Die Grundprinzipien von Zero Trust
Zero Trust ist kein einzelnes Produkt und keine Software, die man installieren kann — es ist ein strategisches Sicherheitskonzept, das auf einer einfachen Überzeugung beruht: Vertrauen muss immer verdient werden und niemals vorausgesetzt. In einer herkömmlichen Netzwerkarchitektur galt lange Zeit das Modell einer festen Perimeterverteidigung: Wer einmal den Wall des Firmennetzwerks überwunden hatte, galt als vertrauenswürdig und konnte sich weitgehend frei im internen Netz bewegen. Diese Annahme ist in einer Arbeitswelt, in der Mitarbeiter von Café-WLANs aus auf Unternehmenssysteme zugreifen, nicht länger haltbar. Zero Trust kehrt dieses Denken um: Jede Verbindung, jedes Gerät und jeder Benutzer wird grundsätzlich als potenziell unsicher eingestuft, bis der Gegenbeweis erbracht ist.
Die drei tragenden Säulen von Zero Trust lassen sich wie folgt zusammenfassen: Erstens die kontinuierliche Verifikation — nicht nur beim login, sondern während der gesamten Sitzungsdauer wird der Vertrauensstatus immer wieder geprüft. Zweitens das Prinzip der minimalen Berechtigung: Benutzer und Geräte erhalten nur die Zugriffsrechte, die sie zwingend benötigen, und keinen mehr. Drittens die Annahme, dass ein Verstoß jederzeit eintreten kann: Die Netzwerkarchitektur wird so gestaltet, dass der Kompromittierung eines einzelnen Geräts oder Kontos nicht das gesamte Netzwerk zum Opfer fällt. Diese Prinzipien sind besonders relevant für Remote-Access-Szenarien, in denen der physische Netzwerkperimeter keine Rolle mehr spielt.
Wie der FortiVPN Client Zero Trust umsetzt
Der FortiVPN Client ist nicht lediglich ein VPN-Tunnel-Programm, sondern ein zentraler Baustein einer Zero-Trust-Strategie. Seine Integration in professionelle Firewall-Systeme ermöglicht es, dass jede Remote-Verbindung dieselben strengen Sicherheitsrichtlinien durchläuft, die auch für lokale Verbindungen im Büro gelten. Anstatt dem entfernten Gerät nach erfolgreicher Authentifizierung freien Zugang zum gesamten Netzwerk zu gewähren, arbeitet der FortiVPN download mit der zugrundeliegenden Firewall zusammen, um Zugriffsbeschränkungen granular und in Echtzeit durchzusetzen. Dadurch wird sichergestellt, dass auch innerhalb des VPN-Tunnels das Prinzip der minimalen Berechtigung konsequent angewendet wird.
Ein Kernelement dieser Umsetzung ist der erzwungene Tunnel-Modus. Statt einen Split-Tunnel zu erlauben, bei dem ein Teil des Datenverkehrs unverschlüsselt das lokale Netz passiert, leitet der FortiVPN Client den gesamten Datenverkehr durch den verschlüsselten Tunnel an die Firewall weiter. Erst dort werden die Sicherheitsrichtlinien angewendet — Intrusion Prevention, Web-Filtering, Application Control und Antiviren-Scans finden statt, bevor die Daten überhaupt das interne Netz erreichen. Dieses Vorgehen entspricht exakt der Zero-Trust-Forderung, dass kein Datenverkehr vertrauenswürdig ist, solange er nicht geprüft wurde.
Weiterhin unterstützt der FortiVPN Client automatische Wiederverbindung mit anschließender erneuter Authentifizierung. Bei einem Verbindungsabbruch — sei es durch einen kurzzeitigen Netzwerkausfall oder einen Towerswechsel bei mobiler Nutzung — wird der Tunnel nicht einfach wiederhergestellt. Der Client authentifiziert sich erneut, und die Firewall überprüft die aktuellen Sicherheitsrichtlinien, bevor die Verbindung wieder freigegeben wird. Dieser Ansatz verhindert, dass eine unterbrochene Sitzung als Einfalltor für unbefugten Zugriff genutzt werden kann.
Identitätsverifizierung und Authentifizierung
In einer Zero-Trust-Architektur kommt der Identitätsverifizierung eine Schlüsselrolle zu. Der FortiVPN Client unterstützt ein breites Spektrum an Authentifizierungsmethoden, die sich flexibel in bestehende Identitätsinfrastrukturen einfügen. Die grundlegende Authentifizierung über Active Directory oder LDAP ermöglicht es, Unternehmensanmeldeinformationen direkt für den VPN-Zugang zu nutzen. Für höhere Sicherheitsstufen stehen RADIUS-basierte Verfahren und zertifikatsbasierte Authentifizierung zur Verfügung, bei denen jedes Gerät über ein eindeutiges digitales Zertifikat verfügen muss, bevor eine Verbindung zugelassen wird.
Besonders hervorzuheben ist die Unterstützung für Zwei-Faktor-Authentifizierung (2FA) und mehrstufige Authentifizierung (MFA). Die Kombination aus einem bekannten Faktor — etwa dem Passwort — und einem besessenen Faktor — wie einem Token oder einer mobilen Authenticator-App — macht es Angreifern erheblich erschwert, mit gestohlenen Anmeldedaten in das Netzwerk einzudringen. Im Zero-Trust-Kontext ist MFA keine optionale Ergänzung, sondern eine zwingende Anforderung: Jede Identität muss durch mehrere unabhängige Beweise verifiziert werden, bevor ihr auch nur der minimale Zugriff gewährt wird.
Über die Erstauthentifizierung hinaus ermöglicht die Firewall-Integration eine kontinuierliche Überwachung der Identität während der gesamten Sitzungsdauer. Auffällige Verhaltensmuster — etwa ein gleichzeitiger login von zwei weit voneinander entfernten Standorten oder ungewöhnliche Zugriffszeiten — können automatisch dazu führen, dass die Sitzung unterbrochen und eine erneute Authentifizierung angefordert wird. Dieses Prinzip der kontinuierlichen Verifikation ist ein Kernbestandteil von Zero Trust, der über den reinen VPN-Zugang hinausgreift.
Granulare Zugriffskontrolle
Zero Trust bedeutet nicht nur „vertraue niemandem", sondern auch „gewähre nur das Nötigste". Der FortiVPN Client setzt dieses Prinzip durch eine enge Verzahnung mit der Firewall-Infrastruktur um. Administratoren können Zugriffsrichtlinien definieren, die weit über ein einfaches „Alles erlauben" oder „Alles verbieten" hinausgehen. Basierend auf der Benutzeridentität, der Gruppenzugehörigkeit, dem verwendeten Gerät und dem Verbindungsort können differenzierte Regeln erstellt werden, die genau festlegen, welche Ressourcen und Dienste für wen zugänglich sind.
So kann beispielsweise eine Marketingabteilung über den VPN-Tunnel ausschließlich auf das Corporate Design-System und die Projektmanagement-Plattform zugreifen, während die Finanzabteilung gleichzeitig Zugriff auf das Buchhaltungssystem und die steuerrelevanten Dokumentenspeicher erhält. Development-Teams wiederum können auf Build-Server und Code-Repositories gelenkt werden, ohne dass andere Abteilungen diese Systeme überhaupt sehen können. Diese Feingranularität verhindert laterale Bewegung — eines der wichtigsten Ziele von Zero Trust — und begrenzt den Schaden, den ein kompromittiertes Konto anrichten kann, auf einen minimalen Bereich.
Zusätzlich können Zeitfenster definiert werden: Zugriffsrechte lassen sich auf Arbeitszeiten einschränken, sodass внеhalb dieser Zeiten auch mit gültigen Anmeldeinformationen keine VPN-Verbindung möglich ist. Zeitbasierte Richtlinien sind ein weiterer Baustein des Minimalprivilegienprinzips und reduzieren die Angriffsfläche beträchtlich, insbesondere für Konten mit erhöhten Berechtigungen.
Device-Posture-Überprüfung
Ein Zero-Trust-Modell betrachtet nicht nur die Identität des Benutzers, sondern auch den Zustand des Geräts, von dem aus die Verbindung hergestellt wird. Die Device-Posture-Überprüfung — auf Englisch „Device Posture Checking" — ist eine Funktion, bei der der FortiVPN Client zusammen mit der Firewall den Sicherheitsstatus des Endgeräts bewertet, bevor eine VPN-Verbindung überhaupt zugelassen wird. Diese Bewertung umfasst mehrere Kriterien: Ist ein aktueller Virenscanner installiert und aktiv? Wurde das Betriebssystem mit den neuesten Sicherheitsupdates versorgt? Ist die persönliche Firewall auf dem Gerät aktiviert? Wurde eine Festplattenverschlüsselung eingerichtet?
Je nach Ergebnis der Überprüfung kann die Firewall unterschiedliche Zugriffsstufen zuweisen. Ein Gerät, das alle Anforderungen erfüllt, erhält vollen Zugang zu den ihm zugewiesenen Ressourcen. Fehlt beispielsweise das neueste Sicherheitsupdate, kann der Zugriff auf ein kompensatorisches Netzwerksegment beschränkt werden, in dem das Update nachinstalliert werden kann, bevor der volle Zugriff freigeschaltet wird. Ein Gerät ohne aktiven Virenscanner kann gänzlich vom VPN-Zugang ausgeschlossen werden. Diese dynamische Reaktion auf den Gerätezustand ist ein Grundpfeiler von Zero Trust: Selbst ein authentifizierter Benutzer mit korrekten Anmeldeinformationen erhält keinen Zugriff, wenn sein Gerät nicht den definierten Sicherheitsstandards entspricht.
Die Device-Posture-Überprüfung schützt nicht nur das Unternehmensnetzwerk vor gefährdeten Geräten, sondern bietet auch dem Endbenutzer einen klaren Anreiz, sein Gerät aktuell und sicher zu halten. Anstatt den Zugang pauschell zu verweigern und den Benutzer ratlos zurückzulassen, kann das System gezielte Hinweise und Korrekturmaßnahmen anbieten, die den Benutzer durch die Behebung der Mängel führen.
Mikrosegmentierung mit VPN
Mikrosegmentierung ist die logische Konsequenz des Zero-Trust-Prinzips auf Netzwerkebene: Anstatt das interne Netzwerk als eine vertrauenswürdige Zone zu behandeln, wird es in kleine, isolierte Segmente unterteilt, zwischen denen strikte Zugriffskontrollen gelten. Der FortiVPN Client spielt in diesem Konzept eine entscheidende Rolle, da er nicht nur den Transportweg verschlüsselt, sondern in Verbindung mit der Firewall auch bestimmt, welches Segment erreicht werden darf.
Wenn sich ein Remote-Benutzer über den FortiVPN Client verbindet, ordnet die Firewall ihn basierend auf seiner Identität und seinem Geräteprofil einem spezifischen Netzwerksegment zu. Diese Zuweisung erfolgt dynamisch und ist nicht an feste IP-Adressen gebunden. Ein Buchhalter wird automatisch in das Finanzsegment geleitet, ein Entwickler in das Engineering-Netz, und ein externer Dienstleister erhält Zugang zu einem speziell dafür vorgesehenen isolierten Bereich. Die Kommunikation zwischen den Segmenten wird durch Firewall-Regeln kontrolliert, die den Datenverkehr auf das notwendige Maß reduzieren.
Diese Architektur verhindert effektiv die laterale Ausbreitung von Bedrohungen. Selbst wenn ein Angreifer einenRemote-Zugang kompromittieren sollte, ist er auf das Segment beschränkt, das dem betroffenen Konto zugeordnet ist. Der Sprung von einem kompromittierten Endgerät auf sensible Server in anderen Segmenten wird durch die Mikrosegmentierung blockiert. In Kombination mit der kontinuierlichen Überwachung verdächtiger Aktivitäten entsteht ein mehrschichtiges Sicherheitssystem, das den Zero-Trust-Ansatz auf allen Ebenen konsequent umsetzt — von der Identitätsprüfung über die Gerätesicherheit bis hin zur Netzwerksegmentierung.
