Warum verschlüsselte Nachrichten allein nicht reichen: Zero Trust bei Business-Managern

Unternehmen sichern ihre Netzwerke und Cloud-Infrastrukturen zunehmend nach dem Zero-Trust-Prinzip ab: Jede Anfrage, jeder Zugriff und jede Verbindung gilt zunächst als nicht vertrauenswürdig. Die digitale Kommunikation bleibt dabei häufig außen vor.

Das betrifft vor allem Messenger-Dienste, die im beruflichen Alltag hochsensible Daten transportieren – von strategischen Entscheidungen bis zu personenbezogenen Informationen. Sie können zu einem zusätzlichen Angriffs- und Datenabflusskanal werden, etwa durch Phishing, kompromittierte Konten oder unkontrollierte Dateifreigaben.

Gerade bei Business-Messengern sollten Unternehmen deshalb auf Zero-Trust-Prinzipien achten. Sichere Kommunikation stützt sich dabei üblicherweise auf mehrere Ebenen, die ineinandergreifen:

• Ende-zu-Ende-Verschlüsselung mit Zero-Knowledge-Architektur: Dabei ist wichtig, dass Nachrichten bereits auf dem Gerät des Absenders verschlüsselt und erst beim Empfänger wieder entschlüsselt werden. Der Betreiber erhält so keinen Zugriff auf die Inhalte – und ein Angreifer, der die Server kompromittiert, findet dort nur unlesbare Daten vor.
• Rechteverwaltung und Zugriffskontrollen: Der Messenger sollte es Administratoren ermöglichen, festzulegen, wer mit wem kommunizieren darf, welche Funktionen zur Verfügung stehen und wie sich Daten teilen lassen.
• Betrieb auf eigenen Servern (On-Premises): Lässt sich die Infrastruktur vollständig intern betreiben, reduziert das externe Abhängigkeiten und hält die Daten im eigenen Haus – verlagert aber auch die Verantwortung für Betrieb und Absicherung ins Unternehmen. Für regulierte Branchen und kritische Infrastrukturen kann das ein entscheidender Faktor sein.

Die unterschätzte Gefahr: Telefonnummern als Identitätsanker

Zero Trust soll IT-Systeme vor Angriffen und unbefugten Zugriffen schützen, doch das ersetzt nicht Maßnahmen wie konsequente Metadaten-Sparsamkeit. Viele Dienste verschlüsseln zwar Inhalte, sammeln aber umfangreiche Metadaten, also Informationen darüber, wer wann, wie oft, von welchem Gerät und mit wem kommuniziert.

Das ist problematisch – vor allem, wenn die Messenger-Dienste Telefonnummern als Identifikationsmerkmal verwenden. Wenn die Registrierung bei einem Business-Messenger über die Telefonnummer läuft, entsteht dadurch ein dauerhafter digitaler Fingerabdruck. Nutzer können so auch bei verschlüsselten Nachrichten über verschiedene Dienste hinweg erkennbar, verfolgt und durch Sicherheitslücken identifiziert werden.

Das wiederum ermöglicht Angreifern, Informationen zu sammeln und Personen zum Beispiel über Phishing-Attacken direkt anzugehen und den Einzelnen als Einfallstor in das IT-System zu nutzen. Aus diesem Grund sollte ein tauglicher Business-Messenger zufällig generierte oder selbst gewählte IDs statt Telefonnummern verwenden und die Metadatenerfassung und -speicherung auf ein Minimum reduzieren.

Fünf Prüffragen für IT-Verantwortliche

Die Zero-Trust-Anforderungen an einen Business-Messenger lassen sich auf fünf Fragen zusammenfassen: Verschlüsselt der Anbieter Ende zu Ende mit echter Zero-Knowledge-Architektur? Lassen sich Zugriffsrechte granular verwalten? Kann die Infrastruktur bei Bedarf selbst gehostet werden? Verzichtet der Dienst auf Telefonnummern als Identifikationsmerkmal? Werden Metadaten auf das technisch unvermeidbare Minimum reduziert?

Diese Fragen können als erste Orientierung dienen. Ein fehlendes Merkmal bedeutet nicht zwangsläufig, dass ein Dienst ungeeignet ist – Unternehmen sollten es aber in der Risikoanalyse berücksichtigen und gegebenenfalls durch technische oder organisatorische Maßnahmen kompensieren.

In regulierten Branchen und bei kritischen Infrastrukturen berühren solche Lücken nicht nur die IT-Sicherheit, sondern auch Compliance-Vorgaben. Unternehmen sollten ihre Messaging-Infrastruktur deshalb aktiv anhand dieser Kriterien prüfen, statt erst bei einem Vorfall zu reagieren.