Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?

Jedes Unternehmen kann durch das Verhalten von Insidern Datenlecks erleiden.

Die Kontrolle der Informationssicherheit ist heute keine Frage des Vertrauens in die Mitarbeiter mehr, sondern eine strategische Notwendigkeit – vor allem angesichts der wachsenden Zahl von Informationslecks, die durch interne Nutzer verursacht werden. So stieg die Zahl der Insider-Angriffe im Jahr 2024 um 25 %, und rund 35 % aller Informationssicherheitsvorfälle standen in irgendeiner Form mit dem menschlichen Faktor in Zusammenhang.

Die Verschärfung der Gesetzgebung im Bereich des Informationsschutzes, die deutliche Erhöhung regulatorischer Bußgelder und die Einführung strafrechtlicher Verantwortlichkeit bei Verstößen im Bereich personenbezogener Daten von Bürgern werfen zudem die Frage nach dem Aufbau eines zuverlässigen und nachhaltigen Informationsschutzsystems auf.

In diesem Artikel untersuchen wir, wer für den Schutz von Unternehmensdaten verantwortlich ist, wie sich potenzielle Bedrohungen erkennen lassen und welche Werkzeuge helfen können, durch Insider verursachte Datenlecks wirksam zu verhindern.

Was macht ein Sicherheitsbeauftragter?

Der Sicherheitsbeauftragte spielt eine Schlüsselrolle beim Aufbau eines zuverlässigen Datenschutzsystems innerhalb einer Organisation:

• wirkt an der Entwicklung und Umsetzung von Informationssicherheitsrichtlinien innerhalb einer Organisation mit;
• überwacht die Einhaltung der verabschiedeten Sicherheitsrichtlinien;
• verwaltet Vorfälle im Bereich der Informationssicherheit;
• fördert das Bewusstsein der Mitarbeiter für Cybersicherheit, d. h. Schulungen zur Sicherheit des Personals;
• erkennt Insider und verdächtiges Mitarbeiterverhalten.

Um diesen Herausforderungen zu begegnen, stehen Sicherheitsbeauftragten verschiedene Werkzeuge zur Verfügung, darunter DLP. Im Folgenden betrachten wir, wie unser DLP-System zur Erkennung von Insidern eingesetzt werden kann.

Wie wird ein Insider mithilfe des DLP-Systems identifiziert?

Konfiguration von Sicherheitsrichtlinien

Der Sicherheitsbeauftragte aktiviert die im System vorinstallierten Sicherheitsrichtlinien, passt sie an die Bedürfnisse der Organisation an oder erstellt neue.

Im System sind bereits über 180 Sicherheitsrichtlinien eingerichtet. Der Übersichtlichkeit halber haben wir sie in Gruppen wie „Verdächtige Aktivität“, „Leck von Bankdaten“, „Leck von Login und Passwort“, „Informationsleck“ und weitere eingeteilt.

Wird die Richtlinie ausgelöst, erhält der Sicherheitsbeauftragte oder ein anderer autorisierter Mitarbeiter eine Benachrichtigung.

Verwaltung von Sicherheitsvorfällen

Wenn eine Regel anschlägt, die auf einen Versuch hindeutet, geschützte Informationen zu entwenden oder an Dritte weiterzugeben, kann der Sicherheitsbeauftragte:

• eine retrospektive Analyse eines Mitarbeiters durchführen, d. h. bewerten, welche Verstöße bereits begangen wurden, ob es Mittäter gibt und welche Rolle jede Person bei dem Vorfall gespielt hat;
• die aktuelle Aktivität eines Mitarbeiters während des Arbeitstages überwachen: welche Operationen er mit Dateien durchführt (auch mit vertraulichen) und mit welchen Kontakten er kommuniziert;
• bei Bedarf Screenshots des Desktops des Mitarbeiters in beliebiger Häufigkeit erstellen sowie sich mit dem Mikrofon verbinden oder Aufnahmen über die Webcam machen, um zu analysieren, was sich in der Nähe eines Arbeitsplatzes abspielt.

Wichtig! Bei Bedarf lässt sich die Blockierung unerwünschter Operationen konfigurieren, einschließlich des Versands vertraulicher Dokumente per E-Mail und des Kopierens auf externe Datenträger.

Betrachten wir die Identifizierung eines Insiders anhand eines realen Beispiels. Ein Kundenunternehmen war mit Lecks wichtiger Informationen konfrontiert, weshalb die Entscheidung getroffen wurde, das DLP-System zu installieren.

Es wurden digitale Fingerabdrücke von wichtigen Dokumenten erstellt, entsprechende Sicherheitsrichtlinien konfiguriert und Blockierregeln eingerichtet.

Ein Mitarbeiter der Organisation kopierte ein Fragment vertraulicher Informationen in die Mitte eines mehrseitigen Dokuments mit neutralem Titel und versuchte anschließend, es per E-Mail an einen externen Kontakt zu senden.

Die Situation wirkte nicht verdächtig. Es handelte sich um einen typischen, routinemäßigen Brief, von denen es an einem einzigen Arbeitstag selbst in einem kleinen Unternehmen hunderte geben könnte.

Die Regel für digitale Fingerabdrücke griff jedoch — das System fing das Dokument ab, analysierte es auf vertrauliche Informationen, stellte die Übereinstimmung mit einem zuvor erstellten digitalen Fingerabdruck fest und blockierte den Vorgang.

Der Sicherheitsbeauftragte wurde sofort benachrichtigt, und das Leck wurde verhindert.

Der Insider wurde überführt.

Anlegen eines Falls

Alle Details des Vorfalls können in die Fallakte aufgenommen werden, darunter:

• Dokumente aus Suchergebnissen, aus dem Modul zur Mitarbeiteraktivität, andere Systemdateien, externe Dateien;
• Karten von Personen, die verdächtigt werden, an dem Vorfall beteiligt zu sein;
• Kommentare des Sicherheitsbeauftragten, die bei der Untersuchung hilfreich sein können.

Erstellung von Berichten für die Geschäftsleitung

In einem Fall gesammelte Fakten lassen sich zu einem im Unternehmen üblichen, übersichtlichen Bericht zusammenstellen, den der Sicherheitsbeauftragte der Geschäftsleitung vorlegen kann.

Detaillierte Vorfallberichte können genutzt werden, um Schwachstellen im Informationssystem zu analysieren und zu beseitigen sowie um gegen einen Verstoßenden Maßnahmen zu ergreifen: von einer Unterweisung in Techniken der Informationssicherheit bei geringfügigen Verstößen bis hin zur Kündigung mit Schadensersatzforderung.

---

Fazit

Die Minimierung der mit Insider-Bedrohungen verbundenen Risiken ist ein wichtiger Teil der Informationssicherheitsstrategie einer Organisation. DLP-Systeme helfen Sicherheitsabteilungen, potenzielle Bedrohungen schnell zu erkennen, den Zugriff auf vertrauliche Daten zu steuern und deren unbefugte Verbreitung zu verhindern.