Zero Trust in der Umsetzung

Kernprinzipien (kurz & technisch)

• Never trust, always verify: jede Anfrage ist authentifiziert/autorisiert
• Assume breach: lateral movement wird durch Zonen & Policies gebremst
• Least privilege: minimaler Zugriff, minimaler Scope, minimale Dauer

Zero Trust ist kein Produkt. Es ist ein Architektur- und Betriebsmodell.

Bausteine in der Reihenfolge, die sich bewährt hat

• 1) Identity first: MFA, Conditional Access, Admin separation
• 2) Gerätestatus: compliant, patched, encrypted (device posture)
• 3) Netzwerk: Zonen/VLANs, Admin-Zone, East-West-Firewalling
• 4) Workloads: service identities, secret management, mTLS
• 5) Telemetry: Logs, detections, response loops

Policy Design: Deny-by-default ohne Ausfälle

Starte mit Observability: NetFlow/Firewall-Logs, DNS-Logs, EDR Telemetry. Dann Policies schrittweise härten.

• „Allow lists“ aus realen Flows ableiten (top talkers, required ports)
• Policies pro Zone/Service, nicht pro IP-„Wünsch-dir-was“
• Review-Zyklen: monatlich/vierteljährlich, inkl. Owner-Abnahme

Beispiel (Prinzip):
- Admin-Zone -> Server-Zone: nur mgmt-ports (SSH/RDP/WinRM)
- User-Zone -> Server-Zone: nur App-Ports (HTTPS, DB nur via App)
- Server-Zone -> Internet: nur Updates/CRL/Repo; DNS über Resolver-Zone

Dauerhafte Verifikation (Continuous Access Evaluation)

Technisch: risk-based auth, token lifetime policies, device compliance, sign-in risk. Operativ: Alerts auf neue Admins, MFA-Bypass, ungewöhnliche Geo/IP.