Zero Trust ist ein Sicherheitsmodell, das von der Annahme ausgeht, dass kein Netzwerksegment, kein Gerät und keine Identität per se vertrauenswürdig ist — auch nicht innerhalb des eigenen Unternehmensnetzes. Statt eines durch Perimeter-Firewalls verteidigten "Castle-and-Moat"-Modells wird jeder Zugriff auf jede Ressource explizit verifiziert: Identität, Geräte-Status, Standort, Tageszeit, Risiko-Score und die spezifische angefragte Ressource fließen in eine kontextabhängige Zugriffsentscheidung ein. Klassische Slogans sind "Never trust, always verify" und "Assume breach".
Eingesetzt wird Zero Trust in Unternehmen mit Cloud-Workloads, Remote-Arbeit, BYOD-Strategien und Multi-Cloud-Architekturen. Bausteine sind starke Authentifizierung (MFA, FIDO2, passwortlos), Identity-Provider (Microsoft Entra ID, Okta, Ping), Conditional Access mit Risikobewertung, Endpoint Detection and Response, Microsegmentation in Netzwerken, ZTNA-Lösungen (Zero Trust Network Access wie Zscaler Private Access, Cloudflare Access, Microsoft Entra Private Access), Least-Privilege-IAM, Just-in-Time-Privileged-Access und tiefgehende Telemetrie über SIEM- und XDR-Plattformen.
Das Problem liegt in der Schwäche perimeterbasierter Sicherheit. Klassische Modelle gehen davon aus, dass Angreifer "außen" und Mitarbeiter "innen" sind. In modernen IT-Landschaften — Cloud, Remote Work, Lieferantenzugriffe — verschwimmt diese Grenze; einmal kompromittierte Endpunkte oder Konten erhalten in einem Castle-and-Moat-Modell oft umfassenden Lateral-Movement-Spielraum. Zero Trust adressiert dies durch konsequente Mikrosegmentierung, kontextbasierte Zugriffe und kontinuierliche Verifikation.
Historisch wurde der Begriff 2010 von John Kindervag (damals Forrester Research) geprägt. Google hat mit dem Projekt "BeyondCorp" (öffentlich beschrieben ab 2014) ein produktives Zero-Trust-Modell für seine Mitarbeitenden umgesetzt; das US-amerikanische NIST hat 2020 die "Zero Trust Architecture" (Special Publication 800-207) veröffentlicht, die heute als zentrale Referenz gilt. Das US-Executive-Order 14028 (Mai 2021) hat Zero Trust für Bundesbehörden vorgeschrieben und damit den Begriff in den Mainstream gehoben. Microsoft, Google und andere Anbieter haben ihre Sicherheitsproduktlinien seither stark unter dem Zero-Trust-Label organisiert.
Googles BeyondCorp begann 2009 als Reaktion auf "Operation Aurora" — eine erfolgreiche, China zugeschriebene Cyber-Attacke gegen Google und mehrere andere Unternehmen, die 2010 öffentlich wurde.
Zero Trust gehört bei bluehands zur Kern-Domäne. Gerade im industirellen Umfeld und kritischer Infrastruktur müssen Zero Trust Konzepte umgesetzt werden, für die wir bei unserem Kunden Siemens Lösungen implementieren.