Wählen Sie früh und oft Zero Trust

Für Puristen der Cybersecurity bedeutet Zero-Trust-IT eine Architektur, bei der keinem Benutzer, keiner Anwendung und keinem mit einem Netzwerk verbundenen Gerät vertraut werden kann, bis das Gegenteil bewiesen ist. Gemäß der Definition des National Institute of Standards and Technology (NIST) beschreibt Zero-Trust-IT eine sich entwickelnde Reihe von Cybersecurity-Paradigmen, die die Verteidigung von statischen, netzwerkbasierten Perimetern auf Benutzer, Assets und Ressourcen verlagern. Daher wird Assets oder Nutzern kein implizites Vertrauen gewährt, das allein auf ihrem physischen oder Netzwerkstandort bzw. der Asset-Eigentümerschaft beruht.

Die meisten Cybersecurity-Experten wissen, dass es sich hierbei nicht unbedingt um eine neue Idee handelt. Der Analyst John Kindervag von Forrester Research hat den Begriff im Jahr 2010 populär gemacht, doch das Konzept selbst lässt sich bis ins Jahr 2004 zurückverfolgen. Heutzutage hat sich die Zero-Trust-IT jedoch zu etwas entwickelt, das eher einem Kampagnen-Slogan gleicht. Nahezu jedes Unternehmen entwickelt sich zurzeit in Richtung einer Art Zero-Trust-Architektur. Das US-Verteidigungsministerium (DoD) hat gerade einen 37-seitigen Bericht veröffentlicht, in dem es seine Vision für das Erreichen von Zero-Trust-IT-Zielen im kommenden Jahr umreißt. Jeder, der eine ähnliche Cybersecurity-Strategie für sein Unternehmen definieren möchte, könnte einen Großteil dieses Berichts einfach kopieren und einfügen.

Da schleicht sich natürlich ein gewisser Zero-Trust-IT-Zynismus ein. Derzeit beschreiben alle Anbieter von Cybersecurity-Plattformen oder -Diensten ihr Angebot mehr oder weniger so, dass Cybersecurity-Experten damit ihre Zero-Trust-IT-Ziele erreichen können. Angesichts des aktuellen Stands der Cybersicherheit ist es nachvollziehbar, warum Zweifel und Bedenken hinsichtlich dieser Versprechen angemeldet werden.

Diese natürliche Tendenz zur Skepsis könnte jedoch das Wesentliche übersehen. Eine der größten Herausforderungen von Cybersicherheitsexperten ist seit langem die mangelnde Unterstützung durch die Geschäftsleitung. Cybersicherheit wurde in der Vergangenheit als eine Ausgabe angesehen, die minimiert werden muss, was in der Regel dadurch erreicht wurde, dass nur das Minimum investiert wurde, um die gesetzlichen Auflagen zu erfüllen. Zero-Trust-IT hingegen ist ein Schlagwort, mit dem sich Unternehmensleiter leichter identifizieren können. Es geht nicht mehr nur um die Compliance, sondern um eine echte Absicherung der IT-Umgebung. Daher ist die Bereitschaft, selbst während eines wirtschaftlichen Abschwungs Haushaltsgelder für Cybersicherheit bereitzustellen, heute wohl höher als je zuvor. Der Anstieg von Ransomware spielt natürlich keine geringe Rolle bei dieser veränderten Einstellung.

Führungskräfte aus der Wirtschaft interessieren sich wie üblich nicht besonders dafür, wie Zero-Trust-IT-Ziele erreicht werden. Für sie dreht sich wie immer alles um das Ergebnis. IT-Fachleute nicken bei der Erwähnung von Zero Trust mit dem Kopf, obwohl viele von ihnen nicht genau wissen, was das alles umfasst. Aus der Sicht der Cybersecurity ist es am wichtigsten, dass alle Stakeholder das Konzept unterstützen. Es gilt als lässig, gegenüber dem neuesten Schlagwort oder Slogan eine gewisse Verachtung zu zeigen, aber in diesem Fall richtet sich die Zero-Trust-IT-Kampagne nicht wirklich an Cybersecurity-Experten. Aus ihrer Sicht ist Zero-Trust-IT kaum mehr als eine Erweiterung eines gut durchdachten Cybersecurity-Ansatzes mit tiefgreifenden Verteidigungsmechanismen. Der Unterschied besteht jetzt darin, dass sich nicht mehr nur Cybersecurity-Experten an der Diskussion beteiligen.

Alle Slogans klingen natürlich irgendwann unglaubwürdig. Fachleute für Cybersecurity wären jedoch gut beraten, ihre eigene Zero-Trust-IT-Kampagne zu starten, solange der Begriff noch in Mode ist. Schon allein deswegen, weil dadurch Investitionen für die nächste Generation von Cybersicherheitstechnologien der Weg geebnet wird. Diese werden dringend benötigt, um den Kampf im Namen derer fortzusetzen, die nicht immer verstehen, geschweige denn zu schätzen wissen, was genau erforderlich ist.