Zero Trust

Sicherheit als grundlegendes Architekturprinzip

Moderne digitale Identitätsinfrastrukturen erfordern Sicherheitsarchitekturen, die nicht auf implizitem Vertrauen basieren. Das sogenannte Zero Trust Prinzip geht davon aus, dass innerhalb eines Systems kein Bestandteil automatisch als vertrauenswürdig betrachtet werden darf. Jede Interaktion, jede Datenübertragung und jeder Zugriff muss kontinuierlich überprüft und verifiziert werden.

Dieses Sicherheitsmodell wurde unter anderem durch das Cybersecurity Framework des National Institute of Standards and Technology beschrieben, insbesondere in der Richtlinie NIST SP 800-207, die das grundlegende Architekturmodell für Zero Trust Systeme definiert.

Unsere Technologien folgen diesem Ansatz konsequent.

Zero Trust als Grundlage unserer gesamten Systemarchitektur

Wir verfolgen einen ganzheitlichen Zero Trust Ansatz für alle Komponenten unserer technologischen Infrastruktur. Dieser Ansatz gilt für sämtliche Ebenen unserer Systeme.

Dazu gehören insbesondere

• unsere Self-Service-Identifikationsgeräte
• die Kommunikationsverbindungen zu diesen Geräten
• unsere Managementsysteme
• Partner- und Kundenportale zur Fernverwaltung der Systeme
• interne Systemarchitekturen und Schnittstellen
• Integrationen zu externen Fachverfahren und Plattformen.

In keinem Teil unserer Infrastruktur wird implizites Vertrauen vorausgesetzt. Jede Kommunikation, jede Systeminteraktion und jede administrative Handlung wird unabhängig geprüft, authentifiziert und protokolliert.

Unsere Architektur folgt damit dem Grundsatz, dass Vertrauen nicht vorausgesetzt, sondern kontinuierlich verifiziert wird.

Ein wesentlicher Bestandteil unseres Sicherheitskonzepts ist die vollständige Nachvollziehbarkeit aller Systemaktivitäten.

Unsere Systeme protokollieren sämtliche relevanten Vorgänge revisionssicher. Dabei werden alle systemrelevanten Ereignisse, Transaktionen und Verwaltungsaktionen dauerhaft dokumentiert und auditierbar gespeichert.

Ein Beispiel dafür sind spezielle Protokollmechanismen innerhalb unserer Gerätearchitektur, die sämtliche Bewegungen und Systeminteraktionen manipulationssicher dokumentieren. Diese Protokolle gewährleisten eine vollständige und nachvollziehbare Dokumentation aller relevanten Vorgänge während eines Identifikationsprozesses.

Auch unsere zentralen Archiv- und Verwaltungssysteme folgen diesem Prinzip. Unser Kernsystem MIDAS Core bildet das revisionssichere Fundament unserer gesamten Systemarchitektur und gewährleistet die dauerhafte, nachvollziehbare und überprüfbare Speicherung aller relevanten Vorgänge innerhalb der Plattform.

Die revisionssichere Dokumentation von Identifikationsprozessen ist zudem Bestandteil unserer patentierten Systemarchitektur. Unsere Patente umfassen nicht nur Verfahren zur automatisierten Identifikation, sondern auch Mechanismen zur manipulationssicheren Protokollierung und Archivierung der dabei entstehenden Vorgänge.

Diese Architektur stellt sicher, dass sämtliche Aktivitäten jederzeit auditierbar bleiben und sowohl technischen als auch regulatorischen Anforderungen entsprechen.

Verbindung zu regulatorischen Anforderungen

Der konsequente Einsatz eines Zero Trust Modells unterstützt gleichzeitig die Einhaltung zentraler regulatorischer Rahmenwerke für digitale Identitäts- und Vertrauenssysteme.

Dazu gehören insbesondere

• die Anforderungen der eIDAS-Verordnung für elektronische Identität und Vertrauensdienste
• die Vorgaben der Datenschutz-Grundverordnung (DSGVO)
• technische Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik, insbesondere BSI TR-03107 und BSI TR-03110
• sichere Kommunikationsstandards der öffentlichen Verwaltung wie OSCI
• sowie Verfahren für qualifizierte elektronische Signaturen.

Durch die Verbindung von Zero Trust Architektur, revisionssicherer Systemdokumentation und standardisierten Sicherheitsmechanismen können unsere Technologien auch in stark regulierten Umgebungen eingesetzt werden.

Ganzheitliche Sicherheitsarchitektur

Für uns ist Zero Trust kein einzelnes technisches Feature, sondern ein grundlegendes Prinzip der Systementwicklung.

Alle Komponenten unserer Plattform werden unter der Annahme entwickelt, dass jede Interaktion potenziell unsicher sein kann und deshalb überprüft werden muss. Dieses Prinzip ermöglicht robuste, überprüfbare und langfristig vertrauenswürdige Identitätsinfrastrukturen für Verwaltung, Finanzwirtschaft und Unternehmen.

Unsere Sicherheitsarchitektur basiert daher konsequent auf dem Grundsatz, dass Vertrauen nicht vorausgesetzt wird, sondern jederzeit technisch überprüfbar sein muss.