Whitepapers

Seit mehreren Jahren werden Organisationen von Aufsichtsbehörden und Versicherungen dazu angehalten, sich aktiv vor Cyberkriminellen zu schützen – in einigen Fällen sogar verpflichtet. Während diese Warnung weiterhin gilt, existiert auf dem Cybersicherheits-Schlachtfeld eine weitere – oft vernachlässigte – Gefahr, die ebenso kostspielig und disruptiv sein kann wie externe Hacker: Insider-Bedrohungen.

• Die Definition von Insider-Bedrohungen
• Die Auswirkungen von Insider-Angriffen
• Insider-Bedrohungen und Klein- und Mittelunternehmen (KMU)
• Arten von Insider-Angriffen
• Arten von Insider-Angriffsindikatoren
• 7 Strategien, die KMU helfen, Insider-Angriffe zu erkennen, stoppen und verhindern

Was sind Insider-Bedrohungen?

TechTarget definiert eine Insider-Bedrohung als eine Risikokategorie, die von Personen ausgeht, die Zugang zu den physischen oder digitalen Vermögenswerten einer Organisation haben.

Wichtig ist hinzuzufügen, dass "Insider" in diesem Kontext nicht ausschließlich aktuelle Mitarbeiter umfasst. Dazu gehören auch Praktikanten, Auftragnehmer, Lieferanten, Geschäftspartner, ehemalige Mitarbeiter oder jede andere Person, die (oder hatte) autorisierten Zugang zu den Systemen und Netzwerken einer Organisation hat.

Nein, das macht diese Menschen nicht automatisch zu Verdächtigen, die darauf aus sind, Daten zu stehlen und Identitätsdiebstahl zu begehen! Es zeigt jedoch, dass die Angriffsfläche für potenzielle Insider-Bedrohungen enorm ist und weit größer, als viele Organisationen begreifen. Die möglichen Kosten und Konsequenzen betrachten wir im nächsten Abschnitt genauer.

Auswirkungen von Insider-Angriffen

Bei der Cybersicherheit konzentrieren sich viele Organisationen ausschließlich (in unterschiedlichem Maße) auf die Abwehr von Hackern. Das ist wichtig, reicht aber nicht aus. Sie müssen sich auch aktiv vor Insider-Angriffen schützen. Beachten Sie Folgendes:

• Die Autoren des 2025 Data Breach Investigations Report von Verizon stellen fest: "Wir haben viele Fälle gesehen, in denen Insider ihren Zugang jahrelang missbraucht haben, bevor sie entdeckt wurden."
• IBMs 2024 Cost of a Data Breach Report weist darauf hin, dass die durchschnittlichen Kosten von Datenschutzverletzungen, die von böswilligen Insidern verursacht wurden, 4,99 Mio. USD pro Vorfall betrugen.
• Cybersecurity Insiders 2024 Insider Threat Report weist darauf hin, dass 83 % der Organisationen im vergangenen Jahr mindestens einen Insider-Angriff meldeten.

Darüber hinaus gehen die Auswirkungen eines nicht verwalteten Insider-Bedrohungsrisikos über die (in einigen Fällen erheblichen) finanziellen Folgen hinaus. Es kann auch regulatorische und versicherungstechnische Risiken schaffen, das Vertrauen zwischen Teams und Abteilungen untergraben, den Ruf auf dem Markt schädigen und die Erkennungs- und Reaktionsfähigkeit schwächen. Obwohl alle diese Konsequenzen schwerwiegend sind, ist die letzte besonders besorgniserregend. Denn sobald Insider \"die Tore öffnen", um Konten zu kompromittieren und Daten zu exfiltrieren, können sie einen Pfad für externe Cyberkriminelle ebnen, der in Zukunft zu noch mehr Kosten und Schäden führt.

Insider-Bedrohungen und KMU

In der Devolutions State of IT Security in SMBs 2024/25-Umfrage gaben 78 % der KMU an, dass sie \"besorgt" über Insider-Bedrohungen sind. Das ist ein Anstieg von 45 % gegenüber 2023 und sicherlich ein Schritt in die richtige Richtung, da das Bewusstsein entscheidend ist.

Die Devolutions-Umfrage ergab jedoch auch, dass satte 82 % der KMU nicht aktiv auf Insider-Bedrohungsrisiken überwachen. Noch besorgniserregender ist, dass 28 % der KMU entweder keinen Plan zur Bewältigung von Insider-Bedrohungen haben oder dies nicht als Priorität ansehen.

Die Implikation ist klar: Obwohl die meisten KMU das Problem kennen, setzt die überwiegende Mehrheit dieses Verständnis nicht in sinnvolle strategische Maßnahmen um. Leider wird sich das Risiko von Insider-Bedrohungen nicht von selbst lösen. Im Gegenteil, es wird in Zukunft nur gefährlicher und kostspieliger werden, da der Wert gestohlener Daten – ob von böswilligen Insidern selbst genutzt oder auf dem Dark Web verkauft – steigt.

Weiter in diesem Whitepaper untersuchen wir bewährte und praktische Wege für KMU, das Insider-Bedrohungsrisiko zu mindern. Zunächst betrachten wir die verschiedenen Arten von Insider-Bedrohungen sowie einige Risikoindikatoren.

Arten von Insider-Angriffen

Im Allgemeinen lassen sich Insider-Angriffsvorfälle in vier breite Kategorien einteilen: böswillig, versehentlich, fahrlässig und kollusiv.

• Böswillig: Vorfälle werden von Personen durchgeführt, die wissen, dass ihre Handlungen der Organisation schaden werden. Diese Personen können von verschiedenen Faktoren motiviert sein, wie z. B. Gier oder persönlichen Beschwerden.
• Versehentlich: Vorfälle sind das Ergebnis ehrlicher (wenn auch vielleicht grob inkompetenter) Fehler. Ein Mitarbeiter könnte z. B. auf einen E-Mail-Link klicken, den er für sicher hielt, der sich jedoch als Teil einer Phishing-Kampagne von Hackern erwies. Oder ein Lieferant sendet ein Dokument an einen Dritten, ohne zu erkennen, dass es vertraulich war. Obwohl sie nicht vorsätzlich sind, können versehentliche Vorfälle dennoch extrem kostspielig sein.
• Fahrlässig: Vorfälle sind das Ergebnis einer vertrauenswürdigen Person, die wissentlich eine Regel (oder vielleicht mehrere Regeln) bricht, aber ohne die Absicht, eine Sicherheitsverletzung zu verursachen. Ein Mitarbeiter könnte z. B. die Richtlinie umgehen, indem er sensible Unternehmensdaten in seinem persönlichen Cloud-Speicherkonto (z. B. Google Drive, OneDrive, DropBox usw.) speichert, weil dies bequemer ist. Offensichtlich ist dies unentschuldbar und könnte ein Kündigungsgrund oder sogar eine Klage sein. Der entscheidende Punkt ist jedoch, dass die betreffende Person – obwohl sicherlich nachlässig und leichtsinnig – nicht beabsichtigte, der Organisation zu schaden.
• Kollusiv: Vorfälle sind das Ergebnis einer Person (oder möglicherweise einer Gruppe von Personen), die mit externen Cyberkriminellengruppen zusammenarbeitet, um Betrug, Diebstahl geistigen Eigentums und/oder Spionage zu begehen. Organisationen werden dringend gebeten, kollusive Insider-Bedrohungen nicht als \"sensationell" wahrzunehmen, in dem Sinne, dass nur große multinationale Konzerne (denken Sie an Fortune 100) sich aktiv dagegen schützen müssen, während KMU mit ihrem relativ geringeren Profil außer Gefahr sind. Alle Organisationen sind unabhängig von Größe oder Branche dem Risiko kollusiver Insider-Bedrohungen ausgesetzt. Eine Umfrage von Bravura Security ergab, dass Hacker 65 % der Führungskräfte oder ihrer Mitarbeiter angesprochen haben, um bei Ransomware-Angriffen zu helfen.

Arten von Insider-Angriffsindikatoren

Einige Arten von Cyberangriffen sind unverkennbar. Opfer von Ransomware-Angriffen müssen z. B. nicht spekulieren, ob sie unter Belagerung stehen: Der klare (und beängstigende) Beweis liegt vor ihnen, inklusive Zahlungsaufforderung und schnell näher rückender Frist.

Im Gegensatz dazu sind Angriffe von Insidern typischerweise viel heimtückischer und schwerer zu erkennen, da sie hinter den Kulissen stattfinden; in einigen Fällen über Monate oder sogar Jahre hinweg. Im Folgenden finden Sie einige Anzeichen dafür, dass ein Insider-Angriff im Gange oder unmittelbar bevorstehend sein könnte:

• Rechteerhöhung: Ein Mitarbeiter hat seine Zugriffsrechte erhöht (falls er dies eigenständig tun kann) oder hat ohne klare geschäftliche Begründung mehr Zugang angefordert.
• Abnormaler Systemzugriff: Ein Mitarbeiter beginnt, auf Ressourcen zuzugreifen, zu denen er Zugang hat (eine Rechteerhöhung ist also nicht erforderlich), aber der Grund für seine Aktivitäten ist unklar. Ein Mitarbeiter aus dem Vertriebsteam beginnt z. B. auf Datenbanken und Systeme zuzugreifen, die vom Finanzteam genutzt werden. Obwohl dies legitim sein könnte, könnte es ein Hinweis darauf sein, dass etwas Unangemessenes stattfindet (oder bevorsteht).
• Abnormale Datenexfiltration: Ein Mitarbeiter lädt plötzlich sensible Daten herunter, was nicht mit seinen vergangenen Aktivitäten oder den Aktivitäten von Kollegen in einer ähnlichen Rolle übereinstimmt. Ein Beispiel ist ein ausscheidender Mitarbeiter, der sensible Daten kopiert, die für persönlichen Gewinn oder zur Unterstützung im nächsten Job genutzt werden könnten (wir betrachten im nächsten Abschnitt genauer, wie ausscheidende Mitarbeiter deaktiviert werden).
• Reihenfolge fragwürdiger Aktivitäten: Ein Mitarbeiter führt Aktivitäten durch, die an sich nicht unbedingt ungewöhnlich sind. Die Reihenfolge (und möglicherweise auch die Geschwindigkeit), in der sie durchgeführt werden, wirft jedoch Fragen auf. Ein Mitarbeiter benennt z. B. eine Datei um und lädt sie dann auf ein persönliches Gerät herunter. Dies könnte darauf hindeuten, dass der Mitarbeiter wissentlich die Regeln bricht, um die Datei zu erhalten (obwohl sein Motiv unklar sein und weitere Untersuchungen erfordern könnte).
• Verhaltensänderungen: Dies ist das am wenigsten \"schwarz-weiße" Anzeichen einer potenziellen Insider-Bedrohung auf der Liste, könnte aber auch das aufschlussreichste sein. Ein Mitarbeiter, der unerklärlicherweise beginnt, sich heimlich und verschwiegen zu verhalten – oder im anderen Extremfall einschüchternd und bedrohlich – könnte einen Insider-Angriff durchführen. Beachten Sie, dass in einigen Fällen Personen von Cyberkriminellengruppen erpresst oder erpresst werden können, was sehr ungewöhnliche und unvorhersehbare Verhaltensänderungen auslösen kann.

Bevor wir zu dem kommen, was KMU tun können, um das Risiko von Insider-Bedrohungen zu reduzieren, muss hinzugefügt werden, dass diese Anzeichen – außer in den offensichtlichsten Fällen (z. B. ein Mitarbeiter wird \"auf frischer Tat" beim Zugriff auf verbotene Konten oder beim Stehlen sensibler Daten ertappt) – nur potenzielle Hinweise darauf sind, dass hinter den Kulissen etwas Unangemessenes vor sich gehen könnte. Sie werfen Fragen auf, die gewissenhaft, dokumentiert und diskret beantwortet werden müssen.

7 Strategien, die KMU helfen, Insider-Angriffe zu erkennen, stoppen und verhindern

Bisher haben wir betrachtet, was Insider-Bedrohungen sind, wer sie durchführt und wie sie von außen aussehen können. Nun wenden wir uns sieben Strategien zu, die KMU helfen können, ihr Risiko, Opfer eines Insider-Angriffs zu werden, erheblich zu reduzieren.

1. Eine umfassende Insider-Strategie erstellen

Wie wir bereits erwähnt haben, ist laut der Devolutions State of IT Security in SMBs 2024/25-Umfrage das Bewusstsein für Insider-Bedrohungen bei KMU von 33 % auf 78 % gestiegen. Im gleichen Zeitraum stieg der Anteil der KMU mit einer umfassenden Insider-Bedrohungsstrategie jedoch nur geringfügig von 15 % auf 20 %.

Viele KMU setzen Tools und Maßnahmen ein, die ihr Cybersicherheitsprofil stärken, wie PAM (Privileged Access Management) und MFA (Multifactor Authentication). Ohne die Einbindung dieser Elemente in eine breitere Insider-Bedrohungsstrategie bleiben sie jedoch stark exponiert.

KMU müssen die Lücke zwischen Bewusstsein und Handeln schließen, indem sie Richtlinien mit Überwachung und Onboarding/Offboarding abstimmen (mehr dazu in der nächsten Strategie). Darüber hinaus müssen sie diese in ihre PAM- und Schulungsabläufe integrieren und in ihren Gesamt-Incident-Response-Plan einbinden, damit alle wissen, was im Nachgang einer Verletzung (unabhängig von der Ursache) zu tun ist, wann und in welcher Reihenfolge. KMU wird dringend geraten, Insider-Bedrohungen nicht als Randfälle zu behandeln. Sie als unvermeidlich zu betrachten – und zu wissen, wie man das Risiko reduziert und effektiv reagiert statt hektisch auf Vorfälle zu reagieren – ist weise.

2. Ausscheidende Mitarbeiter deaktivieren

Heute wird ein durchschnittlicher Mitarbeiter während seiner Karriere 12 Mal den Job wechseln (und viele werden noch mehr haben). Warum ist das in einem Whitepaper über die Prävention von Insider-Bedrohungen relevant? Wegen dieser nächsten, weit beunruhigenderen Statistik: Eine Umfrage von Beyond Identity ergab, dass 1 von 4 ehemaligen Mitarbeitern noch Zugangskonten von früheren Jobs behielt – einschließlich ehemaliger IT-Mitarbeiter und Manager mit Zugang zu privilegierten Konten.

Zugegeben, wir können davon ausgehen, dass die überwiegende Mehrheit dieser ehemaligen Mitarbeiter keine Insider-Bedrohung darstellt. Es braucht jedoch nur eine gierige, verärgerte oder kompromittierte Person, um einen erfolgreichen Cyberangriff zu starten.

Zusätzlich besteht die Möglichkeit, dass diese ehemaligen Mitarbeiter Opfer eines Cyberangriffs werden könnten. Infolgedessen könnten die Anmeldedaten, die sie für frühere Arbeitsplätze verwendeten, in die Hände von Hackern gelangen, wenn sie in einer Tabellenkalkulation, einem Browser, einem schlecht geschützten Passwort-Manager usw. gespeichert waren.

Der Auftrag für KMU ist klar: Schließen Sie diese Lücke, indem Sie einen Standardprozess für Mitarbeiterabgänge etablieren. Mindestens sollte der Prozess folgende Kernaktivitäten umfassen:

• Ändern Sie sofort das Passwort bzw. die Passwörter des Mitarbeiters, damit er sich nicht anmelden kann. Bei berechtigtem Grund kann er einen formellen Antrag stellen.
• Deaktivieren oder sperren Sie alle Konten. Deaktivieren ist am besten, da dies die Möglichkeit zukünftigen Zugriffs eliminiert. Es kann jedoch erforderlich sein, Konten zu sperren, bis die Daten woanders archiviert werden können (danach sollten die Konten deaktiviert werden).
• Ändern Sie alle Passwörter für gemeinsam genutzte privilegierte Konten. Dazu gehören (sind aber nicht beschränkt auf) Domänenadministratorkonten, lokale Administratorkonten, Notfallzugangskonten, Anwendungskonten, Systemkonten und Domänendienstkonten. Forrester-Forscher schätzen, dass 74 % aller Datenschutzverletzungen kompromittierte privilegierte Anmeldedaten betreffen.

3. Das Prinzip der minimalen Rechte (POLP) durchsetzen

Ein bewährter und praktischer Weg für KMU, ihre Exposition gegenüber Insider-Bedrohungsrisiken (sowie solchen von außerhalb der Organisation) zu reduzieren, ist die Implementierung von POLP. Dies ist eine Richtlinie, bei der Benutzer – einschließlich Mitarbeiter, Auftragnehmer, Praktikanten und alle anderen, die legitimen Zugang zu Konten und Systemen benötigen – nur den Zugang erhalten, den sie für ihre Arbeit benötigen.

Um POLP zu etablieren und durchzusetzen, sollten KMU folgende Aktivitäten durchführen:

• Machen Sie minimale Rechte zum Standardausgangspunkt und fügen Sie bei Bedarf höhere Zugriffsstufen durch Analyse und in Absprache mit Benutzern hinzu.
• Bei temporärem privilegiertem Zugriff verwenden Sie Einmal-Anmeldedaten. Diese werden im letzten Moment gewährt und unmittelbar nach der Nutzung widerrufen. Dieser Ansatz ("privilege bracketing") kann für einzelne Benutzer sowie für Prozesse und Systeme verwendet werden.
• Trennen Sie Administratorkonten von Standardkonten.
• Trennen Sie höhere Systemfunktionen von niedrigeren Systemfunktionen.
• Verfolgen Sie automatisch alle Anmeldeversuche (einschließlich erfolgloser) und Aktivitäten. Es ist entscheidend, volle Transparenz zu haben und genau zu sehen, was Benutzer tun.
• Prüfen Sie regelmäßig Benutzerrechte, um sicherzustellen, dass der Zugang angemessen ist.
• Seien Sie in der Lage, privilegierten Zugang im Notfall automatisch zu widerrufen.

BONUS-TIPP: Mit Devolutions Hub Business können KMU den Kontozugriff zentralisieren und POLP durchsetzen – und gleichzeitig ihre Teams befähigen, schnell zu arbeiten. Darüber hinaus ermöglichen Remote Desktop Manager und Devolutions PAM von Devolutions KMU, granulare Zugriffskontrollen zu konfigurieren und zu implementieren, die POLP unterstützen.

4. Ein Zero-Trust-Framework etablieren

Der Leitgedanke von Zero Trust lautet \"niemals vertrauen, immer verifizieren". Jeder Benutzer, jedes Gerät und jede Anwendung muss authentifiziert und autorisiert werden, bevor Zugang gewährt wird – unabhängig vom physischen Standort. Dieser Ansatz schränkt die Fähigkeit böswilliger Insider ein, unbefugten Zugang zu sensiblen Systemen und Netzwerken zu erhalten und aufrechtzuerhalten.

Um ein Zero-Trust-Framework zu etablieren, sollten KMU Folgendes implementieren:

BONUS-TIPP: Bei Devolutions haben wir Passkeys integriert, indem wir sie in unsere Produkte und Dienste eingebunden haben. Die Devolutions Workspace Browser-Erweiterung ermöglicht Benutzern, Passkeys in der cloud-gehosteten Devolutions Hub Business oder in selbst-gehosteten Devolutions Server-Datenquellen und Devolutions Hub Personal zu speichern.

5. Erweiterte Überwachungslösungen implementieren

Wie bereits erwähnt, sind Insider-Angriffe ihrer Natur nach oft schwerer zu erkennen als externe Angriffe. Erweiterte Überwachungslösungen geben KMU einen erheblichen Vorteil im Kampf. Tools wie User and Entity Behavior Analytics (UEBA) nutzen z. B. maschinelle Lernalgorithmen und Verhaltensanalysen, um Benutzeraktivitäten zu überwachen und Anomalien automatisch zu kennzeichnen, die auf potenzielle Insider-Bedrohungsaktivitäten hindeuten könnten.

6. Regelmäßig Sicherheitsaudits durchführen

Regelmäßige Sicherheitsaudits prüfen, ob aktuelle Lösungen und Praktiken Insider-Bedrohungsrisiken effektiv mindern. Diese Bewertungen müssen umfassend und nicht oberflächlich sein und Elemente wie Richtlinien, Berechtigungen und Zugriffskontrollen abdecken. Es ist auch entscheidend, den Incident-Response-Plan zu überprüfen (der wie erwähnt die Reaktion auf Insider-Bedrohungen abdecken sollte) und ihn entsprechend zu aktualisieren.

7. Mitarbeiterschulungen durchführen

Laut dem Cybersecurity Ventures 2024 Insider Threat Report gaben 32 % der Befragten an, dass mangelnde Schulung und Bewusstsein ein wichtiger Treiber hinter Insider-Angriffen war. Und das betrifft nicht nur Verletzungen, die durch Unfälle oder Fahrlässigkeit verursacht wurden. Laufende Cybersicherheitsschulungen helfen, eine "Sicherheitskultur" zu fördern. Wenn Einzelpersonen wissen, dass die Organisation IT-Sicherheit priorisiert, sind sie in diesem Bereich eher gewissenhaft und weniger geneigt, Regeln wissentlich oder versehentlich zu brechen.

Fazit

Die Cyberbedrohungslandschaft beschränkt sich nicht auf die Abwehr externer Hacker. Wie größere Unternehmen müssen auch KMU das Risiko interner Bedrohungen angehen und mindern – unabhängig davon, ob Angriffe durch Unfall, Fahrlässigkeit oder böswillige Absicht verursacht wurden (oder werden könnten). Proaktiv zu sein und die in diesem Whitepaper hervorgehobenen Strategien umzusetzen, kann einen langen Weg dazu beitragen zu bestimmen, ob die Reise für KMU reibungslos und erfolgreich oder chaotisch und kostspielig verläuft.

Devolutions: An Ihrer Seite

Bei Devolutions bieten wir mehrere Lösungen – einschließlich der in diesem Whitepaper hervorgehobenen – die KMU helfen, ihre Daten, Vermögenswerte und ihren Ruf vor den Schäden durch Insider-Angriffe zu schützen.

Alle unsere Lösungen sind benutzerfreundlich, skalierbar, erschwinglich und speziell für KMU konzipiert, die eine starke Cybersicherheit etablieren müssen, ohne Effizienz oder Produktivität zu beeinträchtigen.

Um mehr zu erfahren, kontaktieren Sie Devolutions noch heute unter sales@devolutions.net. Erfahren Sie, wie wir Ihrem KMU helfen können, sich gegen Insider-Bedrohungen zu wehren und gleichzeitig Ihr Gesamt-Cybersicherheitsprofil zu stärken.