Device Trust: Wie Gerätevertrauen Zugriffsentscheidungen absichert

Bei Zero Trust entscheidet nicht allein die Identität eines Benutzers darüber, ob ein Zugriff erlaubt wird. Selbst ein korrekt authentifizierter Mitarbeiter kann ein Sicherheitsrisiko darstellen, wenn er von einem kompromittierten Laptop, einem ungepatchten Rechner, einem privaten Smartphone oder einem unbekannten Endgerät auf Unternehmensressourcen zugreift.

Genau hier setzt Device Trust an. Vor einem Zugriff wird nicht nur betrachtet, wer auf eine Anwendung oder auf Daten zugreifen möchte, sondern auch, welches Gerät dafür verwendet wird und ob dieses die definierten Sicherheitsanforderungen erfüllt.

Damit ergänzt Gerätevertrauen die Benutzeridentität um eine weitere wichtige Ebene. Ein erfolgreiches Login oder eine bestandene Multi-Faktor-Authentifizierung reichen nicht zwangsläufig aus, wenn das verwendete Gerät selbst ein erhöhtes Risiko darstellt.

Doch wann gilt ein Gerät überhaupt als vertrauenswürdig? Welche Rolle spielen Device Posture, Gerätemanagement und digitale Zertifikate? Und wie fügt sich Device Trust in eine Zero-Trust-Architektur ein?

Was ist Device Trust?

Device Trust beziehungsweise Gerätevertrauen beschreibt die Bewertung der Identität und des Sicherheitszustands eines Geräts im Zusammenhang mit einer Zugriffsentscheidung.

Ein Gerät erhält dabei nicht automatisch weitreichenden Zugriff, nur weil sich ein legitimer Benutzer darauf erfolgreich authentifiziert hat. Unternehmen können vielmehr festlegen, welche Voraussetzungen ein Endgerät erfüllen muss, bevor es auf bestimmte Anwendungen, Daten oder Dienste zugreifen darf.

Dabei sollte Device Trust nicht als dauerhaftes Label nach dem Muster „dieses Gerät ist vertrauenswürdig“ verstanden werden. Der Sicherheitszustand eines Endgeräts kann sich verändern. Ein Notebook, das heute vollständig gepatcht und richtlinienkonform ist, kann morgen durch eine neue Schwachstelle, eine veränderte Konfiguration oder eine erkannte Kompromittierung ein anderes Risikoprofil besitzen.

Auch der jeweilige Anwendungsfall spielt eine Rolle. Ein privates Smartphone könnte beispielsweise für den Zugriff auf weniger sensible Informationen akzeptiert werden, während für eine kritische Unternehmensanwendung ausschließlich zentral verwaltete und besonders abgesicherte Geräte zugelassen werden.

Device Trust ist deshalb idealerweise richtlinien-, risiko- und kontextabhängig. Dieses Prinzip passt unmittelbar zu Zero Trust: Vertrauen wird nicht dauerhaft vorausgesetzt, sondern für einen konkreten Zugriff anhand verfügbarer Informationen bewertet.

Wie dieses Sicherheitsmodell grundsätzlich funktioniert, erläutern wir ausführlich in unserem Beitrag zu Zero Trust Security.

Wie funktioniert Device Trust?

Wie Device Trust praktisch in eine Zugriffsentscheidung einfließen kann, lässt sich anhand eines typischen Beispiels verdeutlichen: Ein Mitarbeiter möchte aus dem Homeoffice auf eine interne Unternehmensanwendung zugreifen.

1. Benutzer authentifizieren

Zunächst wird geprüft, wer den Zugriff anfordert. Hier greifen üblicherweise Mechanismen des Identity & Access Managements. Der Mitarbeiter meldet sich mit seiner Benutzeridentität an und muss – abhängig von den Sicherheitsrichtlinien – zusätzlich eine Multi-Faktor-Authentifizierung durchführen.

Damit kann die Identität des Benutzers mit höherer Sicherheit überprüft werden. Die Benutzeridentität beantwortet jedoch noch nicht die Frage, ob auch das verwendete Endgerät den Sicherheitsanforderungen entspricht.

2. Gerät identifizieren

Im nächsten Schritt wird deshalb betrachtet, von welchem Gerät die Anfrage stammt. Ist das Notebook dem Unternehmen bekannt? Ist es registriert und zentral verwaltet? Besitzt es eine überprüfbare Geräteidentität?

Eine Geräte-ID allein ist dabei nicht zwangsläufig ein starker kryptografischer Identitätsnachweis. Für eine belastbarere Authentifizierung können deshalb beispielsweise digitale Gerätezertifikate eingesetzt werden.

Über eine Public Key Infrastructure lässt sich eine Geräteidentität mit kryptografischen Schlüsseln verbinden. Das ermöglicht es dem Gerät, seine Identität gegenüber einem Dienst oder einer Infrastruktur nachzuweisen.

3. Sicherheitszustand des Geräts prüfen

Zu wissen, welches Gerät zugreift, reicht ebenfalls noch nicht aus. Zusätzlich muss bewertet werden, ob sich dieses Gerät in einem akzeptablen Sicherheitszustand befindet. Häufig wird in diesem Zusammenhang von Device Posture gesprochen.

Abhängig von der eingesetzten Infrastruktur können beispielsweise folgende Kriterien berücksichtigt werden:

• Patch- und Betriebssystemstand
• Festplatten- beziehungsweise Gerätespeicherverschlüsselung
• Endpoint Protection oder EDR
• Firewall und sicherheitsrelevante Konfigurationen
• MDM-/UEM- und Compliance-Status

Welche Kriterien tatsächlich erforderlich sind, hängt von den Sicherheitsrichtlinien und vom Schutzbedarf der angeforderten Ressource ab.

4. Zugriffsrichtlinien anwenden

Benutzeridentität, Geräteinformationen und Sicherheitszustand können anschließend gemeinsam gegen die festgelegten Zugriffsrichtlinien geprüft werden.

Ein bekanntes Beispiel wäre: Der Mitarbeiter ist erfolgreich per MFA authentifiziert, verwendet ein zentral verwaltetes Unternehmensgerät und dieses erfüllt die aktuellen Sicherheitsvorgaben. Die Richtlinie kann in diesem Fall den Zugriff auf eine Geschäftsanwendung erlauben.

Greift derselbe Mitarbeiter dagegen von einem unbekannten privaten Gerät zu, könnte die Entscheidung anders ausfallen. Je nach Schutzbedarf kann der Zugriff beispielsweise eingeschränkt, eine zusätzliche Sicherheitsmaßnahme gefordert oder der Zugriff vollständig verweigert werden.

Wichtig ist: Solche Entscheidungen sind keine universellen Regeln von Device Trust. Unternehmen definieren selbst, welche Kombination aus Identität, Gerätezustand, Ressource und Kontext für ihre jeweilige Umgebung akzeptabel ist.

5. Sicherheitszustand weiter beobachten

Gerätevertrauen sollte nicht mit der erfolgreichen Erstprüfung enden. Der Zustand eines Geräts kann sich auch während seines Lebenszyklus oder während einer bestehenden Zugriffssituation verändern.

Wird beispielsweise erkannt, dass ein Endgerät nicht mehr den Compliance-Vorgaben entspricht oder ein erhöhtes Risiko aufweist, kann diese Information in weitere Zugriffsentscheidungen einfließen. Je nach Architektur und Richtlinie lässt sich ein Zugriff dann beispielsweise begrenzen oder entziehen.

Device Trust wird damit dynamisch bewertet und nicht dauerhaft vergeben.

Wann gilt ein Gerät als vertrauenswürdig?

Eine allgemeingültige Definition, ab welchem Punkt jedes Gerät als „vertrauenswürdig“ gilt, gibt es nicht. Die Anforderungen hängen vom Unternehmen, vom Schutzbedarf der Ressourcen und von den jeweils eingesetzten Sicherheitskontrollen ab.

Einige Kriterien spielen jedoch regelmäßig eine wichtige Rolle.

Aktueller und richtlinienkonformer Sicherheitszustand

Ein Endgerät sollte einen ausreichenden Patch- und Aktualisierungsstand besitzen. Sicherheitsupdates für Betriebssystem und Anwendungen schließen bekannte Schwachstellen und reduzieren damit mögliche Angriffspunkte.

Zur Device Posture gehören häufig weitere Merkmale. Unternehmen können beispielsweise verlangen, dass der lokale Datenträger verschlüsselt ist, eine vorgeschriebene Endpoint-Security-Lösung aktiv ist oder bestimmte Konfigurationseinstellungen eingehalten werden.

Besonders bei mobilen Geräten und Laptops ist die Verschlüsselung des Gerätespeichers relevant. Geht ein Gerät verloren oder wird gestohlen, soll dadurch verhindert werden, dass gespeicherte Unternehmensdaten ohne Weiteres ausgelesen werden können.

Zentrale Verwaltung und Transparenz

Eine weitere wichtige Grundlage für Gerätevertrauen ist Transparenz. Unternehmen müssen wissen, welche Geräte auf ihre Ressourcen zugreifen und welchen Status diese besitzen.

Mobile Device Management (MDM) beziehungsweise Unified Endpoint Management (UEM) kann dabei unterstützen, Geräte zentral zu registrieren, zu konfigurieren und ihren Compliance-Zustand zu bewerten.

Ein zentral verwaltetes Gerät ist dadurch nicht automatisch sicher. Das Management schafft aber eine wichtige Voraussetzung dafür, Konfigurationen und Sicherheitsanforderungen kontrolliert durchzusetzen und Veränderungen sichtbar zu machen.

Eindeutige und überprüfbare Geräteidentität

Neben dem Sicherheitszustand spielt die Identität des Geräts eine wichtige Rolle. Schließlich müssen Unternehmen zuverlässig unterscheiden können, welches Endgerät eine Verbindung aufbauen möchte.

Eine einfache technische Kennung oder Device ID kann zwar zur Identifikation beitragen, ist aber nicht zwangsläufig mit einem kryptografischen Identitätsnachweis gleichzusetzen.

Hier können Gerätezertifikate und PKI eine wichtige Rolle übernehmen. Sie ermöglichen eine kryptografisch überprüfbare Geräteidentität und können zur Authentifizierung gegenüber Unternehmensdiensten eingesetzt werden.

Worauf Unternehmen bei Device Trust achten müssen

Device Trust klingt zunächst nach einer klaren technischen Aufgabe: Gerät identifizieren, Sicherheitsstatus prüfen und anschließend eine Entscheidung treffen. In der Unternehmenspraxis wird diese Aufgabe jedoch durch die Vielzahl unterschiedlicher Endgeräte und Nutzungsszenarien komplexer.

Immer mehr unterschiedliche Endgeräte

Neben klassischen Desktop-PCs und Notebooks greifen heute Smartphones, Tablets und zahlreiche weitere vernetzte Systeme auf Unternehmensressourcen zu. In Industrie- und IoT-Umgebungen kommen Maschinen, Sensoren, Gateways und andere Geräte hinzu.

Diese Geräte unterscheiden sich hinsichtlich Betriebssystem, Verwaltungsfähigkeit, Lebenszyklus und Sicherheitsmechanismen erheblich. Eine Device-Trust-Strategie muss deshalb berücksichtigen, welche Gerätearten tatsächlich vorhanden sind und welche Sicherheitsinformationen sich für sie zuverlässig erfassen lassen.

Der Sicherheitszustand ist dynamisch

Ein Gerät kann zum Zeitpunkt seiner Registrierung alle Sicherheitsanforderungen erfüllen und später dennoch ein Risiko darstellen. Beispielsweise können wichtige Updates fehlen, Konfigurationen verändert oder Bedrohungen auf dem Endgerät erkannt werden.

Device Trust sollte deshalb nicht ausschließlich aus einer einmaligen Geräteaufnahme abgeleitet werden. Relevant ist vielmehr der möglichst aktuelle Zustand des Geräts im Moment einer Zugriffsentscheidung beziehungsweise bei einer späteren Neubewertung.

BYOD stellt besondere Anforderungen

Bring Your Own Device (BYOD) macht Device Trust besonders anspruchsvoll. Bei privaten Smartphones oder Notebooks besitzen Unternehmen naturgemäß weniger Kontrolle über Konfiguration, installierte Software und Nutzung.

Trotzdem können Mitarbeiter auf bestimmte Unternehmensressourcen angewiesen sein. Eine mögliche Strategie besteht deshalb darin, den Zugriff abhängig vom Gerät und Schutzbedarf zu differenzieren. Ein nicht verwaltetes Endgerät könnte beispielsweise lediglich einen eingeschränkten Zugriff erhalten, während sensible Anwendungen ein vollständig verwaltetes und richtlinienkonformes Unternehmensgerät voraussetzen.

Device Trust benötigt Transparenz und Governance

Technische Kontrollen allein reichen deshalb nicht aus. Unternehmen müssen zunächst wissen, welche Geräte existieren, wem sie gehören, auf welche Ressourcen sie zugreifen und welche Geräte die festgelegten Richtlinien erfüllen.

Hinzu kommen organisatorische Fragen: Wer definiert die Anforderungen an ein vertrauenswürdiges Gerät? Wie werden Ausnahmen behandelt? Was passiert, wenn ein Gerät die Compliance verliert? Und wann muss ein Gerät aus dem Bestand entfernt oder sein Zugriff entzogen werden?

Device Trust benötigt damit sowohl technische Kontrollmöglichkeiten als auch klare Prozesse und Verantwortlichkeiten.

Wie funktionieren Gerätezertifikate?

Ein wichtiger Baustein für eine starke Geräteidentität sind digitale Gerätezertifikate. Sie basieren typischerweise auf einer Public Key Infrastructure (PKI) und ermöglichen eine kryptografisch überprüfbare Authentifizierung.

Ein digitales Zertifikat enthält unter anderem einen öffentlichen Schlüssel und Identitätsinformationen. Der zugehörige private Schlüssel muss geschützt werden und verbleibt idealerweise sicher auf beziehungsweise bei dem jeweiligen Gerät.

Bei der Authentifizierung kann das Gerät nachweisen, dass es über den zugehörigen privaten Schlüssel verfügt. Dadurch lässt sich überprüfen, ob die vorgelegte kryptografische Identität tatsächlich zu dem erwarteten Gerät beziehungsweise Schlüsselpaar gehört.

Die zugrunde liegende Frage lautet vereinfacht:

„Kann sich dieses Gerät mit der registrierten und erwarteten kryptografischen Identität ausweisen?“

Gerätezertifikate können in unterschiedlichen Szenarien eingesetzt werden, beispielsweise für die Authentifizierung in Unternehmens-WLANs, für VPN- oder ZTNA-Zugriffe, für Unternehmensanwendungen sowie in IoT- und Machine-to-Machine-Umgebungen.

PKI-basierte Geräteidentitäten sind insbesondere dann interessant, wenn eine große Zahl von Maschinen, Geräten oder Workloads zuverlässig authentifiziert werden muss. Der Lebenszyklus dieser Zertifikate muss dabei vollständig berücksichtigt werden – von Ausstellung und Bereitstellung über Erneuerung bis hin zum Widerruf nicht mehr vertrauenswürdiger beziehungsweise nicht mehr verwendeter Zertifikate.

Zertifikatsbasierte Authentifizierung kann außerdem die Abhängigkeit von Passwörtern reduzieren. Dabei muss jedoch zwischen Benutzer- und Geräteauthentifizierung unterschieden werden: Ein Gerätezertifikat ersetzt nicht automatisch sämtliche Authentifizierungsmechanismen des Benutzers.

Warum Device Trust mehr als ein Gerätezertifikat ist

So wichtig eine überprüfbare Geräteidentität ist: Ein gültiges Gerätezertifikat allein macht ein Endgerät noch nicht automatisch vertrauenswürdig.

Das Zertifikat unterstützt die Frage, ob sich das Gerät mit der erwarteten kryptografischen Identität authentifizieren kann. Daraus lässt sich jedoch nicht automatisch ableiten, ob das Betriebssystem aktuell ist, die Festplatte verschlüsselt wurde, die erforderliche Endpoint Protection läuft oder das Gerät möglicherweise kompromittiert ist.

Genau deshalb müssen Geräteidentität und Sicherheitszustand getrennt betrachtet und anschließend zusammengeführt werden.

Vereinfacht lässt sich der Zusammenhang für die Praxis so zusammenfassen:

Geräteidentität + Device Posture + Zugriffsrichtlinien + laufende Neubewertung = Device Trust

Diese Darstellung ist keine technische Norm oder mathematische Formel. Sie verdeutlicht jedoch, warum Device Trust mehr umfasst als die Ausstellung eines Zertifikats oder die Registrierung eines Geräts.

Eine kryptografisch zuverlässige Geräteidentität beantwortet die Frage, welches Gerät zugreift. Die Device Posture liefert Informationen darüber, in welchem Sicherheitszustand sich dieses Gerät befindet. Erst die jeweiligen Policies bestimmen anschließend, was diese Informationen für einen konkreten Zugriff bedeuten.

Wie arbeiten Gerätemanagement, PKI und Zero Trust zusammen?

In einer modernen Zero-Trust-Umgebung müssen diese verschiedenen Informationen zusammengeführt werden. Dabei erfüllen Gerätemanagement, PKI und die eigentliche Zugriffsarchitektur unterschiedliche Aufgaben.

MDM und UEM liefern Informationen zum Gerätezustand

MDM- und UEM-Plattformen schaffen Transparenz über verwaltete Endgeräte und können Informationen zu deren Konfiguration und Compliance bereitstellen.

Zu diesen Informationen können beispielsweise Betriebssystem- und Patchstand, Verschlüsselung, Gerätekonfiguration und die Einhaltung definierter Unternehmensrichtlinien gehören.

Dadurch lässt sich erkennen, ob ein registriertes Gerät aktuell die für einen bestimmten Zugriff erforderlichen Sicherheitsanforderungen erfüllt.

PKI liefert eine kryptografisch überprüfbare Geräteidentität

Die PKI übernimmt eine andere Aufgabe. Mit digitalen Zertifikaten und den dazugehörigen Schlüsselpaaren lässt sich eine kryptografische Geräteidentität etablieren und für Authentifizierungsprozesse verwenden.

Damit kann ein Unternehmen nicht nur wissen, dass ein Gerät in einem Inventar eingetragen ist, sondern dessen Identität bei einer entsprechenden zertifikatsbasierten Authentifizierung kryptografisch überprüfen.

Gerade bei einer großen Zahl an Geräten und Maschinenidentitäten gewinnt dabei das automatisierte Zertifikatsmanagement an Bedeutung. Zertifikate müssen zuverlässig ausgestellt, verteilt, erneuert und bei Bedarf widerrufen werden.

Zero Trust führt die Informationen zusammen

Zero Trust verbindet schließlich die Geräteinformationen mit weiteren Sicherheitssignalen. Zu einer Zugriffsentscheidung können neben Geräteidentität und Device Posture beispielsweise auch Benutzeridentität, MFA-Status, Standort, angeforderte Anwendung und aktuelle Risikoinformationen beitragen.

Aus dieser Kombination ergibt sich abhängig von der jeweiligen Policy eine konkrete Entscheidung. Der Zugriff kann erlaubt oder verweigert, auf bestimmte Ressourcen beschränkt oder von zusätzlichen Anforderungen abhängig gemacht werden.

Wie diese Informationen innerhalb einer Zero-Trust-Umgebung zu einer technischen Zugriffsentscheidung zusammengeführt werden und welche Rolle dabei Policy Engine, Policy Administrator und Policy Enforcement Point spielen, erklären wir ausführlich in unserem Beitrag zur Zero Trust Architektur.

Welche Rolle spielt Device Trust bei ZTNA?

Ein besonders anschauliches Einsatzgebiet für Device Trust ist Zero Trust Network Access. Bei ZTNA soll ein Benutzer nicht allein aufgrund einer erfolgreichen Verbindung Zugriff auf ein komplettes Netzwerk erhalten. Stattdessen wird der Zugriff möglichst gezielt auf benötigte Anwendungen oder Ressourcen beschränkt.

Die Geräteidentität und der aktuelle Gerätezustand können dabei wichtige Signale für die Zugriffsentscheidung liefern.

Ein Beispiel: Ein Mitarbeiter meldet sich korrekt an und bestätigt seine Identität erfolgreich per MFA. Sein Notebook wurde jedoch seit längerer Zeit nicht mehr aktualisiert und erfüllt deshalb die vom Unternehmen festgelegten Sicherheitsanforderungen nicht mehr.

Die gültige Benutzeridentität allein muss in diesem Fall nicht ausreichen. Eine entsprechende Zugriffsrichtlinie könnte den Zugriff auf eine sensible Anwendung verweigern oder einschränken, bis das Gerät wieder den geforderten Sicherheitsstatus erreicht.

Umgekehrt kann ein bekanntes, verwaltetes und richtlinienkonformes Gerät zusammen mit einer erfolgreich geprüften Benutzeridentität ein positives Signal für die Zugriffsentscheidung liefern.

Device Trust und ZTNA ergänzen sich damit: Device Trust liefert wichtige Informationen darüber, welches Gerät verwendet wird und welchen Sicherheitszustand es besitzt. ZTNA kann diese Informationen gemeinsam mit Identitäts- und Kontextsignalen verwenden, um den Zugriff auf konkrete Ressourcen zu steuern.

Wie dieser anwendungsbezogene Zugriff funktioniert und worin sich das Modell von klassischen VPN-Verbindungen unterscheidet, lesen Sie in unserem Beitrag über Zero Trust Network Access (ZTNA).

Fazit: Zero Trust braucht vertrauenswürdige Geräte

Eine sichere Benutzeridentität allein reicht für moderne Zugriffskontrollen nicht aus. Selbst ein korrekt authentifizierter Mitarbeiter kann von einem kompromittierten, ungepatchten oder unbekannten Endgerät zugreifen.

Device Trust erweitert die Zugriffsentscheidung deshalb um die Frage, ob auch das verwendete Gerät bekannt, authentisch und ausreichend abgesichert ist.

Dafür müssen verschiedene Informationen zusammenkommen. Eine überprüfbare Geräteidentität hilft festzustellen, welches Gerät eine Anfrage stellt. Informationen zu Patchstand, Verschlüsselung, Endpoint Security und Compliance zeigen, ob dieses Gerät aktuell den festgelegten Sicherheitsanforderungen entspricht.

Gerätezertifikate und eine Public Key Infrastructure können dabei eine starke kryptografische Grundlage für Geräte- und Maschinenidentitäten schaffen. MDM- und UEM-Systeme ergänzen diese Identität um Informationen zum aktuellen Sicherheitszustand. Zero-Trust-Richtlinien führen diese Signale anschließend mit Benutzeridentität, MFA, Ressource und weiteren Kontextinformationen zusammen.

Entscheidend ist, Gerätevertrauen nicht als dauerhaft verliehenen Status zu verstehen. Ändert sich der Sicherheitszustand eines Geräts, sollte sich auch seine Bewertung im Rahmen zukünftiger beziehungsweise erneut geprüfter Zugriffe verändern können.

Device Trust macht damit einen wesentlichen Grundsatz von Zero Trust praktisch greifbar: Für eine sichere Zugriffsentscheidung muss nicht nur bekannt sein, wer zugreift, sondern auch, mit welchem Gerät und in welchem Sicherheitszustand.