Insider Threats erkennen und verhindern: Ein Programmierungsguide

Der gefährlichste Angreifer ist derjenige, der bereits drin ist. Insider Threats - ob böswillig, fahrlässig oder kompromittiert - verursachen die kostspieligsten Sicherheitsvorfälle. Der durchschnittliche Insider-Threat-Vorfall kostet 15,4 Millionen USD pro Organisation und bleibt im Durchschnitt 77 Tage unentdeckt (IBM Cost of Insider Threat 2023).

Die drei Insider-Threat-Kategorien

Kategorie 1: MALICIOUS INSIDER (böswilliger Insider)

Motivation:

• Finanzielle Not / Geldgier (häufigste Ursache)
• Rache nach Kündigung oder Beförderungsablehnung
• Ideologische Überzeugung (Hacktivismus)
• Erpressung durch externe Kriminelle oder Geheimdienste

Typisches Verhalten:

• Massendownload von Daten kurz vor Kündigung
• Zugriff auf Systeme außerhalb des Arbeitsbereichs
• Deaktivierung von Sicherheitssoftware
• Anlegen versteckter Backdoors
• Verkauf von Zugangsdaten im Darknet

Reale Fälle:

• Tesla 2023: Mitarbeiter kopierte 100.000 Kundendatensätze auf externe USB
• Roper Technologies 2018: IT-Admin pflanzte Logic Bomb ein (Zeitbombe)
• Apple 2018: Mitarbeiter stahl autonome Fahrzeug-Technologie an Konkurrenten

Kategorie 2: NEGLIGENT INSIDER (fahrlässiger Insider)

Der häufigste Typ - keine böse Absicht, aber gefährliche Auswirkungen:

• Klickt auf Phishing-Link → Angreifer hat Zugriff
• Schickt sensitive Daten an falsche E-Mail-Adresse
• Nutzt ungesichertes WLAN für vertrauliche Dokumente
• Lädt Kundendaten auf privates Dropbox hoch (“zum Arbeiten von zu Hause”)
• Schwache Passwörter, gleiche Passwörter für privat und geschäftlich

~56% aller Insider-Vorfälle sind fahrlässig (nicht böswillig). Das bedeutet: Security Awareness Training ist der wichtigste Präventionshebel!

Kategorie 3: COMPROMISED INSIDER (kompromittierter Insider)

• Mitarbeiter-Account übernommen (Phishing, Credential Stuffing)
• Kein Wissen des Mitarbeiters - Angreifer nutzt seine Identität
• Schwieriger zu erkennen: legitime Credentials

Erkennungsansätze:

• Impossible Travel: Login aus Frankfurt um 10:00, aus Tokio um 10:30
• Ungewöhnliche Zugriffszeit: Buchhalterin loggt sich um 3 Uhr morgens ein
• Neue Geräteanmeldung: Account auf nie-gesehenem Gerät
• Microsoft Entra Risk Detections deckt diese Szenarien ab

Verhaltensbasierte Warnsignale

Wichtig: Einzelne Signale sind harmlos. Mehrere Signale in Kombination = Eskalation zu HR/Sicherheitsteam!

Technische Indikatoren

Datenzugriff:

• Zugriff auf Daten außerhalb des eigenen Verantwortungsbereichs
• Massendownload (> 100 Dateien/Stunde oder > 1 GB/Tag)
• Zugriff auf Personalakten von Kollegen (kein HR-Mitarbeiter)
• Sensitives Dokument per E-Mail an Privatadresse gesendet
• USB-Gerät angeschlossen außerhalb normaler Arbeitszeiten

Kontozugriff:

• Mehrere fehlgeschlagene Authentifizierungsversuche an Systemen außerhalb der Rolle
• Privileged Access außerhalb normaler Zeiten (Admin-Login an Weihnachten)
• Neues Gerät / neuer Browser für Account-Login
• Deaktivierung oder Umgehung von Sicherheitstools

Netzwerkverhalten:

• Upload großer Mengen an Cloud-Storage-Dienste (Dropbox, Google Drive privat)
• DNS-Anfragen an externe File-Sharing-Dienste
• Verschlüsselter Tunnel zu unbekanntem externen Host
• Datenübertragung kurz vor Feierabend oder an Wochenenden

Organisatorische Signale (Kombination mit technischen)

• Ankündigung einer Kündigung (häufigster Risikomoment!)
• Beförderungsablehnung oder Gehaltsstreit
• Kürzlich verhängtes Disziplinarverfahren
• Finanzielle Schwierigkeiten bekannt (Privatinsolvenz, Scheidung)
• Ungewöhnliche Fragen nach Kollegen-Zugängen oder Systemen

Verhaltensanalyse vs. Überwachung

Zulässige Verhaltenserkennung (datenschutzkonform):

• Anonymisierte Anomalie-Erkennung (Muster, nicht Inhalt)
• Zugriffslogs auf Unternehmens-IT-Systeme
• DLP-Regeln für sensitives Material (Kreditkartennummern, Personaldaten)
• Netzwerk-Flow-Daten (wer mit wem, wann, wie viel)

NICHT zulässig ohne besondere Rechtsgrundlage:

• Lesen privater Mitteilungen (WhatsApp, private E-Mails)
• Keylogger (Protokollierung aller Tastatureingaben)
• Screenshot-Überwachung im Sekunden-Takt
• GPS-Tracking privater Smartphones
• Vollständige E-Mail-Kontrolle ohne konkreten Verdacht

UEBA: User and Entity Behavior Analytics

Was UEBA macht

• Lernt “normales” Verhalten für jeden User und jede Entität
• Erkennt Abweichungen statistisch (Baselining)
• Erzeugt Risk Scores - kein manuelles Regelschreiben nötig

Microsoft Sentinel UEBA

Aktivierung:

Sentinel → Configuration → Settings → “UEBA” → Enable

Anomalie-Beispiele die Sentinel erkennt:

• Erster Login in x Tagen
• Login außerhalb normaler Arbeitszeit
• Daten-Upload-Menge signifikant über Normal
• Zugriff auf ungewöhnliche Dateipfade
• Unmöglicher Reiseweg (Impossible Travel)

KQL-Query für verdächtige Benutzer:

BehaviorAnalytics
| where ActivityType == "AnomalousFileAccess"
  or ActivityType == "AnomalousDataDownload"
| summarize AnomalyCount = count() by UserPrincipalName, bin(TimeGenerated, 1d)
| where AnomalyCount > 5
| order by AnomalyCount desc

Splunk UBA

• Machine-Learning-basiert
• Peer-Group-Analysis: Vergleich mit ähnlichen Rollen/Abteilungen
• Threat Models: vordefinierte Insider-Threat-Szenarien

Exabeam

• Timeline-Visualisierung: alle Aktivitäten eines Users in Zeitlinie
• Risk Score aggregiert über Zeit
• Automatische Insider-Threat-Erkennung (Smart Timelines)

DLP als Ergänzung (Microsoft Purview DLP)

Regeln für sensitive Informationstypen (IBAN, Sozialversicherungsnummer). Block oder Warn wenn sensitives Material:

• Per E-Mail nach außen gesendet
• Auf USB-Gerät kopiert
• In nicht-genehmigten Cloud-Dienst hochgeladen

Beispiel-Policy:

• Name: “Kreditkartendaten-Schutz”
• Bedingung: E-Mail enthält > 1 Kreditkartennummer
• Aktion: Block Versand, Benachrichtigung IT-Security, Incident erstellen

Insider Threat Program aufbauen

1. Governance und Policy

• Insider-Threat-Policy dokumentiert (was ist verboten, was wird überwacht)
• Mitarbeiter informiert über Monitoring (Transparenz + rechtliche Pflicht!)
• Betriebsrat / Mitarbeitergremium einbezogen (Deutschland: Pflicht!)
• Eskalationsprozess: wer entscheidet über Untersuchungen?

2. Technische Kontrollen

• DLP-System (Microsoft Purview, Symantec DLP)
• UEBA (Microsoft Sentinel, Exabeam, Splunk UBA)
• Privileged Access Management (PAM): Session Recording
• USB-Port-Kontrolle (Intune: Geräterichtlinie)
• Cloud App Security: Monitoring von Cloud-Diensten (MCAS/Defender for Cloud Apps)

3. Prozessuale Kontrollen

• Offboarding-Prozess: Zugang am letzten Arbeitstag deaktivieren! (nicht eine Woche später - AM LETZTEN TAG!)
• Access Reviews: quartalsweise, bei Rollenwechsel sofort
• Separation of Duties: Vier-Augen-Prinzip für kritische Aktionen

4. Awareness und Kultur

• Mitarbeiter kennen Verhaltens-Richtlinien (AUP)
• Melde-Kultur: Verdächtige Aktivitäten melden ohne Angst vor Konsequenzen
• “See Something, Say Something” - Kampagne intern

Datenschutz und Mitbestimmung (Deutschland)

Betriebsrat-Beteiligung (§87 BetrVG)

Einführung technischer Einrichtungen zur Verhaltens-/Leistungskontrolle MUSS mit Betriebsrat vereinbart werden (Betriebsvereinbarung!). Ohne Betriebsvereinbarung: UEBA, DLP, Monitoring technisch unzulässig!

Inhalte einer Betriebsvereinbarung

• Was wird erfasst (Logs, Aktivitätsdaten)
• Zweck (Sicherheit, nicht Leistungskontrolle!)
• Wer hat Zugriff auf Daten
• Löschfristen
• Eskalationsprozess bei Verdacht
• Anonymisierung bei Auswertung

DSGVO-Grundlagen für Monitoring

• Rechtsgrundlage Art. 6 Abs. 1 lit. f: Berechtigtes Interesse
• Muss verhältnismäßig sein
• Einzel-Inhalts-Kontrolle (E-Mail lesen) nur bei konkretem Verdacht
• Protokollierte Zugriffsversuche auf Systeme: zulässig

In Deutschland ist Insider-Threat-Monitoring möglich - aber nur mit Betriebsvereinbarung und datenschutzkonformer Umsetzung.

---

Insider Threats sind das unbequeme Thema der Cybersicherheit - weil es um das Vertrauen in eigene Mitarbeiter geht. Ein gutes Insider-Threat-Programm schützt aber nicht nur das Unternehmen, sondern auch ehrliche Mitarbeiter vor falschen Verdächtigungen. AWARE7 unterstützt beim Aufbau verhältnismäßiger und rechtssicherer Insider-Threat-Programme.

Sicherheitsberatung anfragen | Penetrationstest Netzwerk