Der Login zu Ihrem Online-Banking-Account oder der Zugang zu Ihrem firmeneigenen Content-Management-System (CMS) erfordert beim Login möglicherweise bereits eine Multi-Faktor-Authentifizierung (MFA). Dies ist ein Beispiel für Zero Trust: User:innen müssen erst verifizieren, dass sie tatsächlich diejenigen sind, die sich einloggen wollen. Dazu kommt neben der Passworteingabe eine zusätzliche Methode zum Einsatz.
Ein Zero-Trust-Sicherheitssystem unterliegt also grundlegend der namensgebenden Prämisse „Vertraue niemandem“. Die Architektur von Netzwerkanwendungen ermöglicht keinem Akteur oder Dienst den pauschalen Zugriff auf Ressourcen. Selbst innerhalb des Systems erfordert jede Zugriffsanforderung eine separate Authentifizierung.
Dies steht im Gegensatz zum klassischen Sicherheitsansatz von (Unternehmens-)Netzwerken: Diese sahen früher lediglich die „Außengrenzen“, also die Barriere zu anderen Netzwerken, als sicherheitsrelevant an. Man spricht dabei vom „perimeterbasierten“ Ansatz der Cybersicherheit. Die Netzwerke bestehen zu diesem Zweck aus unterschiedlichen Bereichen: Auf der einen Seite Systeme, die Angriffe erkennen, zum Beispiel ein Intrusion-Detection-System; auf der anderen Seite Netzwerkschranken in Form einer Firewall. Zero Trust hingegen bezeichnet man als „perimeterlos“, da dieses Prinzip keine einzelnen Grenzen definiert, an denen Sicherheitsvorkehrungen getroffen werden. Stattdessen überprüfen Security-Tools jeden einzelnen Datenstrom auf seine Vertrauenswürdigkeit – egal, wo er stattfindet. IT-Expert:innen nennen Zero Trust deshalb auch „datenzentrierten Ansatz“.
Das US-amerikanische National Institute of Standards and Technology (NIST) hat für Zero Trust drei wesentliche Prinzipien definiert: