Die Grundidee von Zero Trust ist es, kein Vertrauen in Benutzer, Geräte oder Netzwerke zu haben, sondern davon auszugehen, dass alles bereits kompromittiert sein könnte. Unabhängig vom Ausgangspunkt wird daher jede Aktivität und jeder Zugriff überprüft und autorisiert. Risiken durch die Übernahme von Benutzerkonten oder den Missbrauch von Wartungszugängen durch Dienstleister kann so wirksam begegnet werden. Aus rechtlicher Sicht bietet Zero Trust jedoch nicht nur Vorteile, sondern kann auch Risiken bergen – insbesondere im Hinblick auf den Datenschutz.
Rechtliche Vorteile von Zero Trust
Mit dem neuen europäischen Cybersicherheitsrecht kommen auf Unternehmen zahlreiche neue gesetzliche Vorgaben zur Cybersicherheit zu. Unternehmen, die in den Anwendungsbereich der NIS-2-Richtlinie fallen, müssen mit einem gefahrenübergreifenden Ansatz die Sicherheit ihrer Informationssysteme gewährleisten und hierzu entsprechende Konzepte und Lösungen einsetzen. In Erwägungsgrund 89 der NIS-2-Richtlinie wird Zero Trust sogar als grundlegende Praktik der Cyberhygiene benannt. Kein Wunder also, dass Zero Trust bei der Umsetzung der NIS-2-Richtlinie unter anderem bei folgenden Punkten helfen kann:
- Netzwerksicherheit: Mikrosegmentierung ist ein zentraler Aspekt von Zero Trust, der den Zugriff auf Systeme und Dienste einschränkt, um die Sicherheit zu erhöhen.
- Endgerätesicherheit: Lösungen für Endpoint Detection and Response (EDR) überwachen das Anwendungs- und Prozessverhalten auf Endgeräten zur kontinuierlichen Angriffserkennung.
- Benutzerverhalten: Moderne Authentifizierungssysteme erkennen ungewöhnliche Anmeldeaktivitäten wie z.B. „unmögliche“ Standortwechsel beim Login und unterstützen die dynamische Authentifizierung.
- Zero Trust Network Access (ZTNA): ZTNA-Produkte sind sichere Gateways für Anwendungen, die Benutzer authentifizieren, den Sicherheitsstatus überprüfen und einen risikobasierten Zugriff ermöglichen.
Auch bei der Erfüllung der Anforderungen des geplanten Cyber Resilience Act (CRA) und der Cybersicherheit von Produkten mit digitalen Elementen bietet Zero Trust vielfältige Vorteile. Ein Beispiel hierfür sind die geforderten Kontrollmechanismen zum Schutz vor unbefugtem Zugriff.
Risiko: Datenschutz bei Zero Trust
Da bei Zero-Trust-Ansätzen eine umfassende Analyse des Netzwerkverkehrs und des Nutzerverhaltens stattfindet, werden häufig auch größere Mengen personenbezogener Daten verarbeitet als bei herkömmlichen Maßnahmen zur Cybersicherheit. Gleichzeitig ist die Verarbeitung häufig engmaschiger, was zusätzliche Datenschutzrisiken bedeuten kann. Um Datenschutzverstöße zu vermeiden, muss beim Einsatz von Zero-Trust-Lösungen besonderes Augenmerk auf die Compliance gelegt werden. Verantwortliche müssen insbesondere sicherstellen, dass eine Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten besteht. Da zahlreiche gesetzliche Vorgaben zur Cybersicherheit bestehen und Cybersicherheit im Allgemeinen einen hohen Stellenwert hat, können sich Unternehmen insoweit unter anderem auf eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) und ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) berufen. Bei hohen Risiken für Betroffene ist neben den allgemeinen Maßnahmen zur Datenschutz-Compliance außerdem eine Datenschutz-Folgenabschätzung durchzuführen.
Tipps für Unternehmen
Die Nutzung von Zero Trust im Unternehmen erfordert eine klare Strategie, die insbesondere folgende Punkte umfassen sollte:
- Überprüfung und Anpassung der bestehenden Sicherheitsarchitektur an die Prinzipien von Zero Trust;
- Prüfung und Umsetzung der datenschutzrechtlichen Anforderungen an Zero Trust;
- Harmonisierung zwischen verschiedenen Sicherheitsmaßnahmen und eingesetzten Produkten;
- Schulung der Mitarbeitenden in den Grundlagen von Zero Trust und Sensibilisierung für Risiken beim Datenschutz;
- Kontinuierliche Überwachung, Analyse von Bedrohungen und Anpassung der Sicherheitsstrategie, um auf neue Risiken zu reagieren und neue rechtliche Anforderungen umzusetzen.