Der unterschätzte Innentäter: Warum enge Zugriffsrechte besser schützen als Überwachung

Gegen einen Innentäter hilft die Firewall allein nicht, wenn er sich mit einem legitimen Konto anmeldet. Auffälliges Verhalten lässt sich zwar überwachen, aber nicht lückenlos und häufig erst während oder nach dem Versuch eines Datenabflusses erkennen. Die wichtigste präventive Stellschraube ist deshalb der Umfang der tatsächlich wirksamen Zugriffsrechte.

• Ein Innentäter nutzt häufig ein eigenes oder anderweitig legitimes Konto und missbraucht vorhandene Zugriffsrechte. Dieser Beitrag konzentriert sich auf absichtlichen Missbrauch. Unbeabsichtigte Insider-Risiken durch Fehler oder Nachlässigkeit sind ein eigenes Thema.
• Für absichtlichen Missbrauch gibt es kein eindeutiges Täterprofil. Mögliche Auslöser sind Frust, finanzielle Notlagen oder Neugier. Entscheidend für das Schadenspotenzial ist, ob diese Motivation auf zu weit gefasste Zugriffsrechte trifft.
• Verhaltensanalyse, Data Loss Prevention und Protokollierung können auffällige Aktivitäten erkennen. Sie arbeiten jedoch nicht lückenlos, erzeugen Auswertungsaufwand und reagieren häufig erst während oder nach dem Versuch eines Datenabflusses.
• Das Prinzip der minimalen Rechte begrenzt den möglichen Schaden bereits vor einem Vorfall. Im Ernstfall kann eine nachvollziehbare Rechtevergabe außerdem den Kreis der zu prüfenden Konten und Personen deutlich eingrenzen.
• Bei technischen Einrichtungen zur Überwachung von Verhalten oder Leistung ist die Mitbestimmung nach Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz zu beachten. Vollständige und manipulationsgeschützte Protokolle können sowohl Verdachtsmomente erhärten als auch Beschäftigte entlasten.

Wenn ich mit IT-Leitern über Sicherheit spreche, beginnt das Gespräch an der Außengrenze: Firewall, Mehrfaktor-Authentifizierung, Schulungen gegen Phishing. Das ist richtig und in vielen Unternehmen bereits gut umgesetzt. Der Angreifer, über den wir dann noch nicht sprechen, sitzt möglicherweise drei Türen weiter.

Ein Angreifer von außen muss zunächst Zugang erlangen. Ein Innentäter verfügt häufig bereits über ein legitimes Konto und hat damit eine zentrale Hürde überwunden. Er öffnet die Verzeichnisse, für die er freigeschaltet ist, und kopiert, was er dort findet. Firewall und Mehrfaktor-Authentifizierung schützen weiterhin das Konto und den Zugang, blockieren aber keinen Zugriff, den dieses Konto formal ausführen darf. Die ersten Fälle dieser Art habe ich 2009 und 2010 gesehen, und das Muster hat sich seitdem nicht grundlegend verändert. Verändert hat sich, wie leicht Daten das Unternehmen verlassen können. Früher brauchten Täter eine externe Festplatte, heute kann ein privates Cloud-Konto genügen. Ein sehr umfangreicher Berechtigungsreport ist deshalb ein Warnsignal: Er zeigt, dass fachlich nicht erforderliche Zugriffe wahrscheinlich sind und geprüft werden sollten. Ein Beweis für einen bereits erfolgten Missbrauch ist er nicht.

Ein eindeutiges Profil des absichtlich handelnden Innentäters gibt es nicht, und Klischees führen an dieser Stelle in die Irre. Nach meiner Beratungserfahrung entstehen kritische Situationen häufig aus Frust, finanziellen Notlagen oder schlichter Neugier. In Bewerbungsgesprächen erlebe ich beispielsweise immer wieder, dass nicht die Aufgabe selbst, sondern Konflikte mit der Führungskraft den Ausschlag für einen Wechsel geben. Das macht Frust nicht automatisch zum Sicherheitsrisiko. Gefährlich wird er erst, wenn ein Mitarbeiter zugleich auf Daten zugreifen kann, die er für seine Aufgabe nicht benötigt. Auch finanzieller Druck kann Entscheidungen beeinflussen. Der dritte Treiber ist Neugier: Wer auf ein Verzeichnis namens „Umstrukturierung bis 2028“ stößt und darauf zugreifen darf, wird möglicherweise hineinsehen.

Die konkrete Wahrscheinlichkeit eines solchen Vorfalls lässt sich nicht seriös an einer bestimmten Mitarbeiterzahl festmachen. Mit wachsender Organisation steigt jedoch die Zahl möglicher Situationen, in denen menschliche Ausnahmelagen auf zu weit gefasste Rechte treffen. Wie daraus ein konkreter Schaden werden kann, zeigt der folgende Ablauf.

Innentäter müssen nicht nachts arbeiten. Aktivitäten während der regulären Arbeitszeit können sogar unauffälliger wirken. Ein Fall aus meiner Beratungsarbeit macht den Ablauf greifbar.

In einem Softwareunternehmen hatte ein Entwickler mit seinem Vorgesetzten großen Streit. Er kopierte den Quellcode, an dem er ohnehin täglich arbeitete, und lud rund neunzig Prozent davon in ein öffentliches Repository. Den Rest behielt er zurück und drohte damit, auch ihn freizugeben. Der Abfluss selbst fiel zunächst niemandem auf, und zwar aus einem einfachen Grund: Der Entwickler griff auf Daten zu, für die er formal berechtigt war. Eine klassische Zugriffskontrolle blockiert oder meldet einen solchen Zugriff nicht automatisch. Abhängig von ihrer Konfiguration könnten Data-Loss-Prevention- oder Verhaltensanalysesysteme jedoch ungewöhnliche Kopier- und Uploadvorgänge erkennen. In diesem Fall wurde der Vorfall erst bemerkt, als der Code öffentlich auftauchte und jemand von außen den Entwicklungsleiter darauf ansprach. Besonders auffällig wäre ein zusätzlicher Zugriff auf Vertriebs- oder Marketingdaten gewesen, für den es keinen fachlichen Grund gab. Genau daraus lässt sich eine Liste brauchbarer Signale ableiten.

Fünf Signale tauchen in den Fällen auf, die ich begleitet habe. Keines davon beweist für sich allein einen Missbrauch. In Kombination können sie jedoch einen konkreten Prüfbedarf anzeigen. Besonders aussagekräftig ist das Zugriffsvolumen einer einzelnen Person im Verhältnis zu ihrem eigenen üblichen Verhalten. Ein weiteres Signal ist der Zugriff auf Verzeichnisse außerhalb des Aufgabenbereichs, obwohl formal eine Berechtigung besteht. In einem Fall prüfte ein Geschäftsführer die Zugriffsprotokolle und stellte fest, dass ein Mitarbeiter regelmäßig Dateien öffnete, die ihn fachlich nichts angingen. Erst danach fielen die wechselnden externen Festplatten an dessen Arbeitsplatz auf.

Ohne passende Data-Loss-Prevention-, Endpoint- oder Session-Kontrollen kann ein Upload in private Cloud-Konten unentdeckt bleiben. Eine Richtlinie, die lediglich den Cloud-Anbieter freigibt, unterscheidet nicht zwingend zwischen einem dienstlichen und einem privaten Konto. Diese Unterscheidung technisch sauber zu erzwingen, ist je nach Plattform und vorhandenen Sicherheitswerkzeugen aufwendig. Genau deshalb setze ich zusätzlich eine Ebene früher an: bei den Daten, die ein Konto überhaupt erreichen darf.

Ein verbreiteter Ansatz gegen Insider-Risiken ist die Verhaltensanalyse. Die Software lernt, wie ein Mitarbeiter normalerweise arbeitet, und meldet Abweichungen. Ich halte diesen Ansatz für sinnvoll, aber nicht für ausreichend. Berechtigungsmanagement, Data Loss Prevention und Monitoring erfüllen unterschiedliche Aufgaben und sollten sich ergänzen. Die wichtigste präventive Grundlage bleibt, unnötige Zugriffsrechte zu vermeiden.

Verhaltensanalyse erkennt vor allem deutliche Abweichungen vom üblichen Verhalten. Schwieriger sind Aktivitäten, die sich langsam entwickeln oder innerhalb des normalen Arbeitsmusters liegen. Dazu kommt der Auswertungsengpass: Zugriffe lassen sich umfangreich protokollieren, doch aus großen Datenmengen die relevanten Vorgänge herauszufiltern, kostet Zeit und erfordert klare Regeln. Gute Erkennung kann einen laufenden Datenabfluss melden oder in Verbindung mit Data Loss Prevention sogar stoppen. Sie setzt jedoch erst ein, wenn eine auffällige Aktivität beginnt. Die wichtigste präventive Stellschraube ist deshalb der Umfang der tatsächlich wirksamen Rechte. Monitoring und Data Loss Prevention ergänzen diese Begrenzung, ersetzen sie aber nicht.

Das Prinzip der minimalen Rechte bedeutet, dass jeder genau so viele Berechtigungen erhält, wie er für seine tägliche Arbeit braucht. Der Effekt ist unmittelbar: Wer nur auf aktuelle Projekt- und Aufgabendaten zugreifen darf, kann nicht ohne Weiteres auf über Jahre gewachsene Altbestände zugreifen. Solche Altbestände sollten gesperrt und bei begründetem Bedarf freigegeben werden. Ein genehmigter Zugriff ist damit zugleich ein dokumentierter Zugriff. Der zweite Effekt zeigt sich im Ernstfall: Eine saubere Rechtevergabe kann den Kreis der zu prüfenden Konten und Personen von einer kaum überschaubaren Gruppe auf einen handhabbaren Kreis verkleinern. Seit dem Einzug von KI-Assistenten wiegt dieser Punkt zusätzlich schwerer.

Ein konkretes Beispiel ist Microsoft 365 Copilot: Das System bezieht Inhalte ein, auf die der jeweilige Benutzer bereits zugreifen darf. Zu weit gefasste Berechtigungen werden dadurch nicht neu erzeugt, aber vorhandenes Oversharing lässt sich wesentlich schneller durchsuchen und nutzen. Damit steigt die Bedeutung jeder überflüssigen Berechtigung. Was bisher schwer auffiel, weil kaum jemand jahrelang gewachsene Ablagen vollständig durchsucht, kann ein KI-Assistent in kurzer Zeit auffindbar machen. Ich rate Unternehmen deshalb, den Rechtebestand vor der breiten Einführung solcher Werkzeuge zu prüfen und zu bereinigen. Die Reihenfolge reduziert Risiko und nachträglichen Korrekturaufwand. Bevor Sie Zugriffe protokollieren oder auswerten, klären Sie außerdem, was technisch sinnvoll und rechtlich zulässig ist.

Bei Projekten zur Zugriffsprotokollierung entscheidet nicht nur die Technik. Wer den Betriebsrat erst nach der Auswahl eines Werkzeugs einbindet, riskiert vermeidbare Verzögerungen. Eine frühe Beteiligung schafft dagegen Klarheit über Zweck, Umfang, Auswertung und Aufbewahrung der Protokolle.

Technische Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung von Beschäftigten zu überwachen, unterliegen nach Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz der Mitbestimmung. Ist ein Betriebsrat vorhanden, sollte deshalb früh geprüft werden, wie die geplante Zugriffsprotokollierung konkret ausgestaltet wird. Zusätzlich sind die datenschutzrechtlichen Anforderungen an Zweckbindung, Transparenz, Zugriff und Aufbewahrung zu berücksichtigen. In meinen Projekten hilft ein sachliches Argument: Vollständige und manipulationsgeschützte Protokolle können Beschäftigte nicht nur belasten, sondern auch entlasten. Sie beweisen nicht automatisch die Unschuld einer Person, können den Kreis möglicher Verursacher aber nachvollziehbar eingrenzen und Spekulationen verkürzen. Transparenz über die Protokollierung kann zudem präventiv wirken, darf jedoch nicht in einen pauschalen Generalverdacht umschlagen.

Ein ausgesprochener Verdacht beschädigt das Vertrauensverhältnis, auch wenn er sich als haltlos erweist. Der Mitarbeiter fragt sich, ob er bleiben möchte, und die Führungskraft fragt sich, welche Aufgaben sie ihm noch überträgt. Noch schlimmer wirkt der Flurfunk. Nach einem Vorfall erlebe ich in Unternehmen regelmäßig einen Generalverdacht gegen die gesamte Belegschaft, und dieser Zustand hält oft länger an als die technische Aufarbeitung. Genau hier zahlen sich belastbare Protokolle aus, denn sie ersetzen Spekulationen durch nachvollziehbare Fakten. Für die Bereinigung empfiehlt sich ein klar abgegrenzter Pilotbereich. Er lässt sich erfahrungsgemäß häufig innerhalb weniger Wochen analysieren und priorisieren. Dauer und Aufwand der vollständigen Bereinigung hängen dagegen von Umfang, Verantwortlichkeiten, Datenqualität und Zielstruktur ab. Das Vertrauen im Unternehmen braucht häufig länger und verlangt Kommunikation statt Technik. Beides gehört parallel angegangen.

Um die Probleme anzugehen, brauchen IT-Leiter für den ersten Überblick nicht zwingend eine neue Software. Entscheidend ist die richtige Reihenfolge der Maßnahmen. Der erste Schritt liegt außerhalb der IT: Die fachliche Entscheidung darüber, wer welche Daten benötigt, gehört in den zuständigen Fachbereich.

Die IT entscheidet nicht, wer auf Marketingdaten zugreifen darf. Das entscheidet das Marketing. Der erste Schritt besteht deshalb darin, den Fachbereichen einen klaren Prozess und ein geeignetes Werkzeug zu geben, mit denen sie bestätigen können, wer auf ihre Verzeichnisse zugreifen darf. Damit verteilt sich eine Verantwortung, die heute häufig allein beim IT-Leiter liegt, auf die Schultern derjenigen, die sie fachlich tragen können. Drei Schritte bringen Sie in der ersten Woche weiter. Erstens lesen Sie die tatsächlich wirksamen Berechtigungen auf Ihre sensibelsten Verzeichnisse aus. Zweitens benennen Sie je Verzeichnis einen fachlichen Eigentümer. Drittens prüfen Sie Altbestände und geben den Zugriff künftig nur bei begründetem Bedarf frei. Die Geschäftsführung unterstützt das am wirksamsten, indem sie klare Verantwortlichkeiten vorgibt, Führungskräfte sensibilisiert und auch privilegierte Zugriffe regelmäßig überprüfen lässt.

Fortschritt lässt sich nur mit einer belastbaren Ausgangsbasis messen. Dafür eignen sich vier Kennzahlen: der Anteil sensibler Bereiche mit benanntem fachlichem Eigentümer, der Anteil bereits überprüfter und bestätigter Berechtigungen, die Zahl fachlich nicht bestätigter effektiver Zugriffe sowie die Zahl verwaister Konten und Gruppen. Ihre Erhebung kann je nach Datenlage und vorhandenen Werkzeugen zusätzlichen Aufwand verursachen. Entscheidend ist deshalb, mit einem klar abgegrenzten Bereich zu beginnen und dieselben Kennzahlen anschließend regelmäßig zu vergleichen.

In einem anonymisierten Kundenprojekt waren zwei der verwendeten Kennzahlen bereits nach drei Tagen messbar besser. Das zeigt, wie schnell ein klar abgegrenzter Pilot erste Fortschritte sichtbar machen kann. Es ist jedoch keine allgemeingültige Zeitvorgabe für die vollständige Bereinigung.

Wenn Sie wissen wollen, wo Ihr Unternehmen steht, nutzen Sie den Zugriffsrechte-Sicherheitscheck. Er führt Sie durch die zehn Gefahren, denen IT-Leiter im Berechtigungsmanagement am häufigsten begegnen, und stellt zu jeder Gefahr eine Prüffrage. Für einen ersten Überblick können vorhandene Berichte ausreichen. Wenn die Auswertung tatsächlich wirksamer Rechte, die Einbindung fachlicher Eigentümer und die Dokumentation von Überprüfungen wiederholbar werden sollen, unterstützt die CARO-Suite diesen Prozess.

Berechtigungsmanagement ist der geregelte Prozess, mit dem ein Unternehmen Zugriffsrechte vergibt, überprüft und wieder entzieht. Gegen Innentäter wirkt es, weil es den Umfang dessen begrenzt, was eine einzelne Person überhaupt erreichen kann.

Beginnen Sie mit den Verzeichnissen, die geistiges Eigentum und Personaldaten enthalten. Legen Sie je Verzeichnis einen fachlichen Eigentümer fest, leiten Sie Rechte aus Rollen ab statt aus Einzelfällen und definieren Sie ein festes Intervall für die Rezertifizierung.

Wie häufig Berechtigungen überprüft werden sollten, hängt vom Schutzbedarf, von der Änderungsdynamik und von regulatorischen Vorgaben ab. Sensible oder häufig veränderte Bereiche sollten entsprechend häufiger überprüft werden. Nach Reorganisationen, Rollenwechseln und Austritten ist zusätzlich eine anlassbezogene Prüfung sinnvoll.

Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen. Bedarfsgerechte Zugriffsrechte unterstützen diese Anforderungen. Greift ein Mitarbeiter unbefugt auf personenbezogene Daten zu, kann die Vertraulichkeit dieser Daten verletzt sein.

Awareness-Schulungen reduzieren unbeabsichtigte Fehler, stärken die Meldekultur und helfen gegen Phishing. Gegen absichtlichen Missbrauch ersetzen sie jedoch keine technischen Zugriffsbeschränkungen. Entscheidend ist die Kombination aus geschulten Beschäftigten, klaren Verantwortlichkeiten, minimalen Rechten und angemessener Überwachung.