Insider-Bedrohungen: den Angreifer mit legitimem Zugang erkennen

Insider-Bedrohungen sind der blinde Fleck einer Verteidigung, die sich auf den Angreifer von außen konzentriert. Ein Insider muss keine Firewall überwinden und kein Passwort stehlen, er hat den Zugang bereits, und genau das macht ihn schwer zu erkennen: Sein Handeln sieht zunächst aus wie legitime Arbeit. Dabei ist die Bandbreite groß, vom verärgerten Mitarbeiter, der beim Ausscheiden Daten mitnimmt, über den Unachtsamen, der eine Datenbank offen ins Netz stellt, bis zum übernommenen Konto, hinter dem in Wahrheit ein externer Angreifer sitzt. Dieser Beitrag erklärt die drei Typen von Insider-Bedrohungen, warum die Erkennung auf Verhaltensanalyse setzt, welche Signale zählen, und wie man die schwierige Balance zwischen wirksamer Erkennung und dem Schutz der Privatsphäre der Belegschaft findet.

Die drei Typen

• Der böswillige Insider. Jemand mit legitimem Zugang, der bewusst schadet: Daten stiehlt, um sie zu verkaufen oder zum nächsten Arbeitgeber mitzunehmen, Systeme sabotiert oder einem externen Angreifer hilft. Der seltenste, aber potenziell schädlichste Typ, weil er sein Wissen über die Organisation gegen sie einsetzt.
• Der fahrlässige Insider. Jemand, der ohne böse Absicht ein Loch reißt: die Datenbank versehentlich öffentlich zugänglich macht, sensible Daten an den falschen Empfänger schickt, Sicherheitsregeln aus Bequemlichkeit umgeht. Der häufigste Typ, und der, gegen den Aufklärung und gute Voreinstellungen am meisten helfen.
• Der kompromittierte Insider. Kein echter Insider, sondern ein externer Angreifer, der ein legitimes Konto übernommen hat, etwa über Phishing. Für die Erkennung verhält er sich wie ein Insider, weil er legitime Zugangsdaten nutzt, und genau deshalb greifen dieselben verhaltensbasierten Erkennungen.

Die wichtige Erkenntnis: Alle drei sehen in den Logs zunächst gleich aus, nämlich wie ein berechtigter Nutzer, der auf Daten zugreift. Deshalb ist die Unterscheidung nicht am einzelnen Zugriff möglich, sondern nur am Muster.

Warum die Erkennung auf Verhalten setzt

Weil ein Insider legitimen Zugang hat, gibt es keinen bösartigen Hash, keine fremde IP, keine überwundene Grenze, an der man ihn erkennt. Was bleibt, ist die Abweichung vom Normalen: Der Insider tut etwas, das zwar erlaubt, aber für ihn ungewöhnlich ist. Genau darauf zielt die Verhaltensanalyse, oft als UEBA bezeichnet (User and Entity Behavior Analytics): Sie lernt, was für eine bestimmte Person oder ein bestimmtes Konto normal ist, und schlägt an, wenn das Verhalten davon abweicht. Das ist dieselbe Logik wie bei der Cloud-Erkennung aus dem Beitrag zur Cloud-Sicherheit: Ein einzelnes Ereignis ist selten verdächtig, das Muster ist es. Die typischen verdächtigen Muster:

• Massenhafter Datenzugriff. Ein Nutzer lädt plötzlich große Datenmengen herunter, greift auf viele Datensätze in kurzer Zeit zu oder kopiert ganze Verzeichnisse, weit mehr als seine Aufgabe erfordert.
• Zugriff ohne Aufgabenbezug. Jemand greift auf Daten oder Systeme zu, die mit seiner Rolle nichts zu tun haben, ein Buchhalter auf die Entwicklungsdaten, ein Vertriebler auf die Personalakten.
• Ungewöhnliche Zeiten und Orte. Zugriffe mitten in der Nacht, am Wochenende oder aus einer ungewohnten Region, die nicht zum üblichen Arbeitsmuster passen.
• Abfluss nach außen. Das Kopieren auf USB-Datenträger, das Hochladen in private Cloud-Speicher, das Versenden großer Anhänge an private Adressen, oft kurz vor dem Ausscheiden aus dem Unternehmen.
• Veränderte Rechte. Ein Nutzer verschafft sich mehr Rechte, als er braucht, oder greift auf die Köder aus dem Beitrag zu Honeypots und Deception zu, was ihn sofort verrät.

Die Datenschutz-Balance

Hier liegt die eigentliche Schwierigkeit des Themas, und sie ist so sehr eine rechtliche und kulturelle wie eine technische. Eine wirksame Insider-Erkennung braucht Einblick in das Verhalten der Belegschaft, und genau das berührt deren Privatsphäre und, in Deutschland, das Mitbestimmungsrecht des Betriebsrats und den Datenschutz. Eine lückenlose Überwachung aller Mitarbeiter ist weder rechtlich zulässig noch kulturell tragbar, und sie zerstört das Vertrauen, das eine gesunde Sicherheitskultur braucht. Die tragfähige Lösung liegt in mehreren Prinzipien. Erstens die Verhältnismäßigkeit: Man überwacht die Zugriffe auf die sensibelsten Daten genauer als die alltägliche Arbeit, statt alles gleich zu überwachen. Zweitens die Transparenz: Die Belegschaft weiß, dass und wie sicherheitsrelevante Zugriffe protokolliert werden, statt heimlicher Überwachung. Drittens die Einbindung: Betriebsrat und Datenschutz werden von Anfang an beteiligt, nicht vor vollendete Tatsachen gestellt. Und viertens die Zweckbindung: Die Daten dienen der Sicherheit, nicht der Leistungskontrolle. Diese Balance ist keine Nebensache, sondern entscheidet darüber, ob ein Insider-Programm überhaupt zulässig und akzeptiert ist. Die konkrete Ausgestaltung gehört mit der Rechts- und Datenschutzabteilung geklärt, nicht allein in der IT entschieden.

Was ein Blue Team tun kann

• Minimale Rechte konsequent umsetzen. Der wirksamste präventive Hebel: Wer nur das erreichen kann, was er für seine Aufgabe braucht, kann als Insider auch nur begrenzt Schaden anrichten. Dasselbe Prinzip wie in der Active-Directory-Härtung.
• Die sensibelsten Daten überwachen. Nicht alles, sondern die Kronjuwelen: Wer greift auf die wertvollsten Datenbestände zu, und passt das zur Aufgabe? Hier ist die Überwachung verhältnismäßig und wirksam zugleich.
• Köder auslegen. Honeytokens und Canary-Konten schlagen fast fehlalarmfrei an, wenn jemand dort zugreift, wo er nichts zu suchen hat, und sind datenschutzfreundlich, weil sie kein legitimes Verhalten überwachen.
• Den Abfluss beobachten. Datenabfluss-Kontrollen (DLP) an den wichtigen Wegen, USB, Cloud-Upload, E-Mail nach außen, mit Augenmaß konfiguriert, fangen sowohl den böswilligen als auch den fahrlässigen Abfluss.
• Den Ausscheidungsprozess absichern. Das Ausscheiden eines Mitarbeiters ist der kritischste Moment: Zugänge rechtzeitig entziehen, in der Kündigungsphase besonders auf Datenabfluss achten. Ein erheblicher Teil des Insider-Datendiebstahls passiert in den letzten Wochen.

Fazit

Insider-Bedrohungen sind schwer zu erkennen, weil sie von Menschen mit legitimem Zugang ausgehen und ihr Handeln zunächst wie normale Arbeit aussieht. Die drei Typen, böswillig, fahrlässig, kompromittiert, sehen in den Logs gleich aus, und nur das Verhalten über die Zeit unterscheidet sie: massenhafter Zugriff, fehlender Aufgabenbezug, ungewöhnliche Zeiten, Abfluss nach außen. Die Erkennung setzt deshalb auf Verhaltensanalyse, und ihre größte Herausforderung ist die Balance zwischen Wirksamkeit und dem Schutz der Privatsphäre, die über Verhältnismäßigkeit, Transparenz und die Einbindung von Betriebsrat und Datenschutz gelingt. Für ein Blue Team sind minimale Rechte, die Überwachung der Kronjuwelen, Köder, DLP und ein abgesicherter Ausscheidungsprozess die wirksamsten Hebel, und die wichtigste Haltung ist, das Thema ernst zu nehmen, ohne die eigene Belegschaft unter Generalverdacht zu stellen.