# Zero Trust für Endpunkte freischalten und Zugriff prüfen Canonical: https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/connection/enroll-authorize-endpoints/ Language: de-DE Updated: 2026-11-15T04:12:06.385818Z Plattformanbindung, Zero-Trust-Autorisierung, Aufbau der Zero-Trust-Verbindung und Zugriff auf Geschäftsressourcen sind getrennte Schritte. Eine Plattformlizenz für Zero Trust autorisiert nicht automatisch jeden Endpunkt. Ein autorisierter Endpunkt oder verbundener Knoten darf auch nicht automatisch auf alle Dienste zugreifen. Die folgenden Bedienelemente verwenden überprüfte englische Oberflächenbezeichnungen. ## Vorbereitung 1. Verwenden Sie ein Superadministratorkonto mit Berechtigung für Endpunktoperationen. Die Zero-Trust-Endpunktautorisierung ist nur Superadministratoren zugänglich. Fehlt die Option oder ist sie nicht bedienbar, prüfen Sie Kontotyp, Rechte und verwaltbaren Endpunktbereich. 2. Prüfen Sie, ob die Plattformlizenz Zero Trust enthält und genügend Autorisierungen verfügbar sind. Das Plattformhandbuch beschreibt das Anzeigen und Ändern der Lizenz. Eine gültige Lizenz bedeutet keine bereits zugewiesene Endpunktautorisierung. 3. Wählen Sie kontrollierte Pilotendpunkte und prüfen Sie installierten Client, Plattformanbindung und Netzwerk. Bereiten Sie Zielknoten oder internen Dienst, Protokoll und Port sowie eine Testquelle ohne erwartete Berechtigung vor. Für interne Dienste über eine Route benötigen Sie außerdem einen Routingknoten mit Zugang zum Zielnetz. 4. Stimmen Sie mit Identitäts- und Netzwerkadministratoren [Zero-Trust-Verbindungs- und Identitätseinstellungen](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/connection/global-connection-settings/), Endpunkt- oder Benutzeridentität, DNS, Netzwerk und Relay ab. Dokumentieren Sie bestehende Einstellungen und holen Sie die Änderungsgenehmigung ein. Automatische Verbindung ersetzt weder Benutzeranmeldung noch Zugriffskontrolle oder Netzwerkvoraussetzungen. ## Endpunkt autorisieren 1. Öffnen Sie die Endpunktliste und suchen Sie Pilotendpunkte nach Name oder Gruppe. Wählen Sie **Select in bulk** und markieren Sie die Ziele; auch ein einzelner Endpunkt ist möglich. Prüfen Sie die Auswahl nach Seiten- oder Suchänderungen erneut, statt von ihrem Fortbestand auszugehen. 2. Wählen Sie in der Aktionsleiste **Endpoint Authorization** und prüfen Sie den Zielbereich. Wählen Sie **Zero trust security** und prüfen Sie die Anzahl autorisierter und nicht autorisierter ausgewählter Endpunkte sowie verfügbare Autorisierungen. Markieren Sie nur die zu ändernden Produktoptionen. 3. Wählen Sie **Add Authorization** und bestätigen Sie. Warten Sie auf das Ergebnis. Das Absenden oder Schließen des Dialogs beweist keinen Erfolg für jeden Endpunkt. 4. Prüfen Sie nach Erfolg die Autorisierungsinformationen der Ziele in der Endpunktliste. Ist der Zielzustand bereits vorhanden, prüfen Sie den aktuellen Zustand. Bei zu wenigen Lizenzen oder Teilergebnis dürfen Sie weder Erfolg noch Fehlschlag der gesamten Auswahl annehmen: Prüfen Sie jeden Endpunkt und die Restkapazität und wiederholen Sie nur notwendige Änderungen. Prüfen Sie auch Existenz und Verwaltungsbereich der Ziele. ## Pilotzugriff konfigurieren und prüfen 1. Prüfen Sie in den Zero-Trust-Einstellungen Identitätsmethode und automatische Verbindung; passende vorhandene Einstellungen müssen nicht gespeichert werden. Nur falls Änderungen nötig sind, bewertet eine berechtigte Person die gesamte Seite und gleichzeitige Änderungen, ändert und speichert gemäß [Zero-Trust-Verbindungs- und Identitätseinstellungen](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/connection/global-connection-settings/) und prüft das Ergebnis. Bei Benutzeridentität führen Sie Anmeldung und Verbindung gemäß Organisationsvorgaben aus; auch Endpunktidentität benötigt passende Endpunkt- und Netzwerkbedingungen. Prüfen Sie bei Bedarf knotenspezifische Ausnahmen, lockern Sie Identitätsanforderungen aber nicht eigenmächtig zur Fehlersuche. 2. Öffnen Sie die Zero-Trust-Knotenliste und prüfen Sie Initialisierung und Verbindung des zugehörigen Pilotknotens. Die Übernahme von Autorisierung und Konfiguration kann Zeit benötigen. Bei fehlender Initialisierung oder Verbindung prüfen Sie Client, Kontoidentität, Netzwerk, Plattformdienste und Meldungen. Verbunden bedeutet nicht erfolgreicher Dienstzugriff. 3. Prüfen Sie zuerst vorhandene Gruppenmitgliedschaften und aktivierte Richtlinien auf Quelle, Ziel, Aktion, Richtung, Protokoll, Ports und anwendbare Sicherheitsprüfungen. Geeignete Einstellungen können weiterverwendet werden; erstellen oder ändern Sie nichts unnötig. Nur bei Bedarf beurteilt eine berechtigte Person vor den folgenden Änderungen deren Auswirkungen auf andere Knoten und Geschäftsprozesse. Die vollständige Konfiguration beschreibt [Zugriffsrichtlinie](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/access-control/access-policy/). Richten Sie den gewünschten Zugriff ein: Erstellen oder wählen Sie unter Zugriffskontrolle bei Bedarf eine geeignete Quellzugriffsgruppe und öffnen Sie deren Details. Nur wenn der Pilotknoten noch nicht zur Quellgruppe gehört, wählen Sie im Tab **Endpoints** die Aktion **Add Endpoints**, wählen Sie den Pilotknoten und bestätigen Sie. Falls eine neue Richtlinie benötigt wird, wählen Sie auf der Richtlinienseite bei vorhandenen Richtlinien **Create**, bei leerer Liste **Create Policy**. Erstellen Sie eine Richtlinie mit dieser Quelle und dem Zielknoten oder der Zielgruppe. Wählen Sie gemäß Bedarf **Accept**, Richtung und Protokoll. Tragen Sie bei `TCP` oder `UDP` den Dienstport ein, etwa `443`; ein leeres Portfeld bedeutet alle Ports. Speichern, Aktivierung prüfen und die Übernahme durch die Knoten abwarten. 4. Für einen internen Dienst über einen Routingknoten konfigurieren Sie zusätzlich gemäß [Zero-Trust-Netzwerkrouten konfigurieren](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/network-resources/network-routes/) Ziel, Routingknoten, wirksamen Bereich und Richtlinienzielgruppen. **Leere Richtlinienzielgruppen der Route erzeugen eine Standard-Erlaubnisregel und bedeuten keine Standardverweigerung.** Wählen Sie zur Einschränkung Zielgruppen und prüfen Sie Richtlinien, Zielfirewall und Rückweg. 5. Greifen Sie vom Pilotendpunkt auf den gewünschten Dienst zu und prüfen Sie das tatsächliche Ergebnis. Testen Sie danach die Einschränkung von einer nicht vorgesehenen Quelle und berücksichtigen Sie bestehende Richtlinien und Routen. Bei Abweichungen Autorisierung, Knoten, Identität, Quelle und Ziel, Protokoll und Port, DNS, Route und Dienst prüfen. Eine Verbindung oder einzelne Richtlinie beweist keine vollständige Sicherheitsgrenze. ## Autorisierung entziehen und erneut erteilen Der Entzug kann den Zero-Trust-Zugriff unterbrechen. Prüfen Sie zuvor Zuständigkeit, abhängige Dienste, Genehmigung und Wiederherstellung; verwenden Sie ihn nicht als Standardmaßnahme bei gewöhnlichen Netzwerkfehlern. 1. Markieren Sie den Endpunkt in der Liste, öffnen Sie **Endpoint Authorization**, wählen Sie **Zero trust security**, stellen Sie **Remove Authorization** ein und bestätigen Sie. 2. Prüfen Sie jeden Autorisierungsstatus sowie Knoten und Dienstzugriff. Eine Stapelaktion kann nur teilweise erfolgreich sein; Seitenergebnis und tatsächliche Wirkung auf den Endpunkten sind getrennt zu prüfen. 3. Der erfolgreiche Entzug entfernt die vorhandene knotenspezifische Endpunktidentitätsausnahme. Prüfen Sie bei erneuter Autorisierung [Knotenidentität](https://www.nsecsoft.com/de/docs/ping64-zero-trust/zero-trust/connection/manage-peers/) und globale Einstellungen erneut; eine automatische Wiederherstellung der Ausnahme ist nicht anzunehmen. Konfigurieren Sie sie bei organisatorischer Genehmigung neu und prüfen Sie Verbindung und Dienstzugriff. Meldet die Seite, dass der Endpunkt bereits nicht autorisiert ist, führt ein erneuter Entzug diese Bereinigung der Ausnahme nicht aus. Verlassen Sie sich nicht auf einen wiederholten Entzug; prüfen und ändern Sie die Identitätseinstellungen vor der erneuten Freischaltung gemäß dem Genehmigungsverfahren. Prüfen Sie nach erfolgreichem Entzug die Aktualisierung des Knotenstatus und den Empfang der Endpunktkonfiguration getrennt. Gehen Sie nicht davon aus, dass bestehende Verbindungen oder alle Geschäftszugriffe im Moment der Übermittlung enden. Ist sofortige Isolation nötig, verwenden Sie gemäß Notfallverfahren zusätzlich genehmigte Kontrollen im Netzwerk oder am Zieldienst und prüfen Sie das Ergebnis von einem kontrollierten Endpunkt. Der Entzug bedeutet nicht automatisch, dass Knoten, Zugriffsgruppen, Routen oder Richtlinien gelöscht sind. Prüfen Sie bei dauerhafter Stilllegung Abhängigkeiten und Geschäftsfolgen und bereinigen Sie diese getrennt. Überprüfen Sie vor erneuter Vergabe verbleibende Gruppen, Richtlinien und Routen, um unbeabsichtigten Zugriff zu vermeiden. ## Fehlerbehebung - **Zero-Trust-Option fehlt:** Superadministratorkonto und Endpunktoperationsrecht prüfen. Allgemeine Endpunktverwaltung ist keine Zero-Trust-Autorisierung. - **Kapazität unzureichend oder Teilergebnis:** Lizenz, Restkapazität, Zielstatus und Verwaltungsbereich prüfen; jeden Endpunkt kontrollieren und gemäß Autorisierungsverfahren anpassen oder in Teilmengen bearbeiten. - **Autorisiert, aber nicht verbunden:** Client, Empfang der Autorisierung und Konfiguration, Identitätsanforderungen, Erreichbarkeit nötiger Dienste, Knoten und Netzwerk prüfen. - **Verbunden, aber Dienstzugriff scheitert:** Ziel, Zugriffsrichtlinien, Route, DNS und Firewall prüfen; bei Routing auch Knoten und Rückweg. Autorisierung und Verbindung ersetzen keine Prüfung der Dienstberechtigung.