Zero Trust ist ein Sicherheitsprinzip, nach dem kein Gerät, Nutzer oder Dienst automatisch vertrauenswürdig ist – jeder Zugriff wird unabhängig vom Standort im Netzwerk geprüft.
Klassische Sicherheitsmodelle vertrauen allem innerhalb eines Netzwerks und misstrauen nur dem, was von außen kommt. Zero Trust kehrt dieses Prinzip um: „Nie vertrauen, immer prüfen“ – auch innerhalb des eigenen Netzwerks.
Jeder Zugriffsversuch wird anhand von Identität, Gerätezustand und Kontext geprüft, bevor Zugriff gewährt wird – unabhängig davon, ob die Anfrage aus dem internen Netzwerk oder von außen kommt. Zugriffsrechte werden dabei möglichst eng auf das jeweils Notwendige begrenzt.
Ein Mitarbeiter, der sich bereits im Firmennetzwerk befindet, muss sich bei einem Zero-Trust-Ansatz trotzdem erneut authentifizieren, wenn er auf eine besonders sensible Anwendung zugreifen möchte.
Zero Trust wird eingesetzt, um Risiken durch gestohlene Zugangsdaten, kompromittierte Geräte oder Angriffe aus dem Inneren eines Netzwerks zu verringern, insbesondere in verteilten und Cloud-basierten Umgebungen.
Zero Trust ist kein einzelnes Produkt, sondern ein Architekturprinzip, das mehrere Technologien und organisatorische Maßnahmen kombiniert. Die Umsetzung erfordert oft einen längeren Wandel bestehender Systeme, statt sich mit einer einzelnen Einführung erledigen zu lassen.
Nicht zu verwechseln mit Multi-Faktor-Authentifizierung, die eine einzelne Technik innerhalb von Zero Trust sein kann, mit Authentifizierung, dem Einzelvorgang der Identitätsprüfung, oder mit Identity and Access Management, das die Systeme und Prozesse dahinter beschreibt.