Zero Trust ist die Basis des New Normal

Die Corona-Pandemie hat den Trend zur Flexibilisierung des Arbeitsortes deutlich beschleunigt. Laut Cloud Monitor 2020 von Bitkom und KPMG haben 70 Prozent der Unternehmen hierzulande Beschäftigte ins Home-Office geschickt. In vielen Fällen stand und steht den Arbeitenden aber keine adäquate betriebliche IT-Ausstattung für Remote Work zur Verfügung. Stattdessen nutzen die Heimarbeiter oftmals auch private Endgeräte, die häufig noch anderen Zwecken dienen und von weiteren Personen im Haushalt genutzt werden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wies im Oktober 2020 eindrücklich auf die Sicherheitsrisiken hin. Bring-your-own-Device werde zwar vielerorts als Mittel zur Arbeitsfähigkeit akzeptiert, doch viele Maßnahmen seien eher spontan umgesetzt worden. IT- und Datensicherheit spielte dabei oft eine untergeordnete Rolle.

"In der akuten Situation habe ich durchaus Verständnis dafür", erklärte BSI-Präsident Arne Schönbohm. "Jetzt aber, nachdem sich vieles eingespielt hat, gilt es, dieses 'neue Normal' nachhaltig und sicher zu gestalten. Tun wir dies nicht, dann werden wir die Folgen in einigen Wochen oder Monaten spüren. Wenn wir weiterhin von der Digitalisierung profitieren wollen, dann dürfen wir es Angreifern nicht zu leicht machen."

Transformation der Cybersicherheit notwendig

Die steigende Zahl der Cyberattacken auf Anwender im Home-Office zeigt, dass das IT-Management schnell reagieren muss. Die IT-Sicherheit muss an jedem Standort, zu jeder Zeit, für jedes Gerät, jeden Nutzer und jede Anwendung gewährleistet werden. Das Firmennetzwerk ist nicht mehr die Grenze, die es zu verteidigen gilt. Klassische Sicherheitskonzepte müssen nun neuen Ansätzen weichen.

Die Vorstellung, innerhalb eines Firmennetzwerkes könnte man von sicheren Systemen ausgehen und die Bedrohungen kämen hauptsächlich von außerhalb, ist überholt. Zum einen können Cyberattacken auch Schwachstellen ausnutzen, die sich innerhalb des klassischen Perimeters befinden. Zum anderen werden zu schützende Daten zunehmend außerhalb des Firmennetzwerkes verarbeitet, mit mobilen Endgeräten und in Cloud-Diensten sowie über das freie Internet.

Auch nach Bewältigung der Corona-Pandemie wird der Bedarf bestehen, Remote Work abzusichern. Umfragen zeigen, dass Remote Work als Teil des New Normal gesehen wird und zur neuen Form des Arbeitens gehört. Sicherheit sollte deshalb als standortübergreifendes Thema betrachtet werden.

Zero Trust stellt digitale Identitäten in den Mittelpunkt

Die unterschiedlichen, häufig mobilen Standorte der Datenverarbeitung, die Vielzahl der genutzten Geräte und Anwendungen und die Dynamik der IT-Sicherheitsrisiken machen einen Ansatz notwendig, bei dem keinem Standort, keinem Gerät, keiner Anwendung und keinem Nutzer ein Anfangsvertrauen zugebilligt wird. Jedes Vertrauen setzt eine vorherige Risikoanalyse voraus. Man spricht deshalb von einem Zero-Trust-Modell.

Bevor ein Zugriff auf IT-Ressourcen gewährt wird, muss die Anforderung vollständig authentifiziert und autorisiert sein. Bevor Zugriffe gewährt werden, erfolgt eine Überprüfung des Sicherheitsstatus bei Geräten und Anwendungen sowie eine aktuelle Risikoanalyse zum jeweiligen Standort, dem Kontext der Verarbeitung und dem Nutzer. Ungewöhnliches IT-Verhalten (Anomalien) wird dabei grundsätzlich als Risiko eingestuft und mit entsprechenden Sicherheitsmaßnahmen beantwortet.

Wenn zum Beispiel ein Nutzer an einem unüblichen Standort mit einem bisher noch nie genutzten Gerät einen Zugriff auf das Firmennetzwerk verlangt, wird die Echtheit der digitalen Identität hinterfragt, zum Beispiel durch die Abfrage weiterer Sicherheitsfaktoren im Rahmen einer Mehr-Faktor-Authentifizierung (MFA). Berechtigungen werden immer nur temporär und in dem Umfang erteilt, wie sie für die aktuelle Aufgabe erforderlich sind (Least Privilege).

Für Unternehmen in Deutschland ist Zero Trust durchaus bereits ein Thema: 38 Prozent der von IDG Research zu "Cyber Security 2020" befragten Unternehmen setzen bereits auf ein Zero-Trust-Modell, 41 Prozent sind gegenwärtig in der Implementierung. Durch die Corona-Pandemie hat jedoch die Implementierung noch weiter an Bedeutung gewonnen und sollte ohne weitere Verzögerung angegangen werden.

Wie Microsoft Zero Trust umsetzt

Microsoft bietet nicht nur Lösungen zur Umsetzung von Zero Trust, sondern setzt das Verfahren auch selbst ein, wie im Microsoft-Blog beschrieben wird. Der Anbieter verwendet insbesondere Richtlinien für den bedingten Zugriff (Conditional Access), um eine differenzierte Zugriffssteuerung zu erzwingen, z. B. die Anforderung einer Multi-Faktor-Authentifizierung basierend auf Benutzerkontext-, Geräte-, Standort- und Sitzungsrisikoinformationen. Microsoft nutzt außerdem Richtlinien für die Geräteverwaltung, um sicherzustellen, dass der Zugriff von einem bekannten und fehlerfreien Gerät stammt, sobald der Nutzer erfolgreich eine starke Authentifizierung durchgeführt hat.

Zur integrierten Microsoft Zero Trust-Lösung gehören Azure Active Directory (AAD) für die Benutzer- und Berechtigungsverwaltung in der Cloud, Microsoft Defender für den Schutz der Endpoints und Microsoft Endpoint Manager (bestehend aus Intune und SCCM) für die übergreifende Verwaltung von Geräten - auch von solchen, die keine Microsoft-Betriebssysteme nutzen, wie zum Beispiel Geräte mit Apple iOS oder aber Google Android. Azure Security Center und Azure Sentinel überwachen die Sicherheit, melden erkannte Sicherheitsrisiken und stellen automatisierte Prozeduren zur Verfügung, um sicherheitsrelevante Ereignisse zu bearbeiten.

Microsoft-Kunden können mit dieser Zero Trust-Lösung die Basis für die notwendige Sicherheit im "New Normal" legen. Sie modernisieren nachhaltig ihre IT-Sicherheit und sparen Kosten durch die Ablösung veralteter Security-Werkzeuge, die keinen Zero Trust-Ansatz unterstützen. Mit der Zero Trust-Lösung von Microsoft steht eine umfassende Sicherheitslösung zur Verfügung, für die Microsoft- und die Nicht-Microsoft-Welt, während der Corona-Pandemie und danach im "New Normal". So kann mit Microsoft's Zero Trust Lösungen ein gleichwertiger Schutz auch über nicht Microsoft basierte Cloud Lösungen gelegt werden.

Weitere Hinweise zur Umsetzung von Zero Trust mit Microsoft bietet das neue Zero Trust Deployment Center.