Zero-Trust-Cybersicherheit: Prinzipien & Implementierung
Erfahren Sie mehr über die Grundlagen der Zero-Trust-Cybersicherheit, wie das Modell funktioniert, die wichtigsten Vorteile und praktische Schritte zur Umstellung von Perimeter-Verteidigungen auf kontinuierliche Zugangsüberprüfung.
Das Wichtigste: Zero-Trust-Sicherheit ersetzt die veraltete Annahme, dass alles in Ihrem Netzwerk sicher ist. Jeder Benutzer, jedes Gerät und jede Verbindung wird kontinuierlich überprüft, was das Verletzungsrisiko in Cloud-verbundenen Umgebungen drastisch reduziert.
Was ist Zero-Trust-Cybersicherheit?
Die traditionelle Netzwerksicherheit basierte auf einer einfachen Idee: Vertrauen Sie allem innerhalb des Perimeters und blockieren Sie Bedrohungen am Rand. Firewalls, VPNs und Intrusion-Detection-Systeme bildeten einen digitalen Graben um Unternehmensressourcen. Sobald ein Benutzer oder Gerät das Tor passiert hatte, konnte es sich frei bewegen.
Dieses Modell funktioniert nicht mehr. Cloud Computing, Remote Work und mobile Geräte haben den Netzwerk-Perimeter vollständig aufgelöst. Mitarbeiter greifen von privaten Laptops in Cafés auf sensible Daten zu. Drittanbieter verbinden sich direkt mit internen Systemen. Angreifer, die einen einzelnen Endpunkt kompromittieren, können sich lateral über die gesamte Organisation ausbreiten.
Zero-Trust-Cybersicherheit geht dieser Realität direkt entgegen. Anstatt anzunehmen, dass alles im Netzwerk sicher ist, behandelt Zero-Trust jede Zugriffsanfrage als potenziell feindselig. Jeder Benutzer, jedes Gerät und jede Verbindung muss seine Legitimität nachweisen, bevor es auf eine Ressource zugreifen kann. Einen umfassenderen Überblick über die Bedrohungslandschaft finden Sie in unserem Cybersicherheits-Hub.
Die NIST Special Publication 800-207[1] ist das maßgebliche föderale Framework für die Implementierung einer Zero-Trust-Architektur. Sie behandelt Zugriffskontrollmodelle, Bereitstellungsmuster und Vertrauensalgorithmen im Detail. Veröffentlicht vom National Institute of Standards and Technology, dient sie als Grundlage, die die meisten Unternehmen bei der Planung ihrer Zero-Trust-Strategie verwenden.
Zero-Trust ist kein einzelnes Produkt, das Sie kaufen können. Es ist ein Sicherheitsmodell, eine Philosophie und ein architektonischer Ansatz, der die Art und Weise neu gestaltet, wie Organisationen Zugriff und Vertrauen auf allen Ebenen betrachten.
Kern-Zero-Trust-Prinzipien
Die folgende Tabelle fasst die sechs grundlegenden Prinzipien zusammen, die jede Zero-Trust-Architektur antreiben:
| Zero-Trust-Prinzip | Was es in der Praxis bedeutet |
|---|---|
| Explizite Verifizierung | Authentifizieren Sie jeden Benutzer, jedes Gerät und jede Anfrage – jedes Mal, nicht nur bei der Anmeldung |
| Least-Privilege-Zugriff | Gewähren Sie nur die Berechtigungen, die für eine bestimmte Aufgabe erforderlich sind, nicht mehr |
| Annahme einer Verletzung | Entwerfen Sie Systeme, als wären Angreifer bereits drin, begrenzen Sie den Schadensbereich |
| Netzwerksegmentierung | Unterteilen Sie das Netzwerk so, dass sich eine kompromittierte Zone nicht lateral ausbreitet |
| Multi-Faktor-Authentifizierung | Verlangen Sie einen zweiten Faktor über das Passwort hinaus für alle Zugriffspunkte |
| Kontinuierliche Überwachung | Protokollieren und analysieren Sie alle Aktivitäten in Echtzeit, um Anomalien frühzeitig zu erkennen |
Jedes Prinzip verstärkt die anderen. Der Least-Privilege-Zugriff begrenzt das Erreichbare mit einem kompromittierten Konto. Die Netzwerksegmentierung begrenzt den Schaden, wenn ein Angreifer die Authentifizierung umgeht. Kontinuierliche Überwachung erkennt abnormales Verhalten, das statische Regeln übersehen würden. Zusammen bilden diese Prinzipien überlappende Verteidigungsschichten, die das Risiko eines erfolgreichen Einbruchs drastisch reduzieren.
Wichtig: Zero-Trust ist kein Produkt, sondern ein Sicherheitsmodell. Traditionelle Perimeter-Verteidigungen gehen davon aus, dass alles im Netzwerk sicher ist, aber Remote Work und Cloud Computing haben diese Grenze aufgelöst. Die Einführung von Least-Privilege-Zugriff und kontinuierlicher Verifizierung reduziert das Risiko einer Verletzungsausbreitung drastisch, sobald Angreifer den Anfangszugriff erhalten.
Zero-Trust-Architektur-Komponenten
Eine Zero-Trust-Architektur basiert auf mehreren zusammenhängenden Komponenten, die zusammenarbeiten. Das Verständnis jeder Komponente hilft Organisationen, realistische Bereitstellungen zu planen.
Identity and Access Management (IAM)
IAM ist der Grundstein von Zero-Trust. Lösungen wie Microsoft Entra ID (ehemals Azure AD), Okta und Ping Identity überprüfen Benutzeridentitäten, bevor sie Zugriff auf eine Ressource gewähren. Jede Zugriffsanfrage durchläuft die IAM-Schicht, die Identität, Rolle und Kontext bewertet, bevor eine Zulassungs- oder Ablehnungsentscheidung getroffen wird. Starke Identity-and-Access-Management-Praktiken helfen auch, Credential-Harvesting und Account-Übernahmeangriffe zu verhindern.
Multi-Faktor-Authentifizierung (MFA)
MFA erfordert, dass Benutzer ihre Identität durch mindestens zwei separate Faktoren nachweisen: etwas, das sie wissen (Passwort), etwas, das sie haben (Hardware-Token oder Telefon), oder etwas, das sie sind (Biometrie). Microsoft berichtete, dass MFA 99,9 % der automatisierten Kontoübernahmeangriffe blockiert. MFA ist nicht verhandelbar bei jeder Zero-Trust-Bereitstellung.
Mikro-Segmentierung
Anstatt das Netzwerk als eine einzige vertrauenswürdige Zone zu behandeln, teilt die Mikro-Segmentierung es in kleine, isolierte Segmente auf. Jedes Segment erzwingt seine eigenen Zugriffsrichtlinien. Wenn ein Angreifer ein Segment kompromittiert, kann er nicht lateral zu anderen wechseln. Tools wie VMware NSX, Illumio und Cisco ACI ermöglichen Mikro-Segmentierung in großem Maßstab.
Endpoint Detection and Response (EDR)
Zero-Trust erfordert Sichtbarkeit in jeden mit dem Netzwerk verbundenen Gerät. EDR-Lösungen wie CrowdStrike Falcon, SentinelOne und Microsoft Defender for Endpoint überwachen kontinuierlich die Gerätegesundheit, erkennen böswilliges Verhalten und erzwingen Compliance-Richtlinien. Ein Gerät, das nicht konform ist (veraltetes Betriebssystem, fehlende Patches), kann automatisch vom Zugriff auf sensible Ressourcen blockiert werden.
Security Information and Event Management (SIEM)
SIEM-Plattformen aggregieren Protokolle aus der gesamten Umgebung und wenden Analysen an, um Anomalien zu erkennen. Lösungen wie Splunk, Microsoft Sentinel und IBM QRadar bieten die kontinuierliche Überwachung, die Zero-Trust erfordert. Echtzeitwarnungen und automatisierte Response-Playbooks helfen Sicherheitsteams, innerhalb von Minuten statt Tagen auf Bedrohungen zu reagieren.
Policy Engine und Policy Administrator
Im Herzen einer Zero-Trust-Architektur sitzt die Policy Engine. Diese Komponente bewertet jede Zugriffsanfrage anhand definierter Richtlinien (Benutzerrolle, Gerätegesundheit, Standort, Tageszeit, Risikobewertung) und trifft eine Echtzeitentscheidung. Der Policy Administrator erzwingt dann diese Entscheidung, indem er den entsprechenden Durchsetzungspunkt anweist, die Verbindung zuzulassen oder zu blockieren.
Zero-Trust vs. traditionelle Perimeter-Sicherheit
Der Vergleich zwischen Zero-Trust und Legacy-Ansätzen macht deutlich, warum Organisationen den Wechsel vollziehen.
| Faktor | Traditionelle Perimeter-Sicherheit | Zero-Trust-Sicherheit |
|---|---|---|
| Vertrauensmodell | Vertrauen auf alles innerhalb des Netzwerks | Nichts vertrauen; alles überprüfen |
| Zugriffsspielbereiche | Breiter Netzwerkzugriff nach Authentifizierung | Granularer, pro-Anwendungs-Zugriff |
| Verifizierungshäufigkeit | Einmal bei der Anmeldung | Kontinuierlich, jede Anfrage |
| Laterales Bewegungsrisiko | Hoch – Angreifer bewegen sich frei nach dem Eindringen | Niedrig – Mikro-Segmentierung enthält Verstöße |
| Remote-Work-Unterstützung | Erfordert VPN-Tunneling des gesamten Datenverkehrs | Natives Unterstützung für verteilten Zugriff |
| Sichtbarkeit | Begrenzte Überwachung des internen Datenverkehrs | Vollständige Sichtbarkeit über alle Verbindungen |
Im Gegensatz zu traditionellen VPN-basierten Ansätzen, die nach der Verbindung breiten Netzwerkzugriff gewähren, gewährt Zero-Trust-Netzwerkzugriff (ZTNA) Zugriff nur auf die spezifische Anwendung, die eine Benutzerrolle erfordert. Organisationen, die sich noch auf datenschutzorientierte VPNs zur Verschlüsselung verlassen, können ZTNA oben auflegen, um zu kontrollieren, was jeder Benutzer tatsächlich erreichen kann. Das VPN kümmert sich um den verschlüsselten Tunnel; Zero-Trust kümmert sich um Autorisierung und kontinuierliche Verifizierung.
Wie man eine Zero-Trust-Architektur implementiert
Die Implementierung von Zero-Trust ist kein Projekt über Nacht. Die meisten Organisationen führen es in Phasen über 12 bis 24 Monate durch. Hier ist ein praktischer, schrittweiser Ansatz.
Schritt 1: Ihre Schutzoberfläche kartografieren
Identifizieren Sie Ihre kritischsten Daten, Anwendungen, Assets und Dienste (DAAS). Im Gegensatz zur Angriffsfläche, die riesig und ständig wachsend ist, ist die Schutzoberfläche klein und gut definiert. Fangen Sie hier an.
Schritt 2: Transaktionsflüsse kartografieren
Dokumentieren Sie, wie Datenverkehr über Ihr Netzwerk fließt. Verstehen Sie, welche Benutzer auf welche Anwendungen zugreifen, von welchen Geräten und über welche Pfade. Sie können keine Richtlinien für Flüsse erzwingen, die Sie nicht verstehen.
Schritt 3: Architektur um die Schutzoberfläche aufbauen
Stellen Sie Next-Generation-Firewalls, IAM-Lösungen und Mikro-Segmentierungs-Tools um Ihre Schutzoberfläche ein. Platzieren Sie die Policy Engine im Zentrum jeder Zugriffsentscheidung. NIST SP 800-207 beschreibt drei Bereitstellungsmodelle: Device-Agent/Gateway, Enclave-basiert und Ressourcen-Portal-basiert. Wählen Sie je nach Ihrer vorhandenen Infrastruktur.
Schritt 4: Granulare Zugriffsrichtlinien erstellen
Definieren Sie granulare Zugriffsrichtlinien mit der Kipling-Methode: Wer fordert Zugriff an? Auf welche Anwendung greifen sie zu? Wann greifen sie zu? Wo befinden sie sich? Warum benötigen sie Zugriff? Wie verbinden sie sich? Diese sechs Fragen bilden die Grundlage jeder Richtlinienregel.
Schritt 5: Multi-Faktor-Authentifizierung überall bereitstellen
Führen Sie MFA über alle Zugriffspunkte aus. Priorisieren Sie privilegierte Konten, dann erweitern Sie auf alle Benutzer. Hardware-Sicherheitsschlüssel (YubiKey, Google Titan) bieten den stärksten Schutz gegen Phishing.
Schritt 6: Kontinuierliche Überwachung und Analysen aktivieren
Stellen Sie SIEM- und EDR-Lösungen bereit, um den gesamten Datenverkehr in Echtzeit zu überwachen. Etablieren Sie Baselines für normales Verhalten, damit Anomalien sofortige Warnungen auslösen. Automatisieren Sie Response-Playbooks für häufige Bedrohungsmuster.
Schritt 7: Iterieren und erweitern
Beginnen Sie mit Ihren sensibelsten Assets und erweitern Sie Zero-Trust-Kontrollen nach außen. Jede Phase sollte Tests, Validierung und Richtlinienverfeinerung beinhalten. Zero-Trust ist kein Ziel; es ist ein ständiger Verbesserungsprozess.
Häufige Zero-Trust-Anwendungsfälle
Remote- und Hybrid-Belegschaft
Organisationen mit Mitarbeitern, die von zu Hause, Co-Working-Spaces oder Client-Standorten aus arbeiten, profitieren sofort von Zero-Trust. Anstatt den gesamten Datenverkehr durch ein zentrales VPN zu leiten, überprüfen ZTNA-Lösungen jeden Benutzer und jedes Gerät unabhängig. Dies reduziert die Latenz und verbessert die Sicherheit gleichzeitig.
Cloud-First-Organisationen
Unternehmen, die Workloads über AWS, Azure und Google Cloud ausführen, benötigen konsistente Zugriffskontrolle, die mehrere Umgebungen übergreift. Zero-Trust-Richtlinien folgen dem Benutzer und der Workload, nicht der Netzwerkgrenze.
Regulierte Industrien
Gesundheitsorganisationen, die HIPAA unterliegen, Finanzinstitute, die PCI DSS und SOX regeln, und Regierungsbehörden, die FedRAMP folgen, benötigen alle strikten Zugriffskontrolle und Audit-Trails. Zero-Trust bietet beides durch Design.
Drittanbieter- und Auftragnehmer-Zugriff
Anbieter und Auftragnehmer benötigen häufig Zugriff auf spezifische interne Systeme. Zero-Trust gewährt ihnen Zugriff nur auf die Ressourcen, die sie benötigen, für nur die Dauer, in der sie diese benötigen, mit vollständiger Protokollierung jeder Aktion.
Fusionen und Übernahmen
Wenn zwei Organisationen fusionieren, führt die Integration ihrer Netzwerke zu erheblichen Risiken. Zero-Trust ermöglicht jeder Umgebung, unabhängige Zugriffskontrolle beizubehalten und gleichzeitig selektiv organisationsübergreifenden Zugriff auf Anwendungsbasis zu gewähren.
Ist Zero-Trust das Richtige für Ihre Organisation?
Zero-Trust-Cybersicherheit ist kein vorübergehender Trend. Es ist ein grundlegender Wandel in der Art und Weise, wie Organisationen ihre Daten, Anwendungen und Benutzer schützen. Das alte Perimeter-basierte Modell ging davon aus, dass Bedrohungen außerhalb der Mauer bleiben. Heute, mit Cloud Computing, Remote Work und zunehmend ausgefeilten Angriffen wie Identitätsdiebstahl und Credential-Harvesting, setzt diese Annahme Organisationen erheblichen Risiken aus.
Die Einführung von Zero-Trust bedeutet, sich der kontinuierlichen Verifizierung, dem Least-Privilege-Zugriff, der Netzwerksegmentierung, der Multi-Faktor-Authentifizierung und der Echtzeitüberwachung zu verschreiben. Es erfordert Investitionen in Technologie und die Bereitschaft, darüber nachzudenken, wie Ihre Organisation Zugriff gewährt und verwaltet.
Der Payoff ist erheblich: reduziertes Verletzungsrisiko, stärkere Compliance-Position, bessere Sichtbarkeit in die Netzwerkaktivität und ein Sicherheitsmodell, das mit Ihrer Organisation skaliert.
Beginnen Sie mit Ihren kritischsten Assets. Kartografieren Sie Ihre Datenverkehrsflüsse. Stellen Sie MFA und IAM bereit. Segmentieren Sie Ihr Netzwerk. Überwachen Sie alles. Jeder Schritt vorwärts reduziert Ihre Anfälligkeit für die Bedrohungen, die am meisten zählen.
Sources
Häufig gestellte Fragen
[Wie es funktioniert] Was ist Zero-Trust-Cybersicherheit in einfachen Worten?
Zero-Trust bedeutet, dass kein Benutzer, kein Gerät und keine Verbindung standardmäßig vertraut wird, auch nicht innerhalb des Unternehmensnetzwerks. Jede Zugriffsanfrage wird explizit überprüft, erhält nur die minimal erforderliche Berechtigung und wird kontinuierlich überwacht. Es ersetzt das ältere Modell „Vertraue allem innerhalb des Perimeters”, das versagt, wenn Cloud Computing und Remote Work diese Grenze auflösen. NIST SP 800-207 ist das maßgebliche föderale Framework für die Implementierung.
[Wie es funktioniert] Was sind die sechs Kernprinzipien von Zero-Trust?
Die sechs Prinzipien sind explizite Verifizierung, Least-Privilege-Zugriff, Annahme einer Verletzung, Netzwerksegmentierung, Multi-Faktor-Authentifizierung und kontinuierliche Überwachung. Jedes verstärkt die anderen: Least-Privilege-Zugriff begrenzt das, was ein kompromittiertes Konto erreichen kann, Segmentierung enthält laterale Ausbreitung, und kontinuierliche Überwachung erkennt Anomalien, die statische Regeln übersehen würden. Zusammen bilden sie überlappende Verteidigungsschichten statt eines einzelnen Produkts oder einer einzelnen Einstellung.
[Bedrohungen] Welche Bedrohungen schützt Zero-Trust vor, die ein traditionelles VPN nicht schützt?
Ein traditionelles VPN verschlüsselt den Tunnel, aber gewährt breiten Netzwerkzugriff nach der Verbindung, sodass ein Angreifer, der eine Anmeldeinformation stiehlt, sich lateral über das gesamte Netzwerk ausbreiten kann. Zero-Trust-Netzwerkzugriff (ZTNA) gewährt Zugriff nur auf die spezifische Anwendung, die eine Benutzerrolle erfordert, mit Neuverifizierung jeder Anfrage. Dies begrenzt direkt laterale Bewegung, Credential-Harvesting und Account-Übernahme, die reine Perimeter-Verteidigungen verpassen.
[Bedrohungen] Wie begrenzt Zero-Trust laterale Bewegung nach einer Verletzung?
Zero-Trust nimmt an, dass Angreifer bereits drin sind, und konzipiert die Verteidigung danach. Mikro-Segmentierung teilt das Netzwerk in isolierte Segmente auf, sodass die Kompromittierung eines Segments keinen Zugriff auf andere gewährt, mit Tools wie VMware NSX, Illumio oder Cisco ACI. Kombiniert mit Least-Privilege-Zugriff und kontinuierlicher Überwachung über SIEM-Plattformen schrumpft dies der Schadensbereich jedes einzelnen kompromittierten Kontos oder Endpunkts.
[Schutz] Was ist Zero-Trust-Netzwerkzugriff (ZTNA) und wie unterscheidet er sich von einem VPN?
ZTNA gewährt Zugriff nur auf die spezifische Anwendung, die eine Benutzerrolle erfordert, statt des breiten Netzwerkzugriffs, den ein VPN-Tunnel nach der Verbindung bietet. Organisationen können ZTNA oben auf ein bestehendes datenschutzorientiertes VPN auflegen: Das VPN kümmert sich um den verschlüsselten Tunnel, während Zero-Trust sich um Autorisierung und kontinuierliche Neuverifizierung bei jeder Anfrage kümmert, was die Lücke schließt, die nur VPN-Zugriff hinterlässt.
[Schutz] Ersetzt Zero-Trust MFA oder funktioniert es daneben?
MFA ist eine erforderliche Komponente von Zero-Trust, keine Lösung dafür. Microsoft berichtet, dass MFA 99,9 % der automatisierten Kontoübernahmeangriffe blockiert, was es über alle Zugriffspunkte nicht verhandelbar macht. Zero-Trust-Bereitstellungen führen MFA beginnend mit privilegierten Konten aus, dann erweitern auf alle Benutzer, oft mit Hardware-Sicherheitsschlüsseln wie YubiKey oder Google Titan für stärkeren Phishing-Widerstand.
Welche Tools werden tatsächlich verwendet, um eine Zero-Trust-Architektur aufzubauen?
Ein vollständiger Stack reicht über Identität, Endpunkte, Netzwerk und Überwachung. IAM kommt von Microsoft Entra ID, Okta oder Ping Identity. EDR kommt von CrowdStrike Falcon, SentinelOne oder Microsoft Defender for Endpoint. Mikro-Segmentierung nutzt VMware NSX, Illumio oder Cisco ACI. SIEM-Plattformen wie Splunk, Microsoft Sentinel oder IBM QRadar bieten die kontinuierliche Überwachung, die das Modell erfordert.
Was ist eine Policy Engine und warum ist sie zentral für Zero-Trust?
Die Policy Engine sitzt im Herzen einer Zero-Trust-Architektur und bewertet jede Zugriffsanfrage gegen Faktoren wie Benutzerrolle, Gerätegesundheit, Standort, Tageszeit und Risikobewertung, um eine Echtzeitentscheidung zum Zulassen oder Blockieren zu treffen. Der Policy Administrator erzwingt dann diese Entscheidung durch Anweisung an den Durchsetzungspunkt. NIST SP 800-207 skizziert dies als die zentrale Entscheidungskomponente des Modells.
Wie fange ich an, Zero-Trust zu implementieren, ohne den Betrieb zu stören?
Beginnen Sie, indem Sie Ihre Schutzoberfläche kartografieren – die kleine Gruppe kritischer Daten, Anwendungen, Assets und Dienste, statt der gesamten Angriffsfläche. Dokumentieren Sie dann Transaktionsflüsse, um zu verstehen, wer auf was zugreift und von wo aus. NIST SP 800-207 skizziert drei Bereitstellungsmodelle – Device-Agent/Gateway, Enclave-basiert und Ressourcen-Portal-basiert – sodass Sie eine wählen können, die Ihrer vorhandenen Infrastruktur entspricht, bevor Sie nach außen bauen.
Was ist die Kipling-Methode für die Festlegung von Zero-Trust-Zugriffsrichtlinien?
Die Kipling-Methode erstellt granulare Zugriffsrichtlinien um sechs Fragen: Wer fordert Zugriff an, auf welche Anwendung greifen sie zu, wann, wo sie sich befinden, warum sie Zugriff benötigen und wie sie sich verbinden. Diese sechs Fragen bilden die Grundlage jeder Richtlinienregel, die von der Policy Engine erzwungen wird, und ersetzen breiten, rollenbasierten Netzwerkzugriff mit kontextabhängigen Entscheidungen pro Anfrage.
Wie lange dauert ein vollständiger Zero-Trust-Rollout tatsächlich?
Die meisten Organisationen führen Zero-Trust in Phasen über 12 bis 24 Monate durch, statt als einzelnes Projekt. Die Reihenfolge verläuft: Schutzoberfläche kartografieren, Transaktionsflüsse dokumentieren, Architektur um sie herum aufbauen, granulare Richtlinien via Kipling-Methode erstellen, MFA überall bereitstellen, SIEM- und EDR-Überwachung aktivieren, dann iterieren. Jede Phase umfasst Tests und Richtlinienverfeinerung vor der Erweiterung auf die nächste Asset-Gruppe.
[Bedrohungen] Ist Zero-Trust für regulierte Industrien wie Gesundheitswesen oder Finanzen notwendig?
Ja. Gesundheitsorganisationen unter HIPAA, Finanzinstitute, die von PCI DSS und SOX regiert werden, und Regierungsbehörden, die FedRAMP folgen, benötigen alle strikte Zugriffskontrolle und vollständige Audit-Trails, was Zero-Trust durch Design mittels kontinuierlicher Verifizierung und pro-Anwendungs-Protokollierung bietet. Drittanbieter und Auftragnehmer erhalten auch Zugriff, der auf nur die spezifischen Ressourcen und Dauer, die sie benötigen, begrenzt ist.
[Wie es funktioniert] Was passiert, wenn ein Gerät eine Compliance-Überprüfung unter Zero-Trust nicht besteht?
EDR-Lösungen wie CrowdStrike Falcon, SentinelOne oder Microsoft Defender for Endpoint überwachen kontinuierlich die Gerätegesundheit, und ein Gerät, das nicht konform ist, wie das Ausführen eines veralteten Betriebssystems oder fehlende Patches, kann automatisch vom Zugriff auf sensible Ressourcen blockiert werden. Diese Erzwingung erfolgt an der Policy Engine, die die Gerätegesundheit als einen Faktor bei jeder Zugriffsanfrage neu bewertet, nicht nur bei der Anmeldung.