Neue Sicherheitsarchitektur macht Zugang nur noch von autorisierten Endgeräten möglich – ein Paradigmenwechsel im Kampf gegen Phishing-Angriffe.

Die Ära, in der ein Passwort und ein Code ausreichten, um sich in behördliche Netze einzuloggen, geht zu Ende. Auf der Fachkonferenz Zero Trust World stellten Cybersicherheits-Experten diese Woche eine entscheidende Weiterentwicklung vor: Der Zugang zu Netzwerken und Cloud-Diensten wird künftig nur noch von explizit freigegebenen Geräten aus möglich sein. Diese device-basierte Verifizierung wird zur obligatorischen dritten Säule neben Benutzername und Passwort. Hintergrund ist eine ernüchternde Erkenntnis: Herkömmliche Multi-Faktor-Authentifizierung (MFA) hält modernen, KI-gestützten Phishing-Angriffen oft nicht mehr stand.

Anzeige

Während neue Sicherheitsarchitekturen den Zugriff auf Netzwerke schützen, bleiben Phishing-Angriffe eine der größten Gefahren für die Integrität von Unternehmensdaten. Dieser Experten-Guide zeigt Ihnen branchenspezifische Gefahren und liefert eine konkrete 4-Schritte-Anleitung zur erfolgreichen Hacker-Abwehr. In 4 Schritten zur erfolgreichen Hacker-Abwehr: So schützen Sie Ihr Unternehmen vor Phishing

Drei Hürden statt zwei: So funktioniert die neue Architektur

Das Prinzip ist einfach, aber wirkungsvoll: Ein Zugriff wird standardmäßig verweigert. Nur wenn drei Bedingungen gleichzeitig erfüllt sind, öffnet sich die Tür. Der Nutzer muss erstens gültige Anmeldedaten haben, zweitens von einem vorab genehmigten Endgerät aus agieren und drittens eine Verbindung über einen gesicherten, verwalteten Broker herstellen. Fehlt ein Element, bleibt der Zugang gesperrt.

„Gestohlene Zugangsdaten sind ohne das physische Gerät wertlos“, erklärten Vertreter des Anbieters ThreatLocker, der eine entsprechende Plattform erweitert hat. Für Behörden, die hochsensible Bürgerdaten verwalten, ist dies ein robustes Verteidigungssystem. Es verhindert, dass sich Angreifer, selbst mit korrekten Passwörtern und Einmal-Codes, lateral in den Netzwerken bewegen können.

Warum klassische Zwei-Faktor-Authentifizierung nicht mehr reicht

Jahrelang galt MFA als sicherer Schutzschild gegen Identitätsdiebstahl. Doch die Angreifer haben sich angepasst. Sie nutzen täuschend echte, KI-generierte Phishing-Websites, die Passwörter und die dazugehörigen Einmal-Codes in Echtzeit abfangen. Ist dieser Code erst einmal in den Händen der Kriminellen, können sie sich unerkannt in Systeme einloggen – auch in denen von Ministerien oder Kommunen.

Da Mitarbeiter im öffentlichen Dienst besonders häufig Ziel solcher Social-Engineering-Angriffe sind, stellt das Vertrauen auf menschliche Wachsamkeit und einfache MFA-Protokolle ein enormes Risiko dar. Die Integration der Gerätevalidierung setzt genau hier an. Sie stellt sicher, dass die Zugriffsberechtigung an einen spezifischen, vertrauenswürdigen Endpunkt gebunden ist. Eine simple, aber entscheidende Erkenntnis: Zugangsdaten können aus der Ferne gestohlen werden – ein autorisiertes physisches Gerät zu duplizieren, ist ungleich schwieriger.

Einklang mit Vorgaben von BSI und CISA

Der Trend hin zu umfassenden Zero-Trust-Architekturen steht im Einklang mit den Richtlinien internationaler Cybersicherheitsbehörden. In den USA treibt die Cybersecurity and Infrastructure Security Agency (CISA) ihr Zero Trust Maturity Model voran. Sie empfiehlt zwar phishing-resistente MFA-Standards wie FIDO oder WebAuthn, räumt aber praktische Hürden bei der flächendeckenden Einführung ein. Von SMS-basierter Authentifizierung rät CISA aufgrund von Risiken wie SIM-Swapping ab.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont in seinen Zero-Trust-Leitlinien die kontinuierliche Verifizierung und strikte Zugangskontrollen. Die Behörde fordert eine lückenlose Inventarisierung der IT-Infrastruktur und bedarfsgerechte Zugriffsrichtlinien für alle staatlichen Ebenen. Die neuen gerätebasierten Verifikationssysteme unterstützen diese Vorgaben. Sie helfen Behörden, das Prinzip der geringsten Rechte durchzusetzen und gleichzeitig strenge nationale Sicherheitsanforderungen zu erfüllen.

Anzeige

Moderne Sicherheitsstrategien müssen heute weit über einfache Passwörter hinausgehen, um aktuellen Bedrohungen und gesetzlichen Anforderungen gerecht zu werden. Dieser kostenlose Experten-Report enthüllt effektive Strategien zur Stärkung Ihrer IT-Sicherheit, ohne dass dabei Ihr Budget explodiert. Wie mittelständische Unternehmen sich gegen Cyberkriminelle wappnen

Paradigmenwechsel: Vom „Wer“ zum „Wie“ und „Womit“

Die Entwicklungen markieren einen philosophischen Wandel in der IT-Sicherheit. Stand jahrelang die Identität des Nutzers im Mittelpunkt, erweitert sich der Fokus nun auf das Gerät und den Kontext jeder einzelnen Verbindung. Diese Evolution ist für den öffentlichen Sektor mit seinen komplexen Hybridumgebungen aus alten Legacy-Systemen und modernen Cloud-Diensten besonders wichtig.

Eine einheitliche Zero-Trust-Plattform, die Anwendungen, Endgeräte, Netzwerke und Speicher umfasst, kann den Verwaltungsaufwand erheblich reduzieren. Zudem lindert die Konsolidierung der Kontrollen in einem System die Alert Fatigue bei Sicherheitsteams. Die „Standardmäßig-Verweigern“-Logik blockiert anomales Verhalten proaktiv, anstatt auf reaktive Bedrohungserkennung zu setzen. Für Behörden, die sich Ausfallzeiten oder einen Vertrauensverlust nach einem Datenleck nicht leisten können, ist diese proaktive Haltung essenziell.

Ausblick: Gerätevalidierung wird zum neuen Standard

Die Integration von Gerätechecks mit phishing-resistenter MFA wird sich zum Basissstandard in der Behördensicherheit entwickeln. Regulierungsbehörden werden die Fristen zur Abschaffung anfälliger Authentifizierungsmethoden vorausschärfen.

In den kommenden Jahren müssen sich öffentliche Organisationen von reinen Compliance-Checklisten hin zu maßgeschneiderten, asset-fokussierten Zero-Trust-Strategien bewegen. Die fortschreitende Entwicklung KI-gestützter Cyberbedrohungen erfordert Architekturen, die von einer bereits erfolgten Kompromittierung ausgehen und jede Variable überprüfen. Letztlich wird der Wandel zu ganzheitlichen Zero-Trust-Plattformen Behörden die Widerstandsfähigkeit geben, um kritische Infrastrukturen zu schützen – selbst dann, wenn Zugangsdaten in falsche Hände geraten.

Trading

Finanztrends

Redaktion finanztrends.de

>>