Wie sicherst du die Kommunikation zwischen Services (mTLS, Zero-Trust)?

Question

Accepted Answer

In einem Microservices-Netz kannst du dem Netz nicht vertrauen, nur weil es "intern" ist. **Zero-Trust** geht davon aus, dass das Netz feindselig ist, daher wird jeder Aufruf authentifiziert und autorisiert, und der Datenverkehr wird mit **mTLS** verschlüsselt.

## Gegenseitiges TLS (mTLS)

Im Gegensatz zu normalem TLS präsentieren **beide** Seiten Zertifikate. Jeder Service beweist seine Identität, und der Datenverkehr wird bei der Übertragung verschlüsselt.

```text
Service A ──cert──▶ Service B
Service A ◀─cert── Service B   (both verify each other's identity)
→ caller is authenticated AND data is encrypted
```

Ein Service Mesh kann mTLS automatisch ohne Änderungen am App-Code bereitstellen.

## Service-zu-Service-Autorisierung

Identität (wer aufruft) plus Policy (was sie tun dürfen). Tokens (JWT) oder SPIFFE-Identitäten transportieren die Identität des Aufrufers.

```yaml
# allow only the orders service to call payments
policy:
  from: { service: orders }
  to:   { service: payments, path: /charge }
  action: ALLOW            # everything else denied by default
```

## Tiefenverteidigung

```text
✓ Authenticate every request (no implicit network trust)
✓ Least privilege — a service can call only what it needs
✓ Short-lived, rotated credentials/certs
✓ Validate tokens at the edge AND between services
✓ Encrypt in transit (mTLS) and at rest
```

## Fallstricke

Dem internen Netz zu vertrauen ("es ist hinter der Firewall") ist, wie ein kompromittierter Service zu einer vollständigen Kompromittierung wird.

## Warum es wichtig ist

In einem flachen internen Netz kann ein kompromittierter Service ansonsten alles erreichen; Zero-Trust begrenzt diesen Explosionsradius.

mTLS plus Pro-Aufruf-Autorisierung bedeutet, dass ein Angreifer, der sich einmal ins System eingeschlichen hat, keine Services imitieren oder sich lateral bewegen kann – das ist das Kernversprechen der Sicherheit einer modernen Microservices-Plattform.