Nur Jäger schiessen Böcke
25/03/2024
Der Weg zur neuen IT-Infrastruktur?
08/05/2024Zero Trust Security für Treuhandfirmen
Beitrag von zurichnetgroup AG
Treuhandfirmen sind bevorzugtes Ziel von Cyberkriminellen. Mit der Zero-Trust-Methode schützen sie sich zuverlässig gegen Angriffe. So gelingt der Umstieg.
Absolute Sicherheit für Daten, gleichzeitig grösstmögliche Bequemlichkeit: Treuhänder sehen sich heute mit Herausforderungen konfrontiert, die sich scheinbar diametral widersprechen. Doch es gibt eine Lösung für das Dilemma.
Die Treuhand-Branche hat ein grosses Kapital: Das Vertrauen ihrer Kundschaft in Diskretion und den unbedingten Schutz der Daten. Das ist heute allerdings anspruchsvoller als auch schon. Viele Dienstleistungen werden in der Cloud angeboten, Daten digital verschoben und verarbeitet. Um grösstmögliche Sicherheit zu gewährleisten, bietet sich die Zero Trust Security an, ein völlig neuer Ansatz, wie Sicherheit in Netzwerken gedacht und angewandt wird. Der Grundsatz ist für Treuhänder vielleicht etwas befremdlich: Traue niemandem. Oder – etwas nachvollziehbarer – Vertrauen ist gut, Kontrolle ist besser.
Der Perimeter-Schutz hat ausgedient
Um Zero Trust Security zu verstehen, braucht es einen kurzen Blick in die Vergangenheit. Ältere Sicherheits-Architekturen schützten das Netzwerk – den Perimeter – vor Eindringlingen mit verschiedenen Mitteln (Firewall, Zutrittsprüfungen usw.). Wer mal im Netzwerk war, galt aber grundsätzlich als vertrauenswürdig – egal ob Mensch, Maschine oder Anwendung. Dieser Ansatz erwies sich aber zunehmend als löchrig. Heute gibt es eine fast unüberschaubare Anzahl von Geräten, Netzwerken, lokalen Arbeitsplätzen und Speicherplätzen, die miteinander kommunizieren müssen. Häufig fehlt die Übersicht, was sich überhaupt im Netzwerk tummelt und ob die Geräte und Anwendungen auf dem neusten Stand sind (Stichwort regelmässige Patches). Ist ein Teil kompromittiert, ist häufig das ganze Netzwerk in Gefahr.
Zero Trust: Vertraue nichts und niemandem
Vor diesem Hintergrund wurde die Zero Trust Security entwickelt. Nichts und niemand ist mehr grundsätzlich vertrauenswürdig, jede Anfrage wird prinzipiell zuerst als feindlich eingestuft. Die Umstellung von einer Perimeter-Sicherheit auf das Zero-Trust-Prinzip ist nicht simpel und sollte gemeinsam mit einem spezialisierten Dienstleister wie der zurichnetgroup durchgeführt werden. Der Grund für die Komplexität ist die Neuorganisation des Netzwerks. Wo früher grössere Einheiten (lokales Netz, Cloud usw.) miteinander verbunden wurden, spricht man heute von einer softwarebasierten Mikrosegmentierung. Das Netzwerk wird in kleine, isolierte Segmente aufgeteilt. Zusammen mit der identitätsbasierten Authentifizierung entsteht eine engmaschige Kontrolle der Zugriffe.
Ein Beispiel soll dies verdeutlichen. Kunde X ist im System mit seinen persönlichen Angaben erfasst. Seine «Rolle» ist definiert, er darf in einer bestimmten Anwendung seine Daten hinterlegen, damit der Treuhänder Y diese Daten weiterverarbeiten kann. Kunde X meldet sich an. Das Zero-Trust-System prüft im Hintergrund bereits verschiedene Parameter auf ihre Plausibilität. Kommt die Anfrage zum Beispiel plötzlich von einem Server in Osteuropa, schlägt das System Alarm. Nach der Absolvierung der 2-Faktor-Authentifizierung bekommt Kunde X Zugang zur benötigten Anwendung – und auf nichts sonst. Dies ist das Prinzip des «Least Privilege». Der Zugriff wird in jedem Fall auf das notwendige Minimum beschränkt (hier auf die Anwendung). Das gleiche Prinzip gilt überall: Wenn ein Mitarbeiter auf den Drucker zugreift, bekommt er genau auf dieses Gerät Zugriff – nach einer separaten Prüfung. Ist der Zugriff nicht plausibel, verlangt das System eine Authentifizierung. Der Clou: Das System arbeitet in den allermeisten Fällen im Hintergrund und die Mitarbeitenden kriegen die Kontrolle bzw. die Freigabe gar nicht mit.
Zugeschnitten auf die Cloud
Ganz besonders praktisch ist dieser Ansatz in einer Multicloud-Umgebung bzw. wenn Cloud und lokale Netzwerke zusammenarbeiten müssen. Es ist mit Zero Trust nicht möglich, dass ganze Netzwerke kompromittiert werden, sondern im schlimmsten Fall immer nur einzelne Mikrosegmente.
Ergänzend zum Zero-Trust-Prinzip kommt eine kontinuierliche, automatisierte Überwachung und Prüfung aller Aktivitäten und Verbindungen. Entspricht etwas nicht den definierten Regeln und Rollen, sperrt das System automatisch die Zugriffe und unterbricht die Verbindungen. So kann ein Angriff bereits in seiner Entstehung zuverlässig gestoppt werden. Die letzte Hürde bildet die routinemässige, automatisierte Verschlüsselung sämtlicher Daten.
Zero Trust Security ist wie erwähnt nicht einfach so implementierbar. Zuerst braucht es eine lückenlose Übersicht über Geräte, Netzwerke und Anwendungen. Sämtliche Nutzerinnen und Nutzer müssen mit einem Profil und einer dazugehörigen Rolle erfasst werden. Gerade die Erfassung neuer Angestellter sowie von Kundinnen und Kunden sind jedoch mit definierten Routinen auch für Laien kein Problem. Nach der Umstellung müssen die Mitarbeitenden zwingend in das Zero-Trust-Konzept eingeführt werden, damit sie verstehen, wie das neue System genutzt werden soll.
Fazit
Treuhandfirmen müssen die digitale Transformation umsetzen, um konkurrenzfähig zu bleiben. Der digitale Austausch von Daten sowie die ortsunabhängige Speicherung und Bearbeitung in der Cloud sind heute die selbstverständliche Voraussetzung. Doch die sensiblen Finanzdaten von Firmen und Privatpersonen sind prioritäres Ziel für Cyberkriminelle. Ein herkömmlicher Perimeterschutz von Netzwerken wird den heutigen Sicherheitsansprüchen nicht mehr gerecht. Mit Zero Trust Security wird die gesamte Umgebung von Cloud, lokalen Netzwerken, privaten Arbeitsplätzen, Geräten und Anwendungen neu aufgestellt. Jeder Zugriff wird im Zero-Trust-Modell überprüft – auch solche, die aus dem Netzwerk selbst erfolgen – und mit minimalen Zugriffsberechtigungen erlaubt. Mit diesem Ansatz können Angriffe oft schon im Keim erstickt werden. Bei einem Befall wird die Auswirkung auf ein Minimum beschränkt. Der Umstieg auf Zero Trust Security ermöglicht einen zeitgemässen Schutz der Daten und Infrastruktur. Er sollte in Zusammenarbeit mit einem Spezialisten umgesetzt werden.
Giulia Isabella Pagoni ist seit Juli 2021 als Marketing & Communications Specialist bei der zurichnetgroup AG tätig. Mit Hilfe ihrer Expertise und Erfahrung im Bereich zukunftsgerichteter IT-Arbeitsumgebungen, professioneller Telekommunikation und der Verknüpfung beider Bereiche, stellt sie für das Unternehmen und deren Community regelmässig spannende Beiträge bereit. Sie ist dabei als studierte Kommunikationsspezialistin in ständigem Austausch mit Fachexperten aus der IT-Branche und verfügt über mehrjährige Berufserfahrung in den genannten Bereichen
Wollen Sie mehr zu unserem Umsetzungspartner, seinen Dienstleistungen und Lösungen erfahren? Sie finden unseren Umsetzungspartner hier oder Fragen Sie direkt uns oder unseren Umsetzungspartner zurichnetgroup AG an
