Das Management von Insider-Bedrohungen in der gesamten Organisation

Wie vertrauenswürdiger Zugang versteckte Gefährdungen schafft – und wie Security-, IT- und Geschäftsteams das Insider-Risiko reduzieren können

Die wichtigsten Erkenntnisse

• Insider-Bedrohungen sind nicht immer bösartig. Fahrlässigkeit, ehrliche Fehler und kompromittierte Konten machen einen erheblichen Anteil der von Insidern verursachten Vorfälle aus.
• Das Risiko steigt in entscheidenden Phasen des Lebenszyklus. Onboarding, Rollenwechsel, hoher Zeitdruck und Mitarbeiterabgänge gehen durchweg mit einem höheren Insiderrisiko einher.
• Resilienz ist wichtiger als Vertrauen. Ein effektives Insider-Risikomanagement konzentriert sich auf das Prinzip der geringstmöglichen Rechte, die Überwachung von Verhaltensmustern und die Gestaltung von Security-Kontrollen, die zu realen Arbeitsabläufen passen.

Insiderbedrohungen gehören zu den am meisten unterschätzten und unerwarteten Risiken, denen Unternehmen ausgesetzt sind. Vorfälle, die von einer Identität mit vertrauenswürdigem Zugriff ausgehen, sind fast immer schwieriger zu erkennen und nachzuverfolgen als Vorfälle, die mangelhafte Abwehrmechanismen durchbrechen. Untersuchungen zeigen, dass Insidervorfälle Unternehmen durchschnittlich 17,4 Millionen USD pro Jahr kosten, wobei kompromittierte Zugangsdaten und fahrlässige Nutzeraktionen die größten finanziellen Auswirkungen und die längsten Erkennungszeiten haben. Diese Vorfälle benötigen oft Monate, um identifiziert, eingedämmt und untersucht zu werden. Der Verizon Data Breach Investigations Report aus dem Jahr 2025 (DBIR) zeigt auch, dass Insider in die meisten Datenschutzverletzungen verwickelt sind, sei es durch Fehler oder böswillige Absicht. Insider stellen für Unternehmen jeder Größe und in jedem Sektor ein legitimes Risiko dar.

Insider-Bedrohungen gehen über bösartige Mitarbeiter hinaus. Jeder Nutzer kann unbeabsichtigt ein Risiko für das Unternehmen darstellen. Wenn Sie also über Insider-Risiko-Management nachdenken, sollten Sie sich auf diese Definition der Experten der Carnegie Mellon University stützen:

Insider-Bedrohung – das Potenzial einer Person, die über autorisierten Zugriff auf kritische Ressourcen einer Organisation verfügt oder verfügte, diesen Zugriff – ob böswillig oder unbeabsichtigt – zum Schaden der Organisation zu nutzen. ~Daniel L. Costa, CERT Insider Threat Center, Software Engineering Institute (SEI)

Diese Definition ist so weit gefasst, dass sie jede Art von Risiko durch jegliche Art von Insider-Bedrohung umfasst. Dies wird Ihnen helfen, Insider-Risiken in Ihrer Security-Strategie sichtbar zu halten.    

Die Hauptarten von Insider-Bedrohungen

Bösartige Insider, die vorsätzlich Schaden verursachen

Wie der Name schon sagt, handelt es sich dabei um diejenigen, die Firmengeheimnisse stehlen, digitale Vermögenswerte zerstören, sensible Daten weitergeben oder dem Unternehmen auf andere Weise schaden wollen.

Für diese destruktiven Aktivitäten gibt es mehrere Motive. Verärgerte Mitarbeiter wollen vielleicht das Unternehmen oder einen Kollegen bestrafen. Opportunisten können Zahlungen von Bedrohungsakteuren annehmen, um ihnen Zugang zu verschaffen, oder von Wettbewerbern, um ihnen Informationen zu liefern. Dieses Risiko steigt besonders stark beim Ausscheiden von Mitarbeitern, daher sollten Unternehmen ein diszipliniertes Offboarding- oder Exit-Programm pflegen.

Nachlässige Insider, die unbeabsichtigt Risiken schaffen

Personen mit vertrauenswürdigem Zugriff halten sich nicht immer an die Regeln. Sie beabsichtigen möglicherweise niemandem zu schaden, verwenden jedoch Passwörter mehrfach, klicken aus Neugier auf Spam, ignorieren Sensitivitätskennzeichnungen und umgehen Security-Kontrollen, weil es einfacher oder schneller ist als das Befolgen von Protokollen.

Meistens denken diese Leute, dass sie ein Problem lösen. Sie benötigen etwas schnell und senden sich Dateien per E-Mail, um auch nach Feierabend arbeiten zu können, oder teilen Zugangsdaten, weil mehrere Personen Zugriff auf eine Einzelbenutzer-Ressource benötigen. Dies kann durch die Prüfung der Übereinstimmung von Security-Prozessen und Arbeitsabläufen verringert werden. Wenn ein Nutzer „einfach nur Dinge erledigen will“, kann es eine bessere Möglichkeit geben, die betroffenen Systeme abzusichern. Schulungen können dazu beitragen, die Gründe hinter den Kontrollen verständlich zu machen. Wenn Sie das Feedback dieser Nutzer einholen, können Sie deren Zustimmung zur Aktualisierung der Security-Richtlinien gewinnen.

Insider, die ehrliche Fehler machen

Oft als „zufällige Insider“ bezeichnet, könnten diese Nutzer E-Mails falsch adressieren, Sicherheitsrichtlinien falsch konfigurieren oder sensible Daten in einem ungeschützten Bereich speichern. Diese Nutzer handeln nicht böswillig oder fahrlässig, aber sie begehen Fehler, die zu einer Gefährdung führen.  

Jeder Mensch macht Fehler, besonders wenn er unter Zeitdruck steht oder müde ist, aber es gibt einige Umweltfaktoren, die dazu beitragen können, dieses Risiko zu verringern. Regelmäßige Security-Audits und automatisierte Scans können Sicherheitslücken und Schwachstellen identifizieren, die von IT-Teams übersehen werden könnten. Klare Regeln zur Datensensibilität und automatisierte Verschlüsselung können die Security für die Nutzer vereinfachen.

Kompromittierte Insider, die unbeabsichtigt Zugang zu Angreifern gewähren

Dies beschreibt einen Insider, dessen Zugang von einem externen Bedrohungsakteur „gekapert“ wurde. Der Bedrohungsakteur erlangt die Kontrolle über ein legitimes Konto und agiert als Nutzer, indem er sich in den normalen Datenverkehr einfügt und langsam mehr Zugriff gewinnt, ohne Alarme auszulösen. Dies beginnt häufig mit Phishing oder versehentlichen Malware-Installationen. Ein klassisches Beispiel hierfür ist der Angriff auf Nevada im August 2025.

Drittparteien als Insider

Lieferanten, Auftragnehmer und andere Drittpartner haben oft legitimen Zugriff auf eine Domain, unterliegen aber anderen Kontroll- und Aufsichtsmechanismen. Das erweitert Ihre Angriffsfläche und kann blinde Flecken in Ihrer Sicherheitslage schaffen. Auch wenn Sie Ihren dritten Partnern vertrauen, sollten Sie bedenken, dass sie ebenfalls Insiderrisiken und anderen Bedrohungen ausgesetzt sind.

Sie können dieses Risiko durch Durchsetzung von Segmentierung, starke Identitätskontrollen, Prinzip der geringsten Rechte, Just-in-Time-Zugriff und andere bewährte Vorgehensweisen mindern.

Vorhersage von Insider-Risiken

Das Insiderrisiko ist nicht gleichmäßig auf die gesamte Beschäftigung oder Partnerschaft verteilt. Das Risikoniveau steigt aufgrund von Ereignissen und anderen Stressfaktoren.

Best Practices zur Minderung von Insiderbedrohungen

• Erstellen Sie ein Programm zum Management von Insider-Risiken (IRM): Richten Sie ein formelles Programm ein, das Insider-Risiken als funktionsübergreifendes Geschäftsrisiko und nicht nur als Security-Problem behandelt. Beteiligen Sie die Stakeholder aus den Bereichen Security, IT, Personalwesen, Recht und Compliance.
• Wenden Sie das Prinzip der geringsten Rechte mit Just-in-Time-Zugriff (JIT) an: Gewähren Sie erhöhte Rechte nur bei Bedarf und widerrufen Sie sie, wenn Sie fertig sind. Dies erfordert möglicherweise mehr administrative Aufgaben als dauerhaften Zugriff, reduziert jedoch die Auswirkungen böswilliger Insider, kompromittierter Konten und Missbrauch durch Drittparteien.
• Gestalten Sie Security-Kontrollen rund um Arbeitsabläufe: Nutzer vermeiden gerne Reibungen, besonders bei Security-Kontrollen. Überprüfen Sie die Arbeitsweise Ihrer Mitarbeiter und gestalten Sie die Prozesse so, dass der sichere Weg der einfachste Weg ist.
• Automatisieren Sie Schutzmaßnahmen, wo immer möglich: Automatische Verschlüsselung und standardmäßig sichere Freigabeeinstellungen helfen, menschliche Fehler zu eliminieren.
• Stärken Sie Identität und Authentifizierung: Setzen Sie eindeutige Identitäten und Multi-Faktor-Authentifizierung (MFA) für alle Nutzer durch. Führen Sie Zero-Trust-Prinzipien wie kontinuierliche Authentifizierung und Sitzungsüberwachung ein und setzen Sie sie durch.
• Überwachen Sie Risikomuster: Konzentrieren Sie die Erkennung auf ungewöhnliche Kombinationen von Aktionen, wie Datenzugriff gefolgt von lokalem Download und externer Übertragung.
• Passen Sie die Kontrollen nach Bedarf an: Hochrisikophasen wie Onboarding, Anbieterwechsel, Rollenänderungen und das Ausscheiden von Mitarbeitern können eingeschränkten Zugriff und erhöhte Überwachung erfordern.
• Automatisieren Sie die Cloud-, Anwendungs- und Gerätekonfiguration, wo immer möglich: Automatisierung senkt die Fehlerquoten und begrenzt den Schaden, wenn Fehler auftreten. Automatisiertes Scannen nach Schwachstellen kann helfen, die Priorisierung von Gegenmaßnahmen zu unterstützen.
• Behandeln Sie den Zugriff durch Dritte als eigenen Risikobereich: Segmentieren Sie den Drittanbieterzugriff und setzen Sie individuelle Identitäten und weitere technische Kontrollen durch.

Beim Management von Insider-Risiken geht es nicht darum, ob Mitarbeiter oder Partner vertrauenswürdig sind – es geht um Resilienz. Unternehmen sollten Systeme so entwerfen, dass sie Insider-Fehler, Missbrauch oder Kompromittierung standhalten, wenn – nicht falls – sie auftreten.

Mehr zum Thema Bedrohungen durch Insider:

• Insider-Bedrohungen und Mitarbeiterfluktuation: Was Sie wissen müssen | Barracuda Networks Blog
• In Zeiten wirtschaftlicher Turbulenzen nehmen die Bedrohungen durch Insider zu | Barracuda Networks Blog
• Verstehen und Bekämpfen von Insider-Bedrohungen | Barracuda Networks Blog