Dateneindringling

Der Begriff umfasst zwei Akteursprofile, die für Zugriffskontrollsysteme identisch aussehen. Sicherheitsteams fassen beide oft unter Insider-Bedrohung zusammen, weil der Schaden mit bereits gewährtem Zugriff beginnt.

Der Insider, der Rechte missbraucht. Eine beschäftigte Person, ein Dienstleister oder ein Geschäftspartner hat bereits legitime Rechte und setzt sie über deren Zweck hinaus ein. Beispiele: Kunden- oder Patientenakten aus Neugier durchsehen, vor einer Kündigung Projektdateien sammeln oder eine Kundendatenbank für einen künftigen Arbeitgeber kopieren.

Der externe Akteur mit Zugangsdaten. Ein externer Angreifer oder dessen Schadsoftware arbeitet mit gestohlenen, aber gültigen Zugangsdaten, etwa einem per Phishing erlangten Passwort, einem geleakten API-Schlüssel oder einer gekaperten Sitzung. Für die Perimeterabwehr wirkt das wie ein legitimer Nutzer, weil es technisch auch einer ist.

Die meisten Dateneindringlinge folgen einem erkennbaren Muster in vier Phasen.

1. 1

   Ausspähen

   Herausfinden, wo die wertvollen Daten liegen.

2. 2

   Zugang ausweiten

   Zusätzliche Rechte beantragen oder entwenden.

3. 3

   Sammeln

   Dateien in Archiven oder Cloud-Ordnern zusammenführen.

4. 4

   Abfluss

   Daten per E-Mail, Cloud-Upload, Messenger oder Wechselmedium nach draußen bringen.

Weil ein Dateneindringling legitime Rechte auf legitimen Kanälen nutzt, sind die stärksten Signale verhaltensbezogen und nicht technisch. Genau hier setzt die Verhaltensanalyse an. Umsichtige Eindringlinge arbeiten wenig und langsam: kleine Übertragungen über Wochen, zu normalen Arbeitszeiten und in die Routine eingefügt. Auf folgende Signale sollte man achten:

• Zugriff auf sensible Ablagen, die die Person nie zuvor geöffnet hat;
• ungewöhnliche Arbeitszeiten, Orte oder Geräte;
• auffällige Mengen an Kopien, Ausdrucken oder Archivierungen;
• plötzliche Nutzung privater Cloud-Speicher, Webmail oder USB-Sticks;
• Sammelaktivität rund um ein bekanntes Austrittsdatum (Kündigung, Vertragsende, Entlassung).

Firewalls und Schutzsoftware sollen unbefugtes Eindringen verhindern. Ein Dateneindringling ist bereits drinnen und berechtigt, daher fallen diese Werkzeuge kaum auf. Die Erkennung braucht zwei Dinge: eine Basislinie dessen, was für die jeweilige Person normal ist, und die Prüfung der bewegten Inhalte, nicht nur des Kanals. Diese Inhaltsprüfung ist der Kern von Data Loss Prevention (DLP).

Ein erfolgreicher Dateneindringling verursacht Datendiebstahl, regulatorische Risiken nach Regelwerken wie der DSGVO (GDPR), HIPAA und PCI DSS, Verlust geistigen Eigentums und langwierige Untersuchungen. Der Schaden ist oft größer als bei externen Sicherheitsverletzungen, weil vertrauenswürdiger Zugang den Weg zu den wertvollsten Daten verkürzt.

In der Konsole von Anexet DLP werden zusammenhängende Ereignisse zu Vorfällen verdichtet. Aus einem Vorfall heraus kann der Administrator die Aktivität dieses Nutzers öffnen oder das Ereignis einer Untersuchung hinzufügen.

Beginnen Sie damit, festzuhalten, auf welche sensiblen Daten jede Rolle zugreifen kann und über welche Kanäle diese Daten abfließen könnten. Zugriffsprüfungen, die bei der Frage enden, wer einen Ordner öffnen darf, übersehen den Eindringling, der das schon kann. Ist diese Übersicht vorhanden, ergänzt die Erkennung von Insider-Bedrohungen die Verhaltensebene.

Basislinien brauchen Zeit, bis sie verlässlich sind. Gehen Sie die ersten Warnungen daher mit der Führungskraft durch, bevor Sie sich ein Urteil über eine Person bilden.

Weiterlesen: Wie man einen Insider im Unternehmen erkennt und seine Aktivitäten verhindert?.