{"id":244,"date":"2026-08-04T09:00:00","date_gmt":"2026-08-04T07:00:00","guid":{"rendered":"https:\/\/doranurban.de\/portfolio\/?p=244"},"modified":"2026-07-27T17:48:07","modified_gmt":"2026-07-27T15:48:07","slug":"netzwerkperimeter-zero-trust","status":"publish","type":"post","link":"https:\/\/doranurban.de\/portfolio\/fachliches\/netzwerkperimeter-zero-trust\/","title":{"rendered":"Der Netzwerkperimeter und warum er nicht mehr h\u00e4lt"},"content":{"rendered":"

Das klassische Sicherheitsmodell eines Netzwerks ist schnell erkl\u00e4rt: Au\u00dfen steht eine Firewall, innen wird vertraut. Wer die Grenze passiert hat, gilt als berechtigt. Das ist bequem, gut verstanden und \u00fcber Jahrzehnte gewachsen \u2013 und es hat eine Voraussetzung, die immer seltener erf\u00fcllt ist. Es muss ein Innen geben.<\/p>

Ein Fernzugriffs-VPN verschiebt diese Grenze nach au\u00dfen. Wer sich vom Heimnetz aus einw\u00e4hlt, holt den Perimeter faktisch in ein fremdes Netzwerk \u2013 mit dem Drucker, dem Fernseher und allem anderen, was dort noch h\u00e4ngt. Split-Tunneling versch\u00e4rft das, und zwar auch dann, wenn niemand es bewusst eingeschaltet hat: Eine unsauber konfigurierte Doppelbelegung von IPv4 und IPv6 reicht, damit ein Teil des Verkehrs am Tunnel vorbeil\u00e4uft. Cloud-Dienste l\u00f6sen das Innen dann vollends auf.<\/p>

Der Punkt, der mich beim Einarbeiten am meisten besch\u00e4ftigt hat, ist ein anderer: Fast alle g\u00e4ngigen Pr\u00e4ventionsma\u00dfnahmen zielen auf Benutzerkonten \u2013 Mehrfaktor-Authentifizierung, Rechtebeschr\u00e4nkung, Passwortregeln. Die Perimeterinfrastruktur selbst, also Firewall und VPN-Gateway, wird dabei als Schutz gedacht und selten als Ziel. Genau dort h\u00e4ufen sich aber die schwerwiegenden Schwachstellen.<\/p>

Zero Trust dreht die Ausgangsfrage um. Statt zu fragen, wo jemand steht, wird gefragt, ob dieser Zugriff jetzt, von diesem Ger\u00e4t, f\u00fcr diese Ressource gerechtfertigt ist \u2013 und zwar bei jeder Anfrage neu. Drei Leitgedanken tragen das: Assume Breach<\/em>, also die Annahme, dass jemand bereits drin ist; Least Privilege<\/em>, also so wenig Rechte wie irgend m\u00f6glich; und Earned Trust<\/em>, also Vertrauen, das erarbeitet und nicht vorausgesetzt wird.<\/p>

Der Satz, der mir davon am l\u00e4ngsten h\u00e4ngen geblieben ist, klingt zun\u00e4chst \u00fcbertrieben: Bereits die M\u00f6glichkeit, einem System \u00fcberhaupt ein Paket zu schicken, um sich dort anzumelden, ist ein Privileg. Das ergibt Sinn, sobald man sich ansieht, wie viele kritische L\u00fccken den Anmeldemechanismus schlicht umgehen. Dann n\u00fctzt die beste Authentifizierung nichts \u2013 erreichbar zu sein ist bereits das Problem.<\/p>

Ehrlich bleiben muss man trotzdem: Zero Trust sch\u00fctzt vor allem Vertraulichkeit und Integrit\u00e4t, und das gelegentlich auf Kosten der Verf\u00fcgbarkeit. Wer alles st\u00e4ndig pr\u00fcft, baut zus\u00e4tzliche Stellen ein, an denen etwas ausfallen kann. Ein Restrisiko bleibt bei jedem Konzept.<\/p>

Leseempfehlungen<\/h3>