Insider-Bedrohungen – Echte Detektivarbeit für die IT

Eine der häufigsten Bedrohungen für die Unternehmenssicherheit sind Gefahren, die auf interne Mitarbeiter und lokale Dienstleister mit erhöhten Benutzerrechten zurückgehen. Aktuellen Studien zufolge vertrauen Unternehmen ihren Vertragspartnern zu sehr und unterschätzen, welche Gefahren von innen kommen. Wie lösen Unternehmen diesen kniffligen Fall?

In einer Episode der US-Krimiserie »True Detective« diskutiert der von Woody Harrelson gespielte Kommissar mit seinem Partner über den »Fluch der Ermittler«. Damit meint er eine Situation, in der die Lösung eines komplexen Falles direkt vor Augen liegt, aber die Ermittler das Naheliegende einfach nicht erkennen. Auch im IT-Sicherheitsumfeld geht es nicht ohne detektivische Arbeit, wenn man beispielsweise das Aufspüren von Bedrohungen, Netzwerkeinbrüchen und Sicherheitsverstößen betrachtet. Und auch hier wird häufig eine Gruppe der »Verdächtigen« übersehen – interne Mitarbeiter.

Fatales Vertrauen. Das Aufspüren von Unsicherheiten im Unternehmensnetz erfordert echte Detektivarbeit, da gerade bei kniffligen IT-Aufgaben viele Punkte zu berücksichtigen sind. Viele Verantwortliche verlieren dabei eine der häufigsten Bedrohungen für die Unternehmenssicherheit aus dem Blick: Eigene Mitarbeiter, IT-Freelancer und lokale Dienstleister mit erhöhten Benutzerrechten. Das größte Risiko im Unternehmen ist nicht ein Client, Server oder System – sondern der eigene Mitarbeiter, ermittelte eine aktuelle IDC-Studie zur IT-Security in Deutschland. Andere Untersuchungen kommen zu einer ähnlichen Erkenntnis: Laut Privileged Access Threat Report von BeyondTrust sind 73 % der Firmen zu sehr von Drittanbietern abhängig und 72 % der Unternehmen bringen ihren Vertragspartnern zu viel Vertrauen entgegen.

Und so erleben wir, dass immer mehr Attacken und Sicherheitsvorfälle in Verbindung mit teils unbewussten Insider-Aktivitäten stehen. Viele Schadprogramme nutzen beispielsweise aus, dass Mitarbeiter unnötigerweise mit Administratorrechten arbeiten. Ein falscher Klick genügt, um eine fatale Kettenreaktion auszulösen, die nicht von den installierten Sicherheitssystemen abgefangen wird. Insbesondere administrative Anmeldedaten und privilegierte Zugangsdaten der Nutzer im Firmennetz stehen im Visier von Phishing-Attacken. Auch kommt es zu Sicherheitsverletzungen, weil Mitarbeiter schwere Fehler begehen und beispielsweise sensible Informationen per E-Mail an die falsche Person verschicken. Letztendlich bedarf es nur eines Fehlers eines einzelnen Mitarbeiters, um gefährliche Sicherheitsverletzungen oder Datenschutzverstöße zu verursachen.

Ein mehrschichtiges Sicherheitskonzept. Die Bedrohungslage durch gewolltes oder ungewolltes Fehlverhalten von Mitarbeitern gehört also nach ganz oben auf die Prioritätenliste der IT-Verantwortlichen. Auf Basis einer mehrstufigen Sicherheitsstrategie müssen Organisationen in die Lage versetzt werden, alle Systeme, inklusive Mobilgeräte, jede Applikation und Datei zu schützen. Ineinandergreifende Sicherheitsstufen reichen von Verschlüsselung und Multifaktorauthentifizierung bis zur auditierbaren Dokumentation und Compliance-Kontrolle für alle Netzwerk- und Datenzugriffe – das ganze ABC der IT-Sicherheit mit folgenden Schwerpunkten:

  1. Administratorrechte
    Der Betrieb einer IT-Umgebung mit den tatsächlich benötigten Benutzerrechten bewahrt Benutzer davor, unerwünschte Konfigurationsänderungen auf dem Desktop durchzuführen und gegen interne Sicherheitsrichtlinien zu verstoßen. Im Rahmen einer solchen Least-Privilege-Policy werden lokale Administrationsrechte auf Windows- und Mac-OS-Rechnern entfernt. So lässt sich die Ausführung nicht autorisierter Applikationen unterbinden, um Sicherheitsprobleme, Compliance- und Policy-Verstöße zu unterbinden. Arbeiten alle Nutzer mit normalen Benutzerrechten, kann die IT dann aufgabenbezogen einzelne Anwendungen freischalten, die gekapselt im administrativen Kontext laufen. Nutzer setzen also ihre Desktop-Applikationen in gewohnter Weise ein, ohne dass ihre Produktivität darunter leidet.
  2. Bildung
    Die richtige Technologie ist indes nur ein Aspekt einer entspannten Sicherheitslage. Im nächsten Schritt sollten auf Unternehmensseite das Weiterbildungsangebot für Mitarbeiter und die zugrundeliegenden IT-Prozesse verbessert werden. Sinnvolle Investitionen in neue Technologien werden auf Unternehmensseite nicht selten zunichte gemacht, weil die Bereitstellung und Weiterentwicklung entsprechender Sicherheitsabläufe und Schulungen nicht ausreichen. Die BeyondTrust-Studie deckt zum Beispiel auf, dass nicht einmal die Hälfte der befragten Unternehmen ihre Zugriffspraxis in den vergangenen zwei Jahren angepasst haben. Firmen müssen ihre Schulungsinitiativen im Sinne einer höheren IT-Sicherheit besser umsetzen, um Mitarbeiter über die Anforderungen der Security-Policies und Best-Practice-Empfehlungen in Kenntnis zu setzen. Wenn die eigenen Leute nicht zu aktuellen Sicherheitsbedrohungen geschult wurden – wie sollen sie sich dann richtig verhalten können?
  3. Compliance
    Compliance- und Best-Practice-Vorgaben sehen vor, dass Sicherheit zum zentralen Bestandteil der Datenschutzstrategie im Unternehmen wird, damit Systemzugriffe auf personenbezogene Daten kontrolliert und geschützt werden können. Enterprise-Lösungen unterstützen Unternehmen bei Kontrolle, IT-Monitoring und IT-Management der Zugriffe auf kritische Daten, ohne dass die Produktivität der Mitarbeiter darunter leidet oder tägliche Betriebsabläufe gestört werden. Die Auditierbarkeit aller internen Vorgänge und Aktivitäten hilft auch dabei, die eigenen IT-Systeme und Arbeitsabläufe anhand von Sicherheitskriterien analysieren und gegebenenfalls korrigieren zu können. Schließlich werden viele Einbruchsversuche und Hacking-Attacken erst im Nachhinein erkannt. Bei weitreichenden Gesetzesvorgaben wie der EU-Datenschutz-Grundverordnung sollten Organisationen auch sicherstellen, dass externe Vertragspartner die Sicherheitsstandards beim Datenschutz personenbezogener Informationen befolgen.

Fall gelöst. Angesichts wachsender Bedrohungen und unangenehmer Negativpresse durch Hackerangriffe bleibt der Druck für Unternehmen dauerhaft hoch. Die Verstöße und Datenverluste können dabei auch aus der Mitte der Organisationen kommen. Wie bei der Mini-Serie »True Detective« bewegen sich CIOs dabei auf zwei Zeitebenen. Sie müssen einerseits die Vergangenheit erforschen und zurückliegende Ereignisse minutiös aufarbeiten. Andererseits müssen sie ihr Hauptziel erreichen: Aktive Gesetzesbrecher aufspüren und Schaden abwenden.

Viele Organisationen vergeben Anwendern immer noch zu weit gefasste Zugriffsrechte auf ihre Netzwerke. Es bedarf daher keiner genialen Kombiniergabe, um das detektivische Rätsel interner Sicherheitsverletzungen zu lösen. Ein realistischer Blick und eine nüchterne Betrachtung der Nutzeraktivitäten reichen aus, um den Fall zu lösen und zu einem guten Ende zu führen. Die Lösung befindet sich direkt vor ihren Augen: Es gibt passende Tools, um internen Mitarbeitern einen unsicheren Umgang mit Privilegien, kritischen IT-Systemen und sensiblen Daten zu verwehren.


Kevin Switala,
Regional Sales Manager,
BeyondTrust

 

 

 

Illustration: © yavyav /shutterstock.com

 

IT-Sicherheitsexperten bekunden mangelndes Vertrauen in Privileged Access Management

Hacker erbeuten Pläne von Atomanlagen – Unternehmen müssen Privileged Account Management endlich ernst nehmen

Remote Access – Sechs Schritte für sicheren Zugriff

Best Practice Tipps für erfolgreiches Customer Identity and Access Management

Die Bedeutung von Cloud-basiertem Privileged Identity Management

Viele Firmen wissen nicht, ob, wann und wie sie von Einbrüchen betroffen sind

Weitere Artikel zu