Security-Architektur – Defense in Depth & Zero Trust

Inhaltsverzeichnis

Schnellübersicht

Auf dieser Seite lernen Sie alles über Security-Architektur im Enterprise-Umfeld:

Definition: Was ist Security-Architektur und warum ist sie wichtig?
Grundprinzipien: Defense in Depth, Least Privilege, Zero Trust
Zonenmodell: Internet, DMZ, Intern, Restricted
Sicherheitsmodelle: Perimeter vs. Zero Trust vs. SASE
Komponenten: Firewall, IDS/IPS, VPN, WAF, SIEM, PAM
Best Practices: Design, Implementierung, Monitoring, Review
FAQ: Häufige Fragen zur Security-Architektur

1. Was ist Security-Architektur?

Definition

Security-Architektur ist der strukturierte Entwurf und die Implementierung von Sicherheitsmaßnahmen in einer IT-Infrastruktur. Sie definiert, wie Systeme, Netzwerke und Anwendungen geschützt werden, um Vertraulichkeit, Integrität und Verfügbarkeit (CIA-Triade) zu gewährleisten.

Eine gute Security-Architektur folgt etablierten Prinzipien wie Defense in Depth (mehrere Sicherheitsebenen), Least Privilege (minimale Berechtigungen) und Zero Trust (niemals vertrauen, immer verifizieren). Sie kombiniert technische Komponenten (Firewalls, IDS, Verschlüsselung) mit organisatorischen Maßnahmen (Richtlinien, Prozesse, Schulungen).

Ziel: Angreifer daran hindern, in das Netzwerk einzudringen, sich lateral zu bewegen und Schaden anzurichten – selbst wenn eine Sicherheitsebene überwunden wird.

             Warum ist Security-Architektur wichtig?
            Schutz vor Cyberangriffen: Ransomware, Datendiebstahl, Spionage
Compliance: DSGVO, ISO 27001, KRITIS-Verordnungen
Geschäftskontinuität: Vermeidung von Ausfallzeiten und Datenverlust
Reputation: Vertrauen von Kunden und Partnern erhalten
Kostenreduktion: Prävention ist günstiger als Incident Response

        

2. Grundprinzipien der Security-Architektur

Sechs fundamentale Prinzipien bilden das Fundament jeder sicheren IT-Architektur.

Defense in Depth

Mehrere Sicherheitsebenen

Keine einzelne Maßnahme ist perfekt. Mehrere übereinanderliegende Schichten sorgen dafür, dass ein Angriff gestoppt wird, auch wenn eine Ebene versagt.

Physische Sicherheit (Zutrittskontrolle)
Netzwerksicherheit (Firewall, Segmentierung)
Host-Sicherheit (Antivirus, Hardening)
Anwendungssicherheit (WAF, Code Review)
Datensicherheit (Verschlüsselung, Backup)

Least Privilege

Minimale Berechtigungen

Jeder Benutzer, Prozess und jedes System erhält nur die absolut notwendigen Berechtigungen – nicht mehr.

Keine Admin-Rechte für normale User
Just-in-Time-Berechtigungen (PAM)
Regelmäßige Rechteüberprüfung
Service-Accounts mit minimalen Rechten
Getrennte Admin-Accounts

Netzwerksegmentierung

Isolation kritischer Systeme

Das Netzwerk wird in Zonen unterteilt, um lateralen Bewegungen von Angreifern zu verhindern.

DMZ für öffentliche Dienste
Separate VLANs für Abteilungen
Microsegmentierung (Zero Trust)
Isolierte Management-Netze
Strikte Firewall-Regeln zwischen Zonen

Zero Trust

Niemals vertrauen, immer verifizieren

Kein implizites Vertrauen – weder innerhalb noch außerhalb des Netzwerks. Jede Anfrage wird authentifiziert und autorisiert.

Identität als neuer Perimeter
Kontinuierliche Verifizierung
Geräte-Compliance prüfen
Kontextbasierte Zugriffskontrolle
Kein VPN = kein automatischer Zugang

Fail Secure

Sicherer Fehlzustand

Wenn ein System ausfällt, fällt es in einen sicheren Zustand – nicht in einen offenen.

Firewall blockiert bei Fehler (nicht erlaubt)
Türen verriegeln bei Stromausfall
Sessions laufen ab bei Timeout
Default-Deny-Policies
Redundante Sicherheitskontrollen

Kontinuierliches Monitoring

Erkennen und Reagieren

Sicherheit ist kein Zustand, sondern ein Prozess. Kontinuierliche Überwachung erkennt Angriffe frühzeitig.

SIEM für Log-Analyse
IDS/IPS für Angriffserkennung
UEBA für Anomalie-Erkennung
Automatisierte Alerting-Prozesse
Regelmäßige Penetrationstests

3. Das Zonenmodell (Network Segmentation)

Das klassische Zonenmodell unterteilt das Netzwerk in Bereiche mit unterschiedlichem Vertrauensniveau. Jede Zone hat spezifische Sicherheitsanforderungen.

Typisches Enterprise-Zonenmodell

Zone 0: Internet (Untrusted)

Öffentliches Internet – kein Vertrauen. Alle Verbindungen werden als potenziell feindlich behandelt.

Beispiele: Externe Websites, Cloud-Dienste, Partner-APIs

Zone 1: DMZ (Demilitarized Zone)

Pufferzone zwischen Internet und internem Netz. Enthält öffentlich erreichbare Server mit strenger Isolierung.

Beispiele: Web-Server, Mail-Gateway, VPN-Gateway, Reverse Proxy

Zone 2: Internes Netzwerk (Trusted)

Internes Firmennetzwerk für Mitarbeiter. Höheres Vertrauen, aber dennoch segmentiert nach Abteilungen/Rollen.

Beispiele: Client-PCs, Drucker, interne File-Server, Active Directory

Zone 3: Restricted / Hochsicherheitszone

Kritische Systeme mit höchsten Schutzanforderungen. Strengste Zugriffskontrollen und vollständige Isolation.

Beispiele: Datenbank-Server, Finanzsysteme, HR-Daten, Forschungsdaten

             Firewall-Regeln zwischen Zonen
            Internet → DMZ: Nur spezifische Ports (80, 443, 25) erlaubt
DMZ → Internal: Stark eingeschränkt, nur notwendige Verbindungen
Internal → DMZ: Erlaubt für Clients (Web, Mail)
Internal → Restricted: Nur autorisierte Admins und Applikationen
Restricted → External: Standardmäßig verboten (Egress Filtering)
Default Policy: Deny All – nur explizit erlaubte Verbindungen

        

4. Sicherheitsmodelle im Vergleich

Von traditionellem Perimeter-Schutz bis zu modernen Zero-Trust-Architekturen – welches Modell passt zu Ihrem Unternehmen?

Merkmal	Perimeter-Based	Zero Trust	SASE
Philosophie	"Vertrauen innerhalb, misstrauen außerhalb"	"Niemals vertrauen, immer verifizieren"	"Security as a Service + Networking"
Perimeter	Netzwerkgrenze (Firewall)	Identität + Gerät + Kontext	Cloud-basierter Edge
Vertrauensmodell	Implizites Vertrauen im LAN	Kein implizites Vertrauen	Kontextabhängiges Vertrauen
Remote Access	VPN (voller Netzwerkzugriff)	ZTNA (app-spezifisch)	Cloud-native SWG/CASB/ZTNA
Segmentierung	VLANs, Subnetze	Microsegmentierung	Identity-aware Proxy
Komplexität	Mittel (Hardware-Firewalls)	Hoch (Policy-Engine, Agenten)	Niedrig (Cloud-managed)
Skalierbarkeit	Begrenzt (Hardware)	Gut (softwaredefiniert)	Exzellent (Cloud-native)
Ideal für	Traditionelle On-Premise-Umgebungen	Moderne Hybrid-/Cloud-Umgebungen	Distributed Workforce, Multi-Cloud

Empfehlung

Kleine Unternehmen: Beginnen Sie mit einem soliden Perimeter-Modell (Firewall, VPN, Segmentierung).

Mittelständische Unternehmen: Migrieren Sie schrittweise zu Zero Trust (MFA, ZTNA, Microsegmentierung).

Enterprise / Remote-First: Implementieren Sie SASE für globale, cloud-native Sicherheit.

5. Wichtige Sicherheitskomponenten

Technische Bausteine einer modernen Security-Architektur.

Next-Generation Firewall (NGFW)

Stateful Inspection + Application Awareness + IPS + Threat Intelligence.

Deep Packet Inspection
App-ID (nicht nur Ports)
User-ID (Benutzerbezug)
Integriertes IPS/IDS
SSL/TLS-Decryption

IDS / IPS

Intrusion Detection/Prevention Systems erkennen und blockieren Angriffe in Echtzeit.

Signaturbasierte Erkennung
Anomaliebasierte Erkennung
Network-based (NIDS/NIPS)
Host-based (HIDS/HIPS)
Integration mit SIEM

VPN / ZTNA

Verschlüsselter Remote-Zugriff. Modern: Zero Trust Network Access statt klassischem VPN.

IPsec / SSL-VPN (klassisch)
ZTNA (app-spezifisch)
MFA-Integration
Device Compliance Check
Kein voller Netzwerkzugriff

Web Application Firewall (WAF)

Schutz für Webanwendungen vor OWASP Top 10 Angriffen (SQLi, XSS, etc.).

OWASP Top 10 Schutz
Bot-Management
API-Security
Rate Limiting
DDoS-Schutz

SIEM / SOAR

Security Information & Event Management + Orchestration. Zentrale Log-Analyse und Incident Response.

Log-Aggregation
Korrelation & Alerting
UEBA (User Behavior Analytics)
Automatisierte Response (SOAR)
Compliance-Reporting

PAM (Privileged Access)

Privileged Access Management – Kontrolle und Überwachung administrativer Zugriffe.

Just-in-Time-Berechtigungen
Session Recording
Password Vaulting
Approval Workflows
Service Account Management

6. Best Practices für Security-Architektur

Design-Phase

Risikobewertung durchführen (Asset-Klassifizierung)
Threat Modeling (STRIDE, PASTA)
Security Requirements definieren
Architektur-Review mit Security-Team
Compliance-Anforderungen berücksichtigen
Defense in Depth planen

Implementierung

Default-Deny-Policies verwenden
Hardening-Standards anwenden (CIS Benchmarks)
Patch-Management automatisieren
Konfigurationsmanagement (IaC)
Secrets Management (Vault)
Change Management-Prozesse etablieren

Monitoring & Detection

Zentrales Logging (SIEM)
Alerting-Regeln feinjustieren
Baseline-Normalverhalten erstellen
Anomalie-Erkennung aktivieren
Threat Intelligence integrieren
24/7 SOC oder Managed Detection

Review & Verbesserung

Regelmäßige Penetrationstests
Vulnerability Scanning (wöchentlich)
Security Audits (jährlich)
Incident Response Tests (Tabletop)
Lessons Learned nach Incidents
Kontinuierliche Architektur-Reviews

Der PDCA-Zyklus in der Security-Architektur

Plan: Risiken analysieren, Architektur entwerfen, Policies definieren

Do: Maßnahmen implementieren, Systeme konfigurieren, Schulungen durchführen

Check: Monitoring, Audits, Penetrationstests, KPIs auswerten

Act: Schwachstellen beheben, Architektur anpassen, Prozesse optimieren

7. FAQ – Häufige Fragen & Antworten

Häufige Fragen zur Security-Architektur

Was ist der Unterschied zwischen Defense in Depth und Zero Trust?

Defense in Depth ist ein Prinzip: Mehrere Sicherheitsebenen übereinanderlegen, damit ein Angriff gestoppt wird, auch wenn eine Ebene versagt. Es kann mit jedem Architekturmodell kombiniert werden.

Zero Trust ist ein Architekturmodell: Es eliminiert implizites Vertrauen und verlangt kontinuierliche Verifizierung jeder Anfrage – unabhängig vom Netzwerkstandort. Zero Trust verwendet Defense in Depth als eines seiner Prinzipien.

Kurz: Defense in Depth ist die Strategie, Zero Trust ist eine konkrete Umsetzung dieser Strategie.

Brauche ich immer eine DMZ?

Ja, wenn Sie öffentlich erreichbare Dienste (Web-Server, Mail-Gateway, API-Endpoints) betreiben. Die DMZ isoliert diese Systeme vom internen Netz und verhindert, dass ein kompromittierter öffentlicher Server direkt auf interne Ressourcen zugreifen kann.

Ausnahme: Bei reinen Cloud-Native-Architekturen mit SASE/ZTNA kann die klassische DMZ durch Identity-Aware Proxies und Microsegmentierung ersetzt werden. Aber das Prinzip der Isolation bleibt bestehen.

Wie starte ich mit Zero Trust in einem bestehenden Unternehmen?

Zero Trust ist eine Reise, kein Ziel. Starten Sie schrittweise:

Identität zuerst: MFA für alle Benutzer einführen (größter Hebel)
Device Compliance: Endpoint Protection + Compliance-Checks
ZTNA für Remote Access: VPN schrittweise durch ZTNA ersetzen
Microsegmentierung: Kritische Systeme isolieren
Kontinuierliche Verifizierung: UEBA, Risk-Based Authentication

Wichtig: Nicht alles auf einmal! Priorisieren Sie nach Risiko und Business Impact.

Was ist Microsegmentierung und wann brauche ich sie?

Microsegmentierung bedeutet, dass nicht nur Netzwerkbereiche (VLANs), sondern einzelne Workloads voneinander isoliert werden. Jeder Server/Container hat individuelle Firewall-Regeln.

Wann nötig?

Kritische Datenbanken / Finanzsysteme
Multi-Tenant-Umgebungen (Cloud, Hosting)
Container/Kubernetes-Umgebungen
Compliance-Anforderungen (PCI-DSS, KRITIS)
Nach einem Sicherheitsvorfall (laterale Bewegung verhindern)

Tools: VMware NSX, Cisco ACI, Illumio, Calico (K8s), Cloud-native Security Groups

Wie messe ich den Erfolg meiner Security-Architektur?

Definieren Sie KPIs und Metriken:

Mean Time to Detect (MTTD): Wie schnell werden Angriffe erkannt?
Mean Time to Respond (MTTR): Wie schnell wird reagiert?
Patch Compliance: % der Systeme mit aktuellen Patches
Vulnerability Closure Rate: Wie schnell werden Schwachstellen behoben?
Phishing Click Rate: Wirksamkeit von Awareness-Trainings
Incident Volume: Anzahl gemeldeter Vorfälle (Trend)
Audit Findings: Anzahl kritischer Findings in Audits

Tipp: Messen Sie Trends über Zeit, nicht nur Momentaufnahmen. Vergleichen Sie mit Branchen-Benchmarks (z.B. Verizon DBIR).

Was ist SASE und wann lohnt es sich?

SASE (Secure Access Service Edge) kombiniert Networking (SD-WAN) und Security (SWG, CASB, ZTNA, FWaaS) als Cloud-Service.

Lohnt sich, wenn:

Verteilte Standorte / Remote-First-Unternehmen
Multi-Cloud-Umgebungen
Hohe Anzahl mobiler Benutzer
Reduktion eigener Hardware gewünscht
Globale Präsenz mit niedriger Latenz benötigt

Anbieter: Zscaler, Netskope, Palo Alto Prisma Access, Cloudflare, Cisco Umbrella

Zusammenfassung

             Die wichtigsten Punkte
            Security-Architektur: Strukturierter Entwurf von Sicherheitsmaßnahmen für CIA-Triade
Defense in Depth: Mehrere Sicherheitsebenen – keine Single Point of Failure
Least Privilege: Minimale Berechtigungen für Benutzer, Prozesse, Systeme
Zero Trust: Niemals vertrauen, immer verifizieren – Identität als neuer Perimeter
Zonenmodell: Internet → DMZ → Internal → Restricted mit strikten Firewall-Regeln
Sicherheitsmodelle: Perimeter (klassisch), Zero Trust (modern), SASE (cloud-native)
Komponenten: NGFW, IDS/IPS, VPN/ZTNA, WAF, SIEM/SOAR, PAM
Best Practices: Design → Implementierung → Monitoring → Review (PDCA)
Messbar machen: MTTD, MTTR, Patch Compliance, Vulnerability Closure Rate

        

Nächste Schritte

Security-Architektur ist ein iterativer Prozess. Starten Sie mit einer Risikobewertung, priorisieren Sie Maßnahmen nach Business Impact und verbessern Sie kontinuierlich. Nutzen Sie Frameworks wie NIST CSF, ISO 27001 oder CIS Controls als Leitfaden.

Weiter zu Compliance & Standards

Weiterführende Themen

Sicherheitsgrundlagen

CIA-Triade, Bedrohungsmodelle, Risikoanalyse – die Basis der IT-Sicherheit.

Zu Sicherheitsgrundlagen

Netzwerksicherheit

Firewalls, IDS/IPS, VPN, Segmentierung – technische Netzwerksicherheit im Detail.

Zur Netzwerksicherheit

Authentifizierung & MFA

Starke Authentifizierung, MFA, SSO, FIDO2 – Identitätssicherheit vertiefen.

Zur Authentifizierung

Compliance & Standards

DSGVO, ISO 27001, NIST, KRITIS – regulatorische Anforderungen verstehen.

Zu Compliance