Hybrides Arbeiten sichern: Die Kombination von NAC mit ZTNA für nahtlosen Zugriff

Dieser maßgebliche technische Leitfaden befasst sich mit der architektonischen Konvergenz von Network Access Control (NAC) und Zero Trust Network Access (ZTNA) zur Sicherung hybrider Arbeitsumgebungen in Unternehmens-, Einzelhandels-, Gastronomie- und öffentlichen Bereichen. Er bietet einen schrittweisen Bereitstellungsplan, Fallstudien aus der Praxis und Compliance-Richtlinien für IT-Architekten und CTOs, die die Sicherheitslücken schließen müssen, die durch isolierte On-Premises- und Cloud-Zugriffsdomänen entstehen.

📖 6 Min. Lesezeit📝 1,285 Wörter🔧 2 ausgearbeitete Beispiele❓ 3 Übungsfragen📚 9 Schlüsseldefinitionen

Diesen Leitfaden anhören

Podcast-Transkript ansehen

Willkommen beim Purple Enterprise Architecture Briefing. Ich bin Ihr Gastgeber, und heute widmen wir uns einer entscheidenden Herausforderung für IT-Leiter: der Absicherung der hybriden Belegschaft. Konkret betrachten wir die architektonische Konvergenz von Network Access Control - oder NAC - und Zero Trust Network Access - ZTNA. Wenn Sie komplexe Netzwerke in Unternehmensstandorten, Einzelhandelsflächen oder Umgebungen des öffentlichen Sektors verwalten, ist dies genau das Richtige für Sie.

Lassen Sie uns den Kontext abstecken. Der traditionelle Perimeter ist tot. Das wissen wir alle. Die Absicherung eines Hauptsitzes mit robustem NAC, während man sich für den Fernzugriff auf veraltete VPNs verlässt, reicht einfach nicht mehr aus. Das führt zu Reibungsverlusten für den Benutzer und zu blinden Flecken für die IT. Moderne Unternehmen benötigen eine einheitliche Sicherheitsstruktur, die die On-Premises-Infrastruktur nahtlos mit Cloud-nativen Anwendungen verbindet. Genau hier kommt die Kombination aus NAC und ZTNA ins Spiel.

Historisch gesehen handelte es sich hierbei um isolierte Bereiche. NAC, das Standards wie 802.1X nutzt, war hervorragend geeignet, um den physischen und kabellosen Zugriff innerhalb des Gebäudes zu kontrollieren. Es überprüfte den Gerätestatus und wies VLANs zu. ZTNA hingegen wurde für das Cloud-Zeitalter entwickelt - es sichert den Fernzugriff basierend auf Identität und Kontext und nicht auf dem Netzwerkstandort. Das Problem entsteht, wenn sich ein hybrider Mitarbeiter zwischen diesen Bereichen bewegt. Zu Hause authentifizieren sie sich nahtlos über ZTNA, stoßen aber auf eine Wand unzusammenhängender Richtlinien, sobald sie das Büro betreten. Das ist frustrierend, ineffizient und schafft ehrlich gesagt Sicherheitslücken, die Angreifer ausnutzen können.

Sprechen wir also über die technische Architektur. Die Lösung ist eine einheitliche Identitäts- und Kontext-Broker-Ebene. Wir müssen die Telemetrie zwischen den NAC- und ZTNA-Richtlinien-Engines synchronisieren. Stellen Sie sich das als eine kontinuierliche Statusbewertung vor, die dem Benutzer folgt, wo auch immer er sich befindet.

Und so funktioniert es in der Praxis. Wenn sich ein Gerät mit dem Unternehmensnetzwerk verbindet, führt NAC eine umfassende Statusprüfung durch - Betriebssystemversion, Antiviren-Status, Zertifikatsvalidierung. Es teilt diesen Kontext sofort über eine API-Integration mit dem ZTNA-Broker. Wenn sich der Status des Geräts verschlechtert - beispielsweise wenn Malware erkannt wird -, stellt NAC das Gerät im lokalen Netzwerk unter Quarantäne und weist gleichzeitig den ZTNA-Broker an, den Zugriff auf kritische Cloud-Anwendungen zu entziehen. Wenn der Benutzer vom Büro an einen entfernten Standort wechselt, behält der ZTNA-Client diesen etablierten Vertrauenskontext bei. Keine erneute Authentifizierung erforderlich. Die Benutzererfahrung ist nahtlos, während die Sicherheit kontinuierlich gewährleistet bleibt.

Lassen Sie uns nun die zugrundeliegenden Standards betrachten. IEEE 802.1X ist der Goldstandard für die On-Premises-Authentifizierung. Es bietet eine kryptografische Validierung der Geräteidentität auf Port-Ebene. RADIUS fungiert als Backend-Protokoll für die Kommunikation zwischen der NAC-Lösung und Ihrem Identitätsanbieter. Auf der ZTNA-Seite nutzen Sie Identitätsanbieter wie Azure Active Directory oder Okta, zusammen mit ZTNA-Brokern führender Anbieter. Der Schlüssel liegt darin, sicherzustellen, dass diese Systeme bidirektional kommunizieren können.

Für Betreiber von Veranstaltungsorten - Hotels, Konferenzzentren, Stadien - gibt es eine zusätzliche Komplexitätsebene. Sie verwalten Unternehmensmitarbeiter, Dienstleister, Gäste und eine wachsende Flotte von IoT-Geräten, alle auf derselben physischen Infrastruktur. NAC übernimmt die Segmentierung. Unternehmensmitarbeiter erhalten eine 802.1X-Authentifizierung und Zugriff auf interne Ressourcen. Gäste werden in einem dedizierten Netzwerk isoliert, das im Idealfall über eine Plattform wie Purple Guest WiFi verwaltet wird, die eine robuste Isolierung bietet und gleichzeitig wertvolle Analysen erfasst. IoT-Geräte, die kein 802.1X unterstützen - wie digitale Beschilderung, Umweltsensoren oder Point-of-Sale-Terminals -, werden über MAC Authentication Bypass (MAB) mit strenger VLAN-Segmentierung verwaltet, um potenzielle Sicherheitsrisiken einzudämmen.

Lassen Sie mich Ihnen ein reales Bereitstellungsszenario vorstellen. Stellen Sie sich eine globale Einzelhandelskette mit fünfhundert Standorten vor. Regionalleiter reisen ständig zwischen Filialen, der Zentrale und dem Homeoffice hin und her. Sie haben mit VPN-Verbindungsabbrüchen und uneinheitlichem Zugriff auf Bestandsverwaltungsanwendungen zu kämpfen. Die Lösung ist eine konvergierte NAC- und ZTNA-Architektur. Wenn sich ein Manager in einer Filiale befindet, authentifiziert NAC das Gerät über 802.1X und teilt den vertrauenswürdigen internen Kontext mit dem ZTNA-Broker. Der Broker gewährt dann direkten, optimierten Zugriff auf die in der Cloud gehostete Bestandsanwendung - ganz ohne VPN-Tunnel. Wenn der Manager von zu Hause aus arbeitet, stellt der ZTNA-Client einen sicheren Mikro-Tunnel zur Anwendung her und behält dieselben Zugriffsrichtlinien bei. Das Ergebnis? Konsistenter Zugriff, weniger Helpdesk-Anrufe und ein messbar verbessertes Sicherheitsniveau.

Nun zur Implementierung. Ich empfehle einen dreiphasigen Ansatz. Phase eins ist die Sichtbarkeit. Stellen Sie NAC zunächst im Überwachungsmodus bereit. Erkennen und profilieren Sie alles in Ihrem Netzwerk - Laptops, BYOD-Geräte, IoT, Gästegeräte. Erzwingen Sie noch keine Richtlinien. Integrieren Sie gleichzeitig Ihre Identitätsanbieter sowohl mit NAC als auch mit ZTNA, um Benutzeridentitäten zu konsolidieren. Nutzen Sie Ihre ZTNA-Lösung, um die Zugriffsmuster auf Anwendungen abzubilden. So erhalten Sie die Daten, die Sie für die Erstellung sinnvoller Richtlinien benötigen.

Phase zwei ist die Richtliniendefinition. Definieren Sie Ihre grundlegenden Statusanforderungen für Unternehmensgeräte. Implementieren Sie eine ZTNA-Mikrosegmentierung basierend auf Benutzerrollen und der Sensibilität der Anwendungen. Und ganz wichtig: Richten Sie die API-Integration zwischen Ihren NAC- und ZTNA-Plattformen für den bidirektionalen Kontextaustausch ein. Testen Sie diese Integration gründlich, bevor Sie zur Durchsetzung übergehen.

Phase drei ist die Durchsetzung. Aktivieren Sie die NAC-Durchsetzung schrittweise, beginnend mit einer Pilotgruppe. Überwachen Sie Authentifizierungsfehler und passen Sie die Richtlinien an. Rollen Sie ZTNA-Clients auf allen Endpunkten im Unternehmen aus. Und weiten Sie die Zero-Trust-Prinzipien über eine verwaltete Plattform auch auf Ihre Gästenetzwerke aus.

Lassen Sie mich Ihnen eine kurze Orientierung zu den häufigsten Fallstricken geben. Erstens: Verzögerungen bei der Kontext-Synchronisation. Wenn die API-Integration zwischen NAC und ZTNA Latenzen aufweist, behält ein kompromittiertes Gerät möglicherweise länger als akzeptabel Zugriff auf Cloud-Anwendungen. Die Lösung besteht darin, Webhook-basierte Push-Benachrichtigungen zu verwenden, anstatt sich auf Polling-Mechanismen zu verlassen. Dies gewährleistet Richtlinien-Updates in nahezu Echtzeit.

Zweitens: Übermäßig restriktive Richtlinien, die zu einem Anstieg der Helpdesk-Anfragen führen. Die Implementierung strenger Integritätsprüfungen ohne angemessene Benutzerkommunikation ist ein Rezept für Chaos. Nutzen Sie ein Captive Portal, um Benutzer über die Nichteinhaltung von Richtlinien zu informieren und ihnen eine Selbstbedienungs-Fehlerbehebung anzubieten, bevor der Zugriff vollständig gesperrt wird.

Drittens: Fehler bei der Authentifizierung von IoT-Geräten. Headless-IoT-Geräte können schlichtweg keine 802.1X- oder ZTNA-Clients unterstützen. Die Lösung ist ein MAC Authentication Bypass kombiniert mit einer präzisen Geräteprofilierung und einer strengen VLAN-Segmentierung.

Viertens, und das ist ein wichtiger Punkt - die Vernachlässigung der Überwachung des Zustands der API-Integration selbst. Wenn die Synchronisation zwischen NAC und ZTNA fehlschlägt, entsteht eine Sicherheitslücke. Implementieren Sie Überwachung und Alarmierung für den Integrationszustand und definieren Sie ausfallsichere Richtlinien, die greifen, wenn die Synchronisation länger als ein definierter Schwellenwert unterbrochen ist.

Wie sieht also die Rendite aus? Das Business-Case für diese Architektur ist überzeugend. Die Konsolidierung des Richtlinienmanagements reduziert den administrativen Aufwand für IT-Teams. Der Verzicht auf veraltete VPNs verbessert die hybride Arbeitserfahrung erheblich und reduziert Ausfallzeiten sowie Frustration. Und die Fähigkeit, eine kontinuierliche Zustandsbewertung und identitätsbasierte Zugriffskontrolle nachzuweisen, vereinfacht die Compliance-Berichterstattung für Frameworks wie PCI-DSS und GDPR - was besonders im Einzelhandel und im Gesundheitswesen relevant ist.

Zusammenfassend die wichtigsten Erkenntnisse des heutigen Briefings: Identität ist der neue Perimeter und Kontext ist der Schlüssel. Nutzen Sie NAC für das Kabel und ZTNA für die App. Vertrauen Sie niemals, verifizieren Sie immer - und zwar kontinuierlich. Implementieren Sie in Phasen: zuerst Transparenz, dann Richtlinien, dann Durchsetzung. Und vergessen Sie nicht das Gastnetzwerk und den IoT-Bestand - diese müssen Teil Ihrer Sicherheitsarchitektur sein und dürfen kein nachträglicher Gedanke sein.

Wenn Sie tiefer in die KI-gesteuerte Zukunft der Netzwerksicherheit eintauchen möchten, lesen Sie den Leitfaden von Purple zu KI-gesteuertem NAC und Bedrohungserkennung. Und für alle, die verteilte Standorte verwalten, ist unser Leitfaden SD-WAN versus MPLS einen Blick wert.

Das war es für das heutige Briefing. Vielen Dank fürs Zuhören und bis zum nächsten Mal.

Wichtigste Erkenntnisse

✓Mobiles Arbeiten hat die traditionellen Netzwerkgrenzen aufgelöst - eine einheitliche NAC- und ZTNA-Architektur ist heute die Grundvoraussetzung für die Unternehmenssicherheit.
✓NAC sichert den physischen und drahtlosen Zugriff auf Layer 2 mithilfe von IEEE 802.1X, Geräte-Posture-Bewertung und VLAN-Segmentierung.
✓ZTNA sichert den Anwendungszugriff auf Layer 7 durch identitätsbasierte Mikrosegmentierung und ersetzt veraltete VPNs durch kontextsensitive Mikrotunnel.
✓Die Integration von NAC und ZTNA über eine bidirektionale API ermöglicht eine kontinuierliche Posture-Synchronisierung - eine vor Ort erkannte Änderung entzieht sofort den Zugriff auf Cloud-Anwendungen.
✓Die Bereitstellung erfolgt in drei Phasen: zuerst Sichtbarkeit und Erkennung, dann Richtliniendefinition und schließlich schrittweise Durchsetzung - überspringen Sie niemals die Überwachungsphase.
✓Gastnetzwerke und IoT-Geräte müssen in der Architektur explizit über isolierte VLANs und MAC-Authentication-Bypass adressiert werden und dürfen nicht erst im Nachhinein berücksichtigt werden.
✓Die geschäftlichen Vorteile liegen auf der Hand: geringerer Betriebsaufwand, keine VPN-Reibungsverluste, verbesserte Compliance-Richtlinien und eine schnellere durchschnittliche Zeit bis zur Eindämmung von Sicherheitsvorfällen.

Executive Summary

Für Netzwerkarchitekten in Unternehmen und CTOs, die verteilte Umgebungen verwalten, existiert der klassische Netzwerkperimeter nicht mehr. Das traditionelle Modell, die Unternehmenszentrale mit robusten Network Access Control (NAC)-Systemen zu schützen und sich für den Remote-Zugriff auf veraltete VPNs zu verlassen, ist nicht mehr tragfähig. Moderne Unternehmen benötigen eine einheitliche Sicherheitsstruktur, die On-Premises-Infrastrukturen nahtlos mit Cloud-nativen Anwendungen verbindet. Dieser Leitfaden beschreibt die architektonische Konvergenz von NAC und Zero Trust Network Access (ZTNA) und bietet ein Konzept zur Absicherung hybrider Arbeitsumgebungen, ohne das Benutzererlebnis oder den Netzwerkdurchsatz zu beeinträchtigen.

Durch die Kombination der NAC-Gerätestatusprüfung mit der identitätszentrierten Mikrosegmentierung von ZTNA können Unternehmen eine kontinuierliche Vertrauensprüfung realisieren - unabhängig davon, wo sich die Benutzer befinden. Diese Konvergenz ist besonders wichtig in Branchen mit hoher Kundenfrequenz und komplexen Compliance-Anforderungen, wie dem Einzelhandel , dem Gesundheitswesen und der Hotellerie . Darüber hinaus ermöglicht die Nutzung von Plattformen wie der Guest WiFi -Infrastruktur von Purple, diese Zero-Trust-Prinzipien auf Gastnetzwerke auszuweiten, wodurch eine robuste Isolierung und ein Datenschutz gemäß GDPR und PCI-DSS-Verpflichtungen gewährleistet werden.

Technischer Deep-Dive: Die konvergente Architektur

Die Grenzen isolierter Sicherheitsdomänen

In der Vergangenheit wurden NAC und ZTNA als isolierte Sicherheitsdomänen betrieben. NAC, das auf IEEE 802.1X und RADIUS basiert, ist hervorragend geeignet, um den physischen und drahtlosen Zugriff innerhalb des Unternehmensperimeters zu steuern. Es bietet eine robuste Geräteprofilierung, Statusbewertung und VLAN-Zuweisung. ZTNA hingegen entstand, um den Remote-Zugriff auf Cloud- und On-Premises-Anwendungen abzusichern. Es basiert auf dem Prinzip "Niemals vertrauen, immer überprüfen", basierend auf Benutzeridentität und Kontext statt auf dem Netzwerkstandort.

Reibungsverluste entstehen, wenn hybride Mitarbeiter zwischen diesen Domänen wechseln. Ein Benutzer authentifiziert sich täglich nahtlos von zu Hause aus via ZTNA, sieht sich beim Betreten des Unternehmensbüros jedoch oft mit einer inkonsistenten Benutzererfahrung konfrontiert, da die lokalen NAC-Richtlinien möglicherweise nicht mit ihrem ZTNA-Kontext übereinstimmen. Diese Fragmentierung führt zu Sicherheitslücken und erhöhtem Betriebsaufwand, was sich direkt auf die IT-Effizienz und die Produktivität der Endbenutzer auswirkt.

Der Unified Identity and Context Broker

Die architektonische Lösung liegt in der Einrichtung einer einheitlichen Identitäts- und Kontext-Vermittlungsschicht (Broker), welche die Telemetriedaten zwischen den NAC- und ZTNA-Richtlinien-Engines synchronisiert. Diese Integration ermöglicht eine kontinuierliche Statusbewertung, die über Netzwerkgrenzen hinweg bestehen bleibt.

Diese Integration funktioniert über drei wesentliche Mechanismen. Erstens, kontinuierliche Statusbewertung: Wenn sich ein Gerät mit dem Unternehmensnetzwerk verbindet, führt die NAC-Lösung eine umfassende Sicherheitsprüfung durch, die die OS-Version, den Antivirenstatus und die Zertifikatsvalidierung abdeckt. Dieser Kontext wird sofort über eine API-Integration mit dem ZTNA-Broker geteilt. Zweitens, dynamische Richtliniendurchsetzung: Wenn sich der Sicherheitsstatus eines Geräts verschlechtert (beispielsweise wenn Malware erkannt wird), stellt das NAC-System das Gerät im lokalen Netzwerk unter Quarantäne und weist gleichzeitig den ZTNA-Broker an, den Zugriff auf kritische Cloud-Anwendungen zu entziehen. Drittens, nahtloser Übergang: Wenn der Benutzer vom Büro an einen Remotestandort wechselt, behält der ZTNA-Client den etablierten Vertrauenskontext bei, was eine erneute Authentifizierung überflüssig macht und einen ununterbrochenen Zugriff auf autorisierte Ressourcen gewährleistet.

Für einen tieferen Einblick in die zugrunde liegenden Wireless-Technologien, die diese Bereitstellungen unterstützen, lesen Sie unseren Leitfaden: Wi-Fi Frequencies: The 2026 Guide to Wi-Fi Bands .

Implementierungsleitfaden: Phasenweise Bereitstellung

Die Bereitstellung einer konvergierten NAC/ZTNA-Architektur erfordert einen phasenweisen Ansatz, um Unterbrechungen zu minimieren und eine robuste Richtliniendurchsetzung zu gewährleisten.

Phase 1: Identitäts- und Asset-Erkennung

Vor der Implementierung von Durchsetzungsrichtlinien müssen Sie eine vollständige Transparenz Ihrer Netzwerkumgebung erreichen. Stellen Sie Ihre NAC-Lösung im reinen Überwachungsmodus bereit - konfigurieren Sie sie so, dass sie alle verbundenen Geräte, einschließlich Unternehmens-Laptops, BYOD, IoT und Gastgeräte, erkennt und profiliert, ohne den Zugriff zu blockieren. Konsolidieren Sie die Benutzeridentität, indem Sie sowohl die NAC- als auch die ZTNA-Lösung in einen zentralen Identitätsanbieter wie Azure AD oder Okta integrieren. Dies gewährleistet konsistente Authentifizierungsrichtlinien über beide Domänen hinweg. Nutzen Sie parallel dazu Ihre ZTNA-Lösung, um Anwendungszugriffsmuster zu überwachen. So ermitteln Sie, welche Benutzer Zugriff auf bestimmte Anwendungen benötigen, und schaffen die Grundlage für Ihre Mikrosegmentierungsrichtlinien.

Phase 2: Richtliniendefinition und Mikrosegmentierung

Wechseln Sie von der bloßen Transparenz zur aktiven Kontrolle, indem Sie granulare Zugriffskonstrukte auf Basis des Prinzips der minimalen Rechtevergabe (Least Privilege) definieren. Legen Sie Sicherheits-Baselines für Unternehmensgeräte fest – einschließlich minimaler OS-Versionen und der Voraussetzung eines aktiven EDR-Agents – und konfigurieren Sie die NAC-Lösung so, dass diese für den lokalen Zugriff erzwungen werden. Definieren Sie ZTNA-Richtlinien, die den Anwendungszugriff basierend auf der Benutzerrolle und dem Gerätekontext einschränken, um die Abstimmung mit den in der NAC-Lösung definierten Posture-Anforderungen sicherzustellen. Konfigurieren Sie vor allem die API-Integration zwischen den NAC- und ZTNA-Plattformen, um einen bidirektionalen Austausch von Kontextdaten zu ermöglichen. So wird sichergestellt, dass von der NAC erkannte Änderungen des Gerätestatus sofort und in Echtzeit Richtlinien-Updates im ZTNA-Broker auslösen.

Phase 3: Durchsetzung und Optimierung

Aktivieren Sie schrittweise den Durchsetzungsmodus, überwachen Sie das System auf Anomalien und verfeinern Sie die Richtlinien bei Bedarf. Überführen Sie die NAC-Lösung vom Überwachungsmodus in den Durchsetzungsmodus – beginnend mit einer Pilot-Benutzergruppe oder einem Pilot-Standort – und überwachen Sie das System auf Authentifizierungsfehler. Rollen Sie den ZTNA-Client auf allen Unternehmens-Endpunkten aus, um einen nahtlosen Zugriff auf Cloud- und On-Premises-Anwendungen zu gewährleisten. Erweitern Sie robuste Richtlinien für den Gastzugriff mithilfe von Plattformen wie dem Guest WiFi von Purple, um sicherzustellen, dass der Gastdatenverkehr strikt von den Unternehmensressourcen isoliert ist. Nutzen Sie WiFi Analytics , um Nutzungsmuster zu überwachen und potenzielle Anomalien im gesamten Gästenetzwerk zu erkennen.

Best Practices für Enterprise-Umgebungen

Stellen Sie die User Experience während des gesamten Deployments in den Vordergrund. Sicherheit darf die Produktivität nicht beeinträchtigen, und der Übergang zwischen On-Premises- und Remote-Zugriff muss für die Benutzer transparent sein, indem Single Sign-On und kontinuierliche Authentifizierungsmechanismen genutzt werden. Schreiben Sie für den On-Premises-Zugriff die IEEE 802.1X-Authentifizierung für alle Unternehmensgeräte vor, da dies eine starke kryptografische Überprüfung der Geräteidentität auf Port-Ebene bietet.

Integrieren Sie KI-gestützte Funktionen zur Bedrohungserkennung in Ihre NAC- und ZTNA-Lösungen, um anormales Verhalten zu identifizieren und kompromittierte Geräte automatisch unter Quarantäne zu stellen. Einen zukunftsweisenden Ausblick auf diese Technologie finden Sie unter The Future of Wi-Fi Security: AI-Driven NAC and Threat Detection und dem spanischen Pendant El Futuro de la Seguridad Wi-Fi: NAC Impulsado por IA y Detección de Amenazas . Für verteilte Unternehmen kann die Integration von ZTNA mit SD-WAN das Anwendungs-Routing optimieren und die Performance über mehrere Standorte hinweg verbessern - siehe unseren Vergleich unter SD WAN vs MPLS: The 2026 Enterprise Network Guide .

Fehlerbehebung und Risikominderung

Latenz bei der Kontext-Synchronisation stellt das kritischste Fehlerszenario dar. Wenn die API-Integration zwischen NAC und ZTNA Verzögerungen aufweist, kann ein gefährdetes Gerät den Zugriff auf Cloud-Anwendungen länger als akzeptabel behalten. Die Lösung besteht darin, Webhook-basierte Push-Benachrichtigungen zu implementieren, anstatt sich ausschließlich auf Polling-Mechanismen zu verlassen, um Richtlinien-Updates nahezu in Echtzeit zu gewährleisten.

Übermäßig restriktive Richtlinien können zu einem sprunghaften Anstieg des Helpdesk-Ticketvolumens führen, wenn strenge Statusprüfungen ohne ausreichende Benutzerkommunikation eingeführt werden. Nutzen Sie ein Captive Portal, um Benutzer über die Nicht-Compliance zu informieren und ihnen Self-Service-Anweisungen zur Behebung bereitzustellen, bevor der Zugriff vollständig gesperrt wird.

Authentifizierungsfehler bei IoT-Geräten sind in Standort-Umgebungen unvermeidlich. Headless-IoT-Geräte können kein 802.1X oder ZTNA-Clients unterstützen. Die Lösung ist die Einführung von MAC Authentication Bypass (MAB) in Kombination mit präzisem Geräte-Profiling und einer strengen VLAN-Segmentierung, um den IoT-Datenverkehr von Unternehmensressourcen zu isolieren.

Die Überwachung des API-Integrationsstatus wird häufig übersehen. Wenn die Synchronisation zwischen NAC und ZTNA ausfällt, entsteht eine Sicherheitslücke, die kein System unabhängig voneinander schließen kann. Implementieren Sie eine dedizierte Überwachung und Alarmierung für den Integrationsstatus und definieren Sie ausfallsichere Richtlinien, die automatische Zugriffsbeschränkungen auslösen, wenn die Synchronisation über einen definierten Schwellenwert hinaus verloren geht.

ROI und geschäftliche Auswirkungen

Die Konvergenz von NAC und ZTNA bietet einen messbaren geschäftlichen Mehrwert, der über die Risikominderung hinausgeht. Eine einheitliche Richtlinienverwaltung reduziert den administrativen Aufwand für IT-Teams, sodass sie sich auf strategische Initiativen konzentrieren können, anstatt fragmentierte Sicherheitssilos zu verwalten. Die Ablösung veralteter VPNs verbessert das hybride Arbeitserlebnis erheblich, verringert Ausfallzeiten sowie Frustration und steigert gleichzeitig die Anwendungsleistung für Remote-Benutzer.

Die Fähigkeit, eine kontinuierliche Statusbewertung und identitätsbasierte Zugriffskontrolle nachzuweisen, vereinfacht die Compliance-Berichterstattung für Frameworks wie PCI-DSS und GDPR (DSGVO). Dies ist besonders wichtig in Transport und Einzelhandelsumgebungen, in denen die Verpflichtungen zum Schutz von Karteninhaberdaten und personenbezogenen Daten streng sind. Unternehmen, die eine konvergente Architektur implementiert haben, berichten durchgehend von einer kürzeren mittleren Zeit bis zur Eindämmung (MTTC) von Sicherheitsvorfällen, da die bidirektionale Durchsetzung von Richtlinien eine automatische Quarantäne ohne manuelles Eingreifen ermöglicht.

Schlüsseldefinitionen

Network Access Control (NAC)

Eine Sicherheitslösung, die Richtlinien für Geräte durchsetzt, die Zugriff auf eine Netzwerkinfrastruktur anfordern. Sie nutzt in der Regel IEEE 802.1X für die Authentifizierung und die Zustandsbewertung (Posture Assessment), um die VLAN-Zuweisung und die Zugriffsrechte zu bestimmen.

Entscheidend für die Absicherung von On-Premises-Umgebungen, um sicherzustellen, dass nur konforme und autorisierte Geräte eine Verbindung zu physischen Switches und Wireless Access Points herstellen können. IT-Teams begegnen diesem Konzept bei der Verwaltung von physischen Büro- und Standortnetzwerken.

Zero Trust Network Access (ZTNA)

Eine IT-Sicherheitslösung, die einen sicheren Remote-Zugriff auf Anwendungen und Dienste auf der Grundlage definierter Zugriffskontrollrichtlinien ermöglicht. Sie arbeitet nach dem Prinzip der minimalen Rechtevergabe und der kontinuierlichen Identitätsprüfung statt nach dem Netzwerkstandort.

Ersetzt herkömmliche VPNs durch eine identitätsbasierte Mikrosegmentierung und gewährt Zugriff nur auf bestimmte Anwendungen statt auf das gesamte Netzwerk. Relevant bei der Absicherung von Remote-Mitarbeitern und dem Zugriff auf Cloud-Anwendungen.

Mikrosegmentierung

Die Praxis der Aufteilung eines Netzwerks in isolierte Segmente, um die Angriffsfläche zu verringern und die laterale Bewegung von Angreifern zu verhindern, angewendet auf Anwendungs- oder Workload-Ebene statt am Netzwerkperimeter.

ZTNA wendet dieses Konzept auf Anwendungsebene an, um sicherzustellen, dass ein kompromittierter Endpunkt nicht auf unbefugte Ressourcen zugreifen kann. IT-Teams begegnen diesem Konzept beim Entwurf von Zero Trust Architekturen.

Posture Assessment (Zustandsbewertung)

Der Prozess der Bewertung des Sicherheitsstatus eines Geräts - einschließlich der Betriebssystemversion, aktiver Antivirensoftware, installierter Zertifikate und des Patch-Levels - vor der Gewährung des Netzwerk- oder Anwendungszugriffs.

Eine Kernfunktion von NAC, die sicherstellt, dass gefährdete oder kompromittierte Geräte isoliert oder bereinigt werden, bevor sie mit dem Unternehmensnetzwerk interagieren können. Relevant bei der Geräteregistrierung und der kontinuierlichen Überwachung.

IEEE 802.1X

Ein IEEE-Standard für portbasierte Network Access Control, der einen Authentifizierungsmechanismus für Geräte bereitstellt, die eine Verbindung zu einem LAN oder WLAN herstellen möchten, unter Verwendung von EAP (Extensible Authentication Protocol) über das Netzwerkmedium.

Der Goldstandard für die Netzwerkauthentifizierung in Unternehmen, der eine robuste kryptografische Validierung der Geräteidentität bietet. IT-Teams begegnen diesem Standard bei der Konfiguration von Switches, Wireless Controllern und RADIUS-Servern.

RADIUS (Remote Authentication Dial-In User Service)

Ein Netzwerkprotokoll, das eine zentrale AAA-Verwaltung (Authentication, Authorisation, and Accounting) für Benutzer bereitstellt, die sich mit einem Netzwerkdienst verbinden und diesen nutzen. Es fungiert als Kommunikationsschicht zwischen NAC und Identitätsanbietern.

Das Backend-Protokoll, das von NAC-Lösungen verwendet wird, um mit Identitätsanbietern zu kommunizieren und Zugriffsrichtlinien durchzusetzen. Relevant bei der Integration von NAC mit Active Directory oder Cloud-IdPs.

MAC Authentication Bypass (MAB)

Ein Fallback-Authentifizierungsverfahren, das von NAC-Lösungen für Geräte verwendet wird, die 802.1X nicht unterstützen. Es nutzt die MAC-Adresse des Geräts als Identifikator zur Zuweisung von Netzwerkzugriffsrichtlinien.

Erforderlich für die Einbindung von gerätelosen Systemen (headless devices) - wie Druckern, IoT-Sensoren oder Digital Signage - in Unternehmensumgebungen. Weniger sicher als 802.1X und erfordert eine strikte VLAN-Segmentierung, um Risiken durch MAC-Spoofing zu minimieren.

Identity Provider (IdP)

Eine Systeminstanz, die Identitätsinformationen für Prinzipale erstellt, pflegt und verwaltet und gleichzeitig Authentifizierungsdienste für vertrauende Anwendungen innerhalb eines Verbunds oder eines verteilten Netzwerks bereitstellt.

Die zentrale Quelle der Wahrheit für Benutzeridentitäten, die sowohl in NAC als auch in ZTNA integriert wird, um konsistente Authentifizierungsrichtlinien zu gewährleisten. IT-Teams begegnen diesem Konzept bei der Konfiguration von SSO und MFA über alle Unternehmenssysteme hinweg.

VLAN (Virtual Local Area Network)

Eine logische Unterteilung eines physischen Netzwerks, die Geräte in isolierte Broadcast-Domänen gruppiert und so eine Verkehrssegmentierung ermöglicht, ohne dass eine separate physische Infrastruktur erforderlich ist.

Der primäre Mechanismus zur Isolierung verschiedener Geräteklassen - Corporate, Gast, IoT - innerhalb eines gemeinsam genutzten physischen Netzwerks. Entscheidend für die Einhaltung der PCI-DSS-Anforderungen zur Isolierung von Karteninhaberdatenumgebungen.

Ausgearbeitete Beispiele

Eine globale Einzelhandelskette mit 500 Standorten muss den Zugriff für Regionalleiter sichern, die häufig zwischen Filialen, der Unternehmenszentrale und dem Homeoffice reisen. Derzeit kommt es bei ihnen zu häufigen VPN-Verbindungsabbrüchen und unregelmäßigem Zugriff auf in der Cloud gehostete Bestandsverwaltungsanwendungen.

Implementieren Sie eine konvergierte NAC/ZTNA-Architektur an allen Standorten. Stellen Sie 802.1X über NAC für einen nahtlosen, sicheren Zugriff bereit, wenn sich die Manager physisch in der Filiale oder in der Zentrale aufhalten, und authentifizieren Sie sie über einen zentralen RADIUS-Server, der in Azure AD integriert ist. Installieren Sie einen ZTNA-Client auf allen Unternehmens-Laptops. Integrieren Sie die Richtlinien-Engines von NAC und ZTNA via API und konfigurieren Sie Webhook-Benachrichtigungen für sofortige Statusaktualisierungen. Wenn sich ein Manager mit dem Filialnetzwerk verbindet, authentifiziert die NAC das Gerät und teilt den Kontext "vertrauenswürdig intern" mit dem ZTNA-Broker. Der ZTNA-Broker gewährt dann direkten, optimierten Zugriff auf die in der Cloud gehostete Bestandsanwendung, ohne dass ein VPN-Tunnel erforderlich ist. Dies verringert die Latenz und verhindert Verbindungsabbrüche. Wenn der Manager im Homeoffice arbeitet, baut der ZTNA-Client einen sicheren Mikrotunnel zur Anwendung auf und behält dieselben Zugriffsrichtlinien bei, ohne auf den Netzwerkperimeter des Unternehmens angewiesen zu sein. Gäste- und IoT-Geräte in der Filiale werden auf separaten VLANs isoliert, die über die Guest WiFi-Plattform von Purple verwaltet werden.

Kommentar des Prüfers: Dieser Ansatz löst die mit Legacy-VPNs verbundenen Probleme bei der Benutzererfahrung, indem er einen nahtlosen, kontextabhängigen Zugriff unabhängig vom Standort bietet. Die API-Integration stellt sicher, dass der Sicherheitsstatus kontinuierlich bewertet wird, wodurch das Risiko minimiert wird, dass ein gefährdetes Gerät auf kritische Anwendungen zugreift. Die wichtigste architektonische Entscheidung ist das "Local Edge"-Routing - im Unternehmensnetzwerk sollte der ZTNA-Datenverkehr an einen lokalen Broker geleitet werden, anstatt über einen Cloud-Broker geleitet zu werden, was die Latenzvorteile zunichte machen würde.

Ein großes Konferenzzentrum muss sicheres WiFi für Unternehmensmitarbeiter bereitstellen und gleichzeitig Tausende von täglichen Gästeverbindungen und IoT-Geräten von Drittanbietern, einschließlich digitaler Beschilderung, BLE-Beacons und Umgebungssensoren, isolieren.

Implementieren Sie eine robuste NAC-Lösung, die mit einer strengen VLAN-Segmentierung über drei verschiedene Stufen konfiguriert ist. Stufe eins: Geräte von Unternehmensmitarbeitern authentifizieren sich über 802.1X und werden einem sicheren internen VLAN mit vollem Zugriff auf interne Managementsysteme zugewiesen. Stufe zwei: Implementieren Sie die Guest WiFi-Plattform von Purple, um den öffentlichen Zugriff zu verwalten und wertvolle Analysen zu erfassen, während über ein dediziertes Gäste-VLAN mit reinem Internetzugang eine vollständige Isolierung vom Unternehmensnetzwerk gewährleistet wird. Stufe drei: Verwenden Sie für IoT-Geräte von Drittanbietern den MAC Authentication Bypass (MAB) in Kombination mit tiefgehendem Geräte-Profiling - Analyse von DHCP-Fingerabdrücken, HTTP-User-Agents und Datenverkehrsmustern -, um Gerätetypen genau zu identifizieren und sie eingeschränkten VLANs nur für den Internetzugang zuzuweisen. Integrieren Sie ZTNA für Unternehmensmitarbeiter, um von jedem Ort innerhalb des Veranstaltungsorts oder aus der Ferne sicher auf interne Managementanwendungen zuzugreifen. Informationen zur Integration der BLE-Beacon-Infrastruktur finden Sie im Leitfaden BLE Low Energy Explained for Enterprise .

Kommentar des Prüfers: Dieses Szenario verdeutlicht die Notwendigkeit, verschiedene Gerätetypen innerhalb einer einzigen physischen Umgebung zu verwalten. Das dreistufige Segmentierungsmodell ist hierbei der richtige Ansatz - der Versuch, alle Gerätetypen innerhalb eines einzigen Richtlinienrahmens zu verwalten, führt unweigerlich zu entweder zu lockeren oder zu restriktiven Richtlinien. Die Nutzung der Guest WiFi Plattform von Purple für die Gästestufe ist hier besonders relevant, da sie sowohl die für die Sicherheit erforderliche Isolierung als auch die für den Standortbetrieb benötigten Analysefunktionen bietet.

Übungsfragen

Q1. Ihre Organisation implementiert ZTNA, um ein herkömmliches VPN zu ersetzen. Bei Benutzern, die ins Unternehmensbüro zurückkehren, kommt es jedoch zu Latenzzeiten beim Zugriff auf Anwendungen, die lokal im eigenen Rechenzentrum gehostet werden, da der ZTNA-Verkehr über einen in der Cloud gehosteten Broker geleitet wird. Was ist die empfohlene architektonische Lösung?

Hinweis: Überlegen Sie, wie der ZTNA-Client den optimalen Pfad zur Anwendung basierend auf dem physischen Netzwerkkontext des Benutzers bestimmt.

Musterlösung anzeigen

Implementieren Sie einen Local Edge oder On-Premises ZTNA-Broker im Rechenzentrum des Unternehmens. Konfigurieren Sie den ZTNA-Client so, dass er über NAC erkennt, wenn das Gerät im internen Unternehmensnetzwerk authentifiziert ist, und den Datenverkehr direkt über den lokalen Broker zur lokalen Anwendung leitet, anstatt ihn über den in der Cloud gehosteten Broker umzuleiten. Dies reduziert die Latenzzeit für lokale Anwendungen, während dieselben identitätsbasierten Zugriffskontrollen beibehalten werden. Die gemeinsame Nutzung des NAC-Kontexts via API sollte dem ZTNA-Broker signalisieren, dass sich das Gerät in einem vertrauenswürdigen internen Netzwerk befindet, was die lokale Routing-Entscheidung ermöglicht.

Q2. Das IT-Team eines Krankenhauses muss Hunderte von vernetzten medizinischen Geräten - Infusionspumpen, Patientenmonitore, Bildgebungsgeräte - sichern, auf denen keine 802.1X-Supplicants oder ZTNA-Clients ausgeführt werden können. Wie sollten diese Geräte innerhalb einer konvergierten NAC/ZTNA-Architektur gesichert werden?

Hinweis: Berücksichtigen Sie Ausweich-Authentifizierungsmethoden und das Prinzip der Isolierung auf Netzwerkebene für Geräte, die nicht an identitätsbasierten Kontrollen teilnehmen können.

Musterlösung anzeigen

Nutzen Sie MAC Authentication Bypass (MAB) auf der NAC-Lösung in Kombination mit tiefgehendem Geräte-Profiling unter Verwendung von DHCP-Fingerprints, HTTP-User-Agents und Verkehrsverhaltensanalysen, um jeden medizinischen Gerätetyp genau zu identifizieren und zu klassifizieren. Nach der Identifizierung weist die NAC diese Geräte dynamisch stark eingeschränkten, isolierten VLANs zu, die nur die Kommunikation mit bestimmten, erforderlichen medizinischen Servern und Systemen erlauben - und blockiert standardmäßig allen anderen Datenverkehr. ZTNA ist für diese Geräte nicht anwendbar; die Sicherheit basiert vollständig auf einer strengen Netzwerksegmentierung und einer kontinuierlichen Verkehrsüberwachung auf anormales Verhalten. Stellen Sie sicher, dass die VLANs der medizinischen Geräte vollständig von der Karteninhaberdatenumgebung isoliert sind, um die PCI-DSS-Konformität zu wahren.

Q3. Während einer Produktivbereitstellung schlägt die API-Integration zwischen Ihren NAC- und ZTNA-Lösungen unbemerkt fehl - es werden keine Warnmeldungen ausgelöst. Der Laptop eines Benutzers im Unternehmensnetzwerk wird in der Folge mit Malware infiziert. Beschreiben Sie das erwartete Sicherheitsergebnis und identifizieren Sie die Sicherheitslücke in der Architektur, die dies zugelassen hat.

Hinweis: Analysieren Sie die Auswirkungen einer fehlerhaften Kontextsynchronisierung auf jede Policy Engine unabhängig voneinander und überlegen Sie, welche Überwachung hätte eingerichtet werden müssen.

Musterlösung anzeigen

Die NAC-Lösung erkennt den verschlechterten Sicherheitszustand über die EDR-Integration und stellt das Gerät im lokalen Netzwerk unter Quarantäne, um laterale Bewegungen innerhalb der Unternehmensumgebung zu verhindern. Da die API-Integration jedoch unbemerkt fehlgeschlagen ist, hat der ZTNA-Broker den aktualisierten Posture-Kontext nicht erhalten. Wenn der Benutzer versucht, auf eine Cloud-Anwendung zuzugreifen, kann der ZTNA-Client unter Umständen immer noch eine Verbindung herstellen, sofern das ursprüngliche Token für die Identitätsauthentifizierung gültig und noch nicht abgelaufen ist. Die architektonische Lücke ist zweifach: Erstens fehlt die Systemüberwachung der API-Integration selbst; zweitens fehlt eine ausfallsichere Richtlinie, die automatische Zugriffsbeschränkungen auslöst, wenn die Kontextsynchronisierung über einen definierten Schwellenwert hinaus verloren geht. Die Behebung besteht darin, ein dediziertes Monitoring mit Alarmierung bezüglich des Integrationszustands zu implementieren, den ZTNA-Broker so zu konfigurieren, dass er eine regelmäßige erneute Validierung des Posture-Zustands erfordert (nicht nur die anfängliche Authentifizierung), und eine Standard-Sperrrichtlinie zu definieren, die aktiv wird, wenn der NAC-Kontext-Feed länger als ein festgelegtes Intervall nicht verfügbar ist.

Weiterlesen in dieser Reihe

Mitarbeiter-WiFi vs. Gäste-WiFi: Best Practices für die Segmentierung von Unternehmensnetzwerken

Ein umfassender technischer Leitfaden für IT-Führungskräfte zur Segmentierung von Mitarbeiter- und Gäste-WiFi-Netzwerken. Er behandelt VLAN-Architektur, 802.1X-Authentifizierung, Firewall-Richtlinien und die geschäftlichen Auswirkungen eines sicheren Netzwerkdesigns.

WiFi-Lösungen für Apartments: Ein umfassender Leitfaden für Unternehmen

Dieser Leitfaden behandelt die Architektur, die Bereitstellung und den Business Case für WiFi-Lösungen in Apartments in Build to Rent- und Multi-Dwelling Unit-Immobilien. Er erklärt, wie die iPSK-Technologie (Identity Pre-Shared Key) sichere, isolierte Netzwerkblasen für jeden Bewohner erstellt und gleichzeitig Smart-Geräte und IoT unterstützt. Immobilienentwickler, Vermieter und BTR-Betreiber finden hier praxisnahe Bereitstellungsanleitungen, ROI-Daten und ausgearbeitete Implementierungsszenarien.

Cox Business Managed WiFi: Ein umfassender Leitfaden für Unternehmen

Dieser Leitfaden beschreibt detailliert, wie Immobilienentwickler und BTR-Betreiber skalierbare, sichere Netzwerke mit Cox Business Managed WiFi bereitstellen können. Er behandelt die Netzwerkarchitektur, die herstellerunabhängige Hardware-Bereitstellung und die geschäftlichen Auswirkungen des Übergangs von Konnektivität von einem betrieblichen Problem zu einer zuverlässigen Infrastruktur.