Zero-Trust-Infrastruktur vom Rechenzentrum bis zum Remote-Arbeitsplatz
Komplettmodernisierung von Server-Infrastruktur, Identität und Remote-Zugriff zu einer durchgängigen Zero-Trust-Architektur — von hyperkonvergentem Storage über gehärtete Server- und Client-Baselines bis zu sicherem Remote-Arbeiten ohne ein einziges öffentlich erreichbares Gerät.
Gespräch vereinbaren
- Unternehmensgröße
- KMU
- Region
- Deutschland
- Branche
- Fertigungsindustrie
- Projektdauer
- ca. 6 Monate
Null Geräte
Zugriff ausschließlich über identitätsbasierten Secure Access statt offener Netzwerkpfade
10G Backbone
Zehnfache Bandbreite für Storage- und Backup-Workloads — Grundlage für den hyperkonvergenten Cluster
Ausgangslage
Unser Kunde betrieb eine in die Jahre gekommene Server- und Storage-Landschaft ohne Redundanz auf Hardware-Ebene, ein 1G-Netzwerk, das für moderne Storage- und Backup-Workloads nicht mehr ausreichte, und eine klassische Active-Directory-Umgebung mit statischen Passwörtern und dauerhaft privilegierten Konten — ein bevorzugtes Ziel für Credential-basierte Angriffe und laterale Bewegung im Netzwerk. Service-Accounts liefen mit klassischen, nie rotierenden Passwörtern, administrativer Zugriff erfolgte direkt von Nutzer-Endgeräten aus, und Backups waren vom Produktivnetz aus erreichbar und damit im Ernstfall selbst ein Angriffsziel. Für Remote-Arbeit fehlte eine durchgängige Zero-Trust-Strategie: Zugriffe wurden über offene Netzwerkpfade statt über Identität und Gerätezustand geregelt, einzelne Systeme waren direkt aus dem Internet erreichbar, und Endpoints sowie Server folgten keiner einheitlichen Sicherheits-Baseline. Das Ziel: eine hochverfügbare, hybride Infrastruktur, die von Grund auf Zero Trust umsetzt — gehärtet auf jeder Ebene, ohne ein einziges öffentlich erreichbares Gerät, und mit einer Identitätsstrategie, die klassische Angriffspfade strukturell ausschließt.
Die Umsetzung
Wir konzipierten und implementierten einen hyperkonvergenten Cluster auf Basis von Storage Spaces Direct (S2D) mit NVMe-Storage — Azure-Local-kompatibel für eine spätere hybride Cloud-Anbindung. Parallel modernisierten wir das Netzwerk auf 10G und segmentierten es konsequent: Die Server-Umgebung hat keinen direkten Internetzugang mehr, Zugriffe werden identitätsbasiert geroutet statt über offene Netzwerkpfade. Für die Backup-Architektur implementierten wir Veeam Backup & Replication mit unveränderlichem (immutable) On-Premises-Storage: Selbst mit administrativen Rechten lassen sich gesicherte Daten innerhalb der Aufbewahrungsfrist nicht löschen oder verschlüsseln — ein wirksamer Schutz gegen Ransomware, die gezielt Backups zuerst angreift. Den größten Hebel für die Identitätssicherheit setzten wir in Active Directory: Über Fine-Grained Password Policies rotieren die zugrunde liegenden Passwörter automatisiert und täglich mit 128 Zeichen Länge — niemand kennt sein eigenes Passwort mehr. Für die Alltagsanmeldung an verwalteten Endgeräten kommt Windows Hello for Business zum Einsatz, gerätegebunden per Biometrie oder PIN; für Zugriffe, die nicht an ein einzelnes Gerät gebunden sein dürfen — etwa privilegierte Anmeldungen oder wechselnde Arbeitsplätze — nutzen wir YubiKeys als portablen, hardwarebasierten Faktor. Wo Dienste das unterstützen, laufen Service-Accounts über Group Managed Service Accounts (gMSA) statt über statische, manuell verwaltete Passwörter. Privilegierter Zugriff erfolgt ausschließlich über eine dedizierte PIM/PAM-Lösung mit Jump Host — keine Standing-Admin-Rechte, keine direkte administrative Anmeldung von Nutzer-Endgeräten aus. Microsoft Defender for Identity überwacht die Active-Directory-Umgebung kontinuierlich auf Lateral Movement, Pass-the-Hash und andere identitätsbasierte Angriffsmuster. Clients folgen konsequent dem CIS Benchmark Level 1, der Jump Host sowie kritische Server dem strengeren Level 2 — Praxis-Standard für Systeme, bei denen Sicherheit klar vor Bequemlichkeit steht. Als zusätzliche Erkennungsebene läuft Microsoft Defender for Endpoint mit Defender Antivirus im passiven Modus und aktiviertem EDR-Block-Modus parallel zu CrowdStrike Falcon Complete als primärem EDR — eine zweite, unabhängige Post-Breach-Erkennung für Bedrohungen, die der primäre Agent übersieht. Für sicheres Remote-Arbeiten härteten wir Entra ID und Intune nach aktuellen Baselines und implementierten Global Secure Access als identitätsbasierten Ersatz für klassisches VPN — Zugriff wird über Identität, Gerätezustand und Kontext entschieden, nicht mehr primär über den Netzwerkstandort. Mit Azure Virtual Desktop als zentralem Zugriffspunkt entfällt die Notwendigkeit, Endgeräte oder Server direkt aus dem Internet erreichbar zu machen: Remote-Arbeit ist heute vollständig über gehärtete, identitätsbasierte Zugriffspfade abgesichert, ohne ein einziges öffentlich exponiertes System.
Das Ergebnis: eine durchgängige Zero-Trust-Architektur vom Rechenzentrum bis zum Remote-Arbeitsplatz — hyperkonvergent, ransomware-resistent, ohne Standing-Admin-Rechte und ohne ein einziges öffentlich erreichbares Gerät.
„Zero Trust ist kein Produkt, das man kauft — es ist die Summe aus gehärteter Identität, gehärteten Endpoints und einem Netzwerk, das niemandem mehr automatisch vertraut.“
Ergebnisse im Überblick
- Öffentlich erreichbare Geräte
- Null Geräte
- Zugriff ausschließlich über identitätsbasierten Secure Access statt offener Netzwerkpfade
- Netzwerk-Modernisierung
- 10G Backbone
- Zehnfache Bandbreite für Storage- und Backup-Workloads — Grundlage für den hyperkonvergenten Cluster
Zero-Trust-Infrastruktur ohne ein einziges öffentlich erreichbares Gerät
Learnings
- Immutable Storage ist der Unterschied zwischen Backup und echtem Ransomware-Schutz: Erst wenn selbst Administratoren gesicherte Daten nicht löschen können, ist ein Restore im Ernstfall garantiert.
- Privilegierter Zugriff gehört auf einen dedizierten, gehärteten Jump Host — nie direkt von Nutzer-Endgeräten aus. Kombiniert mit PIM/PAM und null Standing-Admin-Rechten entstehen zwei der häufigsten Angriffspfade gar nicht erst.
- Passwortlose Authentifizierung schlägt jede Passwort-Policy — aber nicht als Einheitslösung: Windows Hello for Business für die gerätegebundene Alltagsanmeldung, YubiKey dort, wo Zugriff geräteunabhängig und portabel bleiben muss.
- Zwei unabhängige Erkennungsebenen fangen ab, was eine einzelne Engine übersieht: Microsoft Defender for Endpoint im EDR-Block-Modus ergänzt CrowdStrike Falcon Complete um eine zweite, unabhängige Post-Breach-Erkennung.
- Identitätsbasierter Secure Access macht klassisches VPN überflüssig: Zugriff wird über Identität, Gerätezustand und Kontext entschieden statt primär über den Netzwerkstandort.
Ausblick
Die Infrastruktur läuft heute im produktiven Betrieb — hyperkonvergent, hochverfügbar und durchgängig nach Zero-Trust-Prinzipien abgesichert: gehärtete Clients und Server, privilegierter Zugriff ausschließlich über Jump Host und PIM/PAM, zwei unabhängige Erkennungsebenen und identitätsbasierter Secure Access statt klassischem VPN. Durch die Azure-Local-kompatible Cluster-Architektur steht einer schrittweisen hybriden Cloud-Anbindung nichts im Weg, ohne dass die bestehende Infrastruktur neu aufgebaut werden müsste.
Service: Infrastruktur & Private Cloud
Bereit für Ihre Customer Story?
Lassen Sie uns gemeinsam Ihr nächstes Projekt zum Erfolg führen. Kontaktieren Sie uns für ein unverbindliches Erstgespräch.