Niemand möchte sich vorstellen, dass es in seinem Unternehmen Insider-Bedrohungen geben könnte, die die Organisation dem Risiko einer Datenpanne aussetzen oder zu einer Geldstrafe wegen Nichteinhaltung von Vorschriften in Höhe von mehreren Tausend Pfund führen könnten. Doch die Gefahr durch Insider ist nur allzu real. Zahlreichen Berichten zufolge sind Insider-Bedrohungen die Ursache für viele der Sicherheitsprobleme, mit denen wir heute konfrontiert sind.Der „Cybersecurity Insiders Insider Threat Report“ergab beispielsweise, dass 68 % der Unternehmen der Ansicht sind, dass Insider-Bedrohungen immer häufiger auftreten. In einer Umfrage von Egress,der „2020 Insider Data Breach Survey“, gaben fast alle befragten IT-Führungskräfte an, dass das Risiko von Datenlecks durch Insider ein „erhebliches Problem“ darstelle.
In der Cybersicherheitsbranche wird oft gesagt, dass Insider-Bedrohungen am schwierigsten zu bewältigen sind; denn wie lassen sich böswillige Handlungen oder versehentliche Datenlecks überhaupt erkennen? Hier finden Sie unseren Leitfaden zu Insider-Bedrohungen und deren Prävention.
Arten von Insider-Bedrohungen
Als Insider gilt jede Person, die derzeit in Ihrem Unternehmen tätig ist oder zuvor dort gearbeitet hat. Diese Definition umfasst sowohl Mitarbeiter als auch Nicht-Mitarbeiter, wie beispielsweise Auftragnehmer. Der Begriff „Insider“ kann auch auf Geschäftspartner oder Unternehmen aus Ihrem Lieferanten-Ökosystem ausgeweitet werden. Auch Remote-Mitarbeiter tragen zu den Sicherheitsbedenken eines Unternehmens in Bezug auf Insider bei. Eine IBM-Umfrage ergab, dass Sicherheitsprobleme dadurch verschärft werden, dass Unternehmen nicht sicherstellen, dass Sicherheitsrichtlinien für die Remote-Arbeit durchgesetzt werden.
Der zufällige Insider
In einem Artikel des EC-Council hieß es, dass 64 % der Datenverluste auf Insider zurückzuführen sind, die „es gut gemeint haben“ – mit anderen Worten: Unfälle passieren. Der Oberbegriff „versehentliche Insider-Bedrohungen“ umfasst ein breites Spektrum möglicher „Unfälle oder Pannen“. Einige dieser Missgeschicke sind darauf zurückzuführen, dass Sicherheitsrisiken bei der Ausführung einer Aufgabe schlichtweg nicht erkannt werden; andere, wie Phishing oder Social Engineering, entstehen dadurch, dass Personen von externen Kräften manipuliert werden. Die Fehlkonfiguration von IT-Systemen ist ein weiterer Bereich, der zwar unbeabsichtigt ist, es externen Kräften jedoch ermöglicht, ein System auszunutzen. Bei unbeabsichtigten Insider-Bedrohungen lassen sich häufig vier Hauptproblembereiche ausmachen:
- Der „Oops“-Faktor: Missverständnisse oder mangelnde Kenntnisse über Sicherheitsprozesse und -risiken. Die Egress-Studie ergab, dass 31 % der Sicherheitsvorfälle dadurch verursacht wurden, dass ein Mitarbeiter Informationen per E-Mail an die falsche Person gesendet hat.
- Betrug: Manipulation durch externe Kräfte, z. B. Phishing. Die Egress-Studie ergab, dass 41 % der versehentlich offengelegten Daten auf eine Phishing-E-Mail zurückzuführen waren.
- Mangelhafte Sicherheitsvorkehrungen: Unzureichende Sicherheitsvorkehrungen eines Unternehmens sowie mangelnde Durchsetzung und Aufklärung in Sicherheitsfragen
- Mangelnde Sicherheitskenntnisse: Fehlkonfigurationen von Systemen aufgrund unzureichender Schulung oder mangelnden Verständnisses für Sicherheitsfragen auf der Ebene der IT-Administration
Böswillige Insider
Mitarbeiter und Nicht-Mitarbeiter, die absichtlich IT-Systeme schädigen oder Daten stehlen wollen, werden als böswillig bezeichnet. Im Gegensatz zu versehentlichen Insidern sind böswillige Insider-Bedrohungen in der Regel durch Motive wie Geld oder Rache getrieben. Ein Bericht von Fortinet zu Insider-Bedrohungen ergab, dass 60 % der Unternehmen besorgt über die Gefahr eines Datenlecks durch eine böswillige Insider-Bedrohung waren. Die Umfrage untersuchte zudem die Motive böswilliger Insider, wobei die drei Hauptgründe wie folgt lauteten:
- Betrug (55 %)
- Geld (49 %)
- Diebstahl geistigen Eigentums (44 %)
Böswillige Insider werden sogar im Dark Web rekrutiert; in einem Bericht wird auf eine Anzeige im Dark Web hingewiesen, in der ein Bankangestellter gesucht wurde, der als böswilliger Insider fungieren sollte. Der Auftrag wurde mit 370.000 Rubel (4.400 £) pro Monat für eine Stunde Arbeit pro Tag vergütet.
Beispiele für interne Bedrohungen
Unabhängig davon, ob die Datenpanne oder ein anderes Sicherheitsvorfall böswillig oder versehentlich verursacht wurde, sind die Folgen dieselben. Datenpannen und andere Sicherheitsvorfälle führen zu hohen Bußgeldern wegen Nichteinhaltung von Vorschriften, zum Verlust des Kundenvertrauens in die Fähigkeit eines Unternehmens, sensible Informationen zu schützen, und sogar zu einem Rückgang des Aktienwerts des Unternehmens. Im Folgenden werden drei Beispiele aufgeführt, bei denen Angriffe durch Insider dem Unternehmen Schaden zugefügt haben:
Der verärgerte Mitarbeiter: Ein Unternehmen, das während der Covid-19-Pandemie im Vertrieb von Schutzausrüstung (PSA) tätig war, wurde Opfer eines verärgerten Mitarbeiters. Der ehemalige Mitarbeiter„Dobbins“richtete zwei gefälschte Benutzerkonten ein, bevor er seinen Arbeitsplatz verlor. Nach seiner Entlassung meldete sich Dobbins über die gefälschten Konten im System an. Anschließend bearbeitete er fast 12.000 Datensätze und löschte über 2.000 davon. Schließlich deaktivierte er die gefälschten Konten. Durch diese Änderungen beeinträchtigte Dobbins die Lieferung von PSA an Einrichtungen des Gesundheitswesens erheblich.
Böswillige Absicht aus Gewinnstreben: Ein Mitarbeiter von BUPA verursachte eine Datenschutzverletzung, von der 547.000 Kunden betroffen waren, woraufhin die britische Datenschutzbehörde ICO gegen BUPA eine Geldbuße in Höhe von 175.000 £ verhängte. Der Mitarbeiter nutzte das CRM-System des Unternehmens, um sich die personenbezogenen Daten der BUPA-Kunden zuzusenden, und versuchte anschließend, die kompromittierten Konten im Dark Web zu verkaufen.
Unfälle passieren, sind jedoch oft unverzeihlich: Die „Unabhängige Untersuchungskommission zu sexuellem Kindesmissbrauch“ (IICSA) geriet in die Kritik, nachdem ein Mitarbeiter eine Massen-E-Mail an 90 potenzielle Opfer sexuellen Kindesmissbrauchs versandt hatte. Der Mitarbeiter hatte die E-Mail-Adressen einfach in das „cc“-Feld statt in das „bcc“-Feld eingegeben. Die britische Datenschutzbehörde ICO verhängte gegen die IICSA gemäß dem Datenschutzgesetz (DPA2018) eine Geldbuße in Höhe von 200.000 £.
Möglichkeiten zur Erkennung und Eindämmung von Insider-Bedrohungen in Ihrem Unternehmen
Auch wenn es schwierig sein kann, Angriffe durch Insider zu erkennen und zu verhindern, gibt es Möglichkeiten, deren Auswirkungen zu minimieren. Hier sind fünf Maßnahmen, die Ihrem Unternehmen helfen, Insider-Bedrohungen einzudämmen:
Schulung zum Sicherheitsbewusstsein
Da viele interne Bedrohungen unbeabsichtigt entstehen, können Schulungen zur Sensibilisierung für Sicherheitsfragen eine wichtige Rolle bei der Minderung dieses Cyberrisikos spielen. Schulungen zur Sensibilisierung für Sicherheitsfragen sollten Aspekte unbeabsichtigter interner Bedrohungen abdecken, wie zum Beispiel:
- Sicherheitshygiene: Beispielsweise sollten Mitarbeiter dazu angeleitet werden, darauf zu achten, dass sie Daten auf sichere Weise versenden.
- Phishing: Sicherstellen, dass die Mitarbeiter über E-Mail- und andere Phishing-Tricks auf dem Laufenden sind und sich der Gefahr des Diebstahls von Zugangsdaten über Phishing-Websites bewusst sind.
- Bewusstsein für Compliance: Sicherstellung, dass sich die Mitarbeiter ihrer Rolle bei der Einhaltung gesetzlicher Vorschriften bewusst sind.
Zero Trust
Viele interne Sicherheitsrisiken werden durch den Missbrauch von Zugriffsrechten sowie durch unzureichende Kontrollen beim Zugriff auf sensible Daten verursacht. Das Zero-Trust-Modell basiert auf dem Grundsatz „Niemals vertrauen, immer überprüfen“. Im Kern bedeutet dies, dass Mitarbeiter und/oder die von ihnen genutzten Geräte bei jedem Zugriff auf Ressourcen einer Überprüfung unterzogen werden.
Diese Herausforderungen spiegeln die Sensibilität der Ressourcen wider; daher erfordern sensiblere Daten oder Anwendungen eine höhere Sicherheit, dass die Person, die darauf zugreift, tatsächlich die ist, für die sie sich ausgibt. Eine Zero-Trust-Architektur ist eine Kombination aus geeigneten Technologien und einem architektonischen Ansatz, der dazu beiträgt, Bereiche eines Netzwerks voneinander abzugrenzen. Zu den Technologien zur Unterstützung einer Zero-Trust-Architektur gehören Security Information and Event Management (SIEM) und ein Cloud Access Security Broker (CASB).
Authentifizierung und Autorisierung
Auf einer Zero-Trust-Architektur basiert das Prinzip einer robusten Authentifizierung und Autorisierung. Die kontextbezogene Authentifizierung und Autorisierung fügt dem Zugriff auf sensible Daten eine wichtige Kontrollebene hinzu. Die Verwendung von 2FA/MFA für den Zugriff auf Unternehmensanwendungen sollte, insbesondere bei der Arbeit im Homeoffice, verbindlich vorgeschrieben werden. In Verbindung mit Überwachungsmaßnahmen bilden diese Prozesse eine robuste Sicherheitsebene.
Auf der Suche nach Anzeichen für ungewöhnliches Verhalten
Böswillige Bedrohungen durch Insider lassen sich unter Umständen nur schwer erkennen, doch bestimmte Technologien auf Basis des maschinellen Lernens (ML) können bei der Erkennung solcher Bedrohungen helfen und Ihr Sicherheitsteam auf ungewöhnliche Aktivitäten aufmerksam machen. Eine davon ist die Mitarbeiterüberwachung in Form von UEBA (User and Entity Behaviour Analytics). UEBA wird eingesetzt, um ungewöhnliche Verhaltensweisen zu erkennen, indem mithilfe von ML abweichende Verhaltensmuster identifiziert werden, wenn Menschen mit Geräten und Netzwerken interagieren.
Schutz vor Phishing und Spam
Technologien, die verhindern, dass Phishing-E-Mails überhaupt erst in die Posteingänge der Mitarbeiter gelangen, können dazu beitragen, versehentliche Sicherheitsverletzungen durch Insider zu verhindern. Mit entsprechenden Lösungen lässt sich verhindern, dass Mitarbeiter auf bösartige URLs zugreifen. Diese Softwaredienste werden in der Regel als cloudbasierte Plattformen bereitgestellt. E-Mail-Filterung und die Überprüfung von URL-Inhalten sind nützliche Maßnahmen, um ein Sicherheitsnetz zu schaffen, das Schulungen zum Sicherheitsbewusstsein ergänzt.
Unsere Mitarbeiter sind unser größtes Kapital, und wir müssen dafür sorgen, dass dies auch so bleibt, indem wir sie durch Weiterbildung fördern und sie sowie unser Unternehmen mit den besten verfügbaren Sicherheitstechnologien schützen.