Insider Threats sind kein IT-Problem – sie sind eine Personalfrage

Die unterschätzte Bedrohung

Wenn Unternehmen über Cyberrisiken sprechen, denken die meisten zuerst an Angreifer von außen. Ransomware, ein raffinierter Hacker oder Social Engineering, das sich als IT-Support ausgibt. Die klassische Security-Logik blickt nach außen, denn dort vermutet man die Gefahr, und Budgets fließen entsprechend vor allem in die Abwehr externer Angriffe. Doch stellen Sie sich einmal die unbequeme Frage: Was ist eigentlich Ihr größtes Insider-Risiko? Die meisten Unternehmen können diese Frage nicht beantworten, obwohl die Zahlen eine klare Sprache sprechen. Laut einer Bitkom-Studie werden 23 Prozent der Schäden durch vorsätzlich handelnde interne Beschäftigte verursacht oder zumindest begünstigt, und auch der bekannte Data Breach Investigations Report zeigt seit Jahren, dass der Mensch im eigenen Unternehmen zu den größten Risikofaktoren zählt. Insider-Bedrohungen sind damit kein Randthema, sondern ein zentraler Bestandteil jeder ernsthaften Sicherheitsstrategie.

Es gibt dabei unterschiedliche Arten von Insider-Bedrohungen: vorsätzlich böswillige Insider, unbeabsichtigt fahrlässige Benutzer sowie kompromittierte Zugänge ehemaliger Mitarbeiter oder Auftragnehmer, deren Berechtigungen nie konsequent entzogen wurden. Gerade die Kompromittierung von Zugangsdaten wird in vielen Unternehmen sträflich vernachlässigt, obwohl sie sich mit klaren Offboarding-Prozessen leicht vermeiden ließe. Und diese Insider-Risiken beginnen nicht erst im System, sondern häufig schon lange vorher, in der Art und Weise, wie Teams zusammengestellt und Rollen besetzt werden. Die Bedrohung durch Insider betrifft dabei jede Unternehmensgröße gleichermaßen, vom Mittelstand bis zum Konzern, denn überall arbeiten Menschen mit Zugriff auf sensible Daten und vertrauliche Informationen.

Warum Technik allein nicht reicht

IAM, DLP, SIEM und ein gut aufgestelltes SOC schaffen wertvolle Sichtbarkeit. Access Management, Data Loss Prevention und Behavior Analytics zeigen, wer worauf zugreift, welcher Benutzer ungewöhnlich viele Daten herunterlädt und wann verdächtige Aktivitäten auftreten. Selbst ein Anbieter wie Microsoft investiert massiv in solche Systeme zur Überwachung von Zugriffsrechten. Doch Sichtbarkeit ist nicht gleichbedeutend mit Verständnis. Diese Tools erkennen Zugriffe, Downloads und Auffälligkeiten im System, aber keine Motivation. Zugriff bedeutet nicht automatisch Sicherheit, denn die gefährlichsten Handlungen finden häufig innerhalb völlig legitimer Berechtigungen statt.

Ein Benutzer mit Privileged Access und dem Principle of Least Privilege im Regelwerk kann trotzdem zur Schwachstelle werden, wenn Frust, Überlastung oder böswillige Absichten ins Spiel kommen. Selbst die besten Sicherheitskontrollen und die klarste Richtlinie taugen als Frühwarnsystem wenig, wenn sie nur auf Protokolldaten im System schauen. Frust, soziale Isolation und Unzufriedenheit lassen sich nicht per Report auslesen, und genau deshalb bleibt die Gefahr durch Insider Threats auch mit modernster Technik schwer zu erkennen. Genau hier liegt die Grenze jeder rein technischen Herangehensweise: Wer nur auf Alarme wartet, reagiert immer zu spät.

Der Eisberg und die Recruiting-Lücke darunter

Ein Vorfall ist immer nur die Spitze des Eisbergs. Sichtbar wird meist nur der Moment, in dem vertrauliche Daten abfließen, der Zugriff auf vertrauliche Daten missbraucht wird oder der Diebstahl geistigen Eigentums entdeckt wird. Was darunter liegt, bleibt für die meisten Systeme unsichtbar: Überlastung, Unterbewertung, Überforderung, Frust und soziale Isolation. Diese Treiber entstehen selten über Nacht. Sie entstehen oft schon bei der Personalauswahl und der Zusammenstellung von Teams, durch falsche Rollenpassung, durch Überlastung infolge chronischer Unterbesetzung oder durch unklare Verantwortlichkeiten. Ein Hinweis auf eine potenzielle Insider-Bedrohung zeigt sich also oft nicht zuerst im Log, sondern im Arbeitsalltag: sinkendes Engagement, wachsender Frust, spürbare Distanz zum Team.

Genau hier setzt die professionelle Personalberatung an. Das frühzeitige Erkennen von Insider-Bedrohungen beginnt nicht im SOC, sondern im Vorstellungsgespräch, in der Referenzprüfung und in der ehrlichen Einschätzung, ob eine Rolle überhaupt zur Person passt. Sowohl böswillige Insider-Bedrohungen als auch potenzielle Insider-Bedrohungen aus Fahrlässigkeit lassen sich so deutlich reduzieren, bevor sie überhaupt entstehen. Es geht nicht nur darum, offene Stellen zu besetzen, sondern auch strukturell vorzubeugen und das Risiko von Insider-Bedrohungen von Beginn an zu reduzieren. Wer die richtigen Menschen mit der richtigen Rollenpassung einstellt, schafft eine erste, oft unterschätzte Sicherheitskontrolle, lange bevor IT-Systeme oder DLP-Lösungen überhaupt greifen müssen.

Sicherheitskritische Rollen richtig besetzen – Erstgespräch buchen

Silodenken durchbrechen, auch beim Teamaufbau

In vielen Unternehmen sieht HR das Verhalten, die IT sieht die Logs, und Compliance sieht nur die Vorgaben. Doch niemand sieht das Gesamtbild. Diese Fragmentierung ist selbst ein Sicherheitsrisiko, denn Warnsignale und Indikatoren für Insider-Bedrohungen verteilen sich auf mehrere Abteilungen, die selten miteinander sprechen. Anzeichen für eine Insider-Bedrohung, etwa ein plötzlicher Zugriff außerhalb des gewohnten Aufgabenbereichs, fallen so leicht durch das Raster. Aus Recruiting-Perspektive lässt sich das ändern: Wenn Teams von Anfang an mit klar definierten Rollen und eindeutigen Verantwortlichkeiten aufgebaut werden, verringert sich diese Fragmentierung spürbar, und Insider-Bedrohungen lassen sich strukturell leichter bekämpfen.

Ein konkretes Beispiel sind privilegierte Rollen wie die von Administratoren. Hier braucht es bei der Besetzung deutlich mehr als nur reine Fachkompetenz. Zuverlässigkeit, Belastbarkeit und Teamfähigkeit gehören ebenso in die Auswahl wie technisches Know-how, denn genau diese Rollen mit weitreichenden Zugriffsrechten und Zugang zu sensiblen Daten sind im Ernstfall besonders anfällig für Bedrohungen durch böswillige Insider oder unbeabsichtigtes fahrlässiges Verhalten.

NIS-2 als Weckruf

Mit NIS-2 reicht es nicht mehr, Maßnahmen einfach umzusetzen und eine Schulung anzubieten. Risiken müssen aktiv verstanden, bewertet, gesteuert und klar verantwortet werden. Für das Recruiting bedeutet das eine deutliche Aufwertung: Die richtige Besetzung sicherheitskritischer Rollen wird zur compliance-relevanten Managementaufgabe. Unternehmen, die ein belastbares Insider-Risk-Management aufbauen wollen, müssen also nicht nur in Tools und Sicherheitsschulungen investieren, sondern auch in die Qualität ihrer Personalentscheidungen. Best Practices bei der Abwehr von Insider-Bedrohungen berücksichtigen deshalb heute beides gleichermaßen, Technologie und Menschen.

Ein durchdachtes Insider-Threat-Programm beginnt nicht beim ersten Werkzeug, sondern bei der Stellenausschreibung, dem Interview und der Referenzprüfung. Wer Insider-Bedrohungen bekämpfen will, ohne die Personalauswahl mitzudenken, bekämpft nur die Symptome, nicht die Ursache. Auch das Zusammenspiel von IT, HR und der Fachabteilung muss dabei klar geregelt sein, damit Verantwortlichkeiten im Ernstfall nicht zwischen den Stühlen verloren gehen. Genau deshalb bringen wir bei Gallmond Personalauswahl und Sicherheitsdenken zusammen, statt beides getrennt zu betrachten, denn nur so entsteht ein Team, das einer Prüfung durch Auditoren und Aufsichtsbehörden tatsächlich standhält.

Fazit: Bessere Führung statt nur besserer Technik

Insider-Risiken verschwinden nicht durch bessere Technik allein. Sie verschwinden durch bessere Führung, durch klare Rollen und durch die richtige Zusammenstellung von Teams von Anfang an. Wer die Sicherheitskultur ernst nimmt, sollte Zero-Trust-Prinzipien verankern, moderne Data-Loss-Prevention einsetzen und regelmäßig schulen: Schulen Sie Ihre Mitarbeiter nicht nur zu Phishing und externen Gefahren, sondern auch dazu, Warnsignale im eigenen Team frühzeitig anzusprechen. Denken Sie dabei zugleich einen Schritt weiter zurück, nämlich zur Frage, wer überhaupt eingestellt wird und wie Teams entstehen.

Gallmond unterstützt Unternehmen genau an dieser Stelle: Wir helfen dabei, sicherheitskritische Positionen mit den richtigen Menschen zu besetzen, damit aus potenziellen Insider-Bedrohungen erst gar keine echten Vorfälle werden und Ihr Unternehmen nachhaltig geschützt bleibt. Denn am Ende schützt keine Software allein Ihr Unternehmen, sondern die Menschen, die Sie einstellen, wie Sie sie führen und wie ernst Sie es meinen, wenn jemand im Team zum ersten Mal sagt, dass etwas nicht stimmt.