Zero Trust Network Access (ZTNA): Was es ist und warum es VPN ablöst
Laut dem „Kaseya State of the MSP Report 2026“ bieten 55 % der MSPs Identitäts- und Zugriffsmanagement als Dienstleistung an, wodurch ZTNA und die damit verbundene Alternative zum VPN-basierten Fernzugriff eine immer zentralere Rolle im MSP-Dienstleistungsportfolio einnehmen. Laden Sie den vollständigen Bericht herunter.
VPN ist seit über zwei Jahrzehnten die Standardtechnologie für den Fernzugriff. Es erstellt einen verschlüsselten Tunnel zwischen einem Remote-Gerät und dem Unternehmensnetzwerk, wodurch der Remote-Benutzer logisch gesehen „innerhalb“ des Netzperimeters platziert wird. Im Netzwerkmodell der 1990er und 2000er Jahre war dies eine sinnvolle Methode, um Remote-Benutzern einen vertrauenswürdigen Zugriff zu ermöglichen.
Das Problem ist, dass sich dieses Modell nicht bewährt hat. Ein VPN gewährt Zugriff auf Netzwerkebene, nicht auf Anwendungsebene. Ein über VPN verbundener Nutzer verfügt grundsätzlich über denselben Netzwerkzugang wie jemand, der physisch im Büro sitzt. Das bedeutet, dass ein kompromittiertes Gerät mit einer aktiven VPN-Sitzung einem Angreifer auf Netzwerkebene Zugang zur Unternehmensumgebung verschafft. Von diesem Punkt aus ist eine laterale Bewegung unkompliziert. Der Wirkungsradius eines einzigen gestohlenen Zugangsdatensatzes erstreckt sich auf das gesamte Netzwerk.
Zero Trust Network Access (ZTNA) geht dieses Problem direkt an, indem es den Zugriff auf Netzwerkebene durch einen Zugriff auf Anwendungsebene ersetzt, der kontinuierlich auf der Grundlage einer verifizierten Identität und des Gerätezustands erfolgt. Wenn Sie mehr über das übergeordnete Rahmenkonzept erfahren möchten, in das sich dies einfügt, lesen Sie unseren Leitfaden zur Zero-Trust-Sicherheit als Architektur. Dieser Beitrag konzentriert sich auf die Netzwerkzugriffsebene: Wie ZTNA funktioniert, wie es sich im Vergleich zu VPN verhält, in welchem Zusammenhang es mit SASE steht und wie MSPs es implementieren können.
VPN durch Zero-Trust-Netzwerkzugang ersetzen
Kaseya Secure Edge bietet Zugriffskontrolle auf Anwendungsebene mit kontinuierlicher Identitätsüberprüfung und Durchsetzung der SafeCheck-Gerätekonformität und beseitigt so das Risiko lateraler Bewegungen, das durch VPNs in Client-Umgebungen entsteht.
Entdecken Sie Kaseya Secure Edge
Was ist ZTNA?
ZTNA ist ein Sicherheitsframework, das Benutzern auf der Grundlage einer kontinuierlichen Überprüfung ihrer Identität, des Gerätezustands und des Kontexts Zugriff auf bestimmte Anwendungen und Dienste gewährt – nicht jedoch auf das Netzwerk. Der Benutzer „verbindet sich“ niemals im herkömmlichen VPN-Sinne mit dem Netzwerk. Er authentifiziert sich beim ZTNA-System, das seine Identität und den Konformitätsstatus seines Geräts überprüft und anschließend seine Verbindung ausschließlich zu der von ihm benötigten Anwendung weiterleitet – und zu nichts anderem.
Dieses Modell auf Anwendungsebene setzt das Zero-Trust-Prinzip der geringsten Berechtigungen auf der Netzwerkzugriffsebene um: Benutzer können nur auf die Anwendungen zugreifen, für die sie autorisiert sind, und diese Autorisierung wird kontinuierlich auf der Grundlage des Kontexts neu bewertet.
Das Konzept von ZTNA gibt es bereits seit etwa 2010, doch die ersten Implementierungen waren komplex und kostspielig. Moderne, cloudbasierte ZTNA-Plattformen haben das Modell nun auch für KMU und mittelständische Unternehmen zugänglich gemacht – nicht mehr nur für Großunternehmen mit umfangreichen Sicherheitsteams.
So funktioniert ZTNA
Eine typische ZTNA-Architektur basiert auf drei Komponenten, die nacheinander arbeiten.
Identitätsprüfung. Der Benutzer authentifiziert sich – in der Regel mittels MFA – beim ZTNA-Dienst, der seine Identität anhand der Daten des Identitätsanbieters des Unternehmens überprüft. In diesem Schritt wird festgestellt, wer den Zugriff anfordert.
Bewertung des Gerätestatus. Der ZTNA-Agent auf dem Gerät überprüft, ob der Endpunkt die Sicherheitsrichtlinie erfüllt: Betriebssystem innerhalb eines definierten Zeitfensters gepatcht, EDR-Agent läuft, Festplatte verschlüsselt, Bildschirmsperre aktiv. Geräten, die die Statusprüfung nicht bestehen, wird je nach Richtlinienkonfiguration der Zugriff verweigert oder nur eingeschränkter Zugriff gewährt. Datto „ Secure Edge “ setzt dies über „SafeCheck“ um, eine in Datto RMM integrierte kontinuierliche Überprüfung des Gerätestatus. Wenn sowohl Datto RMM als auch „ Secure Edge “ eingesetzt werden, überprüft „SafeCheck“, ob Endgeräte die Anforderungen hinsichtlich Patch-Status und Virenschutz erfüllen, bevor ihnen die Verbindung gestattet wird. Geräten, die die Überprüfung nicht bestehen, wird der Zugriff verweigert, bis sie die Richtlinien erfüllen, wobei für den Patch-Status eine konfigurierbare Nachfrist gilt, um Szenarien wie beispielsweise ein Gerät abzudecken, das über das Wochenende offline war.
Anwendungsproxy. Sobald die Identität und der Gerätestatus überprüft wurden, leitet der ZTNA-Dienst die Verbindung des Benutzers an die jeweilige Anwendung weiter, für die er Zugriffsberechtigung besitzt. Der Benutzer hat zu keinem Zeitpunkt einen direkten Netzwerkpfad zu Anwendungen, für die er keine Berechtigung besitzt, und erhält niemals Zugriff auf Netzwerkebene auf die übergeordnete Umgebung.
Diese Architektur schränkt die laterale Bewegung konkret ein. Ein Angreifer, der ein Gerät mit einer aktiven ZTNA-Sitzung kompromittiert, kann nur auf die spezifischen Anwendungen zugreifen, für die der Benutzer berechtigt war, nicht jedoch auf das gesamte Netzwerk hinter dem VPN-Tunnel.
—
ZTNA vs. VPN: Die wichtigsten Unterschiede
Die folgende Tabelle gibt einen Überblick über die betrieblichen Unterschiede, die für MSPs bei der Bewertung der Umstellung von Bedeutung sind.
| VPN | ZTNA | |
|---|---|---|
| Zugriffsmodell | Auf Netzwerkebene | Anwendungsebene |
| Vertrauensannahme | Einmal verbunden – sofort vertrauenswürdig | Laufend neu überprüft |
| Risiko durch seitliche Verschiebung | Hoch; der Netzwerkzugang ist umfassend | Minimal; der Zugriff erfolgt auf Antrag |
| Durchsetzung der Gerätehaltung | In der Regel eingeschränkt oder manuell | Kontinuierlich und regelbasiert |
| Benutzererfahrung | Oft langsam, erfordert eine manuelle Verbindung | Schnell, kann ständig aktiv und transparent sein |
| Cloud- und SaaS-Support | Schlecht; leitet den Datenverkehr über das Unternehmensnetzwerk | Nativ; kann den Cloud-Datenverkehr optimal lenken |
| Skalierbarkeit | Komplex und hardwareabhängig | Cloud-native Modelle lassen sich problemlos skalieren |
Die Verbesserung der Benutzererfahrung verdient mehr Aufmerksamkeit, als ihr normalerweise zuteilwird. VPNs sind eine ständige Quelle von Beschwerden seitens der Endbenutzer: langsame Verbindungen, unterbrochene Sitzungen, die Notwendigkeit, sich vor dem Zugriff auf Anwendungen manuell zu verbinden. ZTNA-Architekturen, die als „Always-On“-Lösungen konfiguriert sind, bieten eine bessere Leistung und beseitigen die Verbindungsprobleme, die Benutzer dazu veranlassen, auf Shadow-IT-Workarounds zurückzugreifen.
Ein MSP, der wiederholt Helpdesk-Anfragen zur VPN-Leistung erhalten hat, erkennt sofort, dass es sich hierbei um ein Argument der Servicequalität und nicht nur um ein Sicherheitsargument handelt. Durch den Ersatz des VPN durch Datto Secure Edge wird eine immer wiederkehrende Kategorie von Helpdesk-Anfragen beseitigt und gleichzeitig die Sicherheitslage des Kunden verbessert.
SASE und ZTNA: Wie hängen sie zusammen?
SASE (Secure Access Service Edge) ist eine umfassendere Architektur, die Netzwerksicherheitsfunktionen in einem einzigen, cloudbasierten Dienst bündelt. Ein vollständiger SASE-Stack umfasst ZTNA, Secure Web Gateway (SWG), Cloud Access Security Broker (CASB), Firewall-as-a-Service (FWaaS) und SD-WAN.
ZTNA ist ein Bestandteil von SASE, jedoch kein Synonym dafür. Ein Unternehmen kann ZTNA als Ersatz für ein VPN implementieren und dabei die bestehenden Netzwerksicherheitsmaßnahmen beibehalten. Bei einer vollständigen SASE-Implementierung werden all diese Funktionen in einem einzigen Cloud-Dienst zusammengefasst, wodurch die Komplexität durch den Einsatz verschiedener Anbieter entfällt, die beim Zusammenfügen separater Punktlösungen entsteht.
Datto Secure Edge ist eine umfassende SASE-Lösung, die speziell für den Einsatz bei MSPs entwickelt wurde. Ihr Sicherheitsstack umfasst ZTNA, SWG für Webfilterung und Bedrohungsprüfung, FWaaS für die Durchsetzung von Firewall-Richtlinien aus der Cloud sowie SD-WAN zur Verkehrsoptimierung. Durch die Integration mit Datto RMM und dem PSA-System „ Autotask “ können Warnmeldungen von „ Secure Edge “ automatisch Service-Tickets generieren, und Software-Updates für „ Secure Edge “ werden über die Kataloge von VSA 10 und Datto RMM verteilt, sodass Endgeräte ohne manuellen Eingriff auf dem neuesten Stand bleiben.
Für die meisten KMU und mittelständischen Kunden ist ZTNA als VPN-Ersatz der praktische Ausgangspunkt. Ein vollständiges SASE-Modell ist die logische Weiterentwicklung für Unternehmen mit komplexeren Anforderungen an die Konnektivität über mehrere Standorte und Clouds hinweg sowie für MSPs, die ein umfassendes Angebot im Bereich der verwalteten Netzwerksicherheit aufbauen möchten.
Einführung von ZTNA: ein schrittweiser Ansatz
Die Einführung von ZTNA erfolgt schrittweise. Es ist selten praktikabel, alle Benutzer und den gesamten Zugriff bereits am ersten Tag umzustellen. Ein stufenweiser Ansatz hilft dabei, die Komplexität zu bewältigen und den Nutzen in jeder Phase aufzuzeigen.
Phase 1: Ersatz des VPN für den Fernzugriff. Implementieren Sie ZTNA für Remote-Benutzer, um das bestehende VPN zu ersetzen oder zu ergänzen. Konzentrieren Sie sich zunächst auf die Zugangsmuster mit dem höchsten Risiko: Zugriff privilegierter Benutzer auf Verwaltungssysteme, Zugriff auf sensible Datenspeicher sowie Zugriff über nicht verwaltete Geräte oder BYOD-Geräte. Dies sind die Szenarien, in denen das Risiko einer lateralen Bewegung über das VPN die schwerwiegendsten Folgen hat.
Phase 2: Ausweitung auf den gesamten Anwendungszugriff. Erweitern Sie die ZTNA-Abdeckung über Remote-Benutzer hinaus auf den gesamten Anwendungszugriff, einschließlich lokaler Benutzer, die über dasselbe Modell für verifizierten Zugriff eine Verbindung zu internen Anwendungen herstellen. In dieser Phase ist das Zugriffsmodell einheitlich, unabhängig davon, wo sich der Benutzer physisch befindet.
Phase 3: Verschärfen Sie die Richtlinien zur Gerätesicherheit. Binden Sie die Einhaltung der Gerätesicherheitsrichtlinien enger ein, indem Sie den EDR-Status als Echtzeit-Signal für den Sicherheitsstatus nutzen. Implementieren Sie adaptive Richtlinien, die den Zugriffsumfang einschränken oder Sitzungen beenden, wenn sich der Sicherheitsstatus eines Geräts während einer aktiven Sitzung verschlechtert – und nicht nur zum Zeitpunkt der Verbindungsherstellung. SafeCheck in Datto Secure Edge sorgt über die Datto-RMM-Integration für diese kontinuierliche Durchsetzung.
Phase 4: Verhaltensüberwachung und adaptiver Zugriff. Implementieren Sie eine Überwachung, die den Zugriff in Echtzeit einschränken oder beenden kann, wenn während einer authentifizierten Sitzung anomales Verhalten festgestellt wird: Massen-Dateidownloads, Zugriff auf ungewöhnliche Anwendungen, Anomalien bei der Authentifizierung oder Versuche der lateralen Bewegung.
Ein nützlicher Anhaltspunkt: Ein MSP aus dem Datto-Partnerprogramm stellte fest, dass die Datto- Secure Edge en seinen Kunden dabei halfen, mehr als 10 verschiedene Kontrollanforderungen gemäß NIST 800-171 zu erfüllen, obwohl „Zero Trust“ in dem Rahmenwerk nicht ausdrücklich genannt wird. Die Zugriffskontrollen, die Protokollierung von Audits und die Überprüfung des Gerätestatus lassen sich nahtlos mehreren Kontrollfamilien zuordnen.
ZTNA für MSPs
MSPs haben zwei ganz unterschiedliche Gründe, in ZTNA zu investieren: zum einen, um ihren eigenen Zugriff auf Kundenumgebungen zu schützen, und zum anderen, um ZTNA als Managed Service anzubieten.
Intern gehören MSP-Zugangsdaten zu den wertvollsten Zielen in der Lieferkette von KMU. Ein Angreifer, der sich Zugriff auf RMM-Zugangsdaten oder ein PSA-Administratorkonto verschafft, erhält Zugriff auf jede Kundenumgebung, die der MSP verwaltet. Eine ZTNA-basierte Zugriffskontrolle mit Identitätsüberprüfung pro Sitzung und kontinuierlicher Durchsetzung der Gerätesicherheit schränkt den Zugriffsbereich ein, den einzelne kompromittierte Zugangsdaten erreichen können. Ein MSP, der Datto- Secure Edge einsetzt, brachte es auf den Punkt: Seine Techniker können sich nicht bei KaseyaOne authentifizieren, ohne zuvor über Secure Edge verbunden zu sein. Die Sitzungsüberprüfung ist kein optionaler zusätzlicher Schritt, sondern die Voraussetzung für den Zugriff.
Für Kunden sind die Geschäftsverhandlungen einfacher geworden, da die Anforderungen an Cyberversicherungen verschärft wurden. Viele Versicherer verlangen mittlerweile Multi-Faktor-Authentifizierung (MFA) und Zugriffskontrollen auf Anwendungsebene als Voraussetzung für den Versicherungsschutz. Ein MSP, der ZTNA als verwalteten Netzwerksicherheitsdienst anbieten kann – mit zentraler Richtlinienverwaltung für alle Kundenmandanten und automatisierten Warnmeldungen über die PSA –, erfüllt damit eine Kundenanforderung, für deren Umsetzung zuvor Ressourcen auf Unternehmensniveau erforderlich waren.
Auch aus betrieblicher Sicht spricht vieles dafür. Der Ersatz von VPN durch Datto Secure Edge reduziert das wiederkehrende Helpdesk-Aufkommen aufgrund von Beschwerden über die VPN-Leistung, verbessert die Benutzererfahrung für Remote-Mitarbeiter und macht die Hardware-Erneuerungszyklen überflüssig, die bei lokalen VPN-Geräten erforderlich sind. Für Kunden bedeutet dies eine bessere IT-Erfahrung. Für MSPs bedeutet dies ein übersichtlicheres Modell zur Bereitstellung von Dienstleistungen.
Datto Secure Edge ist für Windows, macOS, iOS und Android verfügbar. Der mobile Client wurde im Juni 2025 veröffentlicht und bietet MSPs eine einheitliche ZTNA-Lösung, die die gesamte Bandbreite der von ihren Kunden genutzten Geräte abdeckt.
Die wichtigsten Erkenntnisse
- ZTNA ersetzt den Zugriff auf Netzwerkebene bei VPN durch einen Zugriff auf Anwendungsebene, der kontinuierlich anhand der Identität und des Gerätestatus überprüft wird. Mit kompromittierten Anmeldedaten und ZTNA-Zugriff kann nur auf autorisierte Anwendungen zugegriffen werden, nicht jedoch auf das gesamte Netzwerk.
- Im Bereich der Gerätekonfiguration kommt der Integration von ZTNA und RMM die größte Bedeutung zu. SafeCheck in der Datto- Secure Edge -Lösung nutzt Datto RMM, um die Compliance der Endgeräte vor und während der Zugriffssitzungen kontinuierlich zu überprüfen.
- ZTNA ist ein Bestandteil von SASE. Für die meisten KMU-Kunden ist ZTNA als VPN-Ersatz der Ausgangspunkt. Ein vollständiges SASE-Modell vereint ZTNA, Web-Gateway, Cloud-Firewall und SD-WAN in einem einzigen, über die Cloud bereitgestellten Dienst.
- Die Umsetzung erfolgt schrittweise: Beginnen Sie mit privilegierten und Remote-Zugriffen, erweitern Sie den Umfang auf den Zugriff auf alle Anwendungen, verschärfen Sie anschließend die Sicherheitsrichtlinien und fügen Sie eine Verhaltensüberwachung hinzu.
- MSPs haben sowohl interne als auch geschäftliche Anreize: den Schutz des Zugriffs mit hohen Berechtigungen vom MSP zum Kunden sowie die Bereitstellung von ZTNA als Managed Service, der Compliance-Anforderungen erfüllt und das durch VPNs verursachte Helpdesk-Aufkommen reduziert.
