Eine Insider-Bedrohung geht von Personen mit legitimem Zugang aus – Mitarbeitende, Dienstleister, Partner –, die vorsätzlich, fahrlässig oder durch Täuschung Dritter Schaden verursachen.
Eine Insider-Bedrohung (Insider Threat) entsteht, wenn Personen mit legitimem Zugang zu Systemen, Gebäuden oder Informationen diesen Zugang zum Schaden der Organisation nutzen oder nutzen lassen. Dazu zählen aktuelle und ehemalige Mitarbeitende, externe Dienstleister, Zeitarbeitskräfte, Partner mit Systemzugang und Administratoren von Lieferanten. Der Insider muss dabei nicht böswillig sein; der größte Teil der Insider-Vorfälle geht auf Fahrlässigkeit oder Täuschung zurück.
Was Insider gefährlich macht, ist nicht besondere technische Fähigkeit, sondern die Position: Sie kennen Prozesse, wissen, wo wertvolle Daten liegen, und ihre Aktivitäten unterscheiden sich auf den ersten Blick nicht von normaler Arbeit. Perimeterschutz, Firewalls und Phishing-Filter sind gegen sie wirkungslos.
Drei Typen von Insidern
- Böswillige Insider: handeln vorsätzlich, etwa aus finanziellen Motiven, Rache nach Kündigung oder im Auftrag Dritter. Typische Fälle: Mitnahme von Kundendaten zum Wettbewerber, Sabotage vor dem Ausscheiden, Verkauf von Zugängen an Kriminelle.
- Fahrlässige Insider: verursachen Schaden ohne Absicht, durch Fehlversand sensibler Daten, Nutzung privater Cloud-Dienste, Umgehung lästiger Sicherheitsregeln oder schlicht durch Klick auf einen Phishing-Link.
- Kompromittierte Insider: deren Konto oder Gerät von einem externen Angreifer übernommen wurde. Für die Verteidigung sieht der Angreifer dann aus wie ein legitimer Mitarbeiter. Dieser Fall ist die Grundlage jedes Assumed-Breach-Szenarios.
Hinzu kommt eine wachsende Variante: Angreifer, die sich als Mitarbeitende bewerben oder Beschäftigte gezielt anwerben. Ransomware-Gruppen haben wiederholt versucht, Insidern Geld für das Einschleusen von Schadsoftware zu bieten.
Bedeutung für Unternehmen
Insider-Risiken werden in vielen Sicherheitsstrategien ausgeblendet, weil sie unangenehm sind: Sie setzen voraus, den eigenen Leuten nicht blind zu vertrauen. Dabei ist die Konsequenz keine Misstrauenskultur, sondern saubere Architektur. Wer Least Privilege umsetzt, Zugriffe protokolliert und Berechtigungen beim Rollenwechsel entzieht, schützt sich gegen alle drei Insider-Typen gleichzeitig und gegen externe Angreifer, die ein Konto übernommen haben.
In Red-Team-Projekten zeigt sich das Ausmaß regelmäßig: Ein gewöhnliches Mitarbeiterkonto hat Lesezugriff auf Netzlaufwerke mit Verträgen, Gehaltslisten und Konstruktionsdaten, weil Berechtigungen seit Jahren nur hinzugefügt und nie entfernt wurden. Ein fahrlässiger Insider kann diese Daten versehentlich teilen, ein böswilliger sie mitnehmen, ein kompromittierter sie für Erpressung abfließen lassen. Das Problem ist in allen Fällen dasselbe.
Praxis-Hinweise
- Setzen Sie Least Privilege konsequent um und überprüfen Sie Berechtigungen regelmäßig, insbesondere bei Rollenwechsel und Austritt.
- Protokollieren Sie Zugriffe auf sensible Daten und werten Sie Anomalien aus: Massendownloads, Zugriffe außerhalb der Arbeitszeit, ungewöhnliche Datenbewegungen. Data Loss Prevention unterstützt dabei.
- Gestalten Sie Austrittsprozesse technisch sauber: Konten, Token, VPN-Zugänge und Gerätezugriffe werden am letzten Arbeitstag entzogen.
- Schaffen Sie Meldewege und eine Kultur, in der Fehler ohne Sanktionsangst gemeldet werden. Der fahrlässige Insider, der seinen Fehlklick sofort meldet, ist Ihr bester Sensor.
- Testen Sie das Szenario „kompromittiertes Mitarbeiterkonto“ mit einem Assumed-Breach-Test und beziehen Sie Dienstleisterzugänge ein.