Was ist eine Insider-Bedrohung? Definition, Beispiele und Gegenmaßnahmen

Eine Insider-Bedrohung ist eine Bedrohung für ein Unternehmen, die von fahrlässigen oder böswilligen Insidern ausgeht, wie z. B. Mitarbeitern, ehemaligen Mitarbeitern, Auftragnehmern, Drittanbietern oder Geschäftspartnern, die Insiderinformationen über Cybersicherheitspraktiken, sensible Daten und Computersysteme haben. Es handelt sich um eine Art Cyber-Bedrohung.

Die Bedrohung kann Betrug, Diebstahl vertraulicher oder kommerziell wertvoller Informationen, Diebstahl von geistigem Eigentum und Geschäftsgeheimnissen, Sabotage von Sicherheitsmaßnahmen oder Fehlkonfigurationen umfassen, die zu Datenlecks führen.

Warum sind Insider-Bedrohungen gefährlich?

Ein SANS-Bericht über fortschrittliche Bedrohungen identifizierte große Lücken in der Abwehr von Insider-Bedrohungen, die auf einen Mangel an Grundlagen für das normale Benutzerverhalten sowie auf eine schlechte Zugriffskontrolle für privilegierte Benutzerkonten zurückzuführen sind, die attraktive Ziele für Brute-Force-Angriffe und Social-Engineering-Angriffe wie Phishing sind.

Selbst die besten Sicherheitsteams haben Schwierigkeiten, Insider-Bedrohungen zu erkennen. Insider haben per Definition legitimen Zugriff auf die Informationen und Vermögenswerte des Unternehmens. Es ist schwer, zwischen normalen und böswilligen Aktivitäten zu unterscheiden. Erschwerend kommt hinzu, dass Insider in der Regel wissen, wo sensible Daten gespeichert sind, und möglicherweise legitime Zugriffsanforderungen haben, was die rollenbasierte Zugriffsverwaltung zu einer ineffektiven Kontrolle macht.

Infolgedessen ist eine Datenschutzverletzung, die von Insidern verursacht wird, deutlich teurer als eine, die von externen Bedrohungsakteuren verursacht wird. Im 2019 Cost of a Data Breach Report des Ponemon Institute stellten Forscher fest, dass die durchschnittlichen Kosten pro Datensatz für einen böswilligen oder kriminellen Angriff 166 US-Dollar betrugen, gegenüber 132 US-Dollar für Systemstörungen und 133 US-Dollar für menschliche Fehler. Lesen Sie unseren vollständigen Beitrag über die Kosten einer Datenschutzverletzung, um weitere Informationen zu erhalten.

Kombiniert man dies mit der Tatsache, dass Insider-Bedrohungen für 60 Prozent der Cyberangriffe (IBM) und fast ein Drittel der Datenschutzverletzungen (Verizon) verantwortlich sind, wird deutlich, warum die Entwicklung eines Insider-Bedrohungsprogramms eine wertvolle Investition ist.

Es ist wichtig zu beachten, dass diese Zahlen eine vermehrte Meldung von internen Fehlern sowie böswilligen Absichten beinhalten. In jedem Fall zeigt sich die Notwendigkeit für Sicherheitsteams, Methoden zur Erkennung von Insider-Bedrohungen zu entwickeln, die verhindern, dass vertrauliche Informationen von Bedrohungsakteuren und fahrlässigen Insidern gleichermaßen offengelegt werden.

Was sind die verschiedenen Arten von Insider-Bedrohungen?

Es gibt viele verschiedene Arten von Insider-Bedrohungen, die Sicherheitsrisiken darstellen:

Non-Responder: Ein kleiner Prozentsatz der Personen nimmt an Schulungen zum Sicherheitsbewusstsein nicht teil. Auch wenn sie nicht die Absicht haben, sich fahrlässig zu verhalten, gehören sie zu den riskantesten Mitgliedern, da ihre Verhaltensweisen in konsistente Muster passen. Zum Beispiel werden Personen, die in der Vergangenheit häufig auf Phishing hereingefallen sind, wahrscheinlich erneut Opfer von Phishing.
Unbeabsichtigte Insider: Fahrlässigkeit ist die häufigste und teuerste Form der Insider-Bedrohung. Diese Gruppe weist im Allgemeinen ein sicheres Verhalten auf und hält sich an die Richtlinien für die Informationssicherheit, verursacht jedoch Sicherheitsvorfälle aufgrund isolierter Fehler. Ein häufiger Insider-Bedrohungsvorfall ist beispielsweise die Speicherung von geistigem Eigentum auf unsicheren persönlichen Geräten.
Insider-Absprachen: Die Zusammenarbeit von Insidern mit böswilligen externen Bedrohungsakteuren ist eine seltene, aber bedeutende Bedrohung, da Cyberkriminelle immer häufiger versuchen, Mitarbeiter über das Dark Web zu rekrutieren. Eine Studie des Community Emergency Response Teams (CERT) ergab, dass 16,75 % der von Insidern verursachten Sicherheitsvorfälle auf Insider-Außenseiter-Absprachen zurückzuführen sind.
Hartnäckige böswillige Insider: Diese Art von Insider-Bedrohung versucht am häufigsten Datenexfiltration oder andere böswillige Handlungen wie die Installation von Malware, um finanziellen Gewinn zu erzielen. Eine Gartner-Studie über kriminelle Insider-Bedrohungen ergab, dass 62 Prozent der Insider mit böswilligen Absichten Menschen sind, die ein zusätzliches Einkommen suchen.
Verärgerte Mitarbeiter: Verärgerte Mitarbeiter können vorsätzliche Sabotage von Sicherheitstools und Datensicherheitskontrollen begehen oder geistigen Eigentumsdiebstahl begehen. Diese Art von Mitarbeitern kann mit Verhaltensanalysen erkannt werden, da sie bestimmten Verhaltensmustern folgen können. Zum Beispiel können sie damit beginnen, sensible Datenquellen zu untersuchen, wenn sie ihre Kündigung aussprechen oder gefeuert wurden, bevor ihnen der Zugriff entzogen wurde.
Maulwürfe: Ein Betrüger, der technisch gesehen ein Außenseiter ist, es aber geschafft hat, sich Zugang zu Insidern zu verschaffen. Dabei handelt es sich um eine Person von außerhalb der Organisation, die sich als Mitarbeiter oder Partner ausgibt.

So erkennen Sie eine Insider-Bedrohung

Es gibt gängige Verhaltensweisen, die CISOs und ihre Sicherheitsteams überwachen und erkennen sollten, um aktive und potenzielle Insider-Bedrohungen zu stoppen.

Eine gute Faustregel ist, dass jede anomale Aktivität auf eine Insider-Bedrohung hinweisen kann. Wenn ein Mitarbeiter unzufrieden oder verärgert erscheint oder mit übermäßigem Enthusiasmus begonnen hat, mehr Aufgaben zu übernehmen, die einen privilegierten Zugang erfordern, könnte dies auf ein Foulspiel hindeuten.

Häufige Indikatoren für Insider-Bedrohungen

Die gängigen Indikatoren für die Kompromittierung von Insider-Bedrohungen lassen sich in digitale und verhaltensbezogene Warnzeichen unterteilen:

Digitale Warnschilder

Herunterladen oder Abrufen unnatürlicher Datenmengen
Zugriff auf vertrauliche Daten, die nicht mit ihrer Aufgabe verknüpft sind
Zugriff auf Daten, die außerhalb ihres üblichen Verhaltens liegen
Mehrere Anfragen für den Zugriff auf Tools oder Ressourcen stellen, die für ihre Arbeit nicht benötigt werden
Verwendung von nicht autorisierten externen Speichergeräten wie USBs
Netzwerk-Crawling und Suche nach sensiblen Daten
Horten von Daten und Kopieren von Dateien aus sensiblen Ordnern
E-Mail sensibler Daten an Dritte
Scannen nach offenen Ports und Schwachstellen
Einloggen außerhalb der üblichen Zeiten

Verhaltensbedingte Warnzeichen

Versuch, die Zugriffssteuerung zu umgehen
Deaktivieren der Verschlüsselung
Fehler beim Anwenden von Software-Patches
Häufig zu ungeraden Zeiten im Büro
Negatives oder verärgertes Verhalten gegenüber Kollegen zeigen
Verstoß gegen Unternehmensrichtlinien
Gespräche über Kündigungen oder neue Möglichkeiten

Während menschliche Verhaltenswarnungen auf potenzielle Probleme hinweisen können, sind SIEM- (Security Information and Event Management) oder Tools zur Analyse des Benutzerverhaltens in der Regel effizientere Methoden zur Erkennung von Insider-Bedrohungen, da sie Sicherheitsteams analysieren und warnen können, wenn verdächtige oder anomale Aktivitäten erkannt wurden.

So verhindern Sie Insider-Angriffe

Es gibt eine Reihe von Dingen, die Sie tun können, um das Risiko von Insider-Bedrohungen zu verringern:

Beginnen Sie mit dem Datenschutz: Sensible Daten sind oft das Hauptziel für Insider-Bedrohungen, einschließlich solcher, die durch Fahrlässigkeit und kriminelle Absichten entstehen. Erwägen Sie die Entwicklung einer Datenklassifizierungsrichtlinie oder die Investition in DLP-Tools (Data Loss Prevention, Data Loss Prevention, um zu verhindern, dass vertrauliche Daten offengelegt werden). Es enthält auch Daten, die bei Anbietern gespeichert sind, also denken Sie daran, eine Richtlinie für das Risikomanagement von Anbietern zu entwickeln und in Risikomanagementsoftware von Drittanbietern zu investieren.
Schutz kritischer Ressourcen: Insider-Bedrohungen können auch kritische Ressourcen beschädigen, unabhängig davon, ob es sich um physische oder logische Ressourcen handelt. Dazu gehören Systeme, Technologie, Einrichtungen und Menschen. Überlegen Sie, was für Sie entscheidend ist, um Ihr Produkt oder Ihre Dienstleistungen bereitzustellen, Dinge wie proprietäre Software, interne Prozesse und Schaltpläne können wichtige Vermögenswerte sein.
Durchsetzung von Informationssicherheitsrichtlinien: Dokumentieren Sie klar und deutlich Ihre Informationssicherheitskontrollen und wie Sie sie durchsetzen, um Missverständnisse zu vermeiden. Jeder Mitarbeiter sollte seine Rolle im Bereich der Sicherheit verstehen und seine Rechte in Bezug auf geistiges Eigentum sowie die Schäden verstehen, die durch den Diebstahl von personenbezogenen Daten (PII) und geschützten Gesundheitsinformationen (PHI) verursacht werden können.
Übernehmen Sie Verhaltensanalysen: Während sich jeder individuell verhält, können Änderungen in individuellen Mustern Risiken vorhersagen. Künstliche Intelligenz und Verhaltensanalysen können dabei helfen, Risiken in subtilen Mustern zu erkennen, die Menschen nicht erkennen können. User and Entity Behavior Analytics (UEBA) kann Kontext liefern, der bei manueller Überprüfung verloren gehen kann.
Erhöhen Sie die Transparenz: Stellen Sie Lösungen bereit, die Mitarbeiteraktionen verfolgen und Aktivitäten über mehrere Quellen hinweg korrelieren können. Sie könnten beispielsweise ein Spionageabwehrtool einsetzen, das gefälschte bösartige Daten offenlegt, um böswillige Insider herauszulocken.
Reduzieren Sie Ihre Angriffsfläche: Attack Surface Management (ASM) ist die kontinuierliche Erkennung, Inventarisierung, Klassifizierung, Priorisierung und Sicherheitsüberwachung externer digitaler Assets, die sensible Daten enthalten, übertragen oder verarbeiten. Software zur Verwaltung der Angriffsfläche kann dabei helfen, die externe Angriffsfläche Ihres Unternehmens zu erkennen und zu bewerten, die aufgrund von Insider-Bedrohungen Lücken aufweisen kann.
Patch-Schwachstellen: Einer der größten Schutzmaßnahmen gegen interne und externe Bedrohungen ist eine strenge Sicherheitshygiene, die bekannte Schwachstellen behebt. Die Aufrechterhaltung eines konsistenten Schwachstellenmanagements und einer Schwachstellenbewertungsprozesse kann kompromittierte Systeme ab dem Moment aufdecken, in dem sie auftreten, und nicht erst Monate nach dem Vorfall.
Nutzen Sie Schulungen zum Thema Cybersicherheit: Ransomware, Spyware und Malware gehören zwar zu den am häufigsten diskutierten Sicherheitsrisiken für Unternehmen, aber fahrlässige Insider stehen im Mittelpunkt vieler Datenschutzverletzungen. Wenn Sie Ihre Mitarbeiter über gängige Muster bei Spear-Phishing, Whaling-Kampagnen, Social-Engineering-Angriffen und anderen Angriffsvektoren informieren, können Fehler reduziert und Ihr Unternehmen geschützt werden.
Befolgen Sie Best Practices für die E-Mail-Sicherheit: Phishing-E-Mails sind eine der häufigsten Methoden, mit denen Insider kompromittiert werden können. Stellen Sie sicher, dass SPF, DKIM und DMARC in Ihrem Unternehmen korrekt konfiguriert sind, um E-Mail-Spoofing zu verhindern. Wenn Sie sich nicht sicher sind, wie Sie dies tun sollen, befolgen Sie unseren Leitfaden zu Best Practices für die E-Mail-Sicherheit.
Investieren Sie in mehrere Sicherheitskontrollen: Ein Defense-in-Depth-Sicherheitsansatz, der dem Prinzip der geringsten Privilegien folgt, ist eine hervorragende Möglichkeit, das Cybersicherheitsrisiko von Insider-Bedrohungen zu reduzieren.

Erfahren Sie hier, wie Sie Insider-Bedrohungen erkennen, abwehren und verhindern können, >

Beispiele für Insider-Bedrohungen

Es gibt eine Reihe von hochkarätigen Beispielen für Insider-Bedrohungen:

Boeing: Greg Chung ist ein in China geborener, amerikanischer Staatsbürger, der angeklagt wurde, über Jahrzehnte hinweg geistiges Eigentum im Wert von 2 Milliarden Dollar für die chinesische Regierung gestohlen zu haben. (Der New Yorker)
Tesla: Im Jahr 2018 wurde bekannt, dass ein Insider "ziemlich umfangreiche und schädliche Sabotage" an den Geschäftsabläufen des Unternehmens durchgeführt hatte, einschließlich der Änderung des Codes an ein internes Produkt und des Exports von Daten an Außenstehende. (CNBC)
Facebook: Facebook musste einen Sicherheitsingenieur feuern, der seine Position ausnutzte, um an Informationen über Frauen zu gelangen und sie online zu stalken. (NBC)
Coca-Cola: 8.000 Personen wurden von einem ehemaligen Ingenieur entlarvt, der Computerdateien mitnahm, als er das Unternehmen verließ. (Blinkender Computer)
Suntrust Bank: Ein böswilliger Insider hat personenbezogene Daten und Kontoinformationen von 1,5 Millionen Kunden für eine kriminelle Organisation gestohlen. (Dunkle Lektüre)
Amazon Web Services (AWS): Ein auf GitHub gehostetes Repository mit Daten, die persönliche Ausweisdokumente und Systemanmeldeinformationen wie Passwörter, AWS-Schlüsselpaare und private Schlüssel enthalten, wurde versehentlich von einem AWS-Techniker offengelegt. (Vorsicht)

Für die Bewertung Ihrer Informationssicherheitskontrollen kann UpGuard BreachSight Ihr Unternehmen auf 70+ Sicherheitskontrollen überwachen, eine einfache, leicht verständliche Cybersicherheitsbewertung bieten und automatisch kompromittierte Anmeldeinformationen und Datenoffenlegungen in S3-Buckets, Rsync-Servern, GitHub-Repos und mehr erkennen.

Dazu gehören offene Ports und andere Dienste, die dem öffentlichen Internet ausgesetzt sind. Unsere Plattform sucht explizit nach fast 200 Diensten, die über Tausende von Ports laufen, und meldet alle Dienste, die wir nicht identifizieren können, sowie alle offenen Ports, bei denen keine Dienste erkannt wurden.