Schutz vor Innentätern: Validato zeigt, warum Firewalls für deutsche Unternehmen allein nicht reichen

Beim Begriff Innentäter entsteht schnell das Bild eines Mitarbeitenden, der bewusst Daten verkauft oder Firmengeheimnisse weitergibt – das ist jedoch nur ein Teil des Risikos. Auch Fahrlässigkeit, Social Engineering, kompromittierte Accounts oder externe Einflussnahme können dazu führen, dass legitime Zugänge gegen ein Unternehmen verwendet werden. Hinzu kommen externe Personen: Berater, Entwickler, IT-Serviceprovider oder Freelancer können teilweise dieselben oder sogar umfangreichere Systemberechtigungen besitzen als interne Mitarbeitende. Das Organigramm zeigt deshalb, wer für ein Unternehmen arbeitet – es zeigt nicht automatisch, wer Zugriff auf dessen wichtigste Informationen hat.

Cybersecurity beantwortet wichtige Fragen: Wer darf auf welche Systeme zugreifen, welche Daten dürfen kopiert werden, welche ungewöhnlichen Aktivitäten werden erkannt und wie werden privilegierte Accounts überwacht. Human Risk Management ergänzt diese Perspektive um andere Fragen: Wer ist die Person hinter dem Account, wurde ihre Identität zuverlässig verifiziert, sind zentrale Angaben im beruflichen Hintergrund plausibel, welche Positionen sind besonders risikorelevant und welche Personen erhalten Zugang zu besonders sensiblen Informationen. Damit verschiebt sich die Perspektive von einem rein technischen zu einem ganzheitlichen Sicherheitsmodell. Auch internationale Sicherheitsbehörden betrachten Innentäter-Prävention inzwischen ausdrücklich als interdisziplinäre Aufgabe: Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) betont die wichtige Rolle von Human Resources bei der Erkennung und Reduzierung von Insider-Risiken, da HR den gesamten Employee Lifecycle begleitet – von der Bewerbung über Rollenwechsel bis zum Austritt.

Ein modernes Schutzkonzept sollte laut Validato mindestens fünf Bereiche berücksichtigen: Identität – bevor Berechtigungen vergeben werden, sollte klar sein, wem sie tatsächlich erteilt werden; Background Screening bei risikorelevanten Positionen; Berechtigungsmanagement, das sich konsequent an Funktion und tatsächlichem Bedarf orientiert; Monitoring und Sicherheitskultur mit klaren Meldeprozessen; sowie Lifecycle Management, da Beförderungen, neue Systemrechte oder der Wechsel in kritische Projekte eine erneute Risikobewertung erforderlich machen können. Identitätsbetrug, gefälschte Qualifikationen oder falsche Angaben im beruflichen Hintergrund lassen sich dabei nicht mit einer Firewall erkennen – dafür braucht es andere Prozesse.

„Die Zukunft der Innentäter-Prävention liegt weder ausschliesslich bei HR noch ausschliesslich bei IT-Security, sondern an der Schnittstelle beider Funktionen. Die beste Sicherheitsarchitektur berücksichtigt nicht nur, welche Systeme geschützt werden müssen, sondern auch, wem Zugang zu diesen Systemen gewährt wird".

— Reto Marti, Managing Partner, Validato

Vertrauen bleibt dabei wichtig – Verifizierung macht es nach Auffassung von Validato belastbarer.