„Zero Trust" ist Englisch und bedeutet „Nullvertrauen“ bzw. kein Vertrauen. Das ist ein sehr relevanter Begriff in der Informatik. Letztlich erstellt man eine Sicherheitskonfiguration, die ausschließlich einer bestimmten Person den Zugriff ermöglicht. Dazu gehört ebenfalls die Verwendung von Verschlüsselung.
Allerdings sollten die Sicherheitsmaßnahmen bereits viel früher wirksam sein. Das wird sehr oft vergessen. Bei einer Privatperson und im Unternehmen kann dies die Zutrittsbeschränkungen betreffen. Im privaten Bereich würde dieses z.Bsp. durch ein Türschloss bzw. eine Tür realisiert werden. Im Unternehmen beginnt die Sicherheit bereits bei einem Einstellungsgespräch. Es werden am Anfang nur eingeschränkte Informationen über die Unternehmens IT und Arbeitsabläufe herausgegeben und endet bei einem Vertragsabschluss mit einer Vereinbarung zur Verschwiegenheit (Ihr müsst die Fritzphones nicht verstecken! Bei einem Angriff geht man alle Hersteller durch und ein Fritzphone könnte sogar eher einschüchtern.). Natürlich gehören Zugangskontrollen für die Geschäftsräume genauso dazu.
Was ist eigentlich mit privaten Smartphones? Diese dürfen unter Umständen im Unternehmen nicht verwendet werden und werden am Eingang durch den Arbeitnehmer bzw. der Arbeitnehmerin geschützt gelagert. Wie sieht es dann auf dem Unternehmens PC aus? Der Arbeitnehmer oder die Arbeitnehmerin dürfen wirklich nur die Programme starten und verwenden, die für die Tätigkeit relevant sind. Internetzugriff ausschließlich für die erforderlichen Arbeitsabläufe und mit vorgegebenen Webseiten. Dazu kommt Virenschutz und Datensicherung. Also völlige Abschottung. Das bringt natürlich Probleme mit sich: Wird doch einmal der Zugriff auf ein anderes Programm oder eine Webseite benötigt, dann muss dieses umständlich geprüft und konfiguriert werden. Und natürlich muss diese Konfiguration wieder rückgängig gemacht und natürlich wieder dokumentiert werden.
Diese Abschottung kann leider auch zu einem psychischen Problem führen. Wenn der Arbeitnehmer oder die Arbeitnehmerin täglich mit radikalen Einschränkungen konfrontiert werden, dann wird es schnell langweilig und der Drang, die Sicherheitsvorkehrungen zu umgehen, könnte sehr groß werden und das kann wieder zu Sicherheitslücken führen. Daher sollte man immer auf die richtige Wichtung achten.
In der heutigen Zeit kommt noch ein neuer wichtiger Sicherheitspunkt dazu: Der Fernzugriff! Immer öfter findet die Arbeit nicht nur in den Räumen eines Unternehmens statt, sondern man ist mobil oder im Homeoffice. Welche Konsequenzen hat das für die Sicherheit? Grundsätzlich benötigen die Arbeitnehmer/innen und die Unternehmensleitung den Zugriff auf das Unternehmensnetzwerk, d.h. den Zugriff auf die Daten und die Kommunikationsmittel (möglichst grundsätzlich VPN verwenden). Das größte Problem ist dabei noch nicht einmal unbedingt der Fernzugriff selber, obwohl viele Angriffe diese Zugriffspunkte attackieren, sondern die Person, die am ausgelagerten PC/ Mobilgerät arbeitet. Wieso? Diese Person bekommt eine private EMail oder ruft für private Zwecke eine Webseite auf, klickt auf einen Link und BUMMS! Virus eingefangen. Der Virus liest Anmeldedaten aus, infiziert das Unternehmensnetzwerk, lädt Kundendaten herunter und verschlüsselt die Unternehmensdaten unwiederbringlich. Alptraumszenario, aber bereits passiert (siehe Security Blog). Was soll man dagegen tun? Präventiv arbeiten. Unterweisungen in IT Sicherheit und jeden PC/ Mobilgerät tatsächlich einzeln absichern und kontrollieren. Es gibt verschiedenste Ansätze und Anbieter,z.Bsp. FSecure, ESET, GData. In diesen Ansätzen hat man in zentralisierter Form die volle Kontrolle über Sicherheitsprotokolle, Virenschutz und Sicherheitsupdates für jedes kompatible Gerät (und abhängig vom Anbieter). Microsoft hat seit ein paar Jahren für sein Windows eine eigene Lösung, aber dieses kann durchaus mit einem kleinen “Rattenschwanz” verbunden sein. Zusätzlich verwendet man strikte Zugriffskontrollen für die Private und Public Cloud sogar mit Multifaktorauthentifizierung und Regelungen für die Datensicherung. Dazu kommt eine umfangreiche Dokumentation und bereits ausgefertigte Pläne für den Fall der Fälle, die immer mal wieder getestet werden müssen. So weiss jeder, was zu tun ist (ähnlich einer Brandfallübung).
Das ist “Zero Trust”. Man verschanzt sich nicht mehr nur in einer bzw. hinter einer Zone, z.Bsp. hinter einem Router, sondern schützt aus der Notwendigkeit heraus wirklich jedes einzelne Gerät usw.. Es hat sich bereits gezeigt, dass dieses die beste Antwort auf heutige Bedrohungen ist.
***www.router-it.de,Juli'23***
