Insider Threats sind Risiken durch Personen mit legitimem Zugang: Mitarbeitende, Dienstleister, Partner. Das Spektrum reicht vom fahrlässigen Insider (Fehlversand, umgangene Regeln, Phishing-Opfer) über den böswilligen (Datendiebstahl beim Abgang, Sabotage) bis zum kompromittierten — dessen Konto ein externer Angreifer übernommen hat.
Das Tückische: Innentäter überwinden keinen Perimeter — sie sind schon drin. Klassische Außenverteidigung sieht sie nicht; es braucht Kontrollen, die auch legitimen Zugriff hinterfragen.
Die drei Insider-Typen und ihre Muster
Der fahrlässige Insider verursacht die meisten Vorfälle — nicht aus Absicht, sondern durch Bequemlichkeit und Fehler. Der böswillige handelt gezielt, oft im Kontext von Kündigung oder Konflikt; typisch sind ungewöhnliche Massen-Downloads und private Cloud-Ablagen kurz vor dem Abgang. Der kompromittierte Insider ist formal extern: gestohlene Zugangsdaten machen den Angreifer zum scheinbaren Kollegen.
Die Abwehr ist für alle drei ähnlich: Least Privilege begrenzt, was ein Konto überhaupt erreicht; Offboarding entzieht Rechte am letzten Tag, nicht Wochen später; Verhaltenssignale — untypische Zugriffe, Volumina, Zeiten — machen Missbrauch sichtbar, egal ob der Mensch oder sein gestohlenes Konto handelt.
Wirksame Kontrollen gegen Innentäter
- Least Privilege und Rezertifizierung: Niemand behält Rechte auf Vorrat.
- Konsequentes Offboarding — inklusive Dienstleister- und Technikkonten.
- DLP und Egress-Monitoring an den Wegen nach draußen.
- Vier-Augen-Prinzip für kritische Aktionen statt Alleingänge.