Anzeichen für Insiderangriffe werden meist übersehen

Mehr als die Hälfte der Unternehmen findet es laut einer Studie schwierig, die Zeichen für einen Cyberangriff richtig zu deuten, insbesondere dann, wenn die Angreifer aus den eigenen Reihen kommen.

Cybersicherheit ist eines der wichtigsten Themen für Unternehmen weltweit, denn Angriffe mit Schadprogrammen wie Ransomware und Cyberspionage sind weiter auf dem Vormarsch. Doch nicht immer müssen die Angreifer von außen kommen, auch Insider können ein Sicherheitsrisiko darstellen. Da wäre beispielsweise der Mitarbeiter, der demnächst in ein anderes Unternehmen wechselt und für seinen neuen Job gerne einige Daten des alten Arbeitgebers mitnehmen möchte. Oder der Angestellte, der zum dritten Mal bei der Beförderung übergangen wurde und jetzt auf Rache sinnt. Situationen, in denen Firmenangehörige ganz bewusst zum Sicherheitsrisiko werden, gibt es viele. Doch wie kann man sich vor solchen Insiderjobs schützen?

Sicherheitsexperten des Security-Thinktanks Ponemon Institute und des Cybersicherheitsunternehmens DTEX Systems haben nun in einer Studie untersucht, wie gut Unternehmen auf die Bedrohung aus den eigenen Reihen vorbereitet sind – und ob sie überhaupt in der Lage sind, einen solchen Angriff zu erkennen. Das Ergebnis: Mehr als die Hälfte der Unternehmen hält es für schwierig bis unmöglich, Insiderattacken zu erkennen und zu verhindern. Doch mit dieser Einschätzung liegen die Befragten falsch, denn es gibt deutliche Anzeichen dafür, dass ein Mitarbeiter einen Angriff oder Sicherheitsverstoß plant.

Dazu zählt beispielsweise eine ungewöhnlich große Menge an Dateizugriffen, insbesondere auf Daten, die mit den täglichen Aufgaben des Mitarbeiters nicht viel oder gar nichts zu tun haben. Auch der Gebrauch von privaten USB-Sticks und anderen Speichermedien sollte zu denken geben. Umgehen Mitarbeiter bewusst Sicherheitssysteme oder versuchen, ihre Aktivitäten im Internet zu verschleiern, sollte dem ebenfalls sofort nachgegangen werden. Nicht nur, um Insiderangriffe zu verhindern, sondern auch, weil das Unternehmen so anfälliger für Attacken von Dritten ist.

Insgesamt kommen die Sicherheitsforscher zu dem Ergebnis, dass die meisten Angriffe aus den eigenen Reihen bestimmten Mustern folgen, die, wenn man sie erkennt und richtig interpretiert, als Frühwarnsystem dienen können, um das Schlimmste zu verhindern. Doch in vielen Fällen sorgen unklare Zuständigkeiten und fehlende Tracking-Möglichkeiten dafür, dass diese Anzeichen nicht erkannt werden können. Die beste Möglichkeit für Unternehmen, ihre Fähigkeit zur Erkennung von Insider-Bedrohungen zu verbessern, liegt laut der Studie daher darin, eine klar zuständige Instanz für die Kontrolle des Risikos zu bestimmen. Diese sollte in der Lage sein, verdächtige Aktivitäten zu untersuchen, um direkt einzuschreiten und so die gesamte Sicherheitslage des Unternehmens zu verbessern. Darum kümmert sich zum Beispiel ein Security Operations Center (SOC), das mittels Security Monitoring und Endpoint Detection and Response (EDR) in der Lage ist, verdächtige Vorgänge sichtbar zu machen und Bedrohungen aktiv abzuwehren – auch aus den eigenen Reihen.

www.8com.de