Insider Threats sind (wieder) im Kommen

Eine Innentäterschaft ist nicht mehr nur auf Menschen beschränkt.Gorodenkoff / Shutterstock



Der aktuelle „State of Human Risk Report“ von Mimecast (Download gegen Daten) unterstreicht: Insider-Bedrohungen nehmen wieder Fahrt auf. Demnach verzeichneten 42 Prozent der 2.500 für die Studie befragten IT- und Sicherheitsentscheider im Jahr 2025 einen Anstieg von Vorfällen, bei denen böswillige Innentäter ihr Unwesen trieben. Zudem meldeten weitere 42 Prozent erstmals auch einen Anstieg bei unabsichtlich, beziehungsweise fahrlässig herbeigeführten Incidents.



Im Schnitt, so die Studie, zählten betroffene Unternehmen sechs Insider-Attacken pro Monat – mit geschätzten Kosten von 13,1 Millionen Dollar pro Vorfall. Und die Befragten gehen nicht davon aus, dass sich die Lage in Zukunft bessert. Eher im Gegenteil: 66 Prozent rechnen damit, dass Datenverluste durch Insider-Bedrohungen in den kommenden zwölf Monaten weiter zunehmen werden.



„Insider-Risiken sind zu einer der folgenschwersten und am meisten unterschätzten Bedrohungen geworden, denen Unternehmen heute ausgesetzt sind – auch, weil Angreifer Insider zunehmend als gezielten Einstiegspunkt nutzen, um Perimeter-Sicherheitsmaßnahmen vollständig zu umgehen“, erklärte Leslie Nielsen, CISO von Mimecast, bei der Vorstellung der Studienergebnisse.



In diesem Artikel werfen wir einen Blick auf die aktuellen Entwicklungen – und darauf, wie Unternehmen sich gegen die wachsenden Innentäter-Risiken absichern können.



Der Innentäter-Status-Quo



Insider-Bedrohungen lassen sich nach wie vor in zwei Kategorien einteilen.




Auf der einen Seite stehen böswillige Insider, die es bewusst darauf abgesehen haben, Schaden anzurichten.



Auf der anderen Seite stehen Mitarbeiter des Unternehmens, die durch unbeabsichtigte oder fahrlässige Handlungen für Incidents sorgen – oder von externen Bedrohungsakteuren manipuliert werden.




Obwohl es nur zwei Kategorien sind, decken diese ein breites Spektrum an Aktivitäten ab, wie Joseph Blankenship, Research Director bei Forrester, erklärt: „Ein nicht böswilliger Insider könnte versehentlich geschützte Daten per E-Mail an jemanden senden, der keinen Zugriff darauf haben darf, oder fälschlicherweise den öffentlichen Zugriff auf eine Datenbank ermöglichen. Ein verärgerter Mitarbeiter wiederum könnte Sicherheitskontrollen aktiv umgehen, um sensible Informationen zu stehlen und diese zu veröffentlichen, um dem Unternehmen zu schaden.“



Diese Szenarien sind zwar seit Jahren bekannt, inzwischen haben sich jedoch neue Technologien, Taktiken und Motivationslagen herausgebildet, die die Innentäter-Risiken weiter erhöhen. Laut Chris Cochran, Field CISO und Vice President für KI-Sicherheit am SANS Institute, hat sich dabei vor allem das Betriebsumfeld geändert – beziehungsweise, wer als Insider gilt: „Es geht dabei nicht mehr nur um Mitarbeiter, sondern auch um Auftragnehmer und Dienstleister, betrügerische Bewerber und mittlerweile auch KI-Agenten, die mit dauerhaftem, privilegiertem Zugriff ausgestattet sind. Ein falsch konfigurierter Agent ist ein Superuser, der niemals schläft. Wird er kompromittiert, entsteht daraus ein Angreifer mit legitimen Zugangsdaten, der sich mit maschineller Geschwindigkeit bewegt.“



Zudem habe der Remote-Work-Shift physische und psychologische Barrieren mit Blick auf Insider-Bedrohungen beseitigt, meint der SANS-Experte: „Daten auf ein persönliches Gerät herunterzuladen, fühlt sich nicht mehr wie Spionage an. Und genau diese Verharmlosung manifestiert ein Risiko. Dazu kann noch wirtschaftlicher Druck kommen: Wenn Unternehmen Einstellungsstopps verhängen und Gehaltserhöhungen einfrieren, ist das ein Rezept, um Insider-Bedrohungen zu skalieren.”



Ein anderer Faktor, der die Bedrohung durch Innentäter begünstige, ist in den Augen von Niel Harper, Vorstandsmitglied des Governance-Verbands ISACA, das Wachstum der sozialen Medien: „Diese Plattformen liefern externen Angreifern Informationen, mit denen sie Insider bestechen, täuschen oder erpressen können. Sie sind für Cyberakteure eine wahre Fundgrube an Informationen. Diese lassen sich von Cybercrime-Banden schnell und einfach daraufhin auswerten, welche Mitarbeiter besonders anfällig für Erpressung oder unlautere Angebote sind.“



Um mit kooperationswilligen Insidern in Kontakt zu treten, nutzen externe Bedrohungsakteure zunehmend auch das Darkweb. So kommt ein aktueller Cyber-Intelligence-Report von Accenture zum Ergebnis, dass die Zahl der Innentäter, die kriminellen Hackern Zugang zu Unternehmensnetzen verschafft haben, gegenüber dem Vorjahr um 69 Prozent angestiegen ist. Insgesamt hat die Anzahl der Insider-Rekrutierungen durch Cyberkriminelle demnach seit 2022 um 127 Prozent zugelegt.



„Die Welt ist gefährlicher als je zuvor“, warnt Lina Dabit, Executive Director CISO Office bei Optiv Canada und ehemals Unit Commander bei der Cybercrime-Abteilung der kanadischen Polizei. Sie fügt hinzu: „Die Zusammenarbeit zwischen Nationalstaaten und organisierten Bedrohungsakteuren findet statt – ob absichtlich oder einfach aus opportunistischen Gründen. Dabei verwischen die Grenzen zwischen organisierter Kriminalität, Nationalstaaten und Hacktivismus zusehends. Neuere Gruppen halten sich zudem nicht mehr an Reputationsnormen – das Bedrohungsumfeld kennt keine Tabus mehr, nichts ist ausgeschlossen.“



Strategien gegen Insider Threats



Nach Insider-Bedrohungen „Ausschau zu halten“ reicht angesichts dieser Entwicklungen längst nicht mehr aus – wie auch Forrester-Analyst Blankenship konstatiert: „Sie brauchen Mechanismen, um gezielt nach solchen Bedrohungen zu suchen – etwa Security-Lösungen, die ungewöhnliche und unbefugte Zugriffsversuche auf Daten und Systeme identifizieren können. Natürlich ist das als Addon zu all den Security- und Datenschutzmaßnahmen zu sehen, die heutzutage als Standard gelten.“



Sicherheitsspezialistin Dabit rät Unternehmensentscheidern zudem dazu, einen Reaktionsplan zu erstellen, der bei Verdachtsfällen greift – und dazu, zu kollaborieren: „Arbeiten Sie mit der Rechts- und Personalabteilung zusammen, um Mitarbeiter zu identifizieren, die möglicherweise ein Insider-Risiko darstellen könnten. Zum Beispiel Arbeitnehmer, die kurz vor der Entlassung stehen oder bekanntermaßen unzufrieden sind.“



ISACA-Experte Harper rät ganz generell dazu, Mitarbeiter regelmäßigen Hintergrundüberprüfungen zu unterziehen – und dabei den Fokus richtig zu setzen: „Bei Führungskräften und Mitarbeitern, die Zugriff auf sensible Informationen oder Systeme besitzen, sollten strengere Überprüfungsmaßstäbe angelegt werden.“



Um heutigen Insider-Bedrohungen zu begegnen, müssen die meisten Security-Teams noch aufholen, wie SANS-Field-CISO Cochran nahelegt. Zumindest bekomme er in Gesprächen mit Sicherheitsentscheidern regelmäßig zu spüren, dass die Zuversicht, Bedrohungen durch Innentäter zuverlässig erkennen zu können, bevor echter Schaden entsteht, nicht sehr ausgeprägt sei. Deswegen plädiert er für einen grundlegenden Wandel: „Reaktive, technisch ausgerichtete Programme müssen sich zu integrierten Lösungen entwickeln, die Verhaltenssignale mit technischer Telemetrie kombinieren. Entscheidend ist zudem, dass Unternehmen ihre Frameworks für Insider-Risiken auf nicht-menschliche/agentische Identitäten ausweiten – und zwar mit derselben Strenge, die sie bei menschlichen Mitarbeitern anwenden.“ (fm)