Zero Trust: Identität allein reicht nicht mehr aus

Heute ist es unerlässlich, sowohl Benutzer als auch Geräte zu authentifizieren, um Phishing-resistente Authentifizierung zu ermöglichen. it security-Herausgeber Ulrich Parthier sprach mit Darren James, Senior Product Manager, Specops Software GmbH, über die Hintergründe.

Der Begriff Zero Trust ist seit Jahren in aller Munde. Was hat sich verändert, dass das Thema gerade jetzt wieder so viel Aufmerksamkeit erhält?

Darren James: Zero Trust ist kein neues Konzept mehr, aber die Bedrohungslandschaft hat sich verschärft. Angreifer stehlen heute seltener klassische Passwörter; stattdessen kapern sie Session-Token oder nutzen kompromittierte Geräte. Wenn der Zugriff ausschließlich von benutzerbezogenen Faktoren abhängt, kann ein einziger erfolgreicher Session-Hijacking-Angriff eine ernsthafte Sicherheitslücke öffnen – selbst wenn MFA oder sogar passwortlose Technologie aktiv ist. Genau deshalb rückt der zweite Baustein nun in den Mittelpunkt: das Gerät, von dem aus zugegriffen wird.

Das klingt nach einer Erweiterung des klassischen Identity and Access Managements. Wie unterscheidet sich Zero Trust Workforce Access konkret von einem reinen MFA-Ansatz?

Darren James: Der Unterschied liegt in der Kontinuität: Bei Zero Trust Workforce Access werden Benutzeridentität und Gerät gemeinsam betrachtet und an jedem Zugriffspunkt geprüft – nicht nur einmalig beim Login. Ein Beispiel ist Specops Device Trust: Die Benutzeridentität wird fest an ein registriertes Gerät gebunden, und der Sicherheitsstatus des Geräts wird laut Anbieter alle zehn Minuten erneut überprüft – nicht nur einmalig wie beim klassischen Mobile Device Management.

Warum reicht ein gutes MFA-Setup allein nicht mehr aus, um Phishing-Angriffe abzuwehren?

Darren James: Angreifer haben sich angepasst, also müssen wir das auch. Moderne Phishing-Kits sind gezielt darauf ausgelegt, MFA in Echtzeit zu umgehen. Social Engineering, durch Infostealer kompromittierte Geräte und Adversary-in-the-Middle-Angriffe fangen Anmeldedaten und Session-Token gleichzeitig ab und nutzen sie sofort. Authentifizierung ist erst dann wirklich Phishing-resistent, wenn sie auch an ein registriertes Gerät gebunden ist – das verhindert Account-Übernahmen, selbst wenn Zugangsdaten in falsche Hände geraten.

Welche Rolle spielt Active Directory in dieser erweiterten Zero-Trust-Architektur? Viele Unternehmen tendieren dazu, AD als Legacy-Altlast zu betrachten.

Darren James: Das ist ein Irrtum. Active Directory ist nach wie vor der Ausgangspunkt fast jeder Authentifizierungsstrategie. Frost & Sullivan brachten es treffend auf den Punkt: AD „besitzt die Schlüssel zu Ihrem Königreich“ – rund 90 Prozent der Fortune-1000-Unternehmen nutzen es als primäres Authentifizierungswerkzeug. Wer eine Zero-Trust-Strategie aufbaut, ohne AD abzusichern, baut auf einem instabilen Fundament: Typische Schwachstellen sind übermäßige Administratorrechte, verwaiste Dienstkonten und schwache Passwörter, die Kerberoasting ermöglichen. Aber wenn Sie „cloud native“ sind, bleiben Sie anfällig für diese Identitätsangriffe.

Lassen sich diese AD-Schwachstellen mit reinen Awareness-Maßnahmen beheben, oder sind technische Tools unverzichtbar?

Darren James: Awareness ist wichtig, ersetzt aber keine technische Durchsetzung. Die Kernprinzipien von Zero Trust – explizite Verifizierung, minimale Berechtigungen und die ständige Annahme einer Kompromittierung – lassen sich nur durch Automatisierung konsequent umsetzen. Specops Password Policy beispielsweise überprüft Konten kontinuierlich gegen Datenbanken mit mehreren Milliarden geleakter Zugangsdaten und sperrt kompromittierte Passwörter dauerhaft – statt nur einmalig beim Rollout zu prüfen.

Kommen wir zurück zur Geräteschicht. Was genau wird bei der kontinuierlichen Ger.teüberprüfung geprüft?

Darren James: Es geht um den tatsächlichen Sicherheitsstatus des Geräts – nicht nur darum, ob es registriert ist. Also aktive Bedrohungen, deaktivierte Festplattenverschlüsselung oder Firewalls und veraltete Betriebssysteme. Specops Device Trust ermöglicht granulare Richtlinien mit Hunderten von Einzelprüfungen pro Benutzergruppe, Gerätetyp oder Betriebssystem. Die Echtzeit-Komponente ist entscheidend: Die Zugriffsentscheidung wird bei jedem Login neu getroffen und während der Sitzung kontinuierlich aktualisiert – nicht nur als nachträgliche Compliance-Prüfung.

Das klingt nach einem massiven Eingriff in den Arbeitsalltag der Mitarbeiter. Wie lässt sich das mit Produktivität vereinbaren?

Darren James: Das war früher das größte Akzeptanzproblem: Wenn jede Abweichung sofort den Zugriff sperrt, sinkt die Akzeptanz und der Support wird mit Tickets überflutet. Moderne Ansätze setzen daher auf Self-Service mit Toleranzfristen: Der Benutzer erhält eine klare Anweisung – etwa „Aktivieren Sie die Festplattenverschlüsselung“ – und behebt das Problem selbst. Zudem ist Specops Device Trust von Grund auf dafür ausgelegt, BYOD- und Drittanbieter-Geräte zu unterstützen, ohne die Privatsphäre und Souveränität dieser Geräte zu beeinträchtigen.

Wer eine Zero-Trust-Strategie aufbaut, ohne Active Directory abzusichern, baut auf einem instabilen Fundament.

Darren James, Specops Software GmbH

Inwiefern kann Künstliche Intelligenz diese Prozesse weiter automatisieren, um Mitarbeiter zu entlasten?

Darren James: Specops Device Trust nutzt keine KI, bietet jedoch einen sehr wirkungsvollen Ansatz zur Abwehr KI-gestützter Identitätsfälschungen oder Credential-Angriffe. Wie bereits erwähnt stellen wir durch die Bindung der Benutzer an ihre verwendeten Geräte echte Phishing-resistente Authentifizierung über alle Geräte und Identity Provider hinweg bereit – unabhängig davon, ob Benutzer oder Geräte unternehmenseigen, privat oder von Drittanbietern verwaltet sind. Damit bieten wir eine hervorragende Benutzererfahrung und hohe Sicherheit – ein echtes Win-win.

Linux wird in vielen Sicherheitslösungen nachrangig behandelt. Wie wichtig ist plattformübergreifende Abdeckung in der Praxis?

Darren James: Sehr wichtig – im Beispiel von Firebolt war das tatsächlich der Auslöser, da einige Endpunkte Linux verwendeten und geeignete Agenten schwer zu finden waren. Wer seine Mitarbeiter mit Windows, macOS, Linux und mobilen Geräten absichert, braucht eine Lösung, die alle Plattformen gleichwertig unterstützt – einschließlich BYOD und Drittanbieter-Geräte von Auftragnehmern. Andernfalls entstehen genau die Lücken, die Zero Trust eigentlich schließen soll.

Zum Thema Integration: Wie fügt sich ein solcher Device-Trust-Ansatz in bestehende Identity-Provider-Landschaften ein?

Darren James: Niemand möchte eine völlig neue Authentifizierungsinfrastruktur aufbauen. Specops Device Trust integriert sich nativ in gängige Identity Provider wie Okta, Microsoft Entra ID und Ping Identity, sodass die Geräteprüfung direkt in den bestehenden Login-Flow eingebettet wird. Der Rollout sollte ebenfalls stufenweise erfolgen, beispielsweise nach Benutzergruppe oder Gerätetyp. Darüber hinaus gibt es umfangreiche API-Funktionalitäten für die Integration in bestehende Security-Stack-Investitionen – etwa MDM, ZTNA, SIEM oder SOAR-Plattformen.

Wenn Sie ein Unternehmen beraten würden, das Zero Trust Workforce Access einführen möchte – wo würden Sie anfangen?

Darren James: Ich würde mit einer ehrlichen Bestandsaufnahme beginnen: Transparenz über alle Identitäten und Geräte schaffen, einschließlich Schatten-IT und Supply-Chain-Zugriffe. Parallel dazu lohnt es sich, die IDP-Hygiene zu prüfen – ob cloudbasierter Anbieter, AD oder eine hybride Umgebung – denn dort liegen meist die größten Probleme. Erst dann macht es Sinn, Geräteprüfung wie Device Trust einzuführen, eingebunden in die bestehende Identity-Provider-Infrastruktur – kombiniert mit benutzerfreundlichen Self-Service-Mechanismen, sonst bricht die Akzeptanz ein.

In vielen Unternehmen scheitern Sicherheitsprojekte an Kostenargumenten oder am Widerstand des Managements. Wie begegnen Sie diesem Einwand bei Zero Trust Workforce Access?

Darren James: Ich lenke das Gespräch weg von der Kostenfrage hin zur Risikofrage. Identitäten gehören nach wie vor zu den häufigsten Ursachen für Sicherheitsverletzungen – das bestätigt auch Tom Parker von Kayak. Es gibt sehr aktuelle Beispiele großer Unternehmen mit enormen Sicherheitsbudgets, die diesen modernen Angriffsvektoren zum Opfer gefallen sind. Wenn Sie dem Management klarmachen, dass ein Session-Hijacking-Vorfall am Ende mehr kostet als die Einführung von Geräteprüfung, verschiebt sich die Diskussion meist schnell. Messbare Effekte helfen ebenfalls, wie die von Firebolt berichtete Reduzierung der Schwachstellen um über 50 Prozent. Und vergessen Sie nicht: Erstklassige Sicherheit muss keine schlechte Nutzererfahrung bedeuten – wenn Sie die richtige Lösung wählen.

Lässt sich der Erfolg eines solchen Rollouts sauber messen, oder bleibt es eher ein vages Gefühl von „mehr Sicherheit“?

Darren James: Ja, wenn Sie von Anfang an die richtigen Kennzahlen definieren: die Anzahl nicht-konformer Geräte im Zeitverlauf, die Geschwindigkeit der Self-Service-Behebung, dadurch vermiedene Support-Tickets und die Transparenz über bisher unbekannte Geräte im Netzwerk. Letzterer Punkt wird besonders unterschätzt – ohne diese Transparenz bleibt jede Zero- Trust-Strategie Stückwerk.

Darren, vielen Dank für das Interview.

it-sa Expo&Congress

Besuchen Sie uns in Halle 7, Stand 520