DORA schreibe zwar keine konkrete Zero-Trust-Architektur vor. Die geforderte digitale operationale Resilienz setze nach Einschätzung der Autoren aber unter anderem eindeutige Identitäten, begrenzte Zugriffsrechte, starke Authentisierung sowie nachvollziehbare Überwachungs- und Reaktionsprozesse voraus. In über Jahrzehnte gewachsenen Core-Banking-Landschaften mit COBOL, CICS, IMS und Db2 könnten dauerhaft vergebene Rechte, technische Kennungen und komplexe Integrationswege die Umsetzung erschweren.
Identität muss bis zum Mainframe nachvollziehbar bleiben
Ein Schwerpunkt des Beitrags im IT Finanzmagazin liegt auf einer durchgängigen Identitätskette. Bei Integrationen erreiche den Mainframe häufig lediglich die technische Kennung eines Gateways, Schedulers oder Middleware-Dienstes. Die Identität des ursprünglichen Nutzers sei auf dem Host dann nicht mehr unmittelbar sichtbar.
Über Identity Propagation könnten externe Identitäten RACF-IDs zugeordnet und beide Identitäten im Audit Trail dokumentiert werden. Nach Auffassung der Kyndryl-Autoren müsse dies über APIs, Webservices, Terminals, Batch-Prozesse und Dienstleisterzugänge hinweg konsistent umgesetzt werden.
Mehrere Kontrollschichten statt zentraler Instanz
Zero Trust entstehe auf dem Mainframe nach Darstellung der Autoren durch mehrere aufeinander abgestimmte Kontrollschichten. Vorgelagerte Systeme könnten Identität und Kontext bewerten, während RACF sowie Mainframe- und Datenbankkontrollen lokal über Zugriffe entschieden. Micro-Segmentation bis zum z/OS-Endpunkt, Multi-Faktor-Authentisierung, zeitlich begrenzte privilegierte Zugriffe und die Einbindung relevanter Ereignisse in SIEM-Systeme seien weitere Bausteine.
Kritische Autorisierungsentscheidungen könnten dabei weiterhin direkt auf dem Host getroffen werden. Nach Darstellung der Autoren lasse sich so vermeiden, dass für Zero Trust eine neue zentrale Abhängigkeit und damit ein möglicher Single Point of Failure entsteht.
Just-in-Time statt dauerhafter Zugangsdaten
Einen konkreten Ansatz für Mainframe-Zugänge beschreibt HashiCorp in einem Anfang September veröffentlichten Beitrag. Der Softwareanbieter stellt darin die eigene Lösung Boundary vor, mit der Zugriffe über HTTPS, SSH und TN3270 identitäts- und richtlinienbasiert gesteuert werden könnten. HashiCorp nennt unter anderem statische Zugangsdaten, direkte Netzwerkverbindungen, gemeinsam genutzte Credentials und fragmentierte Audit Trails als Probleme traditioneller Zugangsmodelle.
In Verbindung mit Vault könnten für SSH- und TN3270-Verbindungen Just-in-Time Credentials eingesetzt werden. Bei SSH könne Boundary Zugangsdaten direkt in die Sitzung einbringen, für TN3270 würden Credentials vermittelt. Zugleich sollen Audit-Informationen zentral zusammengeführt werden. Bestehende HMC-, SSH- und TN3270-Zugänge müssten dafür nach Darstellung des Anbieters nicht ersetzt werden; Boundary werde als kontrollierende Zugriffsschicht vorgeschaltet.
Der Beitrag beschreibt die Funktionen eigener HashiCorp-Produkte und ist entsprechend als Anbieterbeitrag mit kommerziellem Hintergrund einzuordnen.
Die Zugriffsschicht als Sicherheitsfaktor
Bereits im März 2026 beschäftigte sich Sebastian Dewar, CTO des Mainframe-Zugriffsspezialisten Virtel, in einem Beitrag für Planet Mainframe mit DORA und der Mainframe Access Layer. Als problematisch beschreibt er unter anderem lokal installierte TN3270-Emulatoren mit unterschiedlichen Versions- und Konfigurationsständen sowie weiterhin vorhandene unverschlüsselte TN3270-Verbindungen.
Dewar verweist zudem auf die Bedeutung getrennter Zugangswege für Anwender und Systemadministratoren. Beide sollten nach seiner Darstellung jeweils eigenen Sicherheitskontrollen unterliegen und unabhängig voneinander betrieben werden. Auch vor CICS-Anwendungen müssten Zero-Trust-Prinzipien praktisch umgesetzt werden.
Auch dieser Beitrag stammt von einem Anbieter entsprechender Mainframe-Zugangslösungen und ist vor diesem kommerziellen Hintergrund einzuordnen.
Gemeinsamer Nenner: Identität und Zugriff
Die drei Veröffentlichungen setzen unterschiedliche Schwerpunkte, benennen aber dieselben grundlegenden Ansatzpunkte: nachvollziehbare Identitäten, kontrollierte Berechtigungen und abgesicherte Zugangswege bis zum Mainframe. Zero Trust betrifft damit nach Darstellung der Autoren und Anbieter auch die bestehenden Zugriffs- und Berechtigungsstrukturen auf und vor dem Host. (td)
