ZTNA erklärt: Wie Zero Trust Network Access Zugriffe absichert

Homeoffice, Cloud-Dienste, SaaS-Anwendungen und mobile Endgeräte haben die Art verändert, wie Unternehmen ihre IT bereitstellen und wie Beschäftigte darauf zugreifen. Nutzer, Geräte, Anwendungen und Daten befinden sich längst nicht mehr ausschließlich innerhalb eines klar abgegrenzten Unternehmensnetzwerks. Damit verliert auch die klassische Vorstellung einer eindeutigen Grenze zwischen „innen“ und „außen“ an Bedeutung.

Das Prinzip, dass ein Zugriff innerhalb des Unternehmensnetzes grundsätzlich vertrauenswürdiger ist als ein Zugriff von außerhalb, stößt deshalb zunehmend an Grenzen. Das Zero Trust Model verfolgt einen anderen Ansatz: Vertrauen wird nicht pauschal vorausgesetzt. Stattdessen müssen Zugriffe anhand definierter Kriterien überprüft und autorisiert werden.

Eine wichtige Technologie für die praktische Umsetzung dieses Ansatzes ist ZTNA – Zero Trust Network Access. Doch wie funktioniert ZTNA genau? Was unterscheidet den Ansatz von einem klassischen VPN? Und kann ZTNA bestehende VPN-Verbindungen tatsächlich ersetzen?

Was ist ZTNA?

ZTNA steht für Zero Trust Network Access und bezeichnet einen Sicherheitsansatz für den kontrollierten Zugriff auf Anwendungen und Ressourcen. Benutzer und Geräte erhalten dabei nicht allein aufgrund ihres Netzwerkstandorts oder einer erfolgreichen Verbindung pauschales Vertrauen. Stattdessen wird geprüft, ob eine konkrete Zugriffsanfrage unter den gegebenen Bedingungen zulässig ist.

Im Mittelpunkt steht damit nicht der Zugang zu einem möglichst großen Netzwerkbereich, sondern der Zugriff auf die tatsächlich benötigte Ressource. Ein Mitarbeiter, der beispielsweise eine bestimmte interne Geschäftsanwendung benötigt, soll nicht automatisch weitere Systeme im Unternehmensnetz erreichen können.

Die Grundlage dafür bildet das Zero Trust Model. Es folgt vereinfacht dem Prinzip: Vertrauen nicht voraussetzen, sondern Zugriffe explizit prüfen. Identität, Berechtigung, Gerätezustand und weitere Kontextinformationen können in die Zugriffsentscheidung einbezogen werden.

Zero Trust Netzwerkzugang bedeutet damit einen Perspektivwechsel: Statt zu fragen, ob sich ein Benutzer innerhalb oder außerhalb eines vermeintlich vertrauenswürdigen Netzwerks befindet, rückt die Frage in den Mittelpunkt, wer unter welchen Bedingungen auf welche Ressource zugreifen darf.

Wie funktioniert ZTNA?

Die technische Umsetzung unterscheidet sich je nach ZTNA-Architektur und Anbieter. Das Grundprinzip lässt sich jedoch anhand eines typischen Zugriffs auf eine Unternehmensanwendung erklären.

1. Zugriffsanfrage stellen

Ein Mitarbeiter möchte beispielsweise aus dem Homeoffice auf eine interne Geschäftsanwendung zugreifen. Statt ihm zunächst einen allgemeinen Zugang zum Unternehmensnetzwerk bereitzustellen, wird eine Anfrage für die benötigte Ressource gestellt.

2. Identität überprüfen

Im nächsten Schritt muss geklärt werden, wer den Zugriff anfordert. Dafür kann eine ZTNA-Umgebung mit dem zentralen Identity & Access Management beziehungsweise einem Identity Provider des Unternehmens zusammenarbeiten.

Bei der Prüfung können unter anderem folgende Informationen eine Rolle spielen:

• Benutzerkonto und Identität,
• Rolle und zugewiesene Berechtigungen,
• erfolgreiche Multi-Faktor-Authentifizierung (MFA),
• Informationen eines angebundenen Identity Providers.

Eine starke Authentifizierung ist dabei eine wichtige Grundlage. Sie beantwortet jedoch noch nicht vollständig die Frage, ob der konkrete Zugriff unter den aktuellen Bedingungen zulässig ist.

3. Gerätezustand bewerten

Deshalb kann zusätzlich das verwendete Endgerät in die Entscheidung einfließen. Schließlich kann auch ein legitimer Mitarbeiter von einem unsicheren oder kompromittierten Gerät aus auf Unternehmensressourcen zugreifen.

Je nach eingesetzter Lösung und definierten Richtlinien kann beispielsweise geprüft werden:

• Ist das Gerät dem Unternehmen bekannt?
• Handelt es sich um ein verwaltetes oder nicht verwaltetes Endgerät?
• Ist das Betriebssystem ausreichend aktuell?
• Entspricht das Gerät den festgelegten Sicherheitsanforderungen?
• Sind erforderliche Sicherheitsmechanismen auf dem Endgerät aktiv?

4. Kontext und Zugriffsrichtlinien auswerten

Identität und Gerätezustand können durch weitere Kontextinformationen ergänzt werden. Welche Signale tatsächlich ausgewertet werden, hängt von der eingesetzten Zero Trust Network Access Lösung und den Richtlinien des Unternehmens ab.

Mögliche Faktoren sind beispielsweise:

• Standort beziehungsweise Herkunft der Anfrage,
• Zeitpunkt des Zugriffs,
• angeforderte Anwendung oder Ressource,
• Risikobewertungen,
• auffälliges beziehungsweise abweichendes Verhalten.

Die verschiedenen Informationen werden gegen die definierten Zugriffsrichtlinien geprüft. Dadurch lässt sich der Zugriff deutlich differenzierter steuern als allein anhand der Frage, ob ein Benutzer gültige Anmeldedaten besitzt.

5. Zugriff auf die Ressource gewähren

Sind die festgelegten Voraussetzungen erfüllt, wird der Zugriff auf die benötigte Anwendung oder Ressource ermöglicht. Entscheidend ist: Die Freigabe einer Anwendung bedeutet nicht automatisch, dass der Benutzer damit Zugriff auf das gesamte Unternehmensnetzwerk erhält.

Ändern sich relevante Bedingungen, können moderne Zugriffssysteme eine erneute Bewertung vornehmen. Wie kontinuierlich und anhand welcher Signale dies geschieht, ist von Architektur, Produkt und konfigurierten Richtlinien abhängig.

Identität, Gerätezustand und Zugriffsrichtlinien als Herzstück von ZTNA

Der Ablauf zeigt, warum ZTNA mehr als eine alternative Methode für Remote Access ist. Der eigentliche Zero-Trust-Gedanke entsteht durch das Zusammenspiel verschiedener Faktoren. Besonders wichtig sind Identität, Gerätezustand und möglichst granulare Zugriffsrichtlinien.

Identität – wer greift zu?

Unternehmen müssen zuverlässig feststellen können, welche Person oder Identität einen Zugriff anfordert. Ein zentrales Identity & Access Management bildet dafür eine wichtige Grundlage.

Dazu gehören unter anderem:

• zuverlässige Authentifizierung,
• Multi-Faktor-Authentifizierung,
• zentrale Verwaltung von Identitäten,
• Rollen und Berechtigungen,
• regelmäßige Überprüfung vergebener Zugriffsrechte.

Gerade MFA reduziert die Abhängigkeit von einem einzelnen Faktor wie einem Passwort. Für Zero Trust reicht es jedoch nicht, ausschließlich die Identität des Benutzers zu betrachten.

Gerätezustand – womit erfolgt der Zugriff?

Ein berechtigter Mitarbeiter kann weiterhin ein Sicherheitsrisiko darstellen, wenn er über ein kompromittiertes, veraltetes oder nicht ausreichend geschütztes Gerät zugreift. Deshalb kann ZTNA zusätzlich den Sicherheitszustand des Endgeräts berücksichtigen.

Relevant können etwa Patchstand, Gerätemanagement, Betriebssystemversion oder vorhandene Endpoint-Sicherheitsmaßnahmen sein. Unternehmen können auf dieser Basis unterschiedliche Regeln für verwaltete und nicht verwaltete Geräte definieren.

So lässt sich beispielsweise festlegen, dass ein verwaltetes Unternehmensgerät Zugriff auf eine sensible Anwendung erhält, während ein unbekanntes Gerät abgewiesen wird oder nur auf weniger kritische Ressourcen zugreifen darf.

Zugriffsrichtlinien – worauf darf zugegriffen werden?

Die dritte Säule bilden klar definierte Zugriffsrichtlinien. Ein wichtiges Prinzip ist dabei Least Privilege: Benutzer und Systeme sollen nur die Berechtigungen erhalten, die sie für ihre jeweiligen Aufgaben tatsächlich benötigen.

Statt einem Mitarbeiter nach erfolgreicher Anmeldung umfangreichen Netzwerkzugriff zu gewähren, können Freigaben gezielt auf notwendige Anwendungen und Ressourcen begrenzt werden. Identität, Rolle, Gerät und Kontext lassen sich dabei miteinander verknüpfen.

Das Ergebnis ist ein stärker identitäts-, ressourcen- und kontextbezogener Zugriff, bei dem Berechtigungen möglichst granular vergeben werden.

ZTNA vs. VPN: Was ist der Unterschied?

Die Frage nach dem Unterschied zwischen ZTNA und VPN liegt nahe, denn beide Technologien können für den sicheren Remote-Zugriff auf Unternehmensressourcen eingesetzt werden. Trotzdem beruhen sie auf unterschiedlichen Zugriffsmodellen.

VPN	ZTNA
Verbindung typischerweise mit einem Netzwerk oder Netzwerksegment	Zugriff gezielt auf bestimmte Anwendungen oder Ressourcen
Stärker netzwerkorientiert	Stärker identitäts-, richtlinien- und ressourcenorientiert
Je nach Konfiguration breiterer Netzwerkzugriff möglich	Möglichst granularer Zugriff nach dem Least-Privilege-Prinzip
Zugriff stark an Aufbau und Absicherung der VPN-Verbindung gekoppelt	Zugriffsentscheidung kann Identität, Gerät und Kontext berücksichtigen
Klassischer Ansatz für Remote Access	Zero-Trust-orientierter Ressourcenzugriff
Zusätzliche Segmentierung ist für eine granulare Begrenzung des Netzwerkzugriffs relevant	Zugriff wird möglichst von Beginn an auf benötigte Ressourcen beschränkt

Diese Unterschiede bedeuten nicht, dass ein VPN grundsätzlich unsicher ist. Ein korrekt konfiguriertes und abgesichertes VPN bleibt eine etablierte Technologie für Remote Access. Der entscheidende Unterschied liegt vielmehr im Vertrauensmodell und in der Granularität des Zugriffs.

Bei ZTNA soll allein der erfolgreiche Aufbau einer Verbindung möglichst wenig darüber aussagen, welche weiteren Ressourcen ein Benutzer erreichen darf. Die Berechtigung wird stärker an die konkrete Identität, Ressource und den jeweiligen Kontext gekoppelt.

Kann ZTNA ein VPN ersetzen?

Ob Unternehmen ihr VPN durch ZTNA ersetzen können, lässt sich nicht pauschal beantworten. Entscheidend sind die vorhandene Infrastruktur, die Anwendungen, verwendete Protokolle und die jeweiligen Zugriffsszenarien.

Wann ZTNA VPN ersetzen oder ergänzen kann

Besonders interessant ist Zero Trust Network Access für Szenarien, in denen Benutzer gezielt auf bestimmte Anwendungen zugreifen sollen, ohne dafür umfangreichen Netzwerkzugriff zu benötigen.

Dazu zählen beispielsweise:

• Remote Work und Homeoffice,
• Zugriff auf ausgewählte interne Anwendungen,
• Cloud- und hybride Anwendungen,
• Zugriff externer Dienstleister oder Partner,
• hybride Arbeitsmodelle,
• Unternehmen mit verteilten Standorten und Nutzern.

Gerade bei externen Dienstleistern kann die granulare Freigabe hilfreich sein: Statt einen Netzwerkzugang bereitzustellen, der anschließend durch weitere Maßnahmen begrenzt werden muss, lässt sich der Zugriff möglichst direkt auf die benötigten Ressourcen beschränken.

Wann VPN weiterhin erforderlich sein kann

ZTNA ist jedoch nicht automatisch für jede Anwendung und jedes Protokoll ein vollständiger VPN-Ersatz. Bestimmte Legacy-Anwendungen oder technische Szenarien können weiterhin umfassendere Netzwerkkonnektivität voraussetzen.

VPN kann deshalb beispielsweise weiterhin relevant sein bei:

• bestimmten Legacy-Systemen,
• speziellen Netzwerkprotokollen oder technischen Anforderungen,
• Anwendungen, die umfassende Netzwerkkonnektivität voraussetzen,
• Übergangsphasen während einer Zero-Trust-Migration.

In der Praxis muss die Einführung deshalb nicht mit der sofortigen Abschaltung der bestehenden VPN-Infrastruktur beginnen. Unternehmen können ZTNA zunächst für geeignete Anwendungen oder Benutzergruppen einsetzen und bestehende Remote-Access-Verfahren parallel weiterbetreiben. Anschließend lässt sich anhand der tatsächlichen Anforderungen entscheiden, welche VPN-Zugänge noch benötigt werden.

Welche Vorteile bietet Zero Trust Network Access?

ZTNA kann Unternehmen dabei unterstützen, Zugriffe besser an moderne, verteilte IT-Infrastrukturen anzupassen. Die Vorteile ergeben sich dabei vor allem aus der gezielteren Steuerung von Berechtigungen.

Granulare Zugriffskontrolle

Benutzer erhalten möglichst nur Zugriff auf die Anwendungen und Ressourcen, die sie für ihre Tätigkeit benötigen. Damit lässt sich vermeiden, dass eine einzelne erfolgreiche Anmeldung unnötig weitreichende Zugriffsmöglichkeiten eröffnet.

Reduzierung der Angriffsfläche

Je weniger Ressourcen für einen Benutzer oder ein Gerät erreichbar sind, desto weniger potenzielle Angriffspfade stehen über diesen Zugang zur Verfügung. Wird ein Benutzerkonto oder Endgerät kompromittiert, können granulare Berechtigungen den Umfang der erreichbaren Ressourcen begrenzen und laterale Bewegungen innerhalb einer Infrastruktur erschweren.

ZTNA verhindert Angriffe oder laterale Bewegungen allerdings nicht automatisch. Es ist vielmehr eine Sicherheitsmaßnahme innerhalb einer umfassenderen Architektur.

Bessere Absicherung von Remote Work

ZTNA löst Zugriffsentscheidungen stärker vom physischen Arbeitsort. Ob ein Mitarbeiter im Büro, im Homeoffice oder unterwegs arbeitet, ist damit nicht allein ausschlaggebend für das Vertrauen in seinen Zugriff.

Stattdessen können Identität, Gerät und weitere Kontextinformationen für die Entscheidung herangezogen werden.

Gerätesicherheit in Zugriffsentscheidungen einbeziehen

Die Identität eines Benutzers allein sagt wenig darüber aus, ob sein Endgerät ausreichend geschützt ist. Die Berücksichtigung des Gerätezustands ermöglicht es, Zugriffe beispielsweise von der Einhaltung definierter Sicherheitsanforderungen abhängig zu machen.

Least Privilege konsequent umsetzen

Das Least-Privilege-Prinzip gehört zu den wesentlichen Vorteilen von ZTNA. Statt Zugriffsrechte vorsorglich möglichst weit zu fassen, sollen Benutzer nur auf diejenigen Ressourcen zugreifen können, die sie für ihre Aufgabe benötigen.

Das setzt allerdings voraus, dass Rollen, Zuständigkeiten und Berechtigungen im Unternehmen bekannt und gepflegt werden.

Cloud- und Hybrid-IT besser abbilden

Moderne Unternehmensanwendungen befinden sich häufig gleichzeitig im eigenen Rechenzentrum, in privaten Clouds und bei verschiedenen SaaS- oder Cloud-Anbietern. Ein Sicherheitsmodell, das hauptsächlich zwischen internem und externem Netzwerk unterscheidet, kann diese Realität nur begrenzt abbilden.

ZTNA orientiert sich stattdessen stärker an Identitäten und konkreten Ressourcen und eignet sich damit grundsätzlich gut für hybride und verteilte IT-Landschaften.

Welche Voraussetzungen müssen Unternehmen für ZTNA schaffen?

Zero Trust Network Access Lösungen allein etablieren noch keine Zero-Trust-Architektur. Bevor Unternehmen ZTNA einführen, sollten sie deshalb Transparenz über Identitäten, Endgeräte, Anwendungen und bestehende Zugriffsrechte schaffen.

Identitäten und Berechtigungen zentral verwalten

Wenn Zugriffsentscheidungen wesentlich von der Identität abhängen, müssen Identitäten zuverlässig verwaltet werden. Ein leistungsfähiges IAM sowie klare Prozesse für Eintritt, Rollenwechsel und Ausscheiden von Mitarbeitern sind deshalb wichtige Voraussetzungen.

Unternehmen sollten unter anderem klären:

• Welche Benutzer und technischen Identitäten existieren?
• Welche Rollen haben sie?
• Welche Anwendungen benötigen sie tatsächlich?
• Wie werden Berechtigungen vergeben und wieder entzogen?
• Für welche Zugriffe ist MFA vorgeschrieben?

Geräte erfassen und ihren Sicherheitsstatus kennen

Auch beim Gerätemanagement ist Transparenz entscheidend. Unternehmen sollten wissen, welche Endgeräte auf ihre Ressourcen zugreifen und wie deren Sicherheitszustand bewertet werden kann.

Geräteinventarisierung, Endpoint Management und geeignete Mechanismen zur Erfassung der Device Posture können dafür eine Grundlage schaffen.

Anwendungen und Zugriffswege inventarisieren

Bevor Zugriffe granular gesteuert werden können, muss bekannt sein, welche Anwendungen und Ressourcen überhaupt vorhanden sind. Eine Inventarisierung sollte deshalb unter anderem beantworten:

• Welche Anwendungen werden genutzt?
• Wo werden sie betrieben?
• Welche Benutzergruppen benötigen Zugriff?
• Welche Abhängigkeiten bestehen zwischen Anwendungen?
• Welche Ressourcen sind besonders kritisch?
• Welche bestehenden Zugriffswege werden aktuell verwendet?

Gerade dieser Schritt kann bei gewachsenen IT-Landschaften aufwendig sein. Er ist jedoch notwendig, um Zugriffsrichtlinien nicht nur theoretisch, sondern passend zu den tatsächlichen Geschäftsprozessen zu gestalten.

Granulare Zugriffsrichtlinien definieren

Im nächsten Schritt müssen Unternehmen aus ihren Anforderungen konkrete Policies ableiten. Dabei sollte das Least-Privilege-Prinzip im Mittelpunkt stehen.

Eine Richtlinie könnte beispielsweise festlegen, welche Benutzerrolle von welchen verwalteten Geräten auf eine bestimmte Anwendung zugreifen darf und welche zusätzlichen Anforderungen bei erhöhtem Risiko gelten.

Die Regeln sollten dabei weder unnötig weit gefasst noch so restriktiv gestaltet sein, dass legitime Geschäftsprozesse regelmäßig blockiert werden. ZTNA erfordert deshalb neben Technologie auch saubere Governance.

ZTNA schrittweise einführen

Statt sämtliche Zugriffswege auf einmal umzustellen, bietet sich häufig ein schrittweises Vorgehen an. Unternehmen können beispielsweise mit einer ausgewählten Anwendung oder einer klar definierten Benutzergruppe beginnen.

1. Identitäten, Geräte, Anwendungen und bestehende Zugriffe erfassen.
2. Geeignete Anwendungen und Benutzergruppen für einen Pilotbetrieb auswählen.
3. Zugriffsrichtlinien nach dem Least-Privilege-Prinzip definieren.
4. ZTNA parallel zu bestehenden Zugriffslösungen testen.
5. Zugriffs- und Sicherheitsereignisse auswerten und Policies optimieren.
6. Weitere Anwendungen und Benutzergruppen schrittweise migrieren.
7. Nicht mehr benötigte Zugriffswege kontrolliert zurückbauen.

Eine solche Migration ermöglicht es, technische Probleme und unvollständige Berechtigungsmodelle frühzeitig zu erkennen, ohne sämtliche Remote-Zugriffe gleichzeitig umstellen zu müssen.

ZTNA als Baustein von Zero Trust Security

Bei der Einführung ist eine Abgrenzung besonders wichtig: ZTNA und Zero Trust sind nicht dasselbe.

ZTNA setzt einen Teil des Zero-Trust-Modells technisch um, indem Zugriffe auf Anwendungen und Ressourcen möglichst kontrolliert, kontextbezogen und granular bereitgestellt werden. Eine umfassende Zero-Trust-Architektur reicht jedoch deutlich darüber hinaus.

Dazu gehören beispielsweise:

• Identity & Access Management,
• Multi-Faktor-Authentifizierung,
• Endpoint Security und Gerätemanagement,
• Netzwerk- und Ressourcensegmentierung,
• Monitoring und Anomalieerkennung,
• Schutz und Verwaltung von Benutzer-, Geräte-, Anwendungs- und Maschinenidentitäten,
• je nach Architektur auch PKI und digitale Zertifikate zur vertrauenswürdigen Authentifizierung technischer Identitäten.

Zero Trust ist damit keine einzelne Technologie und kein Produkt, das Unternehmen lediglich installieren müssen. Vielmehr handelt es sich um einen Sicherheitsansatz, der Identitäten, Geräte, Anwendungen, Daten, Zugriffsentscheidungen und Überwachung zusammenführt.

Wie das Sicherheitsmodell insgesamt funktioniert, welche Prinzipien dahinterstehen und welche weiteren technischen Bausteine dazugehören, erklären wir ausführlich in unserem Grundlagenbeitrag zu Zero Trust Security.

Mit ZTNA vom Netzwerkzugriff zum gezielten Ressourcenzugriff

Cloud-Dienste, Remote Work und hybride Infrastrukturen sorgen dafür, dass klassische Netzwerkgrenzen für die Zugriffskontrolle allein immer weniger aussagekräftig sind. Zero Trust Network Access setzt deshalb an einem anderen Punkt an: Zugriff wird nicht allein aufgrund des Netzwerkstandorts gewährt, sondern anhand von Identität, Gerät, Kontext und definierten Richtlinien bewertet.

Benutzer sollen dadurch möglichst nur diejenigen Anwendungen und Ressourcen erreichen können, die sie für ihre Aufgaben tatsächlich benötigen. Das unterstützt Least Privilege, kann die Angriffsfläche reduzieren und hilft Unternehmen dabei, Remote-Zugriffe granularer abzusichern.

ZTNA kann bestehende VPN-Infrastrukturen dabei zunächst ergänzen und sie in geeigneten Anwendungsszenarien langfristig ersetzen. Ein vollständiger Ersatz ist jedoch weder in jeder IT-Umgebung möglich noch zwangsläufig notwendig. Legacy-Systeme, spezielle Netzwerkprotokolle und technische Abhängigkeiten können weiterhin VPN-Zugänge erfordern.

Entscheidend für eine erfolgreiche Einführung ist deshalb nicht allein die Wahl einer ZTNA-Lösung. Unternehmen benötigen Transparenz über ihre Identitäten, Geräte, Anwendungen und Berechtigungen sowie klar definierte und regelmäßig überprüfte Zugriffsrichtlinien.