Anbieterunabhängig beraten
ZTNA: Zugriff auf Anwendungen nach dem Prinzip Zero Trust
Wer im Firmennetz ist, ist nicht automatisch vertrauenswürdig. Wir zeigen, wie Sie Zugriffe so ordnen, dass jeder nur erreicht, was er braucht.
- Zugriff nur nach Prüfung
- Identitäten vor den Richtlinien
- Anbieterunabhängige Auswahl
- Einführung in überschaubaren Schritten
Häufige Fragen
Ist ZTNA ein Ersatz für ein VPN?
In vielen Fällen ja, zumindest für den Zugriff auf Anwendungen. Ein klassisches VPN öffnet oft den Zugang zum gesamten Netz, während ZTNA nur bestimmte Anwendungen freigibt. Ob und wann ein Wechsel sinnvoll ist, hängt von Ihren Anwendungen und Nutzern ab. Wir klären das vorab und ersetzen nichts, was noch gebraucht wird.
Müssen wir auf allen Geräten einen Agenten installieren?
Das hängt vom Modell ab. Beim geräte-initiierten Ansatz läuft auf dem Gerät ein Agent, der Kontext wie Standort oder Zeit meldet. Beim dienst-initiierten Modell kommt man ohne Agent aus, weil ein Connector im Netz der Anwendung die Verbindung hält. Wir wählen mit Ihnen, was zu Ihren Geräten passt.
Was ist der erste Schritt?
Die Identitäten. Sie brauchen saubere Konten für Mitarbeitende, Geräte und Anwendungen, idealerweise mit zentraler Verwaltung und Single Sign-on. Erst danach lassen sich Richtlinien formulieren, die den Zugriff steuern. Wer diesen Schritt überspringt, baut auf unklarer Grundlage.
Wie lange dauert eine Einführung?
Das lässt sich nicht pauschal sagen. Entscheidend sind die Zahl der Anwendungen, der Stand der Identitätsverwaltung und die Bereitschaft der Fachabteilungen. Wir teilen die Einführung in Etappen, damit Sie früh einen Nutzen sehen und Risiken begrenzen. Einen Zeitplan erstellen wir mit Ihnen im Projekt.
Alle Details zu diesem Thema
Zero Trust Network Access, kurz ZTNA, gewährt Zugriff auf einzelne Anwendungen erst nach einer Prüfung von Identität, Gerät und Kontext. DEBFT berät anbieterunabhängig zur Einführung, von der Identitätsbasis bis zu den Richtlinien. Sie erhalten eine Zielarchitektur und einen Einführungsplan in Etappen.
Nie vertrauen, immer prüfen
Lange galt die Regel: Innen ist sicher, außen ist gefährlich. Wer das Firmennetz betreten durfte, bekam weitreichenden Zugriff auf Systeme. Das funktioniert schlecht, wenn Mitarbeitende von unterwegs arbeiten, Anwendungen in der Cloud liegen und Geräte häufig den Ort wechseln. Ist ein Angreifer einmal drin, kann er sich oft frei bewegen. Auch ein Mitarbeiter mit zu weiten Rechten kann Schaden anrichten, ohne dass es auffällt.
Zero Trust geht davon aus, dass Datenverkehr allein durch seine Herkunft nicht vertrauenswürdig ist. Jeder Zugriff wird geprüft, auch aus dem eigenen Netz. Dazu gehört das Prinzip der minimalen Rechte: Ein Nutzer bekommt nur die Zugänge, die seine Aufgabe braucht. ZTNA ist die Umsetzung dieses Prinzips für den Zugriff auf Anwendungen. Die Prüfung stützt sich auf Identitäten von Nutzern, Geräten und Anwendungen und bezieht Kontextdaten ein, etwa Standort, Uhrzeit oder den Zustand des Geräts.
Zwei Varianten der Umsetzung
Es gibt zwei gängige Ansätze:
- Vom Gerät ausgehend: Ein Agent auf dem Gerät meldet den Kontext an einen Controller. Erst nach erfolgreicher Prüfung leitet dieser die Verbindung zu einem Gateway weiter, die Verbindung bleibt verschlüsselt.
- Vom Dienst ausgehend: Die Authentifizierung läuft in der Cloud. Ein Connector im Netz der Anwendung hält die Verbindung, und Nutzer erreichen die Anwendung nur über einen Proxy. Ein Agent auf jedem Gerät ist dafür nicht nötig.
Welche Variante passt, hängt von Ihren Geräten, Anwendungen und Ihrem Betriebsmodell ab.
Was DEBFT bei der Einführung macht
Wir beginnen mit den Identitäten, weil alles Weitere darauf aufbaut. Dazu gehören die Verwaltung der Konten, die Anbindung an Single Sign-on und klare Zuständigkeiten. Danach erstellen wir Richtlinien, die festlegen, wer auf welche Anwendung zugreift und unter welchen Bedingungen. Die Einführung plant DEBFT in Etappen, und ein fester Ansprechpartner begleitet sie.
Für wen sich ZTNA lohnt
ZTNA passt zu Unternehmen mit mobilen Mitarbeitenden, mehreren Standorten oder vielen Anwendungen in der Cloud. Auch wer bisher über ein weitreichendes VPN arbeitet, sollte den Wechsel prüfen. Ob er sich lohnt, zeigt die Bestandsaufnahme am Anfang.
Einen Überblick über alle Bausteine bietet die Seite IT-Security.