IT-Sicherheitsbedrohungen durch Insider rücken immer mehr in das Bewusstsein von Unternehmen. Wie sie das Risiko wahrnehmen, inwieweit sie schon von Insiderattacken betroffen waren und welche Sicherheitsmaßnahmen sie anwenden, erklärten 437 IT-Verantwortliche in einer Umfrage von Bitglass und der Information Security Community.
Die Sicherheit von Daten nimmt im Zeitalter der Digitalisierung einen immer höheren Stellenwert ein. Durch die starke Vernetzung im Rahmen von Cloudanwendungen und dem Zugriff von einer Vielzahl an Mobilgeräten stellen mittlerweile nicht nur externe Hacker ein Risiko für die Datensicherheit dar. Auch Insider, also Unternehmensangehörige mit weit reichenden Nutzerrechten, gelten im Zuge dessen mittlerweile als ein Faktor, der in der IT-Sicherheitsstrategie berücksichtigt werden muss. Ob lediglich aus Unachtsamkeit oder tatsächlich aus böswilliger Absicht: Hat eine Insiderhandlung einen Datenverlust zur Folge, handelt es sich nach gesetzlichen Datenschutzvorgaben um einen massiven Sicherheitsverstoß. Dementsprechend sollte das Risiko, das von Insidern ausgeht, nicht unterschätzt werden.
Eine deutliche Mehrheit von 73 Prozent der IT-Security-Verantwortlichen ist gegenwärtig der Ansicht, dass Insiderangriffe im vergangenen Jahr deutlich zugenommen haben. Diese Einschätzung fußt auf stabilen Tatsachen: 59 Prozent gaben an, im vergangenen Jahr mindestens einen Insiderangriff erlebt zu haben. Im Jahr 2017, bei der letzten Befragung, waren lediglich 33 Prozent von einem derartigen Angriff betroffen.
Cloudservices und Mobilgeräte erschweren die Sicherung
Schwierigkeiten, Insiderattacken ausfindig zu machen, sehen 56 Prozent der Befragten durch die Verlagerung auf Cloudservices. Auf die Frage, welche Faktoren dies besonders erschweren, nannten die Teilnehmer folgende am häufigsten:
- Insider verfügen über gültige Anmeldedaten und legitime Zugriffsrechte
- Verstärkte Nutzung von verschiedenen Apps
- Mangelnde Kontrolle über Daten außerhalb des eigenen Netzwerks
Zu entsprechend verstärkten Sicherheitsmaßnahmen in der Nutzung von Cloudanwendungen hat dies jedoch nur bei einem kleinen Anteil der Befragten geführt: Nur 40 Prozent erklärten, anormales Nutzerverhalten in SaaS-, IaaS- und PaaS-Diensten überhaupt zu überwachen. Weitere 19 Prozent sind sich nicht sicher, ob ihnen dies auch in ausreichendem Maße gelingt.
Ein ähnliches Bild ergibt sich für die Sicherung des Zugriffs auf Unternehmensanwendungen über private Mobilgeräte: 27 Prozent der Teilnehmer gehen lediglich davon aus, manche Insiderbedrohungen auch beim Zugriff über private Geräte erkennen zu können. Nur 12 Prozent der Befragten sind sich sicher, typische Verhaltensanomalien von Insidern unter allen gegebenen Umständen erkennen zu können. 32 Prozent hingegen gelingt dies ausschließlich durch die Installation agentenbasierter Lösungen, beispielsweise im Rahmen von BYOD-Richtlinien, weiteren sieben Prozent wiederum nur, sofern der Mobilzugriff on-premises erfolgt. Lediglich vier Prozent sehen von privaten Geräten ein derart hohes Risiko, dass sie den Zugriff darüber vollständig unterbinden.
Wie Insiderattacken entdecken
Auch bei Insiderangriffen ist Zeit entscheidend: Je länger es dauert, einen Insiderangriff zu entdecken und einzudämmen, umso höher ist das Risiko für einen Datenverlust. Entsprechend individuell verschiedener Erfahrungswerte und Sicherheitsniveaus, variiert die Einschätzung der Befragten darüber, wie lange es dauern würde, einen Insiderangriff zu entdecken, äußerst breit: 22 Prozent sehen sich in der Lage, einen derartigen Angriff binnen weniger Stunden ausfindig machen zu können, 19 Prozent im Lauf eines Tages und 15 Prozent sogar innerhalb von Minuten. 17 Prozent sehen eine Woche als realistischen Zeitrahmen an und weitere 13 Prozent gehen von etwa einer Woche aus. Die verbliebenen 14 Prozent nehmen an – wenn überhaupt – für das Entdecken eines Insiderangriffs mindestens drei Monate zu benötigen.
Konventionelle Sicherheitsmaßnahmen: ausgeschöpft
Die von den Unternehmen geschätzte Reaktionszeit spiegelt auch die Ausgereiftheit ihrer Sicherheitsmaßnahmen wider. Wie die Ergebnisse der Umfrage nahelegen, nutzt die Mehrheit der Befragten dieselben Maßnahmen – zumindest diejenigen konventioneller Art. Die Hälfte der Teilnehmer sorgt nach eigenen Angaben für eine Sensibilisierung der Mitarbeiter. Regelmäßige Schulungen sorgen dafür, dass Unternehmensangehörige ein Bewusstsein für die Bedeutung von Datensicherheit und potentielle Risiken entwickeln. Auf diese Weise kann vor allem Datenverlusten, die durch Unachtsamkeit oder unsachgemäße Nutzung von Anwendungen entstehen, vorgebeugt werden. Weiterhin setzen etwa 40 Prozent in der Gestaltung ihrer Strukturen und Prozesse die Ratschläge der zuständigen Behörden zur Informationssicherheit um. 35 Prozent unterziehen ihre Mitarbeiter sogar einem Backgroundcheck, um das Gefahrenpotential durch Insider gering zu halten.
Auf Seite der technologischen Maßnahmen hingegen zeigen sich deutlich weniger Gemeinsamkeiten zwischen den einzelnen Unternehmen. Einfache Sicherheitsmaßnahmen, die insbesondere in Cloud-Umgebungen für besseren Schutz sorgen, wie eine Überwachung der Benutzeraktivitäten und eine Zwei-Faktor-Authentifizierung, werden lediglich von 31 beziehungsweise 33 Prozent der befragten Unternehmen eingesetzt. Welche Technologien hingegen sie als hilfreich erachten, darüber herrscht unter der Hälfte der Befragten wiederum nahezu Einigkeit: Funktionen wie Data Loss Prevention (52 Prozent), Datenverschlüsselung (50 Prozent), Identity und Access Management (50 Prozent) und User Behaviour Anomaly Detection (48 Prozent) wurden als die bedeutendsten im Kampf gegen Insiderbedrohungen genannt.
Insider: Ein vertrauter Feind?
Zusammenfassend lässt sich festhalten, dass Unternehmen sich auf der einen Seite der Gefahr für die Datensicherheit, die von Insidern ausgeht, durchaus bewusst sind. Andererseits spiegelt sich dieses Bewusstsein derzeit nur bei wenigen in geeigneten Sicherheitsmaßnahmen wider.
Dies deutet darauf hin, dass Unternehmen Schwierigkeiten damit haben, das „Feindbild“ Insider genau zu definieren und entsprechend in ihre IT-Sicherheitsstrategie einzubauen. Maßnahmen, die ein notwendiges Maß an Misstrauen gegenüber Unternehmensmitarbeitern erkennen ließen, waren bislang hauptsächlich in regulierten Branchen vorherrschend. Mit dem florierenden Markt für Daten im digitalen Zeitalter hat dies nun auch die breite Masse an Unternehmen erreicht, bei denen es in der IT-Security lange Zeit vornehmlich darum ging, Bedrohungen von außen abzuwehren. Insider hingegen stellen eine äußerst diffuse Bedrohung dar, da Datendiebstähle nicht zwangsläufig durch böse Absichten motiviert sein müssen. Auch Unachtsamkeiten, die einen Datenverlust zur Folge haben, können in den immer weiter vernetzten IT-Architekturen gravierende Konsequenzen nach sich ziehen. Zudem können Nutzeraccounts oder Mobilgeräte von Unternehmensangehörigen ohne deren Kenntnis von Dritten für böswillige Zwecke missbraucht werden. Damit ergibt sich ein überaus diffuses Bedrohungsbild, das zunächst die Ermittlung potentieller Angriffsszenarien erfordert, um geeignete Sicherheitsmaßnahmen zu ableiten zu können.
Wie sich zeigt, stellen die Veränderungen in der IT-Umgebung – insbesondere durch die Cloud- und Mobilgerätenutzung – Unternehmen vor neue Herausforderungen. Die Tatsache, dass es offenbar noch nicht gelingt, lückenlosen Schutz für Daten über sämtliche Ebenen hinweg zu gewährleisten, mag auch darin begründet sein, dass IT-Security-Strategien nicht ausgehend von der Datensicherheit geplant werden. In diesem Sinne lassen die Ergebnisse der Studie auch folgende Schlussfolgerung zu: Ein Großteil der Unternehmen hat den erforderlichen Wandel hin zu einer datenzentrierten IT-Sicherheitsstrategie noch nicht vollständig vollzogen.
