Insider-Risiko

Der Unterschied ist mehr als sprachlich, denn er prägt, wie Programme zum Insider-Risiko arbeiten.

Insider in ein binäres Raster (Bedrohung oder keine Bedrohung) zu pressen, führt zur Überreaktion, bei der alle verdächtigt werden, oder zur Unterreaktion, bei der frühe Warnzeichen ignoriert werden. Wer Insider als Träger eines messbaren Risikos betrachtet, kann priorisieren, die Reaktion dosieren und angemessen eingreifen.

Risiko ist eine Wahrscheinlichkeit, eine Insider-Bedrohung dagegen eine akute oder unmittelbar bevorstehende Gefahr. Deshalb wirkt ein Programm für Insider-Risikomanagement schon vor einem Vorfall und nicht erst während eines Vorfalls.

Insider-Risiko entsteht aus drei großen Gruppen von Personen mit Zugriff. Jede Gruppe braucht andere Maßnahmen, deshalb lohnt sich die Unterscheidung.

Risiko ist nicht statisch. Es steigt und sinkt mit individuellen und kontextbezogenen Faktoren:

• Zugriffsumfang: Je mehr Zugriff auf sensible Daten und Systeme, desto größer die mögliche Auswirkung;
• Verhaltensänderungen: Plötzliche Verschiebungen bei Arbeitsrhythmus, Datenmengen oder Kanälen können steigendes Risiko anzeigen;
• Personelle Ereignisse: Kündigungen, Entlassungen, Disziplinarmaßnahmen und Rollenwechsel erhöhen das Risiko;
• Äußere Belastungen: Finanzielle Probleme, persönliche Krisen oder konkurrierende Jobangebote können ein Motiv schaffen;
• Lücken in den Kontrollen: unzureichende Überwachung, überzogene Rechte oder schwache Zugriffssteuerung.

Ausgereifte Programme verlassen sich weder auf Bauchgefühl noch auf einzelne Signale. Sie arbeiten in vier Schritten, bei denen die Analyse von Nutzer- und Entitätsverhalten (UEBA) die Bewertung übernimmt:

1. 1

   Verhalten erfassen

   Muster beim Datenzugriff, Zeitmuster, Kanalnutzung und Richtlinienverstöße.

2. 2

   Kontext ergänzen

   Personelle Ereignisse wie Austritte oder Rollenwechsel, Rechteüberprüfungen und organisatorische Veränderungen.

3. 3

   Jede Person bewerten

   Signale werden nach Schwere und Zusammenhang gewichtet. Ein einzelnes schwaches Signal bedeutet geringes Risiko, zusammenlaufende Signale erhöhen den Wert.

4. 4

   Trend beobachten

   Ein über die Zeit steigendes Risiko wiegt schwerer als ein stabiles oder sinkendes, selbst auf gleichem Niveau.

In der Client-Konsole von Anexet legen Risikokategorien fest, wie stark jede Art von Ereignis wiegt, und eine Benachrichtigungsregel greift, sobald der Wert einer Person einen eingestellten Schwellenwert überschreitet. Details stehen auf der Seite zur Erkennung von Insider-Bedrohungen.

1 / 2

• 
• 

Risikominderung und Bedrohungserkennung ergänzen einander. Ein gut entworfenes Programm leistet beides: Es senkt das Grundrisiko, sodass weniger Vorfälle geschehen, und erkennt die verbleibenden schnell, damit die Auswirkung begrenzt bleibt. Die Erkennung stützt sich auf DLP-Systeme und Untersuchungen. Auch eine Überwachung, die gelegentlichen Missbrauch abschreckt, gehört zur Minderung.

Nicht jedes Insider-Risiko verlangt dieselbe Reaktion. Ein Fall mit hohem Risiko, etwa eine privilegierte Administration, die außerhalb der Arbeitszeit ungewöhnliche Daten abruft, verlangt sofortige Untersuchung. Ein Fall mit geringem Risiko, etwa eine Nachwuchskraft mit einer einzigen Verwarnung, verlangt Beobachtung, nicht Eingriff.

Programme, die jedes Signal wie eine Krise behandeln, erzeugen unbegründete Vorwürfe, untergraben das Vertrauen der Belegschaft und verschwenden Ressourcen. Programme, die die Reaktion am Risikoniveau ausrichten, sind wirksamer und besser zu begründen.

Insider-Risikoprogramme bewegen sich im rechtlichen Rahmen. Die Überwachung von Beschäftigten ist in den meisten Rechtsordnungen geregelt, etwa durch die DSGVO in der EU, die LGPD in Brasilien, den CCPA und einzelstaatliche Gesetze in den USA sowie durch das Arbeitsrecht. Ein Programm muss sicherstellen:

• einen berechtigten Zweck: Sicherheit und Regelkonformität, keine Überwachung einzelner Personen;
• die Information der Beschäftigten, die in den meisten Rechtsordnungen vorgeschrieben ist; in Deutschland und Österreich kommt die Mitbestimmung des Betriebs- oder Personalrats hinzu;
• Verhältnismäßigkeit: der Umfang der Überwachung entspricht dem gesteuerten Risiko;
• Zugriffskontrollen: Überwachungsdaten sind nicht frei einsehbar, nur berechtigte Rollen greifen unter definierten Bedingungen darauf zu;
• ein faires Verfahren: Maßnahmen auf Basis dieser Daten folgen einer Untersuchung, nicht rohen Meldungen.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und danach mit den Kanälen, die sie tatsächlich nutzen. Bewertungen, die alles auf einmal erfassen, erzeugen Rauschen, das niemand liest, und in diesem Rauschen gehen echte Signale unter.

Weiterlesen: Wie man einen Insider im Unternehmen erkennt und seine Aktivitäten verhindert?; Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?.