Zero-Trust-Identity: Vorteile, Aktivitätsfelder, Best Practices

Als Teil einer Zero-Trust-Security ist die Zero-Trust-Identity ein proaktiver und zeitgemäßer Ansatz, der Risiken für Unternehmen reduziert und sie vor Cyber-Angriffen schützt.

Zero-Trust-Identity bedeutet, dass in einer Zero-Trust-Architektur nichts und niemandem vertraut wird – unabhängig davon, ob ein Zugriff auf Unternehmensdaten von innerhalb oder außerhalb des Netzwerks stattfindet.

Der Identität gilt das Hauptaugenmerk innerhalb der Zero-Trust-Architektur: Da Angriffe auf die Identität der häufigste Angriffsvektor sind, ist sie als erste von insgesamt 6 Säulen das zentrale Fundament jeder Zero-Trust-Strategie.

7 Vorteile der Zero-Trust-Identity

Die Zero-Trust-Identity ist unerlässlich, weil sie die Sicherheit von IT-Netzwerken grundlegend verbessert.

1. Schutz vor internen Bedrohungen

Die Identitätsprüfung umfasst jeden Zugriffsversuch, unabhängig davon, ob er innerhalb oder außerhalb des Netzwerks bzw. von Personen- oder Maschinenkonten erfolgt.

2. Minimierung der Angriffsfläche

Zero-Trust-Identitiy minimiert die Angriffsfläche für potenzielle Bedrohungen systematisch: Das Prinzip des geringsten Privilegs stellt jedem Zugriff nur die unbedingt nötigen Ressourcen zur Verfügung. Dazu dienen Konzepte wie Just-In-Time (JIT) und Just-Enough-Access (JEA). So verhindert Zero-Trust-Identity, dass sich potenzielle Angreifer*innen frei im gesamten Netzwerk bewegen und auf sensible Informationen zugreifen.

3. Stärkere Authentifizierung

Mehrstufige Authentifizierungsverfahren wie 2-Faktor- und Multi-Faktor-Authentifizierung bis hin zum passwortlosen Log-in stellen sicher, dass alle Benutzer*innen diejenigen sind, für die sie sich ausgeben. Dies hilft, Identitätsdiebstahl und unbefugten Zugriff zu verhindern.

4. Verschlüsselung

Verschlüsselung kommen immer dann zum Einsatz, wenn es gilt, die Sicherheit von Daten während der Übertragung und Speicherung zu gewährleisten. Verschlüsselungstechnologien wandeln Daten in einen verschlüsselten Zustand um, den nur autorisierte Personen oder Geräte decodieren können.

5. Dynamische Autorisierung

Zero-Trust-Identity ermöglicht eine dynamische Autorisierung, die auf aktuellen Bedingungen und Risikofaktoren basiert. Das bedeutet: Der Datenzugriff ist gebunden an spezifische Kontextinformationen wie Standort, Gerät oder Sicherheitsstatus des Netzwerks. Wenn diese Information nicht vorliegen, wird der Zugriff verweigert.

6. Frühzeitige Erkennung von Bedrohungen

Die kontinuierliche Überwachung des Verhaltens von Benutzer*innen und anderer Risikofaktoren ermöglicht die frühzeitige Erkennung von verdächtigen Aktivitäten. So lassen sich mithilfe von Advanced Detection and Response (XDR) verhaltensbasierte Reaktionen in Echtzeit messen und auswerten. Wer potenzielle Bedrohungen schnell erkennt, kann angemessene Maßnahmen ergreifen und Schäden minimieren.

7. Mikrosegmentierung

Zero-Trust-Identity segmentiert das Netzwerk in kleine Teilbereiche. Jedes Segment ist isoliert und besitzt eigene Sicherheitsrichtlinien. Auch dies verhindert, dass Angreifer*innen sich frei im gesamten Netzwerk bewegen, sobald sie Zugriff auf einen Teil des Netzwerks erlangt haben.

Am Beispiel eines Türstehers lässt sich das Prinzip IAM plakativ darstellen: Das Identitäts- und Zugriffsmanagement-System fungiert als digitaler Türsteher, der anhand einer Gästeliste prüft, wer ins Gebäude hereingelassen werden darf.

Jedes IAM-System hat typischerweise 3 Hauptkomponenten:

1. Identitätsmanagement

Es prüft und verwaltet die Identität einer Person oder eines Geräts. Das bedeutet, dass Benutzer*innen oder Geräte spezifische Informationen haben, die ihre Identität bestätigen, wie z. B. Benutzernamen, Passwörter oder biometrische Daten.

2. Zugriffsmanagement

Es prüft, welche Ressourcen oder Systeme eine Person bzw. ein Gerät verwenden darf. Definierte Regeln und Richtlinien schränken den Zugriff auf Informationen oder Funktionen ein. Das Zugriffsmanagement stellt sicher, dass der Zugriff auf Ressourcen festgelegten Berechtigungen entspricht. Zum Beispiel erhalten Controlling-Mitarbeiter*innen Zugriff auf Dateien, die Marketing-Mitarbeiter*innen nicht zur Verfügung stehen.

3. Verwaltung von Berechtigungen

Dem Least-Privilege-Prinzip folgend, geht es hierbei darum, die verschiedenen Berechtigungen und Rollen zu verwalten, die Benutzer*innen innerhalb eines Systems haben können. Dies umfasst z. B. die Zuweisung von Berechtigungen an neue Mitarbeiter*innen, die Aktualisierung von Berechtigungen bei Beförderungen und die Deaktivierung von Berechtigungen, wenn Benutzer*innen das Unternehmen verlassen oder sich ihre Rolle ändert.

Identitäts- und Zugriffsmanagementsysteme wie Microsoft Entra in Kombination mit Microsoft Defender for Identity bieten die effektive Verwaltung von Identitäten und den sicheren Zugriff auf Unternehmensressourcen. Sie schaffen somit das Fundament für modernes Arbeiten in Hybrid- oder Multi-Cloud-Umgebungen.

2| Next-Level-Sicherheit: Mehrschichtige Authentifizierung (MFA)

Das Sicherheitskonzept der 2-Faktor- oder auch Multi-Faktor-Authentifizierung (MFA) reduziert das Risiko eines Identitätsdiebstahl um bis zu 99,9 %. In Kombination mit der Azure AD bietet die Multi-Faktor-Authentifizierung weitere Sicherheitsebenen, die sicherstellen, dass nur autorisierte Personen auf ein Konto oder eine Anwendung zugreifen.

Die mehrschichtige Authentifizierung besteht aus 2 oder mehr Faktoren, die die Identität der Benutzer*innen prüfen:

1. Eine Information, die nur Benutzer*innen kennen: z. B. ein Passwort, eine PIN oder die geheime Antwort auf eine Sicherheitsfrage.
2. Einen Gegenstand, den nur Benutzer*innen besitzen: z. B: ein physisches Gerät, wie ein Sicherheitstoken, ein Smartcard-Lesegerät oder ein Handy. Das Gerät erzeugt einen einmaligen Code oder empfängt eine Nachricht als Bestätigung.
3. Eine Eigenschaft, die nur Benutzer*innen haben: z. B. biometrische Merkmale, wie Fingerabdrücke, Iris-Scan oder Gesichtserkennung.

Bei der mehrschichtigen, sogenannten Multi-Faktor-Authentifizierung müssen Mitarbeiter*innen über mindestens 2 dieser Faktoren verfügen, wenn sie sich erfolgreich anmelden wollen. Zum Beispiel können Benutzer*innen ihr Passwort eingeben (Wissen) und dann einen einmaligen Code eingeben, der von einer Authentifizierungs-App auf ihrem Mobiltelefon generiert wurde (Besitz).

Ohne zentrale Ablage der Faktoren – kein Datenklau!

In Kombination mit dem sogenannten FIDO-2.0-Standard, den Microsoft seit Windows 10 im Rahmen von Windows Hello unterstützt, werden Schlüssel, Daten und Passwörter nicht mehr zentral auf Servern gespeichert, sondern mittels Hardwaretoken generiert. Dies erhöht die Transparenz und bietet ein Höchstmaß an Identifikation und Authentifizierung. Gleichzeitig reduziert sich der Aufwand für Benutzer*innen, da sie sich keine komplizierten Passwörter mehr merken oder hinterlegen müssen.

3| Automatisierte Identitäts- und Verhaltensanalyse dank maschinellem Lernen

Der Trend geht dahin, die Identitäts- und Verhaltensdaten von Nutzern fortlaufend zu analysieren. Mittels maschinellen Lernens werden untypische, identitätsgesteuerte Angriffe innerhalb von Sekunden erkannt und unterbunden. Das macht sich auch Microsoft mit „Extended Detection and Response“ zunutze: Um die Transparenz und Sicherheit weiter zu erhöhen, verknüpft Microsoft neuerdings die Identitätsverwaltung (IAM) mit seinen Erkennungs- und Verhaltenssystemen (XDR). Mit „Microsoft Identity and Threat Detection“ (ITDR), das im Rahmen von Windows Hello for Business integriert wurde, ist mittels bedingten Zugriffs eine automatische Sperre bzw. eine Löschung der Endgeräte oder Nutzer innerhalb von Sekunden möglich.

ITDR-Systeme bieten IT-Sicherheitsspezialist*innen forensische Tools und den Security Operations Center umfangreiche Berichte, um Sicherheitssilos entdecken und schließen zu können. Bedingung für ein funktionierendes ITDR ist die Einführung eines „User and Entity Behavior Analytiktool“ (UEBA), das auf Basis von Verhaltensanalysen vordefinierte Sicherheitsmaßnahmen wie z. B. eine Zugriffssperrung durchführt.

4| Verschlüsselung und Datenschutz bei einem Zero-Trust-Network-Access

Datenschutz durch Verschlüsselung ist ein weiterer zentraler Ankerpunkt im Rahmen des Zero-Trust-Network-Access, der die sichere Datenübertragung und -speicherung gewährleistet. Eine sichere Datenübertragung ist gewährleistet, wenn mindestens die folgenden 3 Punkte zutreffen:

1. Die Daten werden verschlüsselt und können nur mithilfe eines speziellen Schlüssels gelesen oder entschlüsselt werden.
2. Die Richtigkeit und Unversehrtheit der Daten während der Übertragung oder Speicherung muss gewährleistet sein. Durch Mechanismen wie Hashing oder Prüfsummen können Veränderungen an den Daten erkannt werden. Dies garantiert, dass die Daten unverändert und vertrauenswürdig sind.
3. Im Rahmen des Zero-Trust-Network-Access ist die Zugriffskontrolle ein wichtiger Aspekt des Daten- und Sicherheitsschutzes. Nur autorisierte Benutzer*innen oder Geräte erhalten Zugriff auf bestimmte Daten oder Ressourcen. Ein Identitäts- und Zugriffsmanagementsystem unterbindet unbefugte Zugriffe.

Allein durch die Kombination von Datenverschlüsselung und -integrität sowie der Zugriffskontrolle wird ein umfassender Schutz der Daten im Rahmen der unternehmenseigenen Vorgaben erzielt.

Best Practices für die Implementierung der Zero-Trust-Identity

Bei der Implementierung einer Zero-Trust-Identity sollten Sie neben den oben aufgeführten Punkten diese bewährten Praktiken berücksichtigen:

Zentralisierung des Identitäts- und Zugriffsmanagement (IAM)

Identitäten und Zugriffsrechte benötigen eine zentrale Verwaltung, um eine einheitliche Kontrolle und Überwachung zu ermöglichen.
Unsere Empfehlung: Implementieren Sie eine IAM-Lösung, die die Identitätsverwaltung, Authentifizierung sowie die Autorisierung und Auditierung unterstützt, z. B. Microsoft Azure AD.

Starkes Passwortmanagement

Benutzer*innen sollten mindestens starke und eindeutige Passwörter verwenden. Hierfür müssen Richtlinien zur Passwortkomplexität und -dauer implementiert werden.
Unsere Empfehlung: Nutzen Sie passwortlose Systeme wie FIDO 2.0, mindestens aber Passwort-Systeme in Kombination mit XDR-Managern: Das umgeht das Risiko, das mit der Nutzung schwacher oder wiederverwendeter Passwörter verbunden ist.

Prinzip des geringsten Privilegs

Benutzer*innen sollten nur die minimalen Berechtigungen erhalten, die sie zur Erledigung ihrer Aufgaben benötigen.
Unsere Empfehlung: Durch die Implementierung einer Zugriffskontrolle basierend auf Rollen und Verantwortlichkeiten (RBAC) vermeidet man die gewohnheitsmäßige Vergabe von Administratorrechten, ohne dass die Produktivität darunter leidet.

Kontinuierliche Überwachung und Überprüfung

Um verdächtige Aktivitäten oder Anomalien zu erkennen, müssen Benutzeraktivitäten kontinuierlich überwacht und analysiert werden.
Unsere Empfehlung: SIEM-Tools („Security Information and Event Management“), wie z. B. Microsoft Sentinel binden maschinell lernende Protokollierungs- und Überwachungsmechanismen ein und erkennen dadurch Bedrohungen frühzeitig.

Datenverschlüsselung und -integrität

Starke Verschlüsselungsalgorithmen verschlüsseln die Daten sowohl während der Übertragung als auch im gespeicherten Zustand.
Unsere Empfehlung: End-to-End-Verschlüsselungstools stellen sicher, dass die Integrität der Daten gewährleistet ist. Manipulationen oder unbefugte Änderungen werden jederzeit automatisiert erkannt.

Herausforderungen bei der Implementierung einer Zero-Trust-Identity

Bei der Implementierung einer Zero-Trust-Identity können verschiedene Herausforderungen auftreten. Typische Hemmnisse in der Praxis sind:

Komplexität

Die Umsetzung einer Zero-Trust-Identity erfordert oft umfangreiche Veränderungen an bestehenden Systemen und Prozessen. Dies ist häufig eine komplexe Aufgabe und benötigt eine sorgfältige Planung und Koordination.

Legacy-Systeme

Viele Unternehmen haben in Legacy-Systeme und Anwendungen investiert, die möglicherweise nicht mit Zero-Trust-Prinzipien kompatibel sind. Die Integration dieser Systeme in ein Zero-Trust-Identity-Modell kann eine Herausforderung darstellen und zusätzliche Anpassungen erfordern.

Benutzer*innen-Akzeptanz

Eine Änderung in der Identitäts- und Zugriffsverwaltung stößt gelegentlich bei Benutzer*innen auf Widerstand. Es erfordert Zeit und Anstrengung, die Vorteile und die Notwendigkeit der Umstellung auf Zero-Trust-Identity zu kommunizieren und die innerbetriebliche Akzeptanz zu fördern. Begleiten Sie die Umstellung durch ein Change- Management-Team, das hilft, interne Hürden schneller zu überwinden.

Skalierbarkeit

Die Implementierung einer Zero-Trust-Identity muss skalierbar sein, damit sie den Anforderungen eines wachsenden Benutzerstamms und einer zunehmenden Anzahl von Ressourcen gerecht wird. Die Skalierung kann technische Herausforderungen mit sich bringen, insbesondere wenn es darum geht, große Mengen von Identitäten zu verwalten und zu prüfen.

Trotz vieler Vorteile setzen zu wenige deutsche Unternehmen auf die agile Verwaltung von passwortlosen Identitäten im Rahmen einer Zero-Trust-Strategie. Umso einleuchtender ist es, dass im vergangenen Jahr schwerwiegende Phishing-, Social Engineering- und Ransomware-Attacken in IT-Netzwerken weltweit für Schlagzeilen gesorgt haben. Der gemeinsame Nenner bei allen Attacken war das schwach ausgeprägte Sicherheitsbewusstsein der Mitarbeiter*innen, verbunden mit veralteten Netzwerkumgebungen: Die Risiken waren Unternehmen und Mitarbeiter*innen durch geringes Bewusstsein für derartige Angriffe schlichtweg nicht bewusst.

Durch den Einzug neuer Technologien wie maschinellem Lernen (ML) und künstlicher Intelligenz (KI) entwickeln sich sowohl Angriffe als auch deren Identifikation und Abwehr stetig weiter. Mit zunehmenden Bedrohungen nimmt zwangsläufig auch die Qualität der Angriffsvektoren zu. So ist davon auszugehen, dass Bedrohungen und Sicherheitsmaßnahmen sich zukünftig schneller verändern werden.

Insbesondere bei Cloud-Netzwerken in einer SaaS-Umgebung, aber auch bei hybriden Netzwerkstrukturen eröffnen sich neue Möglichkeiten zur beschleunigten Erkennung, Reaktion und Vorbeugung von Bedrohungen. Das führt zu leistungsfähigeren und intelligenteren Sicherheitsinfrastrukturen.

Incident Readiness und proaktive Reaktionen bekommen höheren Stellenwert

Es ist damit zu rechnen, dass Bedrohungen zukünftig in Echtzeit erkannt werden, wenn KI und ML Muster und Anomalien im Benutzer*innenverhalten oder im Netzwerkverkehr analysieren. Durch kontinuierliches Lernen und Anpassung identifizieren diese Technologien verdächtiges Verhalten immer schneller und reagieren immer präziser. Proaktive Maßnahmen blockieren potenzielle Bedrohungen zukünftig automatisch, noch bevor ein Schaden eintritt. Das Ergebnis: Verbesserte Prävention von Bedrohungen und eine erhöhte Produktivität im Netzwerk!

Haben Sie Fragen und wünschen sich Beratung zur Umsetzung einer ganzheitlichen IT-Sicherheitsstrategie inklusive einer Zero-Trust-Architektur?

Dann nutzen Sie doch einfach unseren kostenfreien und unverbindlichen  Zero-Trust-Quickie für einen ersten Austausch mit unserem Fachexperten Benjamin Witt:

• 30-minütiges Online-Gespräch
• Klärung Ihrer Fragen
• Tipps, wie Sie die IT-Sicherheit in Ihrem Unternehmen massiv erhöhen können