Zero Trust: Cyber-Sicherheit ist keine Vertrauenssache!

Trends wie das Arbeiten aus dem Home Office und der BYOD-Ansatz (Bring your own device) haben sich mittlerweile großflächig etabliert. Doch bei all den Vorteilen, die diese neue Arbeitsweise mit sich bringt, birgt sie auch große Risiken für die Cyber-Security. Spätestens seit den Rekordjahren 2020/2021 mit mehr als 220 Milliarden Euro Schaden (Studie des Digitalverbandes Bitkom) an der deutschen Wirtschaft durch Cyber-Kriminalität sollte das Thema IT-Sicherheit bei jedem Unternehmen ganz oben auf der Agenda stehen. Gerade Remote Work und BYOD eröffnen ganz neue Einfallstore, die es zu schließen gilt.

Vertrauen ist gut, Kontrolle ist besser

Mit dem BYOD-Trend und der steigenden Akzeptanz von Home Office werden zunehmend Privatgeräte von Mitarbeitenden dienstlich genutzt. Diese sind häufig nur sehr rudimentär geschützt, wodurch sie ein ideales Angriffsziel für Cyber-Kriminelle darstellen. Frei nach dem Motto „Vertrauen ist gut, Kontrolle ist besser“ soll das Zero Trust Modell ebendiese Sicherheitslücke schließen.

Was bedeutet Zero Trust?

Das Zero Trust Modell verfolgt einen anderen Ansatz als herkömmliche Sicherheitskonzepte, die lediglich Bedrohungen von außen verhindern. Denn wie der Name bereits verrät, wird keinem Nutzer, Gerät oder Dienst innerhalb sowie außerhalb des Unternehmensnetzwerks vertraut. Demnach müssen sich alle Anwender, Geräte und Dienste authentifizieren und jeglicher Datenverkehr muss verschlüsselt erfolgen. So begegnet man Cyber-Attacken präventiv und nicht wie vorher ausschließlich reaktiv.

Zero Trust umsetzen

Die Implementierung der umfangreichen Authentifizierungsprozesse betrifft alle Bereiche der Unternehmens-IT und stellt diese vor einen enormen Arbeitsaufwand. Im ersten Schritt sollte eine Bestandsaufnahme erfolgen. Welche Geräte, Software und Betriebssysteme befinden sich wo im Unternehmensnetzwerk im Einsatz? Ist die Verwendung von externen Datenträgern (USB-Sticks) gestattet? Inwiefern wird BYOD im Unternehmen angewendet? Welche Daten sind öffentlich und welche erfordern ein besonderes Schutzmaß? Ist eine geschützte Netzwerkverbindung (VPN) verbindlich oder ist das Unternehmensnetzwerk auch ohne erreichbar? Wo findet ein Datenaustausch zwischen Mitarbeitenden und externen Personen wie Zulieferern oder Endkunden statt? Sind diese Fragen beantwortet, lässt sich daraus der Handlungsbedarf ableiten.

Prävention heißt das Zauberwort

Um die Cyber-Security und Datenintegrität in Ihrem Unternehmen zu steigern, eignen sich Tools zur präventiven Abwehr von Angriffen ideal. So sollten Sie alle Festplatten und Dateien verschlüsseln, unabhängig vom Speicherort (lokale oder externe Festplatte, Server, Cloud). Hierbei empfiehlt es sich, unternehmensweite Richtlinien einzuführen.

Darüber hinaus sollten eingesetzte Wechseldatenträger überwacht werden, denn USB-Sticks sind nach wie vor ein beliebtes Mittel, um Schadsoftware einzuschleusen. Auch hier sollte eine Richtlinie klären, welchen Mitarbeitenden die Verwendung welcher Geräte erlaubt ist.

Erstellen einer Whitelist

Legen Sie fest, welche Anwendungen in ihrem Unternehmen erlaubt sind und halten diese in einer Whitelist fest. So können Sie vertrauenswürdige Software klassifizieren und mit der Belegschaft kommunizieren. Dabei ist Kontinuität wichtig und die Whitelist muss regelmäßig aktualisiert werden, wenn sich beispielsweise der Einsatz einer neuen Software anbahnt. Daher sollte Sie neue Anwendungen stets ausgiebig testen, bevor sie diese auf die Whitelist setzen. Mit dieser Praktik reduzieren Sie die Gefahr, Opfer eines Zero-Day Exploits zu werden.

Regelmäßige Zugriffs- und Identitätskontrollen

Zugriffskontrollen sind seit jeher ein wesentlicher Bestandteil der IT-Sicherheit. Doch ein Passwort allein ist selten ausreichend, gerade weil schwache Passwörter wie Geburtstage oder Namen des Haustiers noch immer viel zu häufig vorkommen. Um den Schutz effektiver zu gestalten, sollten Sie Mehr-Faktor-Authentifizierungen etablieren. So lassen sich die Folgen von Social Engineering und Phishing-Attacken drastisch abmildern, da ein ergaunertes Passwort allein nicht mehr automatisch Zugriff ins Unternehmensnetzwerk gewährt.

Monitoring des Netzwerks

Überwachen Sie ihr Unternehmensnetzwerk mithilfe von Detection Tools. Diese erkennen untypisches Nutzerverhalten und alarmieren die IT-Abteilung, wenn beispielsweise eine große Menge Dateien auf einen Wechseldatenträger kopiert werden. Darüber hinaus empfiehlt sich der Einsatz von Security-Incident-Management Lösungen, die über Analyse- und Forensik-Funktionen verfügen. Mit den gesammelten Daten können automatisierte Priorisierungen und Warnungen konfiguriert werden. Darüber hinaus kann so nachvollzogen werden, wo der Sicherheitsverstoß stattfand.

Immer am Ball bleiben!

Ist die Zero Trust Architektur einmal etabliert, sollten Sie die Prozesse in regelmäßigen Abständen überprüfen. Lassen Sie neue Erkenntnisse einfließen und erhöhen Sie so das Sicherheitslevel Ihres Unternehmens. Doch vergessen Sie bei all den Richtlinien und Maßnahmen nicht einen der wichtigsten Aspekte der IT-Sicherheit: Ihre Mitarbeitenden!

Hier sitzen alle im selben Boot

Egal wie eng Sie Ihr Security-Framework spannen, letztlich ist der Mensch vor dem Display selbst das Sicherheitsrisiko. Daher ist es essenziell, dass Sie die gesamte Belegschaft für die Zero Trust Sicherheitsmaßnahmen sensibilisieren. Zwar können etwaige Einschränkungen, wie ein Verbot zur Nutzung von Privatgeräten, Mitarbeitende frustrieren, doch mit der richtigen Kommunikation lassen sich diese Probleme aus der Welt schaffen. Sie sitzen alle im selben Boot und jeder Mitarbeitende ist ein wichtiges Glied in der Sicherheitsstrategie.