Lange Zeit haben Security-Teams versucht, Unternehmensnetzwerke möglichst kompromisslos vor äußeren Bedrohungen abzuschirmen, um sich ein eigenes „sicheres Reich“ zu bewahren. Erfahren Sie in diesem Blogbeitrag, warum dieses traditionelle Sicherheitsmodell zunehmend unter Druck gerät und wie man im Zeitalter der Cloud umdenken muss. Stichwort: Zero Trust-Modell!

Das perimeterbasierte Sicherheitsmodell

Zero-Trust-Modell: Trend zum Umdenken in der UnternehmenssecuritSeit jeher fokussierten sich Unternehmen darauf, die Grenze zwischen dem eigenen Unternehmensnetzwerk und dem Internet möglichst gut abzusichern. Diese Grenze bezeichnet man als Perimeter und sie gilt als maßgebende Verteidigungslinie. Zur Absicherung des Perimeters bedienen sich Unternehmen zahlreicher Sicherheitslösungen, wie etwa Firewall-Systemen, Proxyservern, VPNs, Intrusion Detection Systemen, usw. Dieser Sicherheitsansatz wird im Englischen oft als „Castle and Moat“-Ansatz bezeichnet. Frei übersetzt bedeutet das so viel wie „Burg und Burggraben“.

Dieser bildliche Vergleich beschreibt die Situation sehr treffend: Innerhalb der Burg (=Unternehmensnetzwerk) befinden sich die Untertanen und Burgschätze (=die User und Daten des Unternehmens) und diese werden zuverlässig von hohen Burgmauen und einem tiefen Burggraben (=Perimeter-Sicherheitslösungen) vor Gefahren außerhalb der Burg abgeschirmt. In der Vergangenheit funktionierte dieser Ansatz, doch heute wird immer deutlicher, dass dieser Ansatz nicht mehr zeitgemäß ist.

Warum ein Umdenken nötig ist

Im Zeitalter der Cloud-Lösungen und Digitalisierung verschwimmt die Grenze des Unternehmensnetzwerks zunehmend. Es gibt kein Innen und Außen mehr. Unternehmensdaten sind heute nicht mehr ausschließlich im eigenen Rechenzentrum gespeichert. Sie liegen verteilt bei oftmals mehreren Cloud-Anbietern, an deren Angeboten man kaum mehr vorbeikommt.

Mitarbeiter arbeiten zunehmend von zu Hause und verlangen sicheren und unkomplizierten Zugriff auf Unternehmensanwendungen von überall und mit jedem Gerät. Selbst Auftragnehmer, Partner und Lieferanten und Kunden sind heutzutage Teil des digitalen Ökosystems und müssen auf Daten des Unternehmens von jenseits des Perimeters zugreifen. Die globale Corona-Pandemie hat diese Trends zusätzlich beschleunigt.

Wenn man sich diese Entwicklungen vor Augen führt erkennt man, dass das traditionelle, perimeterbasierte Sicherheitsmodell zunehmend an Relevanz verliert. Mitarbeiter, Daten und Endgeräte sind schlicht und ergreifend nicht mehr innerhalb des Netzwerkperimeters weggeschlossen. Angreifer haben das natürlich längst begriffen und machen sich die vielen neuen Angriffspunkte, die mit der allumgreifenden Vernetzung entstanden sind, zu nutze.

Viele Unternehmen tun sich jedoch sehr schwer damit, das traditionelle Sicherheitsmodell zu überdenken, schließlich haben Sie über Jahrzehnte komplexe und teure Sicherheitsinfrastruktur geschaffen. Eine Abkehr hiervon ist ein großer Schritt. Der Kontrollverlust über den Netzwerkperimeter wird jedoch weiter zunehmen, weshalb IT-Entscheider neue Wege beschreiten müssen. Hier kommt das Zero Trust-Modell ins Spiel:

Das Zero Trust-Modell als zukunftsfähige Alternative

Ein alternatives Sicherheitsmodell, das sich den Gegebenheiten der heutigen Zeit viel besser anpasst, ist das sogenannte Zero Trust-Modell. Der grundlegende Unterschied zum traditionellen Sicherheitsmodell ist, dass nicht zwischen Innen und Außen unterschieden wird. Jeder Zugriffsversuch auf eine Ressource des Unternehmens wird grundsätzlich als nicht vertrauenswürdig eingestuft. Das Motto lautet:

„Vertraue niemandem – keinem Gerät, keinem Benutzer, keinem Dienst, egal ob innerhalb oder außerhalb des Unternehmensnetzwerks“.

Dieser Ansatz fokussiert sich nicht lediglich auf den Schutz einer Grenze, sondern auf den granularen Schutz der Unternehmensdaten selbst. Im Rahmen einer Prüfung verschiedenster Datenquellen wird jeder Zugriffsversuch auf Vertrauenswürdigkeit untersucht. Erst wenn genug Vertrauen aufgebaut wurde, wird der Zugriff tatsächlich gestattet.

Die praktische Umsetzung diese Sicherheitskonzepts ist eine große Herausforderung und erfordert Veränderungen in vielen Bereichen. Einige empfohlene Vorgehensweisen sind etwa die Microsegmentierung des internen Netzwerkes, die Einführung von flächendeckender Multifaktor-Authentifizierung (MFA) und ein zentrales Management mobiler Geräte.

Auch wenn diese Veränderungen sicherlich nicht über Nacht zu bewältigen sind, lohnt sich langfristig den Paradigmenwechsel einzuleiten, nicht nur um die Sicherheitslage zu verbessern, sondern auch um handfeste wirtschaftliche Vorteile zu erzielen. Unter anderem erleichtert Zero Trust den Weg in die Public Cloud, die viele Vorzüge verspricht. Falls Sie zu diesem Thema mehr erfahren möchten, schauen Sie gerne auch in unseren Leitfaden zum Thema „Chancen und Risiken öffentlicher Cloud-Angebote“, der in der Hiscox Business Academy für Hiscox Geschäftskunden zum Download verfügbar ist.

Icon Animiert Hiscox Business Academy Aktion 1.advent

Adventsaktion in der Hiscox Business Academy

Die Hiscox Business Academy öffnet im Advent ihre Türen! Exklusive Inhalte wie der Leitfaden zur Cloud-Sicherheit sind kostenfrei und für alle zugänglich.

Zur Aktion

Business Blog Gastautor Cloudcape Dennis Kionga

Autor: Dennis Kionga

ist IT Security Consultant und Geschäftsführer von Cloud Cape. Er ist mit Leidenschaft dabei, Unternehmen bei der Sicherung ihrer digitalen Assets zu unterstützen und interessiert sich besonders für die Themen Penetration Testing und Cloud Security.