Was ist ZTNA? Wie Zero Trust Network Access funktioniert und welche Grenzen es hat

ZTNA steht für Zero Trust Network Access, ein Fernzugriff-Modell, bei dem die Verbindung selbst nichts gewährt. Jeder Versuch, eine interne App zu öffnen, wird separat autorisiert: wer der Nutzer ist, in welchem Zustand sich sein Gerät befindet und was die Richtlinie erlaubt. Der Rest bleibt standardmäßig geschlossen. Damit ersetzt ZTNA das perimeterbasierte Modell, bei dem eine einmalige Anmeldung an der Netzwerkgrenze weitreichendes Vertrauen innerhalb des Netzes gewährt; hier wird jede Anfrage einzeln bewertet und während der Sitzung erneut geprüft.

Wie eine ZTNA-Anfrage abläuft

1. Ein Nutzer öffnet eine interne App über einen Agenten auf dem Laptop oder im Browser.
2. Die Anfrage erreicht einen Broker (den Controller), nicht den App-Server.
3. Der Broker bestätigt die Identität mit dem Identitätsanbieter: SSO über SAML oder OIDC, dazu eine MFA-Aufforderung.
4. Auch der Gerätesicherheitsstatus zählt: Patch-Level, Festplattenverschlüsselung.
5. Wenn die Richtlinie es erlaubt, öffnet ein neben der App platzierter Connector eine Sitzung zu genau dieser Anwendung. Der Connector wählt sich ausgehend zum Broker ein, sodass die App keinen eingehenden Port im Internet braucht und für alle unsichtbar bleibt, die die Richtlinie nicht nennt.
6. Die Prüfungen laufen während der Sitzung weiter. Deaktiviert man das Konto im IdP, synchronisiert SCIM die Änderung zum ZTNA-Tool und schließt den Pfad.

NISTs SP 800-207-Ratgeber zur Zero-Trust-Architektur (August 2020) nennt dieselben Teile: eine Policy Engine, die die Entscheidung trifft, einen Policy Administrator, der Sitzungen aufbaut oder beendet, sowie einen Enforcement Point im Datenpfad.

ZTNA vs. VPN

Tunnel sorgen hier für Verwirrung. Viele ZTNA-Agenten bauen trotzdem einen auf, oft mit WireGuard (25 der 98 Tools in unserem Ranking nennen das). Der Unterschied liegt in der Reichweite: Ein klassisches VPN gewährt ein ganzes Subnetz, ZTNA öffnet eine Tür zu einer einzelnen App.

Agent oder Browser

Ein installierter Agent liest den Gerätesicherheitsstatus und trägt Nicht-Web-Protokolle wie SSH und RDP, was zu verwalteten Laptops passt. Browserbasierter (clientloser) Zugriff erfordert keine Installation und eignet sich daher besonders für externe Auftragnehmer und private Smartphones, bleibt aber meist auf Web-Apps beschränkt. Ein Unternehmen mit verwalteten Mitarbeiter-Laptops und externen Auftragnehmern betreibt am Ende meist beide Modi nebeneinander.

Wo ZTNA Grenzen hat

Die Freigabe einer Sitzung ist bei vielen Produkten der Punkt, an dem die Aufsicht endet: Sie beobachten nicht mehr, was der Nutzer innerhalb der Anwendung tut. Ein übernommenes IdP-Konto passiert die Richtlinie wie jedes legitime. Ältere Thick-Client-Anwendungen, serverinitiierter Verkehr und UDP-lastige Ströme erfordern zusätzlichen Connector-Aufwand nahe der App. Ein Cloud-Broker fügt einen Hop ein und macht abhängig von der Verfügbarkeit eines einzigen Anbieters. Der Rollout wartet auf ein Anwendungs-Inventar und schriftliche Richtlinien pro Gruppe.

ZTNA, SASE und SDP

Der Software-defined Perimeter ist das ältere Konzept, aus dem ZTNA hervorging: Ressourcen bleiben verborgen, bis der Nutzer seine Identität nachgewiesen hat. ZTNA legte Identitätsanbieter und Posture-Prüfungen über diese Idee. SASE und sein sicherheitsfokussiertes Pendant SSE packen ZTNA zusammen mit Secure Web Gateway, CASB und Firewall as a Service ein, und SASE ergänzt SD-WAN für das Standortnetzwerk. Wählt man den SASE-Weg, kommt ZTNA als ein Modul des Stacks.

Braucht ein Heimanwender ZTNA?

Nein. ZTNA schützt Unternehmensanwendungen; es verdeckt Ihre IP nicht vor Websites, leitet das Browsing nicht durch ein anderes Land und verschafft Ihnen keinen Zugang zu einer ausländischen Streaming-Mediathek. Unter 543 Privatkunden-VPNs in unseren Daten wird nur für ein einziges Produkt ZTNA-Unterstützung angegeben, neun geben zu, dass es ihnen fehlt, 533 erwähnen es nie. Unser ZTNA-Lösungen-Ranking vergleicht 98 Tools, angeführt von OpenVPN (Access Server / CloudConnexa) mit 2,46, Defguard mit 1,83 und Netmaker mit 1,70 von möglichen 10. Prüfen Sie die Auswahl sorgfältig: SSO/SAML ist für 40 der 98 bestätigt, ein kostenloser Tarif existiert bei 39, und 63 veröffentlichen keinen Preis; Interessenten müssen ein Angebot beim Vertrieb anfordern.

FAQ

Kann ZTNA ein VPN vollständig ersetzen?

Weitgehend ja, für den Zugriff auf interne Apps. Zwei Standorte zu einem einzigen Netzwerk zu verbinden, bleibt site-to-site-Arbeit, abgedeckt durch unser Business-VPN-Ranking.

Ist ZTNA kostenlos?

OpenVPN Access Server ist für bis zu 2 Verbindungen kostenlos, CloudConnexa für bis zu 5 Plätze. Defguards Open-Source-Edition und Netmakers Community Edition lassen sich ohne Kosten selbst hosten.

Verdeckt ZTNA meine IP-Adresse?

Nein. Seine Aufgabe ist Zugriffskontrolle auf App-Ebene, nicht die Privatsphäre beim Browsing.

Kurzantwort

ZTNA ersetzt netzwerkweites Vertrauen durch Zugriffsentscheidungen für einzelne Anwendungen. Ein Broker berücksichtigt dabei Identität, MFA und Gerätestatus; die Anwendungen sind nur über Connectors erreichbar, die ausgehende Verbindungen aufbauen. Ein gestohlenes Login richtet weit weniger Schaden an, doch In-App-Verhalten, kompromittierte SSO-Konten und veraltete Thick Clients bleiben das Problem anderer Kontrollen. Unternehmen mit Remote-Mitarbeitern profitieren am meisten; Heimanwender brauchen ein Privatkunden-VPN.