Zero Trust
Ein Security-Modell, das vom Grundsatz ausgeht: „Vertraue niemals, verifiziere immer.“ Statt einem großen „sicheren Netzwerk“ wird jeder Zugriff einzeln geprüft. In DaaS-Umgebungen ist Zero Trust besonders relevant — weil Ressourcen per Definition außerhalb klassischer Perimeter liegen.
Was ist Zero Trust?
Zero Trust ist ein Security-Modell, das auf einer einfachen Prämisse basiert: Ein Netzwerk ist nie sicher, auch nicht das eigene. Jeder Zugriff auf jede Ressource muss explizit verifiziert werden — selbst wenn der Zugreifende bereits „drinnen“ ist.
Der Begriff wurde 2010 von John Kindervag bei Forrester geprägt. Er reagierte auf einen historischen Trend: Klassische Security basierte auf dem Castle-and-Moat-Modell — ein hohes Schloss mit dickem Graben drum herum. Wer innen ist, ist vertrauenswürdig.
Dieses Modell scheitert in der modernen Welt: Mobile User, SaaS-Apps, BYOD, Cloud-Services, Supply-Chain-Attacks. Es gibt keinen klaren „innen“ mehr.
Die 3 Zero-Trust-Prinzipien
| Prinzip | Bedeutung | In der Praxis |
|---|---|---|
| Verify Explicitly | Jeder Zugriff wird geprüft (User + Gerät + Kontext) | MFA, Conditional Access, Device Compliance |
| Use Least Privilege Access | Minimum-nötige Rechte, Just-in-Time, Just-Enough | Privileged Identity Management (PIM), RBAC |
| Assume Breach | Annehmen: Ein Angreifer ist bereits im System | Segmentation, Encryption, Monitoring, Threat Detection |
Was das konkret bedeutet
- Auch ein authentifizierter User darf nicht auf alles zugreifen (Least Privilege)
- Auch aus dem „internen Netz“ kommt kein pauschaler Trust (Assume Breach)
- Jede Session wird bewertet — nicht nur beim ersten Login (Verify Explicitly)
Die 6 Zero-Trust-Pillars (Microsoft)
Microsoft strukturiert Zero Trust in 6 „Pillars“ — Schutz-Säulen, die zusammen eine komplette Strategie ergeben:
| Pillar | Fokus | Microsoft-Tools |
|---|---|---|
| 1. Identities | Wer greift zu? | Entra ID, MFA, PIM, Conditional Access |
| 2. Endpoints | Welches Gerät? | Intune, MDE, Defender for IoT |
| 3. Applications | Welche App? | Defender for Cloud Apps, App Protection Policies |
| 4. Data | Welche Daten? | Purview, Sensitivity Labels, DLP |
| 5. Infrastructure | Wo laufen die Services? | Defender for Cloud, Azure Policy |
| 6. Network | Wie wird verbunden? | Azure Firewall, Private Endpoints, Entra Private Access |
Warum DaaS und Zero Trust perfekt zueinander passen
DaaS-Umgebungen sind geradezu prädestiniert für Zero Trust. Der Grund: Es gibt gar keinen klassischen Perimeter mehr, an den man sich klammern könnte.
Warum das so gut zusammenpasst
- User sitzen überall: Home-Office, Café, Hotel — nicht im „sicheren Firmen-Netzwerk“
- Cloud-PCs sind per Definition extern für Traditional-IT — Zero Trust ist der richtige Ansatz
- Session-Kontext ist wichtiger als Netzwerk-Ort — wer, mit welchem Gerät, welche Session?
- Mehrere Vertrauensgrade: Interne Desktop-Sessions ≠ Gast-Zugriff via Browser ≠ Admin-Session
Ein typisches Zero-Trust-DaaS-Pattern
- Login-Anforderung — WHfB oder FIDO2 (phishing-resistent)
- Device-Verifikation — nur Intune-Compliant Geräte
- Location-Check — Conditional Access prüft Land, Netz
- Risk-Evaluation — P2-Identity-Protection prüft Sign-In Risk
- Continuous Re-Eval — während der Session (Continuous Access Evaluation)
- Session-Scope — Browser-Session vs. Desktop vs. Admin-Scope
- App-Level-Policies — pro App eigene Regeln
- Data-Protection — Sensitivity-Labels verhindern Daten-Export
Wie ZeroTrust praktisch umsetzen?
Zero Trust ist keine Einzel-Technologie, sondern ein Reifeprozess. Microsofts Zero Trust Maturity Model unterscheidet 4 Stufen:
| Stufe | Beschreibung | Typische Maßnahmen |
|---|---|---|
| 0. Traditional | Perimeter-basiert, statisch | VPN, Firewall, Passwörter |
| 1. Initial | Erste ZT-Schritte | MFA, Basic Conditional Access |
| 2. Advanced | ZT in Kern-Prozessen | Intune-Compliance, Device-based CA |
| 3. Optimal | ZT überall, automatisiert | Identity Protection, MDE XDR, CAE |
Starter-Roadmap (sehr vereinfacht)
- MFA für alle aktivieren (Monat 1-2)
- Legacy-Auth blockieren, Baseline Conditional Access (Monat 2-3)
- Alle Endgeräte in Intune enrollen, Compliance-Policies (Monat 3-6)
- Device-based Conditional Access aktivieren (Monat 4-6)
- PIM für Admin-Rollen einführen (Monat 5-7)
- Defender for Endpoint + Identity Protection (Monat 6-9)
- App Protection Policies + Data Classification (Monat 9-12)
- Continuous Access Evaluation, Advanced Hunting (ab Monat 12+)
Zero Trust ist nie „fertig“ — es ist eine Reise der kontinuierlichen Verbesserung.
Zero-Trust-Patterns in DaaS Maps
Die DaaS Maps zeigen Zero-Trust-Architektur-Patterns für verschiedene DaaS-Plattformen. Für strategische Diskussionen zu Zero-Trust-Rollouts und Maturity-Assessments findet ihr mich auf LinkedIn.