Kontinuierliche Validierung und Überwachung

Zero Trust endet nicht mit der Authentifizierung. Zugriffsentscheidungen müssen während der gesamten Sitzung auf Grundlage von Echtzeit-Risikosignalen kontinuierlich neu bewertet werden. Eine um 9 Uhr vertrauenswürdige Sitzung kann um 9:05 Uhr nicht mehr vertrauenswürdig sein, wenn das Gerät kompromittiert wurde.

Signale für die kontinuierliche Überprüfung:

• Änderungen des Compliance-Status eines Geräts (EDR-Warnung, fehlgeschlagenes Update)
• Anomalien im Benutzerverhalten (ungewöhnliche Zugriffszeit, ungewöhnliches Volumen)
• Standortänderung (unmögliche Reise)
• Netzwerk-Threat-Intelligence (C2-Kommunikation erkannt)
• Anomalien beim Anwendungszugriff

Adaptive Authentifizierung passt die Authentifizierungsanforderungen dynamisch an das Risiko an. Bei risikoarmem Zugriff (bekanntes Gerät, normale Arbeitszeit) → keine zusätzlichen Hürden. Bei Hochrisikosignalen → erneute Authentifizierung oder zusätzliche MFA-Stufe erforderlich. Kontextbewusste IdPs (Okta, Azure AD) implementieren dies.

Wenn ein Risikosignal ausgelöst wird, müssen Sitzungen sofort widerrufbar sein. Implementierung:

• Kurze Token-Laufzeiten (15 Minuten) + Refresh-Tokens
• Token-Widerrufslisten
• Ungültigmachung der SSO-Sitzung beim IdP
• Erzwingen einer erneuten Authentifizierung über OIDC-Backchannel-Logout

SIEM aggregiert Logs aus allen Quellen (IdP, Endpunkt, Netzwerk, Anwendung) und korreliert Ereignisse, um Angriffe zu erkennen. Ein Zero-Trust-SIEM überwacht:

• Authentifizierungsereignisse und Anomalien
• Ausweitung von Berechtigungen
• Ungewöhnliche Datenzugriffe oder Datenexfiltration
• Verstöße gegen Richtlinien

UEBA erstellt Verhaltensbaselines für Benutzer und Entitäten und erkennt anschließend Abweichungen:

• Benutzer X greift immer aus NYC zu — Warnung bei Zugriff aus Moskau
• Ein Dienstkonto stellt nie externe Verbindungen her — Warnung, wenn es dies tut
• Anomalie beim Daten-Downloadvolumen — Warnung bei einem 100-fach höheren Download als üblich

Threat Hunting ist die proaktive Suche nach Bedrohungen, die von automatisierten Tools nicht erkannt wurden. Threat Hunter entwickeln auf Grundlage von Threat Intelligence und ATT&CK-TTPs Hypothesen und suchen anschließend in Logs nach Belegen. Sie warten nicht auf Warnungen, sondern suchen aktiv nach Angreifern, die sich in der Umgebung verborgen halten.

Ein umfassender Observability-Stack für Zero-Trust-Überwachung:

• Logs: Elasticsearch + Kibana (ELK), Splunk
• Metriken: Prometheus + Grafana
• Traces: Jaeger, Zipkin (verteiltes Tracing)
• Netzwerk: Zeek, Suricata, VPC Flow Logs

Zero Trust erstreckt sich auch auf kontinuierliche Compliance:

• CSPM-Tools prüfen Cloud-Konfigurationen kontinuierlich statt nur in regelmäßigen Abständen
• Policy as Code (OPA/Rego) setzt Compliance automatisch durch
• Drift-Erkennung warnt, wenn Konfigurationen von der Baseline abweichen

Kontinuierliche Überwachung speist die automatisierte Reaktion (SOAR):

• Kompromittiertes Gerät vom IdP isolieren → sofort jeglichen Zugriff blockieren
• Schädliche IP gleichzeitig an Firewall + CDN blockieren
• Incident-Ticket erstellen, Bereitschaftsdienst benachrichtigen, System unter Quarantäne stellen

Geschwindigkeit ist entscheidend — die automatisierte Reaktion arbeitet innerhalb von Sekunden statt innerhalb von Minuten wie bei manuellen Maßnahmen.

Messung des Fortschritts bei Zero Trust:

• % der Benutzer mit phishing-resistenter MFA
• % der Geräte mit MDM-Registrierung und Compliance
• % der Anwendungen, auf die über ZTNA statt VPN zugegriffen wird
• Mittlere Zeit bis zur Erkennung eines anomalen Zugriffs
• % des East-West-Datenverkehrs mit gegenseitigem TLS

Welches System erstellt Verhaltensbaselines für Benutzer und Entitäten, um Anomalien wie unmögliche Reisen oder ungewöhnliche Daten-Downloads zu erkennen?

Zero Trust erfordert eine kontinuierliche Überprüfung über die anfängliche Authentifizierung hinaus. Echtzeit-Risikosignale (Gerätezustand, Verhaltensanomalien, Threat Intelligence) lösen adaptive Authentifizierung oder den Widerruf von Sitzungen aus. SIEM + UEBA erkennen Angriffe; Threat Hunting findet, was die Automatisierung übersieht. SOAR automatisiert die Reaktion innerhalb von Sekunden. Verfolgen Sie den Zero-Trust-Reifegrad anhand der MFA-Abdeckung, der MDM-Registrierung und der Prozentsätze des East-West-Datenverkehrs mit mTLS.