Was ist ZTNA?
ZTNA (Zero Trust Network Access) ist ein Sicherheitsmodell, das Nutzern Zugriff nicht auf ein ganzes Netzwerk, sondern nur auf einzelne, explizit freigegebene Anwendungen gewährt. Identität und Gerätekontext werden bei jedem Zugriff geprüft, nicht nur einmalig beim Login wie bei einem klassischen VPN. Die Anwendung selbst bleibt dabei im Internet unsichtbar; nur autorisierte Verbindungen über den Zero Trust Exchange kommen durch. ZTNA ist damit der Ersatz für netzwerkweite VPN-Zugänge und ein Kernbaustein moderner Zugriffsarchitekturen wie SSE und SASE.
ZTNA im Detail
Technisch setzt Zscaler ZTNA über ZPA (Zscaler Private Access) um. Anwendungen werden in App-Segmenten gebündelt, App Connectoren stellen die Verbindung zur Anwendung her, ohne dass ein eingehender Port im Internet geöffnet werden muss. Nutzer erhalten nur Zugriff auf die App-Segmente, für die sie explizit vorgesehen sind.
Anders als beim VPN entsteht so kein flaches Netzwerksegment, in dem sich ein kompromittiertes Gerät frei bewegen könnte. Jede Verbindung wird einzeln autorisiert und lässt sich einzeln nachvollziehen.
Warum ist ZTNA im Zscaler-Betrieb wichtig?
Für den täglichen Betrieb bedeutet ZTNA, dass Zugriffsprobleme selten am Netzwerk selbst liegen, sondern häufig an der Segmentzuordnung: Ein Nutzer ist für eine Anwendung schlicht nicht freigegeben, oder eine Richtlinienänderung hat den Zugriff entfernt. Ohne Sicht auf App-Segmente und Zuweisungen bleibt dem Support nur die Eskalation an die Administration.
Gerade bei Rollouts neuer Anwendungen oder Reorganisationen häufen sich ZTNA-bedingte Zugriffsanfragen, die sich mit der richtigen Diagnosesicht deutlich schneller klären lassen.
Typische Fehlerquellen
- Nutzer wird bei Teamwechsel nicht rechtzeitig neuen App-Segmenten zugeordnet.
- App-Connector-Verfügbarkeit wird mit einem generellen ZTNA-Ausfall verwechselt.
- Fehlende Unterscheidung zwischen Zugriffsverweigerung wegen Policy und wegen technischer Störung.
- Gerätezustand erfüllt Zugriffsvoraussetzungen nicht, ohne dass dies dem Nutzer verständlich angezeigt wird.
ZTNA in der Praxis: so hilft CentaurNexus
CentaurNexus zeigt über User Support Center den Zugriffsstatus eines Nutzers über ZIA, ZPA und ZDX in einer Ansicht, ganz ohne Zscaler-Admin-Rechte. So lässt sich schnell erkennen, ob eine ZTNA-Zugriffsverweigerung an der App-Segment-Zuordnung, am Gerätezustand oder an einer anderen Ursache liegt, statt jeden Fall an die Administration weiterzureichen. Wie der 360-Grad-Blick über Zscaler ohne Admin-Rechte konkret funktioniert, beschreibt der Leitfaden Zscaler-Support ohne Admin-Rechte.
Verwandte Begriffe
Häufige Fragen zu ZTNA
ZTNA steht für Zero Trust Network Access. Statt Nutzern wie bei einem klassischen VPN Zugang zu einem ganzen Netzwerksegment zu geben, gewährt ZTNA Zugriff nur auf einzelne, explizit freigegebene Anwendungen. Identität und Gerätekontext werden bei jedem Zugriff geprüft, nicht nur einmalig beim Login.
Ein VPN platziert das Gerät faktisch im Firmennetz und öffnet damit potenziell Zugriff auf viele Systeme gleichzeitig. ZTNA öffnet nur den Pfad zu einer konkreten, freigegebenen Anwendung. Das reduziert die Angriffsfläche erheblich, weil ein kompromittiertes Gerät nicht automatisch das ganze Netz erreicht.
Zscaler setzt ZTNA über ZPA (Zscaler Private Access) um: Anwendungen werden in App-Segmenten definiert, Nutzer erhalten darauf zugeschnittenen Zugriff über den Zero Trust Exchange, ohne dass die Anwendung selbst im Internet exponiert werden muss.
Wer Zugriffsprobleme diagnostiziert, muss verstehen, ob ein Nutzer überhaupt für ein App-Segment freigegeben ist. Ohne diese Sicht landen ZTNA-bedingte Zugriffsverweigerungen schnell als unklares Geht-nicht beim First-Level, das ohne Kontext kaum weiterhelfen kann.
Nein. ZTNA ist eine der Zugriffsfähigkeiten, die in einer SSE- beziehungsweise SASE-Architektur gebündelt werden. SSE fasst mehrere cloudbasierte Sicherheitsdienste zusammen, SASE ergänzt das um Netzwerkfunktionen. ZTNA ist ein Baustein davon, kein Ersatz für das Gesamtkonzept.
- Zscaler Help Portal: ZPA und Zero Trust Network Access - help.zscaler.com
- Interner Leitfaden: Zscaler-Support ohne Admin-Rechte
Hinweis: CentaurNexus ist ein unabhängiges Produkt der SourcingBlox GmbH und kein Angebot von Zscaler, Inc. Produkt- und Markennamen gehören ihren jeweiligen Inhabern.