Key Takeaways

1. Zero Trust bedeutet für Behörden: granulare Zugriffskontrolle, Identitätsmanagement und kontinuierliche Überprüfung statt einmaliger Eingangskontrolle.
2. Auslöser ist die veränderte Bedrohungslage. Phishing, Identitätsdiebstahl und Spionage über Messenger haben das Risiko durch kompromittierte Identitäten erhöht.
3. Yona Raekow vom BSI betont: Zero Trust ist kein Big Bang, sondern ein schrittweiser Prozess.

Warum Zero Trust gerade jetzt

Yona Raekow arbeitet seit 14 Jahren beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Im Ehrenbehörde-Podcast erklärt sie, was Zero Trust ist und warum das BSI das Thema gerade aktiv vorantreibt. Auslöser ist eine Veränderung der Bedrohungslage:

"Es gibt halt immer mehr Angriffe, Phishing-Angriffe, wo Identitäten gestohlen werden, Mitarbeitende kompromittiert werden. Zuletzt hat man zum Beispiel über Signal und WhatsApp insbesondere Beamte ausspionieren wollen. Und wenn dann eine Identität mal verloren ist und in die Hände eines Angreifers gerät und der sich Zugang zu einem Behördennetz verschafft hat, kann er tun und lassen, was er will. Das ist momentan ein sehr attraktives Angriffsziel."

Raekow betont, dass es dabei nicht um Misstrauen gegenüber Mitarbeitenden geht:

"Wir gehen davon aus, dass alle Verwaltungsmenschen gute Menschen sind, die ihre Arbeit ordentlich machen wollen."

Es geht darum, was passiert, wenn Identitäten von außen kompromittiert werden.

Was sich konkret ändert: granulare Kontrolle

Aus Behördensicht bedeutet Zero Trust eine deutliche Veränderung im IT-Alltag:

"Für Behörden bedeutet das Zero-Trust-Paradigma vor allem, dass IT-Sicherheit granularer werden muss und kontinuierlicher. Weg von diesem 'wir kontrollieren einmal und dann ist jemand drin und hat Zugriff zu allem'. Ich muss genau überlegen, was darf der Mitarbeiter, wo darf der Mitarbeiter hin. Zu welcher Uhrzeit darf er es einsehen oder von welchem Ort? Darf ich aus dem Homeoffice das Gleiche machen wie im Büro?"

Wer welche Daten und Funktionen wann und von wo aus nutzen darf, wird in einem Zero-Trust-System nicht einmal geprüft, sondern fortlaufend.

Identitäten als Ausweise

Eine zentrale Komponente ist das Identitätsmanagement:

"In Identitäten gedacht werden. Jeder muss eine Art Ausweis haben, mit dem er sich dann auch ausweisen kann. Und das muss verwaltet werden, das muss organisiert werden. Prozesse müssen aufgesetzt werden, Identitäten müssen hinzugefügt werden, entfernt werden. Und die Technik dafür muss aufgebaut werden."

Das Bild: digitale Ausweise, die zeigen, wer jemand ist und was die Person darf. Dazu gehört eine kontinuierliche Verwaltung dieser Identitäten, also wer dazukommt, wer geht.

Vertrauen ja, aber nicht blind

Bei aller Kontrolle bleibt Vertrauen als Komponente erhalten:

"Wir müssen den Systemen in gewisser Weise vertrauen, aber wir sollten ihnen nicht blind vertrauen. Es muss einfach funktionieren, aber es sollten nicht alle ungehinderten Zugriff auf alles haben."

Wichtig ist dabei Auditierbarkeit:

"Eine Transparenz schaffen, wer am System dran war, wer es genutzt hat. Eine Art Auditierbarkeit herstellen, dass wir verstehen können, wenn irgendwas schief gelaufen ist, wo es schief gelaufen ist und warum."

Kein Big Bang, sondern ein Prozess

Zero Trust einzuführen ist kein einmaliger Akt:

"Zero Trust ist kein Big Bang. Wir müssen nicht morgen den Schalter umlegen und dann sind alle bei Zero Trust, sondern das ist ein schrittweiser Prozess. Man kann das Schritt für Schritt ausbauen, dass man irgendwann dahin kommt, das alles umgesetzt zu haben."

Aus Raekows Sicht haben sich nach ihrem Vortrag schon einige Behörden auf den Weg gemacht. Sie benennt aber auch ehrlich die kritischen Stimmen:

"Es kommt nicht umsonst. Es ist eine Veränderung. Es steckt viel Arbeit drin. Was kostet uns das alles? Wie viel Personal brauchen wir? Da liegt noch viel Arbeit vor uns."

Zero Trust ist kein Solo-Projekt

Ein wichtiger Punkt: Zero Trust funktioniert nicht innerhalb einer Behörde allein.

"Zero Trust ist kein Thema für eine Organisation, sondern das muss über Organisationen hinweg gedacht werden. Auch über die ganzen föderalen Schichten, die wir haben."

Das BSI arbeitet laut Raekow auf mehreren Ebenen daran: an NATO-Standardisierungen, an Referenzarchitekturen, an einem Positionspapier für die Bundesverwaltung und an Proof-of-Concepts mit konkreten Behörden.

Was Bürgerinnen und Bürger davon mitbekommen

Im besten Fall: nichts.

"Es ist eher ein Hintergrundthema. Die Infrastrukturen sind abgesichert, ohne dass es für die Bürger oder die Bürgerinnen sichtbar ist. Sondern es ist ein gutes Gefühl, dass ihre Verwaltung sicher ist."

Aus Raekows Sicht ist das auch das Ziel: Sicherheit funktioniert dann am besten, wenn niemand sie merken muss.

Häufige Fragen

Was ist Zero Trust kurz erklärt?
Ein Sicherheitsparadigma, bei dem nicht einmalig am "Eingang" geprüft wird, ob jemand zugreifen darf, sondern fortlaufend bei jeder Aktion. Statt "drin oder draußen" gilt: jede Aktion wird einzeln autorisiert.

Geht es bei Zero Trust um Misstrauen gegenüber Mitarbeitenden?
Nein. Yona Raekow betont, dass alle Verwaltungsmenschen als vertrauenswürdig gelten. Der Schutz richtet sich gegen Angreifer, die Identitäten von außen kompromittieren.

Muss eine Behörde Zero Trust auf einmal einführen?
Nein. Zero Trust ist laut Raekow ein schrittweiser Prozess, kein Big Bang. Behörden können einzelne Komponenten umsetzen und schrittweise ausbauen.

Was macht das BSI dabei?
Standardisierung, Referenzarchitekturen, ein Positionspapier für die Bundesverwaltung und Proof-of-Concepts. Das BSI arbeitet auch an internationalen Standards mit, etwa in der NATO.

Die ganze Folge anhören

Den vollständigen Podcast mit Yona Raekow gibt es auf YouTube, Spotify und Apple Podcasts.

Bist du selbst Behördenmensch?

Auf der Plattform für Behördenmenschen kannst du dich mit anderen austauschen, Antworten auf Alltagsfragen finden und Teil einer Community werden, die Wertschätzung für die Verwaltung lebt.