Verringerung des Risikos und zur Maximierung der Effektivität – angepasst wird.
Schritt 4: Erstellung von Zero-Trust-Richtlinien
Zero Trust basiert auf granularen Erlaubnisregeln – standardmäßig alles verweigern und nur bestimmte Zugriffe zulassen.
Richtlinien sollten so verfasst werden, dass der Zugang streng kontrolliert wird, damit nur die richtigen Benutzer zur richtigen Zeit auf die richtigen Ressourcen zugreifen können.
Letztlich ersetzt man herkömmliche „Alles erlauben“-Richtlinien, die für Missbrauch anfällig sind, durch präzise, präskriptive Regeln, die Schwachstellen reduzieren.
Schritt 5: Überwachung und Instandhaltung
Zero Trust ist kein einmaliges Projekt – „es ist ein kontinuierlicher Überwachungs- und Verbesserungsprozess“.
Dieser Schritt verwandelt Zero Trust in ein Antifragilitätssystem, das mit der Nutzung stärker wird und sich an die sich entwickelnden Bedrohungen und organisatorischen Veränderungen anpasst.
Mehr Sicherheit durch Mikrosegmentierung
Zero-Trust-Umgebungen können die Angriffsfläche verkleinern. Selbst wenn es zu einem Angriff kommt, minimiert Zero Trust den Schaden und verringert die Wahrscheinlichkeit erheblicher Verstöße.
Unternehmen, die sich auf die Definition von Schutzoberflächen und die Schaffung von Mikrosegmenten konzentrieren, haben greifbare Ergebnisse erzielt – reduzierte Angriffsoberflächen, minimierte Schäden durch Sicherheitsverletzungen und bessere Sicherheitsergebnisse.
Bei einem Ransomware-Angriff kann Zero Trust beispielsweise die Kommunikation mit Command-and-Control-Servern blockieren und so die Bedrohung effektiv neutralisieren.
„Selbst wenn Malware in eine Zero-Trust-Umgebung eindringt, wird sie eingedämmt. Die Mikrosegmentierung begrenzt den Angriffsradius und hindert Angreifer daran, sich seitlich im Netzwerk zu bewegen.“
Mit Blick auf die Zukunft glaubt Kindervag, dass künstliche Intelligenz (KI) und maschinelles Lernen (ML) die Methoden zur Überwachung und Aufrechterhaltung von Zero-Trust-Umgebungen in Unternehmen verändern werden, indem sie Einblicke in Echtzeit und schnellere, präzisere Reaktionen auf Bedrohungen ermöglichen.
AL und ML können alle Telemetriedaten aus einer Zero-Trust-Umgebung aufnehmen und in das System einspeisen, um jeden Schritt im Laufe der Zeit organisch zu verbessern.
So entsteht eine Feedback-Schleife, in der sich Zero-Trust-Umgebungen kontinuierlich weiterentwickeln und an reale Aktivitäten und Bedrohungen anpassen.
„Zero Trust, kombiniert mit KI und ML, wird zu einem antifragilen System – es wird bei Angriffen stärker.“
In Anlehnung an Nassim Nicholas Talebs Konzept der Antifragilität erklärte Kindervag, dass sich Zero-Trust-Umgebungen je nach Belastung (z. B. durch Cyberangriffe) verbessern, aus jedem Versuch lernen und widerstandsfähiger werden.
„Denken Sie an den menschlichen Körper: Wenn Sie trainieren, beanspruchen Sie Ihre Muskeln, aber anstatt zusammenzubrechen, passen sie sich an und werden stärker. KI und ML werden Zero-Trust-Systemen helfen, den gleichen Antifragil-Effekt in der Cybersicherheit zu erzielen.“
Diese Analogie verdeutlicht, wie KI/ML Zero-Trust-Umgebungen dynamischer und selbstverbessernd statt statisch und reaktiv machen können.
Automatisierung wird Angreifern den Rang ablaufen
Was, wenn nur eine Maschine eine andere Maschine besiegen kann? Diese Idee von Alan Turing inspiriert Kindervag, denn mit Automatisierung und KI können wir Angreifern zuvorkommen.
Zwar werden die Täter immer raffinierter, aber die Verteidiger haben die Möglichkeit, KI/ML zu ihrem Vorteil zu nutzen und die Reaktionen auf Bedrohungen so zu automatisieren, dass die Angreifer nicht so effektiv dagegen vorgehen können.
Man befürchtet, dass Cyberkriminelle KI zur Entwicklung noch raffinierterer Angriffe nutzen werden. Kindervag sieht KI/ML jedoch als „Kraftmultiplikator“ für Zero Trust, mit dem Verteidiger riesige Datenmengen verarbeiten, Muster erkennen und Bedrohungen schneller identifizieren können, als es menschliche Analysten je könnten.
„Hacker haben keine Änderungskontrolle. Sie müssen keine Erlaubnis für einen neuen Versuch einholen. Dank KI und ML können wir mit der gleichen Geschwindigkeit und Agilität arbeiten wie unsere Widersacher.“
„Wir werden Daten und Bedrohungen in einem Umfang und einer Geschwindigkeit analysieren können, die sich Angreifer nicht vorstellen können. So werden wir das Spiel verändern.“
Fazit
Zero Trust ist kein Produkt, sondern eine Strategie. Es ist nicht so kompliziert, wie man vielleicht denkt.
Wenn man klein anfängt, iterativ vorgeht und Technologien wie KI/ML einsetzt, können Sicherheitsteams eine Umgebung schaffen, die sicherstellt, dass Datenschutzverletzungen und andere Angriffe weiterhin erfolglos bleiben.
Techopedia sieht das ähnlich wie Kindervag: Zero Trust wird auch weiterhin sein Versprechen einlösen, Cybersicherheit in ein proaktives, widerstandsfähiges und unflexibles Verteidigungssystem zu verwandeln, das bei Angriffen stärker wird.
