Insider-Bedrohung

Angriffe von außen lösen die Abwehr am Perimeter aus, etwa Firewalls, Angriffserkennung und Virenschutz. Diese soll unbekannte Akteure aufhalten. Insider-Bedrohungen umgehen sie vollständig: Die handelnde Person ist bereits drinnen, besitzt gültige Zugangsdaten, und ihre Anwesenheit im Netz ist erwartbar.

Klassische Perimeter halten Außenstehende fern, beobachten aber nicht, was Insider nach dem Zutritt tun. Ein unauffälliger Datenabfluss kann daher alle Perimeterprüfungen passieren, weil die Person auf die Daten berechtigt zugreift.

Deshalb verbinden Insider-Programme technische Maßnahmen wie Überwachung, Datenverlustprävention und Verhaltensanalyse mit organisatorischen Maßnahmen wie Zugriffssteuerung, Schulung und Verfahren zur Vorfallsbearbeitung. Kein einzelnes Werkzeug löst das Problem.

Nicht alle Insider sind gleich, und das Insider-Risiko jeder Gruppe verlangt andere Kontrollen. Sicherheitsteams unterscheiden meist drei Typen.

Der böswillige Insider missbraucht seinen Zugriff vorsätzlich, etwa um Daten für einen Wettbewerber zu stehlen, Betrug zu begehen oder nach einer Kündigung Systeme zu sabotieren. Der fahrlässige Insider verursacht Schaden durch Fehler oder Missachtung von Richtlinien, etwa indem er Kundendaten an sein privates Postfach schickt, um von zu Hause zu arbeiten.

Der kompromittierte Insider ist ein Beschäftigter, dessen Zugangsdaten gestohlen wurden oder dessen Gerät ein externer Angreifer übernommen hat. Die Aktivität wirkt autorisiert, stammt aber von einem internen Konto und fällt deshalb in die Überwachung von Insider-Bedrohungen.

Insider-Programme achten auf Verhaltenssignale, die schädliche Aktivität von normaler Arbeit unterscheiden. Typische Indikatoren sind:

• Auffälligkeiten beim Datenzugriff: Es werden weit mehr Daten geladen, als die Rolle braucht, oder Dateien außerhalb des Zuständigkeitsbereichs geöffnet.
• Zeit- und Ortsmuster: Aktivität zu ungewöhnlichen Zeiten oder an ungewöhnlichen Orten, oder kurz vor einer Kündigung.
• Missbrauch von Kanälen: große Uploads in private Cloud-Speicher, Massendruck oder Kopien auf USB-Geräte.
• Richtlinienverstöße: wiederholte Umgehungsversuche, deaktiviertes Monitoring oder der Einsatz von Schatten-IT.
• Verhaltensänderungen: plötzliche Veränderungen im Arbeitsrhythmus, sinkende Produktivität oder wachsende Unzufriedenheit.

Die vier Ansätze ergänzen einander. Die Überwachung der Benutzeraktivität erfasst, was Menschen tun, und die Verhaltensanalyse von Benutzern und Entitäten erkennt Abweichungen von normalen Mustern. DLP zeigt, welche Daten sich bewegen, und SIEM verknüpft die Signale.

Kein einzelner Indikator belegt eine Bedrohung. Programme nutzen Risikobewertungen, die Signale über die Zeit kombinieren, um Fälle für die menschliche Prüfung auszuwählen.

1. 1

   Aktivität erfassen

   Das Monitoring protokolliert auf jedem Arbeitsplatzrechner gestartete Programme, geöffnete Dateien, besuchte Websites und übertragene Daten.

2. 2

   Mit der Norm vergleichen

   Die Verhaltensanalyse prüft jede Aktion gegen das übliche Muster der Person und die Normen ihrer Gruppe.

3. 3

   Daten verfolgen

   DLP hält sensible Daten innerhalb kontrollierter Kanäle, unabhängig von der Absicht hinter einer Übertragung.

4. 4

   Signale verknüpfen

   SIEM führt Protokolle aus vielen Systemen zusammen, sodass zusammengehörige Ereignisse korreliert und gemeldet werden.

Die Risikoanalyse im Modul Activity bewertet Personen anhand von acht vorkonfigurierten Kategorien, darunter Internal threat und Data leak. Die Kategorie Internal threat umfasst sowohl vorsätzliches als auch unabsichtliches Verhalten von Beschäftigten.

1 / 2

• 
• 

Ein ausgereiftes Programm, wie es unter Insider-Risikomanagement beschrieben wird, ist ein definierter Prozess und kein bloßer Werkzeugkasten. Beteiligt sind die IT-Sicherheit für Überwachung und Erkennung, der Personalbereich für personelle Ereignisse und Verhaltenskontext, die Rechtsabteilung für Grenzen aus Datenschutz und Arbeitsrecht sowie die Leitung für Eskalationsschwellen.

Klare Regeln dazu, was überwacht wird, warum und auf welcher rechtlichen Grundlage, sind für Wirksamkeit und Rechtskonformität unerlässlich. In vielen Rechtsordnungen ist die Überwachung von Beschäftigten geregelt und setzt Information, einen berechtigten Zweck und Verhältnismäßigkeit voraus. In Deutschland und Österreich kommt die Mitbestimmung des Betriebs- oder Personalrats hinzu.

Beginnen Sie bei Konten und Daten, deren Missbrauch den größten Schaden anrichten würde, und erfassen Sie dann die Kanäle, die sie tatsächlich nutzen. Richtlinien, die gleichzeitig für jede Datei gelten, blockieren die normale Arbeit und werden am Ende abgeschaltet.

Ein fokussiertes Programm gegen Insider-Bedrohungen lässt sich erweitern, sobald die ersten Ergebnisse zeigen, welche Signale in der Praxis wichtig sind.

Weiterlesen: Wie man einen Insider im Unternehmen erkennt und seine Aktivitäten verhindert?; Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?.