Einordnung, Praxisnutzen und Mehrwert für Unternehmen
Microsoft verfolgt mit Zero Trust seit Jahren eine klare Sicherheitsstrategie für Cloud- und Hybridumgebungen. Mit dem Zero Trust Assessment Tool, das aktuell in der Public Preview verfügbar ist, stellt Microsoft Unternehmen nun ein Werkzeug zur Verfügung, um die eigene Microsoft 365- und Azure-Umgebung systematisch entlang dieser Strategie zu überprüfen.
Doch was leistet das Tool wirklich? Für wen lohnt sich der Einsatz und wie wird aus einem technischen Report ein konkreter Massnahmenplan? Darüber sprechen wir mit Christian Dunkel, Head of Infrastruktur der Allgeier Schweiz.
Microsoft hat das Zero Trust Assessment Tool in der Public Preview veröffentlicht. Was war dein erster Eindruck?
Christian Dunkel: «Das Zero Trust Assessment Tool ist ein weiteres Tool in der Security-Landschaft, das diesmal direkt von Microsoft kostenlos bereitgestellt wird, auch wenn es aktuell noch nicht vollumfänglich ausgebaut ist.
Eigentlich ist das Tool, wenn man die Geschichte dahinter kennt, ein Konkurrenzprodukt zu Maester. Die Ähnlichkeiten sind sehr frappierend, aber der Ansatz ist ein anderer. Während Maester verschiedene Benchmarks zusammenführt und man selektiv nach CIS, CISA oder anderen Standards prüfen kann, folgt der Aufbau des Zero Trust Assessment Tools konsequent der Zero Trust-Strategie.
Das Tool zieht dabei verschiedene Standards zusammen, vermischt viele Ansätze, aber immer mit klarem Fokus auf die fünf Säulen von Zero Trust: Identity, Device, Networks, Applications & Workloads und Data.
Aktuell ist das Tool noch im Aufbau und es können erst zwei dieser Säulen – Identity und Device – überprüft werden. Das sind aber auch genau die beiden grössten Einfallstore für Hacker.»
Für welche Unternehmen oder Situationen eignet sich das Tool besonders?
Christian Dunkel: «Die Unternehmensgrösse spielt eigentlich keine Rolle. Ich sehe das Tool klar als Teil des laufenden Betriebs. Es sollte regelmässig eingesetzt werden, um einen kontinuierlichen Überblick über die Security eines Tenants zu haben und zu prüfen, ob die eigenen Security-Anforderungen erfüllt sind. Gleichzeitig dient es der Dokumentation.
Für Unternehmen mit ISO-27001-Zertifizierung kann das Tool als Nachweis für regelmässige Security-Überprüfungen genutzt werden. Es lässt sich automatisieren, man kann scripten und schedulen und so periodisch Reports erzeugen. Es ist vor allem für CISOs und für Personen gedacht, die für die Security von Microsoft 365 verantwortlich sind. Ob KMU oder Enterprise, spielt dabei keine Rolle, es betrifft grundsätzlich die Tenant-Security.»
Welche Findings wird ein Unternehmen durch das Tool erwarten können?
Christian Dunkel: «Die Erfahrung zeigt, dass die häufigsten Sicherheitslücken im Bereich Identity liegen. Denn das grösste Einfallstor ist immer die Identität eines Benutzers. Diese Lücken wird auch das Tool aufdecken. Typische Themen sind der Umgang mit administrativen Accounts, fehlende oder veraltete Multi-Faktor-Authentifizierung oder alte MFA-Standards in älteren Tenants, die nie modernisiert wurden.
Microsoft bietet verschiedene Authentifizierungsmethoden an, aber einige gelten heute nicht mehr als sicher, etwa SMS oder E-Mail. Diese Methoden sind bei vielen Kunden noch im Einsatz. Das Assessment Tool kann solche unsicheren Einstellungen klar aufzeigen und über Benchmarks, Empfehlungen und Best Practices belegen, warum sie kritisch sind.
Innerhalb von etwa 15 Minuten liefert das Tool einen Report mit einer Einstufung nach Schweregrad in High, Medium und Low. Dadurch lassen sich Massnahmen priorisieren, ohne wochenlang manuell jedes einzelne Setting prüfen zu müssen.»
Kannst du ein konkretes Beispiel aus der Praxis nennen?
Christian Dunkel: «Wir haben in der Vergangenheit durch eigene Security Assessments Sicherheitslücken offengelegt, die später tatsächlich zu Sicherheitsvorfällen geführt haben, weil nicht oder zu spät reagiert wurde. In vielen Fällen kommen Kunden aber auch gezielt auf uns zu, weil sie ein ungutes Gefühl haben und ihre Umgebung von einer neutralen dritten Partei prüfen lassen möchten.
Gerade bei Unternehmen, die stärker in die Cloud gehen, fehlt häufig Security-Know-how. Viele gehen davon aus, dass Microsoft automatisch eine ausreichende Baseline-Security bereitstellt. Das ist bei älteren Tenants aber oft nicht der Fall.
Typisch sind klassische Muster aus der On-Premises-Welt, etwa dauerhaft privilegierte Accounts. In der Cloud ist das eher ein No-Go. Stattdessen sollte man mit zeitlich begrenzten Rechten arbeiten, zum Beispiel über Privileged Identity Management. Solche Themen lassen sich mit dem Assessment sehr schnell identifizieren und anschliessend gezielt angehen.»
Kann jedes Unternehmen das Tool selbst nutzen oder braucht es Unterstützung?
Christian Dunkel: «Ausführen kann das Tool grundsätzlich jeder. Die Analyse startet über einen einzigen PowerShell-Befehl, anschliessend wird automatisch ein Report generiert. Die eigentliche Komplexität liegt nicht in der Ausführung, sondern in den Entscheidungen danach.
Die Empfehlungen basieren auf Standards, aber nicht jeder Standard ist in jedem Unternehmen eins zu eins umsetzbar. Jede zusätzliche Security-Einstellung hat Auswirkungen auf die Usability. Wenn man zu stark einschränkt, entstehen neue Supportaufwände oder Benutzer können gewohnte Dinge nicht mehr tun.
Deshalb geht es immer darum, ein Gleichgewicht zwischen Security und Usability zu finden. Unternehmen mit wenig Security-Know-how sollten das Tool nicht blind einsetzen, sondern sich beraten lassen.»
Wie unterstützt Allgeier Unternehmen nach dem Assessment?
Christian Dunkel: «Wir führen die Reports gemeinsam mit dem Kunden aus und helfen bei der Interpretation. Dabei identifizieren wir die richtigen Stellschrauben, setzen Prioritäten und entwickeln einen realistischen Massnahmenplan.
Es ist sehr schnell etwas falsch konfiguriert oder wichtige Einstellungen werden ignoriert, weil Abhängigkeiten nicht bekannt sind. Deshalb geht es nicht darum, einfach nur Settings ein- oder auszuschalten, sondern das Gesamtkonzept zu betrachten und die Security nachhaltig zu verbessern.»
Microsoft plant, das Tool um Daten-, Netzwerk- und Anwendungsanalyse zu erweitern. Lohnt es sich, das Tool bereits jetzt zu nutzen?
Christian Dunkel: «Aktuell überprüft das Tool zwar nur Identity und Device, aber das sind wie gesagt auch die grössten Einfallstore. Je früher man mit dem Tool arbeitet, desto besser. Es ist leicht bedienbar und erfordert wenig Schulungsaufwand. Die weiteren Säulen wie Data, Network oder Applications gehen stärker in Richtung Datenschutz und Compliance.
Die Zero Trust-Landschaft entwickelt sich ständig weiter, aber die grösste Herausforderung bleibt die Awareness. Viele Unternehmen arbeiten noch immer mit sehr privilegierten Rechten und unterschätzen Risiken, insbesondere in Lieferketten. Jede Sicherheitslücke wird ausgenutzt, unabhängig von der Unternehmensgrösse.
Automatisierte Assessments helfen dabei, die Komplexität zu reduzieren und Informationen schneller bereitzustellen. Sie ersetzen keine Entscheidungen, aber sie machen Security einfacher zugänglich und unterstützen dabei, regelmässig und strukturiert zu prüfen.»
Fazit: Zero Trust messbar machen und gezielt umsetzen
Das Microsoft Zero Trust Assessment Tool bietet Unternehmen einen schnellen und strukturierten Einstieg, um den eigenen Sicherheitsstatus transparent zu machen und konkrete Handlungsfelder zu identifizieren. Gerade in komplexen, gewachsenen Umgebungen schafft ein solches Assessment Klarheit darüber, wo reale Risiken bestehen und welche Massnahmen tatsächlich relevant sind.
Entscheidend ist jedoch nicht der Report allein, sondern der Umgang mit den Ergebnissen. Der eigentliche Mehrwert entsteht dann, wenn die technischen Empfehlungen in den Gesamtkontext von Betrieb, Benutzeranforderungen und Organisation eingebettet, richtig priorisiert und in sinnvolle Massnahmen überführt werden. Genau hier zeigt sich der Unterschied zwischen einer punktuellen Prüfung und einer nachhaltigen Sicherheitsstrategie.
Christian Dunkel
Christian Dunkel verantwortet den Bereich Infrastructure & Workplace bei Allgeier (Schweiz) AG. Als M365 und Azure Cloud Architect entwickelt er sichere Cloud-Umgebungen und setzt Zero Trust-Strategien um.
Unsere Cyber Security Services
Allgeier Schweiz unterstützt Unternehmen dabei, Zero Trust nicht nur zu bewerten, sondern nachhaltig umzusetzen: von der Durchführung eines Security Assessments über die Interpretation der Ergebnisse, bis hin zur Entwicklung und Umsetzung einer langfristigen Zero Trust-Strategie sowie Sensibilisierung der Mitarbeitenden.
