So wird man zum Innentäter

Hacker inside: So greifen Insider an

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die möglichen Angriffe durch Innentäter bereits 2013 beschrieben und dabei vor allem drei Handlungsmuster festgehalten:

Data Leakage: Dieser Begriff umschreibt den Verlust, beziehungsweise den Diebstahl von Informationen durch Zugriffsmöglichkeiten auf Fileserver, Datenträger oder die IT-Systeme.

Social Engineering: Zwischenmenschliche Manipulation findet insbesondere zur Vorbereitung von Folgeangriffen statt, beispielsweise durch Ermittlung von Ansprechpartnern, Prozessbeschreibungen, IT-Architekturen oder Steuerprogrammen. Personen mit Zugang zu bestimmten Bereichen könnten zudem andere Mitarbeiter dazu verleiten, Software zu installieren, Konfigurationsänderungen vorzunehmen oder kryptografische Schlüssel herauszugeben. Das Ziel: die Eröffnung von Angriffspfaden.

Sabotage: Oftmals begründet durch politische oder wirtschaftliche Interessen ist dies eine Angriffsform, bei der eine erhöhte Bedrohung durch Innentäter ausgeht.

Dass sich bereits viele Unternehmen dieser Problematiken bewusst sind, zeigen zum Beispiel die Studienergebnisse von KPMG: Acht von zwölf der meistgenannten Ursachen für Internetkriminalität sind demnach Innentätern zuzuordnen.

Besonders hervorzuheben ist in diesem Zusammenhang auch das unbeabsichtigte Fehlverhalten von Mitarbeitern. In einer Umfrage der vom BSI initiierten Allianz für Cybersicherheit war dies der meistgenannte Grund hinter "erfolgreichen" Hackerangriffen.

So brachte es beispielsweise ein technischer Mitarbeiter von Amazon zu unbeabsichtigtem "Innentäter-Ruhm" - und verursachte dabei einen Schaden von mehr als 150 Millionen Dollar. Was war passiert? Der Mitarbeiter führte eine routinemäßige Server-Wartung durch und beschloss zur Beschleunigung seiner Arbeitsaufgabe, mehr Server als üblich direkt in die Wartung zu setzen und mit neuer Software zu versorgen. Blöderweise verursachte diese Entscheidung eine Kettenreaktion durch die unzählige Webshops und Webdienste über Stunden nicht mehr erreichbar waren.

Fälle wie dieser sind in Unternehmen jeder Größe denkbar. Ebenso wie folgender Fall: Ein Mitarbeiter tauscht sich regelmäßig in verschiedenen Chats mit anderen Menschen über sein Hobby aus. Dort wird er von einem externen Hacker gefunden und kontaktiert. Ist erstes Vertrauen aufgebaut, schickt dieser eine infizierte Datei - und hört, beziehungsweise liest ab diesem Zeitpunkt mit. Diese Form des Social Engineering führt nicht unmittelbar zu einer missbräuchlichen Folgehandlung. Der Täter wartet nun ab, bis der Mitarbeiter über sein Facebook-Profil beispielsweise seine Hochzeitsreise ankündigt. Nach der Abreise in die Flitterwochen folgt der "Zugriff". Mit den Zugangsdaten des Urlaubers kann der Hacker nun voraussichtlich unbehelligt Daten stehlen.

Häufig geht mit der Veröffentlichung von Hacks und Kompromittierungen durch Innentäter auch ein enormer Imageschaden für Unternehmen einher. Kein Wunder: Wer vertraut schon einem Webshop, der die eigenen Kunden beziehungsweise deren Accounts nicht schützen kann? Ebay durchlebte diese schmerzhafte Erfahrung bereits im März 2014. Damals wurden über gehackte Mitarbeiter-Konten mehr als 145 Millionen Passwörter und E-Mail-Adressen gestohlen. Die Aktie des US-Unternehmens brach nach Bekanntwerden des Hacks massiv ein.

Fazit: So schützen sich Unternehmen

Compliance-Richtlinien alleine reichen nicht aus, um Innentäter beziehungsweise Hacks und Angriffe durch diese zu verhindern. Klare Verhaltensregeln - auch im Umgang von Kollegen und Führungskräften untereinander - sowie geeignete, interne Kontrollsysteme sind zusätzlich unabdingbar.

Die größte Herausforderung für die IT-Sicherheit bleibt die (frühzeitige) Erkennung krimineller oder schädlicher Aktivitäten. Allerdings kann bereits das einfache Monitoring von Mitarbeiteraktivitäten auf kritischen Systemen bei einem Sicherheitsvorfall die Kapazitäten der IT-Security-Abteilung sprengen. Zudem kann ein solches Vorgehen bei den überwachten Mitarbeitern zu großem Unmut führen, da ihre gesamte Arbeitsleistung unter Generalverdacht steht. Ein generelles Aufzeichnen aller Aktivitäten des Mitarbeiters - ohne dass dabei eine konkrete Gefahr für das Unternehmen besteht - verstößt ohnehin gegen das Computergrundrecht.

Der Versuch, IT-Sicherheit nur mit technischen Mitteln zu erreichen, ist sehr wahrscheinlich zum Scheitern verurteilt. Durch das Outsourcing von Abteilungen oder Dienstleistungen sinkt diese Wahrscheinlichkeit noch einmal. Denn weitere neue und ungeschulte Personen, die in die IT-Sicherheit einbezogen werden müssen, eröffnen zusätzliche Schwachstellen und Fehlerquellen im Unternehmen. Im Umgang mit kritischen Systemen und im IT-Sicherheitsmanagement ganz allgemein nimmt der Faktor Mensch nun einmal die Hauptrolle ein.

Unternehmen sollten sich in jedem Fall aktiv mit dem Thema Innentäter auseinandersetzen. Ein einfaches Monitoring oder Fokussieren auf Log-Files ist hier nicht ausreichend und vermittelt darüber hinaus allzu oft ein falsches Gefühl von Sicherheit. Ein schlichtes Log-File-Management-Monitoring bildet zudem keinen kompletten Nachweis zur Sicherstellung der EU-Datenschutz-Grundverordnung dar. Eine komplette Prozessabbildung durch Applikations-Log-Files wird nie möglich sein, zumal nicht sämtliche Prozessschritte der Anwender in einer einzelnen Applikation durchgeführt oder angezeigt werden können.

Durch aktive Schulungsmaßnahmen für die Mitarbeiter werden mögliche Fehlerquellen minimiert. Gleichzeitig erlaubt dieses Vorgehen eine Protokollierung der Mitarbeiter-Aktivitäten in der Produktionsumgebung. Beim Monitoring sollte weiterhin immer auf die Erfassung von Metadaten geachtet werden, so dass eine schnelle Auswertung und Datensparsamkeit gemäß BDSG gewährleistet werden kann. Die Kombination von Schulungs- und Monitoring-Applikationen ist somit ausdrücklich zu empfehlen. (fm)