Erkennung von Insider-Bedrohungen

Ein Angriff von außen löst Alarme aus. Eine Firewall blockiert eine Verbindung, ein Angriffserkennungssystem meldet eine Signatur, und der Virenschutz stellt eine Datei unter Quarantäne. Das sind regelbasierte Ereignisse: Etwas passt zu einem bekannten Schadmuster oder passt nicht.

Insider-Bedrohungen funktionieren anders. Die Person im Inneren nutzt legitime Zugangsdaten, Anwendungen und Kanäle. Jede Einzelhandlung ist für sich genommen erlaubt, etwa eine Datei öffnen, eine E-Mail senden oder Daten in die Cloud laden. Die Bedrohung steckt im Muster, also in der Abfolge von Handlungen über die Zeit, die Absicht oder Risiko erkennen lässt. Dafür braucht es einen anderen Ansatz als die Perimetersicherheit.

Wirksame Erkennung kombiniert mehrere Methoden, weil keine einzelne alle Fälle abdeckt:

• Regelbasierte Überwachung: Feste Richtlinien markieren bestimmte Handlungen, etwa eine Datei mit dem digitalen Fingerabdruck eines vertraulichen Dokuments, die in ein privates Cloud-Konto hochgeladen wird. Sie erfassen bekannte Muster, aber keine neuen.
• Verhaltensbasislinie und Anomalieerkennung (UEBA): Das System lernt das übliche Verhalten jeder Person und markiert Abweichungen, etwa einen plötzlichen Anstieg des Datenvolumens oder Zugriffe außerhalb der Rolle. So werden Bedrohungen erfasst, die zu keiner vordefinierten Regel passen.
• Inhaltsprüfung (DLP): Statt das Verhalten zu beobachten, prüft DLP, was übertragen wird, etwa eine Tabelle mit Kartennummern oder Inhalte, die einem Wörterbuch sensibler Begriffe entsprechen. So werden die tatsächlich gefährdeten Daten erfasst, unabhängig vom Kanal.
• Risikobewertung: Mehrere Signale werden je Person zu einem Risikowert verdichtet. Ein schwaches Einzelsignal bedeutet geringes Risiko, mehrere auf dieselbe Person zulaufende Signale erhöhen den Wert. Das priorisiert Fälle für die begrenzte Aufmerksamkeit der Analysten.
• Kontextanreicherung: Personalereignisse, Berechtigungsänderungen und organisatorischer Kontext machen die Erkennung treffsicherer und senken die Zahl der Fehlalarme.

Anexet bewertet jede Person anhand von Risikokategorien. Jede Kategorie hat eine voreingestellte Risikostufe.

Erkennungsprogramme beobachten über die Zeit Kombinationen dieser Indikatoren. Kein einzelner Indikator ist beweiskräftig: Der Wert liegt in Kombinationen und Trends, nicht in Einzelereignissen.

Erkennung ist keine Beschuldigung. Wird eine Person markiert, folgt die Untersuchung, nicht die Maßnahme. Ein Analyst prüft die markierte Aktivität im Kontext:

• Gibt es eine legitime geschäftliche Erklärung?
• Haben sich Rolle oder Projekt der Person kürzlich geändert?
• Stützen mehrere Datenquellen die Indikatoren?
• Wie schwer wiegt der Fall, und welche Auswirkung ist möglich?

Erst nach der Untersuchung entscheidet das Programm über die Reaktion: den Fall als Fehlalarm schließen, die Überwachung verstärken, Berechtigungen anpassen oder zur Intervention an Führung oder Sicherheit eskalieren. Wird die Untersuchung übersprungen und auf rohe Alarme hin gehandelt, drohen unbegründete Vorwürfe, verlorenes Vertrauen und rechtliche Risiken.

Erkennung identifiziert Risiko, Prävention verhindert Schaden. Beides ergänzt sich.

Viele Bedrohungen lassen sich nicht im Voraus verhindern. Eine Person im Inneren kann Kanäle nutzen, die DLP nicht abdeckt, oder sich für sich genommen regelkonform verhalten. Hier ist die Hauptverteidigung die Erkennung mit schneller Untersuchung. Für bekannte Kanäle und Inhalte ist die Prävention durch DLP wirksamer.

Weiterlesen: Wie identifiziert ein Sicherheitsbeauftragter einen Insider mithilfe des DLP-Systems?.

• DLP wirkt präventiv: Es kann verhindern, dass eine sensible Datei die Organisation verlässt.
• UEBA wirkt detektiv: Es erkennt Verhaltensrisiken, die zu einem realen Vorfall führen können, aber nicht müssen.