Zero Trust Network Access (ZTNA) Was ist Zero Trust Network Access (ZTNA)?
Zero Trust Network Access (ZTNA) umfasst eine Reihe innovativer Technologien für den sicheren Zugriff auf private Anwendungen. ZTNA-Technologien, die auch als Software-Defined Perimeter (SDP) bezeichnet werden, verwenden granulare Zugriffsrichtlinien, um autorisierte Benutzer mit bestimmten Anwendungen zu verbinden, ohne dass ein Zugriff auf das gesamte Unternehmensnetzwerk erforderlich ist. Dabei wird eine Segmentierung auf der Ebene der Anwendungen mit den geringsten Rechten als Ersatz für die Netzwerksegmentierung eingerichtet, und im Gegensatz zu einem VPN-Konzentrator wird vermieden, dass der Standort der Anwendungen dem öffentlichen Internet ausgesetzt wird.
Inhaltsverzeichnis
Lesezeit: 10 Minuten, 33 Sekunden | Veröffentlicht: 24. März 2026
ZTNA erklärt
Die zunehmende Verbreitung von ZTNA rührt von der Notwendigkeit, dass alle sicher von überall aus arbeiten können und dabei jede Anwendung und jedes Gerät sicher über das Internet verbunden ist. Dies ist sinnvoll, da immer mehr Unternehmensanwendungen SaaS-basiert sind und private Anwendungen weiterhin in hybriden oder Multi-Cloud-Umgebungen ausgeführt werden.
Die Herausforderung besteht darin, dass das Internet darauf ausgelegt ist, Dinge miteinander zu verbinden, nicht aber, sie zu blockieren. Mit einer geeigneten IP-Adresse und der Möglichkeit, ausgehende Anrufe zu tätigen, können alle Geräte über das Internet kommunizieren. Angreifer bedienen sich bei Unternehmen, die nicht über die richtigen Zero-Trust-Strategien verfügen.
Im Gegensatz zu VPNs oder Firewalls sind ZTNA-Services darauf ausgelegt, bestimmte Einheiten sicher miteinander zu verbinden, ohne dass ein allgemeiner Netzwerkzugriff erforderlich ist. In den meisten Fällen handelt es sich dabei um Mitarbeitende und Drittnutzer, die sich von zu Hause, von unterwegs oder vom Büro aus verbinden. Dies ist jedoch nicht nur auf Benutzer beschränkt; ZTNA kann auch für den Datenverkehr von Anwendung zu Anwendung in Form von Mikrosegmentierung genutzt werden.
Was sind die Kernprinzipien von ZTNA?
- Zero Trust-Grundlage: ZTNA basiert auf dem Prinzip des „Zero Trust“, das heißt, dass kein Benutzer oder System standardmäßig als vertrauenswürdig gilt, unabhängig davon, wo oder wie sie sich verbinden. Jede Zugriffsanfrage muss zunächst vollständig authentifiziert, autorisiert und verschlüsselt werden.
- Anwendungsorientierter Zugriff: Im Gegensatz zum herkömmlichen allgemeinen Netzwerkzugriff stellt ZTNA sicher, dass der Zugriff nur für bestimmte Anwendungen gewährt wird. Dies wird durch reine Outbound-Verbindungen erreicht, was die Angriffsfläche verringert, da das Unternehmensnetzwerk nicht dem Internet ausgesetzt ist.
- Least-Privilege-Zugriff: ZTNA wendet den Grundsatz der geringsten Rechte an, indem sie den Nutzern nur den Mindestzugriff gewährt, der für die effektive Ausübung ihrer Tätigkeit erforderlich ist. Dies geschieht durch granulare Zugriffsrichtlinien, die im gesamten Unternehmen einheitlich und global angewendet werden, unabhängig vom Standort des Benutzers.
- Cloud-Nativ für Geschwindigkeit und Skalierbarkeit: Um sicherzustellen, dass der Zugriff sowohl schnell als auch zuverlässig ist, nutzt ZTNA die Cloud-Infrastruktur. Dies ermöglicht eine Skalierbarkeit, um unterschiedlichen Bandbreitenanforderungen gerecht zu werden, und stellt sicher, dass die Benutzer sofort eine Verbindung zu den von ihnen benötigten Anwendungen herstellen können, ohne die Sicherheit zu beeinträchtigen.
Was sind die wichtigsten Funktionen von ZTNA?
- Identitätsbasierter Zugriff: ZTNA erfasst und überprüft die Identität von Benutzern und Geräten, bevor der Zugriff gewährt wird. ZTNA verwendet die Authentifizierung und Autorisierung Ihres vorhandenen IDP-Anbieters, um sicherzustellen, dass nur berechtigte Benutzer auf Ressourcen zugreifen können.
- Detaillierte Zugriffskontrolle: Anstatt einen pauschalen Zugriff auf ein Netzwerk zu gewähren, erzwingt ZTNA einen fein abgestuften Zugriff auf bestimmte Anwendungen oder Services basierend auf Benutzerrollen, Gerätestatus und Kontextfaktoren.
- Prinzip der geringsten Rechte: Der Zugriff wird auf das beschränkt, was der Benutzer zur Ausführung seiner Aufgaben benötigt, wodurch die Angriffsfläche minimiert wird.
- Anwendungssegmentierung: ZTNA stellt sicher, dass Benutzer und Geräte nur auf die Ressourcen zugreifen können, für die sie autorisiert sind, und verhindert seitliche Bewegungen innerhalb eines Netzwerks mit Zero Trust-Richtlinien anstelle einer komplexen Netzwerksegmentierung.
- Kontinuierliche Überprüfung: ZTNA überwacht und überprüft kontinuierlich die Benutzeraktivität und den Gerätezustand. Der Zugriff kann widerrufen werden, wenn die Sitzung eines Benutzers verdächtig wird oder sich die Sicherheitslage eines Geräts ändert.
- Support für Remote- und Hybridarbeit: ZTNA ist ideal für Unternehmen mit Remote- oder hybriden Belegschaften und bietet sicheren Zugriff auf Anwendungen unabhängig vom physischen Standort des Benutzers.
- Cloud-nativ: ZTNA ist häufig Cloud-basiert und lässt sich in moderne Unternehmensumgebungen integrieren, darunter SaaS-Anwendungen, Public Clouds, Private Clouds und private Rechenzentren.
Wie funktioniert ZTNA?
ZTNA erstellt eine sichere, verschlüsselte Verbindung zwischen dem Gerät des Benutzers und der privaten Anwendung oder dem privaten Service, auf den er zugreifen muss. Das umfasst typischerweise:
- Authentifizierung: Der Benutzer gibt Anmeldeinformationen ein, und seine Identität wird durch Multi-Faktor-Authentifizierung (MFA) oder Identitätsanbieter (IdPs) überprüft.
- Gerätevalidierung: Das Gerät wird auf die Einhaltung der Compliance (z. B. Betriebssystemversion, Antivirenstatus usw.) geprüft.
- Durchsetzung von Richtlinien: Nach der Authentifizierung wird der Zugriff auf Grundlage vordefinierter Zero Trust-Richtlinien gewährt, die die Rolle des Benutzers, die Gerätesicherheit, den Standort und andere Kontextfaktoren berücksichtigen.
- Anwendungsspezifischer Zugriff: ZTNA stellt sicher, dass Benutzer nur die Anwendungen sehen und darauf zugreifen, für die sie autorisiert sind – keine Sichtbarkeit oder Zugriff auf den Rest des Netzwerks.
Wie wird ZTNA umgesetzt?
Die Umsetzung von ZTNA variiert je nach Anbieter, aber viele sind der Meinung, dass die beste Vorgehensweise für ZTNA die Einführung in Phasen ist, die mit der Vorbereitung beginnen und mit der Inbetriebnahme enden.
- Phase 1 – Planung und Bereitschaft: Inventarisieren Sie private Anwendungen und Benutzergruppen und legen Sie erste hochwertige Anwendungsfälle fest, wie z. B. die Migration bekannter Anwendungen zu ZTNA und die Ersetzung von VPN. Anschließend werden die Eingaben für die Zugriffsrichtlinie definiert, z. B. Identität, Gerät und Anwendungssensitivität.
- Phase 2 – Konfiguration und Aktivierung: Richten Sie die ZTNA-Steuerungsebene/Richtlinienebene ein, integrieren Sie Identitätsanbieter (IdP) und konfigurieren Sie ZTNA mit einem strukturierten Ansatz in verwaltbare SSE-Komponenten, einschließlich Richtlinien und Protokollierung/Transparenz.
- Phase 3 – Bereitstellung und Übergang: Binden Sie die ersten Anwendungen und Benutzer ein, migrieren Sie Workflows vom VPN-basierten Netzwerkzugriff auf anwendungsspezifischen Zugriff und validieren Sie Nutzererfahrung und Zugriffsergebnisse.
- Phase 4 – Entdecken, konfigurieren, wiederholen: Erweitern Sie die Abdeckung schrittweise und entdecken Sie zusätzliche Anwendungen/Abläufe, wenden Sie die gewonnenen Erkenntnisse an und schränken Sie beim Skalieren den Zugriff nach dem Prinzip der geringesten Rechte weiter ein.
- Phase 5 – Operationalisierung: Standardisieren Sie Prozesse (Richtlinienlebenszyklus, Onboarding-Runbooks, Überwachung, Incident-Response-Hooks), damit ZTNA „der Zugriffsstandard“ wird und keine Ausnahme bleibt.
Wie verbessert ZTNA die Netzwerksicherheitslage von Unternehmen?
Im Hinblick auf die Sicherheitsaufstellung verbessert ZTNA die Ausgangslage eines Unternehmens, indem es die Bedeutung von „Remote-Zugriff“ von der Netzwerkerweiterung zu einem anwendungsspezifischen, richtlinienvermittelten Zugriff verändert. Ihre internen Assets betonen immer wieder drei Verbesserungen der Sicherheitslage: eine verringerte Angriffsfläche, eine verringerte seitliche Bewegung und eine einheitlichere Durchsetzung der Richtlinien an allen Standorten.
- ZTNA reduziert die exponierte Infrastruktur und die Scanmöglichkeiten: Anstatt breit angelegte VPN-Gateways zu veröffentlichen oder eingehende Pfade offen zu lassen, vermittelt ZTNA Verbindungen so, dass nur die Richtlinien-/Broker-Ebenen und private Anwendungen weitestgehend unauffindbar bleiben. Schließlich können bösartige Akteure nicht angreifen, was sie nicht sehen.
- ZTNA verringert das Schadensausmaß durch Begrenzung der seitlichen Bewegung: Das Modell von ZTNA vermeidet es, einen Benutzer in das Unternehmensnetzwerk einzubinden; der Zugriff ist auf bestimmte Anwendungen beschränkt. Indem man die Nutzer vom Unternehmensnetzwerk trennt, reduziert man massiv die seitliche Bewegung und damit das Risiko.
- ZTNA verbessert Konsistenz und Ausfallsicherheit in hybriden Umgebungen: Universal ZTNA (UZTNA) wird als Erweiterung der Zero Trust-Durchsetzung auf alle Zugriffspfade (remote und lokal) beschrieben, wobei die gleichen Richtlinien gelten, egal ob sich der Benutzer in einem Café oder an seinem Schreibtisch befindet. Darüber hinaus sorgen die ZTNA Private Edge-Funktionen dafür, dass der lokale Datenverkehr lokal bleibt und die Kontinuität auch bei Internetausfällen gewährleistet ist, wodurch die betriebliche Ausfallsicherheit verbessert wird, während einheitliche Sicherheitskontrollen gewahrt bleiben.
- ZTNA beschleunigt häufig zu Beginn in einem Zero Trust-Programm die Ergebnisse bei der Risikominderung: ZTNA ist der Ausgangspunkt für viele Unternehmen, weil der Ansatz praxisorientiert ist und Teams einen schnellen Erfolg bietet. Er verbessert die Benutzerfreundlichkeit, senkt gleichzeitig Risiken und hilft in Szenarien wie beim Zugriff durch Dritte, Ersatz von VPNs und sogar bei der Beschleunigung der Integration bei Fusionen und Übernahmen.
Welche Vorteile bietet ZTNA?
- Verbesserte Sicherheit: ZTNA funktioniert nach dem Prinzip „Niemals vertrauen, immer überprüfen“, wodurch das Risiko eines unbefugten Zugriffs erheblich reduziert wird. Durch die Durchsetzung einer strengen Identitätsprüfung und kontextbezogener Zugriffskontrollen stellt ZTNA sicher, dass Benutzer und Geräte vor dem Zugriff auf Ressourcen kontinuierlich authentifiziert und autorisiert werden. Dadurch wird die Möglichkeit einer seitlichen Bewegung innerhalb des Netzwerks minimiert, selbst wenn ein Angreifer zunächst Zugriff erhält.
- Reduzierte Angriffsfläche: Eine der Hauptstärken von ZTNA ist die Fähigkeit, Anwendungen und Services für nicht berechtigte Benutzer unsichtbar zu machen. Indem ZTNA interne Ressourcen hinter Authentifizierungsebenen verbirgt und nur verifizierten Identitäten zugänglich macht, schränkt es die potenziellen Einstiegspunkte für Angreifer erheblich ein. Dieser „Dark Cloud“-Ansatz stellt sicher, dass, selbst wenn ein System angegriffen wird, ohne die entsprechenden Anmeldeinformationen und den entsprechenden Kontext kein Zugriff auf das System möglich ist.
- Verbesserte Benutzererfahrung: Im Gegensatz zu herkömmlichen VPNs, die oft manuelle Verbindungen erfordern und die Leistung beeinträchtigen können, bietet ZTNA eine nahtlosere und besonders transparente Erfahrung. Benutzer können von jedem Standort und Gerät aus sicher auf Anwendungen zugreifen, ohne dass umständliche VPN-Clients erforderlich sind. Das führt zu schnelleren Zugriffszeiten, weniger Unterbrechungen und einem intuitiveren Workflow – besonders vorteilhaft für Remote- und hybride Arbeitsumgebungen.
- Skalierbarkeit: ZTNA wurde zur Unterstützung dynamischer und verteilter IT-Umgebungen entwickelt. Ganz gleich, ob Ihr Unternehmen seine Cloud-Kapazität erweitert, eine wachsende Anzahl an Remote-Mitarbeitern unterstützt oder Drittanbieter integriert: ZTNA lässt sich mühelos skalieren. Seine Cloud-native Architektur ermöglicht eine einfache Bereitstellung und Verwaltung in mehreren Umgebungen und reduziert so die Komplexität herkömmlicher Netzwerksicherheitsmodelle.
Was sind die Anwendungsfälle für ZTNA?
- VPN-Alternative für die Arbeit von überall aus: Verwenden Sie ZTNA, um VPNs für den Remote-Zugriff zu ersetzen, die normalerweise verwendet werden, um Remote-Benutzer mit einem Netzwerk zu verbinden, und bieten Sie dabei eine schnellere und sicherere Erfahrung.
- Zugang für Mitarbeitende im Büro: Vermeiden Sie, Benutzern vor Ort grundsätzlich zu vertrauen, und nutzen Sie öffentlich gehostete Zero Trust-Broker oder private Broker, die in Ihrer eigenen Umgebung eingesetzt werden und für den Zugriff mit den geringsten Rechten sorgen – mit einfacherer Segmentierung, schnellerer Benutzererfahrung und einfacherer Compliance.
- Absicherung des Zugriffs durch Dritte: Nutzen Sie den agentenlosen Zugriff, um Partnern, Zulieferern, Anbietern und Kunden den sicheren Zugriff auf wichtige Geschäftsdaten zu ermöglichen, ohne ihnen den Zugriff auf das gesamte Unternehmensnetzwerk zu gewähren.
- Beschleunigen der IT-Integration bei der Übernahme oder Veräußerung von Unternehmen: ZTNA trägt dazu bei, den 9 bis 14 Monate dauernden Prozess auf nur wenige Tage oder Wochen zu verkürzen, indem die Notwendigkeit wegfällt, Netzwerke zu konsolidieren (oder zu teilen), sich mit Network Address Translation (NAT) für überlappende IPs zu befassen oder eine VDI-Infrastruktur einzurichten.
- VDI-Alternative: Vermeiden Sie die hohen Kosten, Skalierbarkeitsprobleme und Latenzzeiten herkömmlicher VDI, indem Sie komplexe virtuelle Umgebungen durch ZTNA ersetzen. ZTNA bietet sicheren, nahtlosen Remote-Zugriff über direkte, richtlinienbasierte Verbindungen zu Anwendungen – basierend auf Benutzeridentität, Gerätestatus und Kontext.
HPE Aruba Networking ZTNA
Als Teil der HPE Aruba Networking SSE-Plattform bietet HPE Aruba Networking ZTNA eine moderne Alternative zu herkömmlichen VPN-Lösungen für den Remote-Zugriff, indem es eine sichere globale Konnektivität für jeden Benutzer, jedes Gerät und jede private Anwendung bereitstellt – und das mit Zero Trust.
Wie bereits erwähnt, ist ZTNA ein integraler Bestandteil der HPE Aruba Networking Security Service Edge (SSE) Plattform. Die übergreifende Plattform bündelt jedoch die Leistung von ZTNA, SWG, CASB und Digital Experience Monitoring in einer einzigen Cloud-Lösung, die über ein einfach zu bedienendes Fenster verwaltet wird.
Zugehörige Lösungen, Produkte oder Services
Häufig gestellte Fragen zu ZTNA
Was ist der Unterschied zwischen ZTNA und ZTA?
Zero-Trust-Architektur (ZTA) ist die allgemeine Sicherheitsstrategie oder -architektur für den Betrieb eines Netzwerks, als ob es bereits feindselig wäre. ZTA ist der Bereich, in dem Systeme so konzipiert werden, dass der Zugriff kontinuierlich überprüft, eng begrenzt und auch bei Kompromittierung ausfallsicher ist. Mit anderen Worten ist es der Blueprint, wie wir Sicherheit für Identität, Geräte, Anwendungen, Daten und Netzwerke aufbauen und betreiben. Zero Trust Network Access (ZTNA) ist eine spezifische Fähigkeit/Technologie, die einen Teil dieses Blueprints umsetzt: ZTNA bietet sicheren Zugriff auf private Anwendungen (in Rechenzentren und/oder der Cloud), ohne den Benutzer in das Unternehmensnetzwerk einzubinden. Interne Unterlagen beschreiben ZTNA als eine Lösung, die den Zugriff ermöglicht, während die Benutzer vom Unternehmensnetzwerk getrennt werden, wodurch die Gefährdung minimiert wird. Oft ersetzt diese Lösung darüber hinaus VPN für den Zugriff auf private Anwendungen.
Eine praktische Möglichkeit, sich die Beziehung zwischen ZTA und ZTNA zu merken:
- ZTA = das „Konzept für das gesamte Haus“ (Prinzipien und Architektur über Sicherheitsdomänen hinweg).
- ZTNA = ein „Türschlosssystem mit Schlüsseln“ innerhalb dieses Konzepts für das Haus (Steuerung des Zugriffs auf private Anwendungen, die das Prinzip der geringsten Rechte durchsetzt und die Angriffsfläche reduziert).
Was sind die wichtigsten Funktionen von ZTNA?
Im Kern dient ZTNA dazu, den Zugriff auf private Anwendungen mit geringsten Rechten und reduzierter Gefährdung zu gewährleisten. Ihre interne SSE-Positionierung fasst die funktionale Zielsetzung von ZTNA wie folgt zusammen: sicherer Zugriff auf private Anwendungen, Minimierung der Angriffsfläche, Entfernung des Netzwerkzugriffs, Ersatz von VPN und Überprüfung des Datenverkehrs.
- Autorisierung auf Anwendungsebene, nicht Netzwerkzugriff: Gewähren Sie Zugriff auf bestimmte autorisierte Anwendungen, ohne den Benutzer in das Unternehmensnetzwerk einzubinden.
- Reduzierung der Angriffsfläche: Machen Sie das Netzwerk im Wesentlichen „unsichtbar“. ** Anwendungen und Services sind nicht allgemein zugänglich. Nicht autorisierte Benutzer können diese im Endeffekt nicht sehen, um sie zu testen oder darauf zugreifen.
- Durchsetzung des Prinzips der geringsten Rechte: Der Zugriff ist auf das beschränkt, worauf der Benutzer zugreifen soll, und auf nichts anderes. Dadurch wird das Risiko einer seitlichen Bewegung im Vergleich zum Zugriff auf die Netzwerkebene reduziert.
- Verkehrsüberwachung und Durchsetzung von Richtlinien auf Zugriffspfaden privater Anwendungen: ZTNA ist als System aufgestellt, das sicheren Zugriff ermöglicht und gleichzeitig den Datenverkehr überwacht, und als erster „Grundpfeiler“ in einem SSE-Stack, der auch SWG, CASB, FWaaS und DEM umfasst.
- Breite Abdeckung über Benutzer, Geräte und Protokolle hinweg: Konsequente Durchsetzung für Remote-, On-Premises-, Auftragnehmer-, Partner-, verwaltete und nicht verwaltete Geräte sowie für mehrere Protokolle (z. B. SSH/RDP/Datenbank).
Worin besteht der Unterschied zwischen ZTNA und VPN?
Ein VPN bietet in erster Linie Konnektivität auf Netzwerkebene: Sobald die Verbindung hergestellt ist, befindet sich der Benutzer effektiv im Unternehmensnetzwerk, und das Sicherheitsmodell stützt sich stark auf Perimeterkontrollen sowie auf die intern vorhandene Segmentierung. Im Gegensatz dazu ist ZTNA so konzipiert, dass es das genaue Gegenteil bietet: Zugriff auf Anwendungsebene ohne Netzwerkzugriff.
- VPN: Nach dem Muster „Erst verbinden, dann sichern“ – Benutzer werden in das Unternehmensnetzwerk integriert. VPNs erhöhen tendenziell die Bedeutung und Komplexität der internen Segmentierung, um eine seitliche Bewegung nach der Verbindung eines Geräts zu verhindern.
- ZTNA: „Zuerst prüfen, dann gezielt verbinden“ – Benutzer greifen ausschließlich auf autorisierte Anwendungen zu, ohne sich jemals im Netzwerk selbst aufzuhalten, was oft explizit als „VPN ersetzen“ bezeichnet wird. ZTNA verringert die Abhängigkeit von der internen Segmentierung, indem es von vornherein keine breite Netzwerkreichweite gewährt. Der Zugriff ist auf Anwendungen beschränkt.
Worin besteht der Unterschied zwischen ZTNA und Firewalls?
Zero Trust Network Access (ZTNA) und Firewalls schützen beide den Zugriff auf Systeme, aber auf grundlegend verschiedene Wege. Eine Firewall ist in erster Linie eine Netzwerkperimeter- oder Netzwerksegmentierungssteuerung, die den Datenverkehr anhand netzwerkorientierter Attribute (z. B. IP-Adressen, Ports, Protokolle und – bei Next-Generation-Firewalls – Anwendungs-/Inhaltsprüfung) filtert und untersucht, um zu entscheiden, welcher Datenverkehr zwischen den Netzwerkzonen fließen darf.
Im Gegensatz dazu ist ZTNA ein identitäts- und kontextzentriertes Zugriffsmodell, das die Sicherheit vom „Vertrauen in das, was sich im Netzwerks befindet“ hin zur expliziten Überprüfung jeder Zugriffsanfrage verschiebt. Es gewährt den Zugriff mit geringsten Rechten auf spezifische Ressourcen auf Anwendungsebene anstatt auf eine breite Netzwerkreichweite und bewertet das Vertrauen häufig anhand von Signalen wie Benutzeridentität, Gerätestatus und Sitzungsrisiko kontinuierlich neu, was die Denkweise der „Annahme eines Verstoßes“ widerspiegelt.
In der Praxis bedeutet das, dass Firewalls hervorragend geeignet sind, Datenflüsse zwischen Netzwerken zu kontrollieren und zu überwachen, während ZTNA hervorragend geeignet ist, Benutzer/Geräte unabhängig von ihrem Standort sicher mit bestimmten Anwendungen zu verbinden, implizites Vertrauen zu reduzieren und die seitliche Bewegung einzuschränken, falls ein Konto oder Endpunkt kompromittiert wird.