Zero-Trust-Sicherheitsarchitektur für einen deutschen Finanzdienstleister
Konzeption und Einführung einer Zero-Trust-Sicherheitsarchitektur auf EU-souveräner Infrastruktur - BSI-C5-konform, vollständig auditierbar und ohne eine einzige Workload außerhalb europäischer Jurisdiktion.
Herausforderung
Der Kunde betrieb eine über ein Jahrzehnt gewachsene Hybrid-Landschaft: flache Netze, VPN-basierter Zugriff und Security-Tools von drei US-Anbietern. Regulatorischer Druck (DORA, BaFin) verlangte nachweisbare Datenresidenz und ein überprüfbares Sicherheitsmodell - eine „Big Bang"-Migration wurde jedoch vom Vorstand ausgeschlossen.
Vorgehen
Wir führten identitätszentrierten Zugriff in Etappen ein: zuerst einen europäischen IdP mit phishing-resistenter MFA für alle administrativen Zugänge, dann Mikrosegmentierung der kernbankennahen Workloads und schließlich Policy-as-Code-Guardrails (OPA) in jeder Deployment-Pipeline. Sämtliche Logging- und SIEM-Workloads wurden in eine BSI-C5-zertifizierte EU-Cloud verlagert, Aufbewahrung und Verschlüsselungsschlüssel verblieben vollständig beim Kunden. Jeder Schritt wurde mit Nachweisen geliefert: Architecture Decision Records, auditfähige Zugriffsberichte und automatisierte Compliance-Prüfungen in CI.
Ergebnis
Externes Audit im ersten Anlauf ohne Befunde bestanden. Risiko lateraler Bewegungen durch Segmentierung nahe null, privilegierte Zugriffe nun vollständig einzelnen Personen zurechenbar und 100 % der sicherheitsrelevanten Logs unter EU-Jurisdiktion. Das interne Team betreibt die Plattform nach strukturierter Übergabe eigenständig.