Erklären Sie Defense in Depth und wie es sich vom Verlassen auf eine einzige starke Kontrolle unterscheidet.

Defense in Depth ist ein strategisches Prinzip, das sich durch den gesamten Wissensbestand des CISSP zieht. Interviewer fragen es, um zu sehen, ob Sie Systeme entwerfen, die den Ausfall einer einzelnen Schutzmaßnahme überstehen.

Die Kernidee

Defense in Depth (auch geschichtete Sicherheit genannt) platziert mehrere überlappende Kontrollen zwischen einem Angreifer und einem Asset. Seine Grundannahme ist demütig, aber realistisch: Jede Kontrolle wird irgendwann versagen — eine Firewall ist fehlkonfiguriert, eine Anmeldeinformation wird per Phishing abgegriffen, ein Patch wird verpasst. Durch das Schichten unabhängiger Verteidigungen übergibt der Ausfall einer Kontrolle dem Angreifer nicht den Preis; die nächste Schicht verlangsamt, erkennt oder stoppt ihn.

Schichten über den gesamten Stack

Gute Schichtung umfasst Menschen, Prozesse und Technik, nicht nur Netzwerkgeräte:

• Administrativ — Richtlinien, Security-Awareness-Schulungen, Funktionstrennung.
• Technisch — Firewalls, Segmentierung, MFA, Endpunktschutz, Verschlüsselung, Protokollierung.
• Physisch — Schlösser, Ausweise, Kameras, Personenvereinzelungsanlagen.

Eine Datenbank kann hinter einer Netzwerksegmentierung liegen, dann Identität und MFA, dann eine Autorisierung nach geringsten Rechten, dann Verschlüsselung im Ruhezustand, dann Überwachung und DLP — jeweils ein anderer Typ von Kontrolle.

Vielfalt, nicht nur Menge

Schichtung zählt am meisten, wenn die Kontrollen vielfältig und unabhängig sind. Zehn identische Firewalls teilen denselben Fehler; ein einziger Exploit überwindet sie alle. Unterschiedliche Anbieter, Kontrolltypen und Erkennungsmethoden zu nutzen bedeutet, dass eine Umgehungstechnik keine Kaskade auslöst. Diese Vielfalt erkauft außerdem Zeit zum Erkennen und Reagieren, was der strategische Nutzen ist.

Verhältnis zu Zero Trust

Moderne Zero-Trust-Architekturen sind eine Weiterentwicklung dieses Denkens: Statt allem innerhalb eines Perimeters zu vertrauen, erzwingen sie kontinuierlich auf jeder Schicht eine Verifizierung — Defense in Depth zu seiner logischen Schlussfolgerung geführt.

Worauf Interviewer achten

Dass Sie es als Strategie behandeln, die auf der Annahme unvermeidlichen Kontrollversagens beruht, dass Sie vielfältige Schichten über die administrativen, technischen und physischen Domänen beschreiben und dass Sie Vielfalt über bloße Menge betonen — idealerweise mit Bezug zu geringsten Rechten und Zero Trust.