Zero Trust ist weder ein Produkt noch ein automatischer Nachweis der DSGVO-Konformität. Die Umsetzung der Zero Trust-Prinzipien können bei konsequenter Umsetzung überhöhte Berechtigungen reduzieren, Schatten-IT sichtbar machen und eliminieren, Prüfungsnachweise glaubhafter gestalten und Abhängigkeiten identifizieren und steuerbarer machen.
Der Nutzen entsteht, wenn Technik, Prozesse und Verantwortung zusammenpassen. CIO, CISO/ISB, Fachbereiche und Systemverantwortliche setzen die Prinzipien im Rahmen der Architektur um. Der Datenschutzbeauftragte berät und überwacht unabhängig. Das DSMS verbindet Risiken, Regeln, Nachweise und Kennzahlen.
Was ist Zero Trust?
Zero Trust (dt. „Null Vertrauen“) geht davon aus, dass kein Nutzer, Gerät oder Dienst standardmäßig vertrauenswürdig ist. Durch Protokollierung, Monitoring und Analyse sämtlicher Aktivitäten können – falls nötig – sofortige Gegenmaßnahmen ergriffen werden. Das Modell basiert dabei auf drei Kernprinzipien:
- Die kontinuierliche Verifizierung stellt sicher, dass jeder Zugriffsversuch – unabhängig vom Standort – vor und während der Nutzung authentifiziert und autorisiert wird.
- Das Least-Privilege-Prinzip sorgt dafür, dass Nutzer und Systeme nur die absolut notwendigen Zugriffsrechte erhalten.
- Die Mikrosegmentierung unterteilt Netzwerke in kleine, isolierte Segmente, um laterale Bewegungen von Angreifern zu verhindern.
Wie Zero Trust die DSGVO stärkt
Zero Trust und DSGVO teilen gemeinsame Ziele: Sicherheit, Kontrolle und Risikominimierung. Während die DSGVO den rechtlichen Rahmen vorgibt, kann die Umsetzung des Zero-Trust-Ansatzes die technischen Werkzeuge für eine bessere/umfassendere Umsetzung der regulatorischen Vorgaben beisteuern.
Anders als bei einer klassischen IT-Infrastruktur geht die kontinuierliche Verifizierung des Netzteilnehmers über eine einfache Passwortabfrage hinaus: Sie bewertet Identität, Rolle, Gerätezustand und Kontext bei jedem Zugriff neu. So werden verschiedene Ansatzpunkte von IT-Sicherheitsmaßnahmen kombiniert. Das Least-Privilege-Prinzip reduziert das Risiko von Datenlecks und unterstützt die Datenminimierung bzw. stellt sicher, dass nur Personen auch Zugriff auf Daten haben, welche diese auch benötigen. Die Mikrosegmentierung verhindert, dass Angreifer nach einem Einbruch auf andere Netzwerkbereiche zugreifen können. Dies verhindert das Ausmaß bzw. die Ausbreitung von ggf. meldepflichtigen Datenpannen.
| Zero-Trust-Prinzip | DSGVO-Bezug | Praktischer Beitrag |
|---|---|---|
| Least Privilege | Art. 5 Abs. 1 lit. f; Art. 25 und 32 | Zugriff auf erforderliche Daten & Funktionen begrenzen |
| Kontextbezogene Verifizierung | Art. 24 und 32 | Identität, Rolle, Gerät und Risiko prüfen |
| Mikrosegmentierung | Art. 25 und 32 | Angriffswege & Auswirkungen eines Vorfalls begrenzen |
| Protokollierung und Review | Art. 5 Abs. 2; Art. 24 und 32 | Zugriffe kontrollieren und Wirksamkeit nachweisen |
Dokumentation im Datenschutz-Managementsystem
Das Datenschutz-Managementsystem (DSMS) muss zeigen, welches Risiko eine Maßnahme adressiert, wie sie arbeitet, wer verantwortlich ist und wie ihre Wirksamkeit geprüft wird. Vor der Implementierung von Zero Trust muss der Schutzbedarf der Daten identifiziert werden. Systeme mit hohem Schutzbedarf (z. B. Gesundheitsdaten) erhalten strengere Verifizierungsmechanismen (z. B. Multi Faktor Authentifizierung/MFA).
Durch Dokumentation werden Zero-Trust-Maßnahmen mit DSGVO-Anforderungen verknüpft. Hierbei ist Zero Trust ein kontinuierlicher Prozess im Sinne des PDCA-Zykluses; interne und externe Audits, Kennzahlen/KPI und Penetrationstests unterstützen die Bewertung, ob die Maßnahmen wirksam und risikogerecht ausgestaltet sind.
Nachfolgend ein konkretes Beispiel:
| Dokumentationsinhalt | Ziel / Maßnahme |
|---|---|
| Risiko | Unberechtigter Zugriff auf personenbezogene Kundendaten |
| Schutzziel | Vertraulichkeit |
| Maßnahme | Kontextabhängige Zugriffskontrolle |
| Regel | Zugriff nur bei gültiger Identität, zulässiger Rolle und konformem Endgerät |
| Reaktion auf Regelverstoß | MFA, Zugriffsbeschränkung oder Ablehnung |
| Verantwortlich | IAM-/Systemverantwortlicher |
| Nachweis | Zugriffsprotokolle |
| Wirksamkeitskontrolle | MFA-Abdeckung, Zeit bis Rechteentzug |
Damit KPI sinnvoll genutzt und im Managementsystem verwendet werden können, benötigen diese Ausgangswert, Zielwert, Messintervall und Verantwortlichen. Hierzu können die im Rahmen von Zero Trust eingeführten Lösungen entsprechende Informationen liefern; geeignet sind beispielsweise der Anteil privilegierter Konten mit MFA, die Zeit bis zum Rechteentzug oder der Anteil bewerteter Cloud- und KI-Dienste. Zielwerte folgen aus Risiko und Schutzbedarf. Trends sind dabei oftmals aussagekräftiger als Einzelwerte.
Das DSMS nutzt die Berichte der Zero-Trust-Komponenten, um die Wirksamkeit von technischen und organisatorischen Maßnahmen zu belegen und diese ggf. weiter zu verbessern und zu verfeinern.
Wenn Zero Trust selbst zum Risiko wird
Eine kontinuierliche Verifizierung erzeugt Logdaten, welche Informationen wie Anmeldezeiten, Gerätekennungen, Standortdaten, Zugriffshistorien oder Risikowerte/Risk Scores von Endgeräten beinhalten. Gerade im Beschäftigungskontext kann daraus eine weitreichende Leistungs- oder Verhaltenskontrolle entstehen.
Zu prüfen sind dafür u. a. Rechtsgrundlage, Zugriffsberechtigungen und Löschfristen dieser Daten. Auch Betriebsrat oder Personalvertretung können beteiligt werden wollen. Bei umfangreicher systematischer Überwachung ist zudem zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
Der Datenschutzbeauftragte (DSB) ist hierbei nach Artikel 38 DSGVO frühzeitig einzubinden. Er berät insbesondere zu den o. g. Anforderungen und überwacht die Einhaltung. Auch wenn die Verantwortung für Auswahl, Konfiguration und Betrieb bei Unternehmensleitung, CIO und Fachverantwortlichen verbleibt, kann ein erfahrener DSB bei der pragmatischen und datenschutzkonformen Umsetzung helfen.
Der Datenschutzbeauftragte berät und überwacht unabhängig; er ist aber nicht Systemverantwortlicher.
Exkurs: Digitale Souveränität
Digitale Souveränität bezeichnet die Fähigkeit, Abhängigkeiten zu kennen, bewusst zu steuern und bei Veränderungen handlungsfähig zu bleiben. Bei Zero-Trust-Komponenten sollten deshalb neben Sicherheitsfunktionen auch Datenstandorte, Administrationshoheit, offene Schnittstellen, Portabilität, Schlüsselkontrolle und getestete Exitmöglichkeiten bewertet werden.
Fazit
Zero Trust ist ein mächtiges Werkzeug, um DSGVO-Anforderungen wie Datenminimierung, Zweckbindung und Sicherheit der Verarbeitung technisch umzusetzen. Sein voller Nutzen entfaltet sich jedoch erst durch risikobasierte Regeln, klare Verantwortlichkeiten und eine lückenlose Dokumentation im DSMS. Unternehmen sollten mit priorisierten Anwendungen, messbaren Zielen und frühzeitiger Einbindung des Datenschutzbeauftragten starten. So wird Zero Trust zu einer steuerbaren Architekturentscheidung, die Datenschutz und digitale Souveränität stärkt – ohne automatische Compliance zu versprechen.
