Security im Wandel Zero Trust am Limit: Warum legitime Zugangsdaten zur größten Gefahr werden

Zero Trust galt als ultimative Antwort auf Cyberangriffe. Doch Kriminelle nutzen längst legitime Identitäten statt Sicherheitslücken. Warum Vertrauen allein nicht mehr reicht – und was jetzt wirklich zählt.

Multi-Faktor-Authentifizierung, Identity Management und Zero-Trust-Initiativen: Viele Unternehmen investierten darin erhebliche Summen in den vergangenen Jahren. Trotzdem lesen wir beinahe jede Woche von erfolgreichen Angriffen auf Organisationen, die ihre Sicherheitsarchitektur nach modernen Standards aufgebaut haben. Das wirkt auf den ersten Blick widersprüchlich. Schließlich soll Zero Trust genau solche Vorfälle verhindern.

Die Realität sieht allerdings komplexer aus. Moderne Angreifer versuchen heute häufig gar nicht mehr, Sicherheitsmechanismen frontal zu überwinden. Stattdessen nutzen sie das, was bereits vorhanden ist: gültige Benutzerkonten, bestehende Sitzungen oder legitim vergebene Berechtigungen. Die Anmeldung erfolgt mit korrekten Zugangsdaten, die Multi-Faktor-Authentifizierung wurde erfolgreich durchlaufen und das verwendete Gerät ist möglicherweise sogar bekannt.

Aus Sicht vieler Sicherheits-Lösungen sieht zunächst alles normal aus. Die eigentliche Frage lautet deshalb längst nicht mehr nur, wer Zugriff auf ein System erhält. Wichtig ist vielmehr, was nach der Anmeldung passiert. Genau hier stößt die klassische Interpretation von Zero Trust an ihre Grenzen.

Der Zero-Trust-Plus-Ansatz ersetzt die bewährten Prinzipien von Zero Trust nicht. Er erweitert sie um die Fähigkeiten, die Unternehmen in einer Realität benötigen, in der erfolgreiche Angriffe trotz aller Schutzmaßnahmen jederzeit möglich sind.

Michael Klatte, Security-Experte bei Eset

Zero Trust als Fundament moderner Sicherheit

Der Grundgedanke von Zero Trust ist nach wie vor richtig. Vertrauen darf nicht automatisch vergeben werden. Jeder Benutzer, jedes Gerät und jede Anwendung müssen ihre Legitimität kontinuierlich nachweisen. Dieses Prinzip entstand aus der Erkenntnis, dass klassische Netzwerkgrenzen in modernen IT-Umgebungen kaum noch existieren. Cloud-Dienste, mobile Arbeitsplätze, externe Dienstleister und hybride Infrastrukturen haben den traditionellen Sicherheitsperimeter längst aufgelöst. Wer sich heute ausschließlich auf das eigene Netzwerk verlässt, schützt im Zweifel einen Bereich, in dem sich die wichtigsten Daten längst nicht mehr befinden.

Deshalb rückte die Identität in den Mittelpunkt. Multi-Faktor-Authentifizierung, Least Privilege, Privileged Access Management und kontextabhängige Zugriffsentscheidungen bilden bis heute das Fundament jeder Zero-Trust-Strategie. Nicht wenige Unternehmen betrachten die Einführung von MFA bereits als wesentlichen Schritt ihrer Zero-Trust-Initiative. Tatsächlich beginnt die eigentliche Arbeit jedoch erst danach. Denn auch ein legitim angemeldeter Benutzer kann zum Sicherheitsrisiko werden.

Wenn Angreifer legitime Identitäten nutzen

Nehmen wir ein typisches Szenario. Ein Mitarbeiter klickt auf einen täuschend echt wirkenden Link in einer Phishing-Mail. Die Zugangsdaten werden abgegriffen, die Sitzung kompromittiert. Wenig später meldet sich ein Angreifer mit denselben Berechtigungen an wie der eigentliche Benutzer.

Noch problematischer sind Angriffe auf bestehende Sitzungen: Cyberkriminelle müssen heute nicht zwingend Passwörter stehlen. Häufig genügt es, gültige Session-Tokens zu übernehmen. Aus Sicht vieler Sicherheitsmechanismen erscheint der Angreifer anschließend als bereits authentifizierter Benutzer. Die Multi-Faktor-Authentifizierung wurde längst erfolgreich abgeschlossen und greift in diesem Fall nicht mehr. Aus technischer Sicht wirkt vieles zunächst unauffällig. Das Konto ist legitim. Die Zugriffsrechte sind korrekt. Die Anmeldung erfolgt möglicherweise sogar aus einer vertrauten Umgebung. Die klassischen Zero-Trust-Kontrollen wurden erfolgreich passiert.

Jetzt beginnt die Phase, in der Angreifer versuchen, sich im Unternehmen auszubreiten, weitere Systeme zu kompromittieren oder sensible Daten abzuziehen. Genau an diesem Punkt benötigen Unternehmen Fähigkeiten, die über reine Zugriffskontrollen hinausgehen. Denn selbst die beste Zugangskontrolle kann nicht verhindern, dass ein bereits kompromittiertes Konto missbraucht wird.

Warum Sichtbarkeit immer wichtiger wird

Viele Sicherheitsvorfälle der vergangenen Jahre hatten eines gemeinsam: Die eigentliche Kompromittierung blieb über Stunden, Tage oder sogar Wochen unentdeckt. Nicht weil keine Sicherheitslösungen vorhanden waren. Sondern weil die notwendigen Informationen an unterschiedlichen Stellen lagen und niemand das Gesamtbild erkennen konnte.

Moderne Sicherheitsstrategien benötigen deshalb vor allem eines: Transparenz. Unternehmen müssen nachvollziehen können, welche Identitäten auf welche Systeme zugreifen, welche Anwendungen miteinander kommunizieren, welche Prozesse auf Endgeräten ausgeführt werden und welche Aktivitäten vom üblichen Verhalten abweichen.

Besonders deutlich wird diese Entwicklung in Cloud-Umgebungen. Identitäten steuern dort längst den Zugriff auf Anwendungen, Daten und Infrastruktur. Gleichzeitig erschwert die Vielzahl verteilter Dienste den Überblick. Fehlkonfigurationen, kompromittierte Konten oder missbrauchte Berechtigungen bleiben oft lange unentdeckt. Ohne kontinuierliche Sichtbarkeit und Detection-and-Response-Funktionen stoßen klassische Zero-Trust-Konzepte hier schnell an ihre Grenzen.

Genau deshalb gewinnen kontinuierliches Monitoring und umfassende Telemetrie zunehmend an Bedeutung. Es reicht nicht mehr aus, den Zugang zu kontrollieren. Unternehmen müssen verstehen, was innerhalb ihrer Umgebung tatsächlich passiert.

EU-Regularien

NIS2 und DORA: Neuer Leitfaden hilft bei der Navigation