Eine Insider-Bedrohung geht von einer Person aus, die bereits legitimen Zugang zu Systemen, Daten oder Räumen der Organisation hat.
Der Schaden entsteht nicht durch das Überwinden der Außengrenze, sondern durch den Missbrauch oder die Fahrlässigkeit dieses Zugangs.
Arten von Insider-Bedrohungen
Arten von Insider-Bedrohungen unterscheiden sich danach, ob die Person den Schaden will oder ihn ohne Absicht verursacht.
Die technischen Spuren können ähnlich aussehen, die Gegenmaßnahmen unterscheiden sich aber deutlich.
Bösartige Insider-Bedrohungen
Bösartige Insider-Bedrohungen sind Handlungen von Beschäftigten, Auftragnehmern oder Partnern, die Daten entwenden, Systeme sabotieren oder Zugänge für Dritte öffnen.
Sie nutzen Rechte, die ihnen für die Arbeit gegeben wurden, gegen den Zweck dieser Arbeit.
Unbeabsichtigte Insider-Bedrohungen
Unbeabsichtigte Insider-Bedrohungen entstehen durch Irrtum, etwa eine Mail mit vertraulichem Anhang an den falschen Empfänger, ein verlorenes Gerät oder das Umgehen einer Regel aus Bequemlichkeit.
Der Zugang war erlaubt, die Folge war nicht beabsichtigt, der Schaden kann trotzdem groß sein.
Auswirkungen von Insider-Bedrohungen
Auswirkungen von Insider-Bedrohungen treffen Finanzen, Ansehen und rechtliche Pflichten, oft gleichzeitig.
Weil der Zugang legitim aussieht, werden solche Vorfälle später erkannt als ein offensichtlich fremder Einbruch.
Finanzielle Auswirkungen
Finanzielle Auswirkungen umfassen abfließende Geschäftsgeheimnisse, betrügerische Zahlungen, Wiederherstellung und den Stillstand betroffener Abläufe.
Der Zugriff einer berechtigten Rolle kann mehr Daten erreichen als ein externer Täter ohne Konto.
Auswirkungen auf den Ruf
Auswirkungen auf den Ruf folgen, wenn Kunden oder die Öffentlichkeit erfahren, dass eigene Leute Daten missbraucht oder grob fahrlässig offengelegt haben.
Das Vertrauen leidet besonders, weil die Organisation die Person selbst ausgewählt und berechtigt hat.
Rechtliche Auswirkungen
Rechtliche Auswirkungen entstehen, wenn personenbezogene Daten, Geschäftsgeheimnisse Dritter oder aufsichtsrechtlich geschützte Informationen betroffen sind.
Meldepflichten, Haftungsfragen und arbeitsrechtliche Schritte laufen dann neben der technischen Bereinigung.
Verhinderung von Insider-Bedrohungen
Verhinderung von Insider-Bedrohungen verbindet technische Begrenzung der Rechte mit Regeln, Kultur und Aufsicht, die absichtlichen wie versehentlichen Missbrauch erschweren.
Alleinige Überwachung ohne klare erlaubte Wege erzeugt Umgehung, alleinige Appelle ohne Technik lassen den Zugriff zu weit.
Technische Maßnahmen
Technische Maßnahmen sind geringe Rechte, getrennte Admin-Konten, Protokollierung sensibler Zugriffe, Sperren für den Abfluss großer Datenmengen und das sofortige Entziehen des Zugangs beim Ausscheiden.
Sie machen Missbrauch sichtbarer und begrenzen, wie viel ein einzelnes Konto mitnehmen kann.
Nicht-technische Maßnahmen
Nicht-technische Maßnahmen sind das Vier-Augen-Prinzip, klare Folgen bei Verstößen, ein vertraulicher Meldeweg und Führung, die Zeitdruck nicht gegen Sicherheitsregeln ausspielt.
Menschen melden Auffälligkeiten eher, wenn das keine Nachteile für den Melder bringt.
Fazit
Insider-Bedrohungen nutzen vorhandenen Zugang, absichtlich oder aus Versehen, und lassen sich nicht an der Netzgrenze allein abwehren.
Geringe Rechte, nachvollziehbare Zugriffe und eine Kultur des Meldens begrenzen beide Formen.