Externe und interne Bedrohung
Sicherheitsbedrohungen werden üblicherweise nach der Herkunft des Akteurs eingeteilt. Eine externe Bedrohung geht von jemandem aus, der keine legitime Beziehung zur Organisation hat: einem einzelnen Hacker, einer organisierten kriminellen Gruppe, einem staatlich unterstützten Akteur oder automatisierten Angreifern, die das Internet nach offenen Diensten absuchen. Eine Insider-Bedrohung geht von jemandem aus, dem die Organisation bereits Zugang gewährt hat, etwa einem Mitarbeitenden, Dienstleister oder Partner.
Die Unterscheidung ist wichtig, weil beide Klassen unterschiedliche Kontrollen umgehen. Der Außenstehende muss zuerst hineinkommen, während Insider-Bedrohungen bereits drin sind und die Perimeterabwehr vollständig umgehen.
So gehen externe Angreifer vor
Externe Angreifer dringen meist über einige bekannte Wege ein. Eine Nachricht aus einer Klon-Phishing-Kampagne, eine Kopie einer echten E-Mail, ist eine Möglichkeit, ein gültiges Passwort zu erlangen.
| Angriffsweg | Funktionsweise |
|---|---|
| Phishing und Social Engineering | Beschäftigte verleiten, Zugangsdaten preiszugeben oder Schadsoftware auszuführen |
| Ausnutzen offener Dienste | Ungepatchte VPN-Gateways, Fernzugriffsportale oder falsch konfigurierter Cloud-Speicher |
| Credential Stuffing und Brute Force | Geleakte Passwörter aus fremden Datenlecks gegen Unternehmenskonten testen |
| Schadsoftware und Ransomware | Schadlast per E-Mail, über schädliche Downloads oder von kompromittierten Websites |
| Angriffe auf die Lieferkette | Einen vertrauenswürdigen Anbieter oder ein Software-Update kompromittieren |
Die verwischte Grenze
Die klare Trennung zwischen innen und außen hält in der Praxis nicht. Erlangt ein externer Angreifer das gültige Passwort eines Mitarbeitenden, handelt er über ein internes Konto.
Dieses hybride Szenario wird oft als kompromittiertes Insider-Konto beschrieben. Der Akteur ist extern, Zugang und Aktivität wirken aber intern. Deshalb gehört es zu den schädlichsten Angriffsmustern.
- 1
Gültiges Passwort beschaffen
Durch Phishing, ein Protokoll eines Infostealers oder einen Zugangsdaten-Leak.
- 2
Als Mitarbeitender anmelden
Jedes System sieht einen legitimen, authentifizierten Nutzer. Am Perimeter wurde nichts durchbrochen.
- 3
Berechtigungen übernehmen
Perimeterkontrollen werden umgangen, und der Angreifer erbt die Rechte des Nutzers.
So sieht es in Anexet aus
Der Bereich Erkennung von Insider-Bedrohungen in Anexet fügt dem Dashboard ein Widget Users risk hinzu. Es ordnet Nutzer nach Risiko und kann nur das Risiko zeigen, das noch niemand geprüft hat, sodass ein Konto mit verändertem Verhalten leichter auffällt.
Signale für ein kompromittiertes Konto
Kein einzelnes Signal beweist, dass sich ein Außenstehender im Netz befindet. Wer die Signale danach ordnet, was sie nahelegen, behält das Sicherheitsteam bei den wichtigsten Konten.
Der letzte Schritt ist oft ein Datenabfluss. Eine Übertragung über einen ungewöhnlichen Kanal verdient deshalb Aufmerksamkeit, auch wenn die Anmeldung normal aussieht.
| Signal | Was es bedeuten kann | Prüfpriorität |
|---|---|---|
| Aktivität zu ungewöhnlichen Zeiten | Eine Sitzung, die nicht zum üblichen Arbeitsrhythmus der Person passt | Bald prüfen |
| Zugriff auf Daten außerhalb der Rolle | Ein Konto, das über die Aufgaben seiner berechtigten Person hinaus genutzt wird | Zuerst prüfen |
| Übertragung über neuen oder ungewöhnlichen Kanal | Daten verlassen das Unternehmen über einen Weg, den die Person nie genutzt hat | Zuerst prüfen |
| Routinearbeit zu normalen Zeiten | Allein meist unauffällig | Meist normal |
Abwehr externer Bedrohungen
Die klassische Abwehr gegen Außenstehende setzt auf den Perimeter: Firewalls, Angriffsprävention, E-Mail-Filterung, zügiges Patchen, Mehr-Faktor-Authentifizierung und Management der Angriffsfläche.
Da Zugangsdaten gestohlen werden können, egal wie stark der Perimeter ist, rechnen ausgereifte Programme zusätzlich damit, dass Außenstehende eindringen. Sie setzen auf identitätszentrierte Kontrollen, minimale Rechte und interne Überwachung, etwa Überwachung der Nutzeraktivität, Verhaltensanalytik und Data Loss Prevention. Diese Kontrollen beobachten, was authentifizierte Nutzer tatsächlich tun. Der Wandel zu Zero-Trust-Architekturen zeigt genau das: Die Position im Netz allein begründet kein Vertrauen mehr.
Typische Fehler
Die meisten Lücken entstehen, wenn eine gültige Anmeldung als Beweis dafür gilt, dass die berechtigte Person arbeitet. Entscheidend ist, was das Konto tut, nicht nur, wie es sich angemeldet hat. Die Signale sollten mit bekannten Indikatoren für Insider-Bedrohungen verglichen werden, um zu entscheiden, welche genauer geprüft werden.
- Die Perimeterabwehr als einzige Verteidigungslinie zu betrachten
- Eine erfolgreiche Anmeldung als Beweis zu werten, dass das Konto von seiner berechtigten Person genutzt wird
- Bei jeder Auffälligkeit Alarm zu schlagen, sodass echte Signale im Rauschen untergehen
- Risiken erst nach einem Vorfall zu prüfen, statt dann, wenn sie auftauchen
Wo man anfangen sollte
Am besten beginnt man bei den Konten mit Zugriff auf die sensibelsten Daten und danach bei den Kanälen, die sie erreichen können. Warnungen zu diesen Konten sollten zuerst untersucht werden.
Weiterlesen: Bedrohungen der Informationssicherheit; Malware: Die Top 7 gefährlichsten Programme 2025.
Der schwerer erkennbare externe Angreifer ist derjenige, der sich mit einem gültigen Passwort anmeldet.
Anexet TeamWie Anexet das löst
Anexet ist auf internes Risiko ausgerichtet, nicht auf Perimeterabwehr. Es ist keine Firewall, kein E-Mail-Gateway und kein Schwachstellenscanner. Außenstehende an der Grenze aufzuhalten liegt außerhalb seines Umfangs. Direkt relevant ist Anexet im oben beschriebenen Hybridfall: ein externer Angreifer, der mit gestohlenen Zugangsdaten bereits von innen agiert.
Die On-Premise-Architektur hält alle Überwachungs- und Untersuchungsdaten in der Infrastruktur der Organisation.
Verhaltensbasierte Erkennung kompromittierter Zugangsdaten
das Modul Activity bildet eine Basislinie des normalen Verhaltens jeder Person: Arbeitszeiten, genutzte Anwendungen, Datei- und Webaktivität. So fallen Abweichungen wie ungewöhnliche Zeiten, Zugriff auf ungewohnte Daten oder untypische Kanäle auf, auch wenn die Anmeldung selbst «gültig» ist.
Risikoanalyse-Engine
Nutzer werden über acht vorbereitete Risikokategorien bewertet, mit konfigurierbaren Schwellenwerten, Trend-Dashboards und schwellenwertbasierten Benachrichtigungen, sodass eine anhaltende Auffälligkeit den Wert hebt und das Sicherheitsteam erreicht.
DLP auf dem Weg nach draußen
versucht ein kompromittiertes Konto, sensible Daten zu bewegen, bewertet das DLP-Modul Übertragungen anhand des Inhalts (Thesauri, Hash-Banken, digitale Fingerabdrücke, Vertraulichkeitskennzeichen) über E-Mail, Web, Cloud, Messenger, USB, Druck und Zwischenablage. Es kann die Übertragung blockieren oder in Quarantäne stellen, unabhängig davon, wem das Konto gehört.
Audit-Trail
jedes Ereignis wird mit Person, Zeitstempel, Kanal und Inhaltsklassifizierung festgehalten und stützt die Untersuchung, ob die Kontoinhaberin bzw. der Kontoinhaber oder ein externer Akteur hinter der Aktivität stand.
Funktion zur Erkennung von Insider-Bedrohungen
Mehr erfahren