Zero Trust - Identitäten

Identität ist eines dieser Wörter, bei denen jeder glaubt, sie sei selbsterklärend, bis man versucht, sie ernsthaft zu greifen. In vielen ITs bedeutet Identität bis heute: Benutzername, Passwort, fertig.

Technisch ist eine Identität zunächst nichts weiter als ein Eintrag in einem Verzeichnis.

Dort wird festgehalten, dass es diese Identität gibt, wie sie heißt, zu welchen Gruppen sie gehört und welche grundsätzlichen Berechtigungen existieren. Das ist die statische Seite der Identität, aber schon mal mehr als Name und Passwort. Ohne sie gibt es nichts zu prüfen, nichts zu steuern und nichts zu schützen.

Das Zero Trust Prinzip beginnt dort, wo diese statische Sicht endet. Eine Identität besteht nicht nur aus einem Datensatz, sondern aus dem Kontext, in dem sie auftaucht.

Von welchem Gerät wird zugegriffen, aus welchem Land, zu welcher Uhrzeit, auf welche Anwendung, mit welchem bisherigen Verhalten. Diese Signale sind keine Zusatzinformationen, sie sind Teil der Identität selbst. Mechnanissmen bewertet sie permanent und passen das Vertrauen dynamisch an. Eine Identität ist damit kein fester Zustand, sondern eine Momentaufnahme, die sich verändert.

Denken wir zurück an das Haus aus dem ersten Blogbeitrag, dann ist die Identität nicht die Haustür, sondern die Gesamtheit aus Verhalten, Gewohnheiten und Zugriffen im Inneren einer Person.

Jemand bewegt sich scheinbar selbstverständlich durch die Räume, alles wirkt korrekt, nichts schreit Alarm. Genau so verhalten sich kompromittierte Konten häufig. Sie benutzen gültige Zugangsdaten, sie melden sich sauber an, sie fallen nicht sofort auf.

Zero Trust geht deshalb nicht davon aus, dass ein Login an sich vertrauenswürdig ist, sondern prüft, ob das Gesamtbild plausibel bleibt. Sobald etwas nicht mehr passt, wird der Zugriff im ersten Moment nicht komplett blockiert, sondern schrittweise unbequemer gemacht. Es kann ja durchaus sein das sich ein legitimer User mal anders als gewöhnlich verhält. Um ihn nicht direkt in seiner Produktivität zu beschneiden erfolgen zusätzliche Prüfungen, danach eingeschränkte Sitzungen und ggf. reduzierte Rechte. Für den legitimen Nutzer meist nur ein kurzer Moment, für einen Angreifer ein stetig enger werdender Raum. Erst wenn der User wirklich als Risiko erkannt wird erfolgt die Sperrung.

Besonders deutlich wird dieser Ansatz bei privilegierten Identitäten. Klassische Admin-Konten sind tickende Zeitbomben mit enormer Sprengkraft.

Zero Trust behandelt sie wie etwas, das grundsätzlich nicht existieren sollte, außer genau in dem Moment, in dem es gebraucht wird.

In Microsoft Entra ID wird das über Privileged Identity Management (PIM) umgesetzt.

Quelle: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks

Adminrechte werden zeitlich begrenzt aktiviert, bewusst angefordert, protokolliert und automatisch wieder entzogen. Selbst wenn eine Identität kompromittiert wird, ist der Schaden begrenzt, weil schlicht nichts Dauerhaftes vorhanden ist, was sich ausnutzen ließe.

Microsoft Entra stellt dafür eine ganze Reihe technischer Werkzeuge bereit, die zusammenspielen müssen, um Wirkung zu entfalten. Conditional Access bewertet Anmeldekontexte in Echtzeit und erzwingt passende Reaktionen. Identity Protection analysiert Anmelde- und Benutzerverhalten und stuft Risiken automatisch ein. Multi-Faktor-Authentifizierung sorgt dafür, dass gestohlene Zugangsdaten allein wertlos bleiben.

Rollenbasierte Zugriffe verhindern, dass Identitäten mehr dürfen als nötig. Und Protokollierung sowie Audit-Logs sorgen dafür, dass Entscheidungen nachvollziehbar bleiben, selbst wenn etwas schiefgeht.

Identität ist damit nicht mehr die Frage, ob jemand hereinkommt, sondern wie weit er kommt und wie lange. Zero Trust verschiebt den Fokus von einem einmaligen Vertrauensbeweis hin zu einer dauerhaften, stillen Prüfung im Hintergrund.

Wer sich normal verhält, merkt davon kaum etwas. Wer es nicht tut, merkt sehr schnell, dass hier nichts offen herumliegt, was sich lohnt mitzunehmen.