Zero-Trust-Zugriff

Das VPN durch Zero-Trust-Zugriff ersetzen

Das VPN wurde entworfen, um das Büronetz bis nach Hause zu verlängern. Es erledigt schlecht eine Aufgabe, die man ihm ursprünglich gar nicht gestellt hat: Dutzenden von Personen, Geräten und Dienstleistern einen bemessenen Zugang zu wenigen Anwendungen zu geben. So ersetzen wir es, ohne den Rest des Netzwerks anzurühren.

Die Herausforderung

Das Problem ist nicht der Tunnel, sondern was er öffnet

Ein VPN authentisiert einmal und stellt die Person dann ins Netzwerk. Ab da hängt es vom internen Filtern ab, was erreichbar ist — was in der Praxis viel heisst. Ein kompromittiertes privates Gerät, ein Dienstleisterkonto mit geleaktem Passwort, und der Angreifer steht dort, wo eine Person im Büro steht.

Dazu kommen alltägliche Probleme: Der Konzentrator wird zum unumgänglichen Nadelöhr, das zu Spitzenzeiten überlastet ist, SaaS-Anwendungen laufen unnötig über den Hauptsitz, und niemand kann genau sagen, wer worauf zugegriffen hat.

Das Zero-Trust-Modell kehrt die Regel um: Standardmässig ist nichts erreichbar, der Zugriff wird Ressource für Ressource gewährt, bei jeder Verbindung, unter Prüfung von Identität und Gerätezustand. Unsere Aufgabe ist es, diesen Wechsel schrittweise zu führen und das VPN als Rückfallebene zu behalten, bis sich der neue Weg bewährt hat.

Was auf dem Spiel steht

Ein kompromittierter Fernzugriff öffnet das gesamte Netzwerk
Private und Dienstleistergeräte unverwaltet im internen Netz
Konzentrator zu Spitzenzeiten überlastet
Keine feingliedrige Nachvollziehbarkeit, wer welche Anwendung erreicht hat
Dienstleisterkonten lange nach Mandatsende noch aktiv

Schema

Ein offener Tunnel — oder eine Entscheidung je Ressource

Das VPN authentisiert und lässt danach das Netzwerk erreichbar; Zero Trust bewertet Identität und Gerätezustand bei jeder Anfrage und öffnet nur die betroffene Ressource.

Unser Vorgehen

Wie wir vorgehen

Eine Umstellung in Wellen, Anwendung für Anwendung, mit dem VPN als Rückfallebene bis zum Schluss.

Erhebung der Nutzung

Wer verbindet sich von aussen, auf welche Anwendungen, von welchen Geräten — verwaltet oder nicht. Diese Liste bestimmt den Umfang des Vorhabens, nicht die Zahl der Personen.

Zugriffsrichtlinien

Festlegung der Regeln je Ressource: welche Gruppen, welche Identitätsbedingungen, welche Anforderungen an den Gerätezustand (Verschlüsselung, Patchstand, aktiver Schutz) — und was ausserhalb bleibt.

Einführung des Zugriffsvermittlers

Aufbau der ZTNA-Komponente und Anbindung an Verzeichnis und starke Authentisierung, ohne die Anwendungen direkt im Internet zu exponieren.

Umstellung in Wellen

Migration Anwendung für Anwendung, beginnend mit einer Pilotgruppe. Das VPN bleibt als Rückfallebene verfügbar und wird erst zurückgebaut, wenn die letzte Welle durch und bewährt ist.

Kontrolle und Betrieb

Bestätigung der Richtlinien durch einen Penetrationstest, Anbindung der Protokolle an die Überwachung und periodische Überprüfung der Zugriffe — besonders jener der Dienstleister.

Eingesetzte Leistungen

Mehrere Disziplinen, eine Ansprechperson

Richtlinien entwerfen, die Komponente einführen und prüfen, dass sie hält: Entwurf und offensive Bestätigung liegen in derselben Hand.

Cybersecurity-Lösungen Penetrationstest SOC Audit & Advisory GRC

Ergebnisse

Erhebung der Fernzugriffe und der betroffenen Anwendungen
Dokumentierte Zugriffsrichtlinien, Ressource für Ressource
Zero-Trust-Zugriffsvermittler eingeführt und ans Verzeichnis angebunden
Plan für die Umstellungswellen und den Rückbau des VPN
Bericht des Penetrationstests zum neuen Dispositiv

Häufige Fragen

Nein, und genau das ist der Reiz des Vorgehens. ZTNA setzt sich vor die Anwendungen, ohne die bestehende Segmentierung zu verändern. Es ist ein Zugriffs-, kein Infrastrukturvorhaben — es kann einer Netzwerkerneuerung sogar vorausgehen und sie vereinfachen.

Sie werden ausdrücklich behandelt statt geduldet. Je nach Ressource kann ein verwaltetes Gerät verlangt, nur lesender Zugriff gewährt oder über eine isolierte Umgebung geleitet werden. Genau das kann ein VPN nicht ausdrücken.

Ja. Manche Bedürfnisse — Netzwerkadministration, alte Protokolle, Industriestandorte — vertragen sich schlecht mit ZTNA. Ziel ist, das VPN auf diese Restfälle zu verkleinern, nicht es aus Prinzip abzuschaffen.

Der Pilot steht in wenigen Wochen. Die vollständige Umstellung hängt von der Zahl der Anwendungen und vom Tempo ab, das Ihre Teams verkraften: Wir gliedern sie in Wellen, damit keine davon blockiert.

Öffnet Ihr VPN mehr als nötig?

Eine Erhebung der Fernzugriffe genügt, um den Abstand zwischen dem Geöffneten und dem Nötigen zu messen.

Kontakt aufnehmen