Security-Architektur · Zero Trust
Sicherheit nach Plan, die im Audit standhält.
Sie erhalten eine Zielarchitektur mit begründeten Entscheidungen, die Ihr Team umsetzen und Prüfer nachvollziehen können. Grundlage ist Zero Trust mit Entra ID, Intune, Defender, Purview, Sentinel und Azure in der EU Data Boundary.
Beispielauszug aus einer Zielarchitektur: MFA für alle und Adminrollen nur auf Zeit, Zugriff nur von konformen Geräten, vertrauliche Daten mit Label und DLP geschützt, jeweils begründet. Eine Altanwendung bleibt vorerst im VPN, das Restrisiko ist benannt. Jede Entscheidung hat eine Begründung und ein Arbeitspaket.
- Sechs Säulen
- Zero Trust von Identität bis Netzwerk
- Kein Lock-in
- Tenant, Daten, Dokumentation bleiben bei Ihnen
- Jede Entscheidung begründet
- Nachweise für Prüfer und Versicherer
Kennen Sie das?
Wann lohnt sich eine Zielarchitektur?
Das Assessment zeigt Lücken
Sie wollen die Lücken in einer sinnvollen Reihenfolge schließen, auf ein festes Ziel hin.
Über Jahre gewachsene Umgebung
Niemand weiß, welche Regel welches Risiko abdeckt.
NIS2 oder DORA verlangt Begründung
Der Prüfer will eine dokumentierte, nachvollziehbare Architektur.
Zero Trust mit Microsoft
Wie funktioniert Zero Trust mit Microsoft?
Kein Zugriff gilt als vertrauenswürdig, nur weil er aus dem Firmennetz kommt. Jede Anfrage wird nach Identität, Gerät und Kontext geprüft, meist mit Diensten, die Sie schon lizenziert haben. Schalten Sie um und vergleichen Sie.
Zugriffsanfrage, Beispiel Eine Mitarbeiterin öffnet im Homeoffice den Finanzbericht.
-
1 Identität
Nur Passwort Entra ID, Conditional Access MFA und Anmelderisiko geprüft
-
2 Gerät
Nicht geprüft Intune, Defender for Endpoint Verwaltet und konform
-
3 Netzwerk
Im VPN gilt alles als vertraut Global Secure Access Zugang nur zu dieser Anwendung
-
4 Anwendung
Nicht geprüft Defender for Cloud Apps Sitzung wird überwacht
-
5 Daten
Nicht gekennzeichnet Purview Label Vertraulich greift
-
6 Infrastruktur
Keine zentrale Auswertung Defender for Cloud, Sentinel Gehärtet, Signale in Sentinel
-
7 Ergebnis
Zugriff auf das Firmennetz Zugriff nur auf diesen Bericht
Und mit gestohlenem Passwort? Derselbe Weg: Passwort und VPN reichen, danach ist im Netz meist alles erreichbar. Die Anfrage endet bei der Identität, weil MFA fehlt, oder beim Gerät, weil es nicht verwaltet ist. Der Versuch wird protokolliert.
Was gehört zur Zielarchitektur?
Zielarchitektur-Dokument
Soll-Zustand mit Begründung jeder Entscheidung.
Umsetzungsplan
Priorisierte Arbeitspakete für Ihr Team.
Risikobetrachtung
Welche Risiken abgedeckt sind, welche bewusst bleiben.
Technische Spezifikationen
Konkrete Vorgaben für Entra ID, Intune, Defender, Purview, Sentinel und Azure Policy.
Begleitung der Umsetzung
Beratend oder direkt in der Konfiguration.
Architektur-Review
Abgleich der Konfiguration mit der Zielspezifikation.
Wie läuft das Projekt ab?
-
2 bis 4 Wochen
Ausgangslage analysieren
Bestand, Pflichten und vorhandene Berichte als Grundlage.
-
4 bis 8 Wochen
Zielarchitektur entwerfen
Zero-Trust-Konzept je Säule, abgestimmt mit Ihrem Team.
-
2 bis 4 Wochen
Dokumentieren und übergeben
Architekturdokument und Umsetzungsplan, gemeinsam übergeben. Die Umsetzung folgt in Etappen, je nach Umfang über 12 bis 24 Monate.
Wo steht Ihre Umgebung heute?
Das Gap Assessment zeigt den Ist-Zustand, auf dem die Zielarchitektur aufsetzt.
Was ändert sich mit einer Zielarchitektur?
Ohne Zielarchitektur
- Maßnahmen entstehen einzeln als Reaktion
- Unklar, welche Regel welches Risiko abdeckt
- Belege vor jeder Prüfung zusammensuchen
- VPN und Netzgrenze als Hauptschutz
Mit Zielarchitektur
- Jede Maßnahme hat ihren Platz
- Jedes Risiko einer Säule zugeordnet
- Entscheidungen für Prüfer nachvollziehbar dokumentiert
- Jeder Zugriff nach Identität und Gerät geprüft
Häufig gestellte Fragen
Womit fängt Zero Trust in einer Microsoft-Umgebung an?
Mit der Identität: Conditional Access in Entra ID prüft jeden Zugriff anhand von Benutzer, Gerät und Kontext. Danach folgen Geräte über Intune, Anwendungen, Daten, Netzwerk und Infrastruktur.
Welche Nachweise verlangt ein Auditor zu privilegierten Zugriffen?
Wer erhöhte Rechte dauerhaft oder nur auf Antrag hat, wer genehmigt hat und wann die Rolle genutzt wurde. Privileged Identity Management in Entra ID erzeugt diese Belege im Betrieb.
Was fordert DORA von einer Exit-Strategie bei IT-Dienstleistern?
Ein geordneter Anbieterwechsel ohne Gefahr für den Betrieb. Dafür braucht es dokumentierte Architektur, jederzeitigen Zugriff auf eigene Daten und Konfigurationen und Betrieb im eigenen Tenant.
Was bedeutet Datenhoheit in Azure konkret?
Die EU Data Boundary hält Kundendaten und den Großteil der Verarbeitung in der EU, Azure Policy beschränkt Ressourcen auf erlaubte, etwa deutsche Regionen. Eine rechtliche Bewertung des Drittstaatenbezugs ersetzt das nicht.