Zero Trust: Geräte-Check wird Pflicht für Behörden ( Finanztrends)

Neue Sicherheitsarchitektur macht Zugang nur noch von autorisierten Endgeräten möglich – ein Paradigmenwechsel im Kampf gegen Phishing-Angriffe.

Die Ära, in der ein Passwort und ein Code ausreichten, um sich in behördliche Netze einzuloggen, geht zu Ende. Auf der Fachkonferenz Zero Trust World stellten Cybersicherheits-Experten diese Woche eine entscheidende Weiterentwicklung vor: Der Zugang zu Netzwerken und Cloud-Diensten wird künftig nur noch von explizit freigegebenen Geräten aus möglich sein. Diese device-basierte Verifizierung wird zur obligatorischen dritten Säule neben Benutzername und Passwort. Hintergrund ist eine ernüchternde Erkenntnis: Herkömmliche Multi-Faktor-Authentifizierung (MFA) hält modernen, KI-gestützten Phishing-Angriffen oft nicht mehr stand.

Anzeige

Während neue Sicherheitsarchitekturen den Zugriff auf Netzwerke schützen, bleiben Phishing-Angriffe eine der größten Gefahren für die Integrität von Unternehmensdaten. Dieser Experten-Guide zeigt Ihnen branchenspezifische Gefahren und liefert eine konkrete 4-Schritte-Anleitung zur erfolgreichen Hacker-Abwehr. In 4 Schritten zur erfolgreichen Hacker-Abwehr: So schützen Sie Ihr Unternehmen vor Phishing

Drei Hürden statt zwei: So funktioniert die neue Architektur

Das Prinzip ist einfach, aber wirkungsvoll: Ein Zugriff wird standardmäßig verweigert. Nur wenn drei Bedingungen gleichzeitig erfüllt sind, öffnet sich die Tür. Der Nutzer muss erstens gültige Anmeldedaten haben, zweitens von einem vorab genehmigten Endgerät aus agieren und drittens eine Verbindung über einen gesicherten, verwalteten Broker herstellen. Fehlt ein Element, bleibt der Zugang gesperrt.

„Gestohlene Zugangsdaten sind ohne das physische Gerät wertlos“, erklärten Vertreter des Anbieters ThreatLocker, der eine entsprechende Plattform erweitert hat. Für Behörden, die hochsensible Bürgerdaten verwalten, ist dies ein robustes Verteidigungssystem. Es verhindert, dass sich Angreifer, selbst mit korrekten Passwörtern und Einmal-Codes, lateral in den Netzwerken bewegen können.

Warum klassische Zwei-Faktor-Authentifizierung nicht mehr reicht

Jahrelang galt MFA als sicherer Schutzschild gegen Identitätsdiebstahl. Doch die Angreifer haben sich angepasst. Sie nutzen täuschend echte, KI-generierte Phishing-Websites, die Passwörter und die dazugehörigen Einmal-Codes in Echtzeit abfangen. Ist dieser Code erst einmal in den Händen der Kriminellen, können sie sich unerkannt in Systeme einloggen – auch in denen von Ministerien oder Kommunen.

Da Mitarbeiter im öffentlichen Dienst besonders häufig Ziel solcher Social-Engineering-Angriffe sind, stellt das Vertrauen auf menschliche Wachsamkeit und einfache MFA-Protokolle ein enormes Risiko dar. Die Integration der Gerätevalidierung setzt genau hier an. Sie stellt sicher, dass die Zugriffsberechtigung an einen spezifischen, vertrauenswürdigen Endpunkt gebunden ist. Eine simple, aber entscheidende Erkenntnis: Zugangsdaten können aus der Ferne gestohlen werden – ein autorisiertes physisches Gerät zu duplizieren, ist ungleich schwieriger.

Einklang mit Vorgaben von BSI und CISA

Der Trend hin zu umfassenden Zero-Trust-Architekturen steht im Einklang mit den Richtlinien internationaler Cybersicherheitsbehörden. In den USA treibt die Cybersecurity and Infrastructure Security Agency (CISA) ihr Zero Trust Maturity Model voran. Sie empfiehlt zwar phishing-resistente MFA-Standards wie FIDO oder WebAuthn, räumt aber praktische Hürden bei der flächendeckenden Einführung ein. Von SMS-basierter Authentifizierung rät CISA aufgrund von Risiken wie SIM-Swapping ab.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont in seinen Zero-Trust-Leitlinien die kontinuierliche Verifizierung und strikte Zugangskontrollen. Die Behörde fordert eine lückenlose Inventarisierung der IT-Infrastruktur und bedarfsgerechte Zugriffsrichtlinien für alle staatlichen Ebenen. Die neuen gerätebasierten Verifikationssysteme unterstützen diese Vorgaben. Sie helfen Behörden, das Prinzip der geringsten Rechte durchzusetzen und gleichzeitig strenge nationale Sicherheitsanforderungen zu erfüllen.

Anzeige

Moderne Sicherheitsstrategien müssen heute weit über einfache Passwörter hinausgehen, um aktuellen Bedrohungen und gesetzlichen Anforderungen gerecht zu werden. Dieser kostenlose Experten-Report enthüllt effektive Strategien zur Stärkung Ihrer IT-Sicherheit, ohne dass dabei Ihr Budget explodiert. Wie mittelständische Unternehmen sich gegen Cyberkriminelle wappnen

Paradigmenwechsel: Vom „Wer“ zum „Wie“ und „Womit“

Die Entwicklungen markieren einen philosophischen Wandel in der IT-Sicherheit. Stand jahrelang die Identität des Nutzers im Mittelpunkt, erweitert sich der Fokus nun auf das Gerät und den Kontext jeder einzelnen Verbindung. Diese Evolution ist für den öffentlichen Sektor mit seinen komplexen Hybridumgebungen aus alten Legacy-Systemen und modernen Cloud-Diensten besonders wichtig.

Eine einheitliche Zero-Trust-Plattform, die Anwendungen, Endgeräte, Netzwerke und Speicher umfasst, kann den Verwaltungsaufwand erheblich reduzieren. Zudem lindert die Konsolidierung der Kontrollen in einem System die Alert Fatigue bei Sicherheitsteams. Die „Standardmäßig-Verweigern“-Logik blockiert anomales Verhalten proaktiv, anstatt auf reaktive Bedrohungserkennung zu setzen. Für Behörden, die sich Ausfallzeiten oder einen Vertrauensverlust nach einem Datenleck nicht leisten können, ist diese proaktive Haltung essenziell.

Ausblick: Gerätevalidierung wird zum neuen Standard

Die Integration von Gerätechecks mit phishing-resistenter MFA wird sich zum Basissstandard in der Behördensicherheit entwickeln. Regulierungsbehörden werden die Fristen zur Abschaffung anfälliger Authentifizierungsmethoden vorausschärfen.

In den kommenden Jahren müssen sich öffentliche Organisationen von reinen Compliance-Checklisten hin zu maßgeschneiderten, asset-fokussierten Zero-Trust-Strategien bewegen. Die fortschreitende Entwicklung KI-gestützter Cyberbedrohungen erfordert Architekturen, die von einer bereits erfolgten Kompromittierung ausgehen und jede Variable überprüfen. Letztlich wird der Wandel zu ganzheitlichen Zero-Trust-Plattformen Behörden die Widerstandsfähigkeit geben, um kritische Infrastrukturen zu schützen – selbst dann, wenn Zugangsdaten in falsche Hände geraten.

Christian Drastil: Wiener Börse Plausch

Zertifikate Party Österreich: Countdown-Finale mit Eusipa-Präsidentin Heike Arbter (noch 1 Tag bis zum 20. Zertifikate Award 2026)

Bildnachweis

1. Trading

Random Partner

---

Frequentis
Frequentis mit Firmensitz in Wien ist ein internationaler Anbieter von Kommunikations- und Informationssystemen für Kontrollzentralen mit sicherheitskritischen Aufgaben. Solche „Control Center Solutions" entwickelt und vertreibt Frequentis in den Segmenten Air Traffic Management (zivile und militärische Flugsicherung, Luftverteidigung) und Public Safety & Transport (Polizei, Feuerwehr, Rettungsdienste, Schifffahrt, Bahn).

>> Besuchen Sie 55 weitere Partner auf boerse-social.com/partner

 Latest Blogs

» ATX-Trends: AT&S, Erste Group, RBI, VIG, Asta Energy ...

» Deutsche Bank X-markets: Aufstieg und Ende eines Zertifikate-Schwergewic...

» SpaceX-IPO: Warum österreichische Banken schweigen müssen – und deutsche...

» ATX verteidigt die 6000-Punkte-Marke und startet Erholungsmove (Podcast)

» Börsegeschichte 9.6.: George Soros (Börse Geschichte) (BörseGeschichte)

» Nachlese: Axel Schmidt Deutsche Börse Frankfurt, Thomas Bobek (audio cd.at)

» PIR-News: Deal bei Strabag, neue Post-Lösung, höheres Kursziel für Erste...

» Wiener Börse Party #1173: ATX wieder stärker, die 6000 haben zunächst ge...

» Wiener Börse zu Mittag fester: AT&S, Bajaj Mobility und Erste Group gesucht

» Börse-Inputs auf Spotify zu u.a. ZFA, Philipp Pölzl, Paypal