Zero Trust ist ein Architekturprinzip, ein Betriebsmodell, ein Führungsphilosophie, das davon ausgeht, dass kein Zugriff per se vertrauenswürdig ist. Jede Entscheidung basiert auf Identität, Kontext und einer kontinuierlichen Bewertung der Situation. Zero Trust schafft Entscheidungs- und Handlungsfähigkeit. Es bildet die Basis für Resilienz. «Sicherheit» als erwünschter Nebeneffekt, sozusagen.
Zero Trust ist dabei weder ein einzelnes Produkt noch eine isolierte IAM- oder Cloud-Initiative. Es ist ein durchgängiges Betriebs- und Entscheidungsmodell, das technische, organisatorische und regulatorische Anforderungen zusammenführt.
Die Grundprinzipien: Identität, Kontext und ein kontrollierter Zugang
Zero Trust stützt sich auf drei grundlegende Prinzipien:
- Jeder Zugriff wird ausdrücklich überprüft (verify explicitly)
- Jede Berechtigung nur so weit vergeben, wie sie tatsächlich notwendig ist (use least-privilege access)
- Jede Architektur geht davon aus, dass sich potenzielle Angreifer bereits im System befinden könnten (assume breach)
Diese Logik verändert die Art, wie Sicherheitsentscheide getroffen werden. Nicht mehr der Standort eines Geräts oder das Netzwerk, in dem sich ein Benutzer befindet, sind ausschlaggebend, sondern Faktoren wie die Identität, die Integrität des Geräts, der geografische Kontext oder Hinweise auf ungewöhnliches Verhalten. Moderne Capabilities wie MFA, Conditional Access oder Risikoanalysen im Hintergrund ergänzen diesen Ansatz, indem sie jeden Zugriff neu bewerten, anstatt einmalige Login‑Entscheide zu treffen.
Der Workplace als Ausgangspunkt – aber nicht als Begrenzung
Für viele Organisationen ist der Workplace der richtige Einstiegspunkt – nicht, weil er einfach zu managen ist, sondern weil er die grösste Kontrolle über Identitäten, Geräte und Zugriffe ermöglicht. Der Workplace bietet dabei zwei entscheidende Vorteile. Zum einen kommen hier zentrale Zero-Trust-Kernelemente zusammen: Identität, Gerät und Zugriff sind direkt miteinander verknüpft – genau dort, wo Zero Trust greift. Zum anderen bleibt die Komplexität überschaubar. Im Gegensatz zu gewachsenen Backend-Strukturen oder verteilten Applikationslandschaften kann der Workplace weitgehend konsistent und gezielt gesteuert werden.
Damit wird Zero Trust konsequent umgesetzt. Ein moderner Workplace trifft Zugriffsentscheidungen nicht nur einmalig beim Login, sondern bewertet kontinuierlich, ob ein Zugriff weiterhin gerechtfertigt ist. Identitäten werden laufend bewertet, Gerätezustände fliessen in die Entscheidungen ein und Zugriffe werden kontextbasiert gewährt oder eingeschränkt. Meldet sich beispielsweise ein Benutzer plötzlich von einem unbekannten Gerät aus einem anderen Land an, bewertet ein Zero-Trust-Modell diese Situation neu – und kann zusätzliche Verifikation verlangen oder den Zugriff einschränken. Das Zero‑Trust‑Framework reicht aber weit über den Arbeitsplatz hinaus. Es bildet die Grundlage für ein durchgängiges Sicherheitsmodell, das Daten, Infrastruktur, Cloud‑Dienste und Netzwerk einschliesst. Gerade im Banking- und Versicherungsumfeld, wo regulatorische Anforderungen hoch und digitale Ökosysteme komplex sind, funktioniert Zero Trust optimal, wenn alle Ebenen miteinander verzahnt sind.
Drei Entscheide, die über Erfolg oder Misserfolg entscheiden
Wer diese Klarheit nutzen will, sollte drei Entscheide aktiv treffen. Erstens: klares Ownership. Wer entscheidet, wenn ein bedingter Zugriff einen Mitarbeitenden blockiert? Definierte Zuständigkeiten zwischen Security, IT-Betrieb, Compliance und Business machen Zero Trust steuerbar und verhindern, dass Ausnahmen stillschweigend zur Regel werden.
Zweitens: eine bewusste Priorisierung zwischen Sicherheit, Nutzererlebnis und Geschwindigkeit. Das ist eine Führungsentscheidung, keine technische. Kritische Kernsysteme dürfen mehr Reibung erzeugen als ein Self-Service-Portal, aber diese Differenzierung muss aktiv gesetzt werden und nicht zufällig entstehen.
Drittens: ein ehrlicher Umgang mit technischen Schulden. Zero Trust macht diese sicht- und priorisierbar. Das gibt Finanzinstituten damit erstmals ein strukturiertes Instrument, um langjährige Altlasten gezielt anzugehen.
Resilienz entsteht durch Klarheit
Inventx versteht Zero Trust deshalb nicht als einmaliges Migrationsprojekt, sondern als fortlaufenden Betriebsmodus, der technische Exzellenz mit organisatorischer Reife verbindet. Zero Trust verbessert dabei nicht nur die Sicherheitslage. Es schafft Transparenz über Verantwortlichkeiten, erhöht die Nachvollziehbarkeit von Zugriffen, reduziert operative Unsicherheit und erleichtert die kontrollierte Integration neuer digitaler Services. Sicherheit war nie ein Zustand. Sie ist eine Praxis und Zero Trust macht daraus ein Prinzip, das Finanzinstitute jeden Tag ein Stück widerstandsfähiger macht.
Machen Sie sich Gedanken über Zero Trust in der Workplace-Umgebung oder möchten das Prinzip in ihrem Betrieb gerne ausweiten? Kontaktieren Sie uns!
