Die Verhaftung des ehemaligen Booz Allen Hamilton-Mitarbeiters Harold Martin - mutmaßlich im Zuge der NSA-Hack-Affäre - ist nur das aktuellste Beispiel für einen Inside Job, das zeigt, wie real die Bedrohung durch Täter innnerhalb von Unternehmen und Institutionen tatsächlich ist. Security-Experten sind sich deshalb einig: Unternehmen müssen sich vor möglichen internen Bedrohungen besser schützen.
Datenklau durch Mitarbeiter: Status Quo
Natürlich kommt es nicht jeden Tag vor, dass diebische Mitarbeiter ihre sensible, digitale Beute auf dem Schwarzmarkt verhökern - aber es passiert. Und die Vorfälle häufen sich, davon ist Andrei Barysevich vom Security-Dienstleister Flashpoint überzeugt. Das Unternehmen hat sich auf die Durchsuchung von Marktplätzen und Plattformen im Darknet spezialisiert und hält dort ganz gezielt nach sensiblen Unternehmensdaten Ausschau. In einem solchen Fall konnte Flashpoint den Mitarbeiter eines großen IT-Unternehmens identifizieren, der versucht hatte, wertvollen Source Code zu Geld zu machen. Genauer gesagt, wollte er den Programmcode für 15.000 Dollar veräußern.
In anderen Fällen konnte Flashpoint weitere Innentäter überführen - unter anderem waren Banken, Healthcare-Unternehmen und Anwaltskanzleien betroffen, unter den gestohlenen Datensätzen befanden sich entsprechend Konto- und Patienteninformationen sowie Daten zu künftigen Börsendeals.
In vielen dieser Fälle, so Barysevich, habe der Inside Job nur deshalb stattfinden können, weil sich niemand im Unternehmen dafür zuständig gefühlt habe, den Zugriff der Mitarbeiter auf geschäftskritische Daten zu kontrollieren. Das sei ein riesiges Problem, so der Sicherheitsexperte. Es sei allen Unternehmen daher nur dringend zu raten, den Zugriff von Mitarbeitern auf kritische Daten einzuschränken: Jeder Angestellte sollte nur auf die Daten zugreifen können, die er auch wirklich für seine Arbeit benötigt. Zudem sei es eine gute Idee, eine Unternehmenskultur zu implementieren, in der sich alle Mitarbeiter der Gefahr durch Innentäter bewusst sind.
- Großbritannien: Cabinet Office
In Großbritannien gingen 2008 sicherheitspolitisch brisante Daten bezüglich Al-Qaida und den Irak aufgrund eines menschlichen Fehlers verloren. Ein Angestellter des Cabinet Office, welches direkt dem Premierminister und den Ministers of Cabinet untersteht, muss mit seinen Gedanken schon ganz im Feierabend gewesen sein, als er seine Arbeitsunterlagen in einem Pendelzug liegen ließ. Ein Fahrgast fand den Ordner mit den streng geheimen Dokumenten und übergab diesen der BBC, die ihn wiederum an die Polizei weiterleitete. Obwohl die Tagträumerei gerade noch einmal gut ging, wurde der Beamte daraufhin wegen Fahrlässigkeit suspendiert. - Frankreich: TV5 Monde
Am 8. April 2015 wurde das Programm von TV5 Monde über mehrere Stunden hinweg blockiert, nachdem sich eine dem IS nahestehende Hacker-Gruppe namens „Cyber-Kalifat“ Zugang zu den IT-Systemen verschafft hatte. Nur einen Tag nach der Cyberattacke erlebte der französische TV-Sender ein Datenschutz-Debakel – dieses Mal aufgrund menschlichen Versagens: Reporter David Delos enthüllte während eines Interviews unabsichtlich die Passwörter für Social-Media-Konten des Senders - darunter YouTube, Instagram und Twitter. Diesen waren auf dem Whiteboard hinter dem Pechvogel zu sehen. Auch wichtige Telefonnummern waren zu sehen. Darüber hinaus offenbarte die Wand auch, wie es zum vorangegangenen Hack durch die Islamisten-Hacker kommen konnte: Und zwar in Form des Passwortes für den YouTube-Account von TV5 Monde: "lemotdepassedeyoutube" ( „daspasswortfüryoutube“). - USA: Department of Veterans Affairs
Im Mai 2006 stahl ein Einbrecher den Laptop eines Mitarbeiters des US-Kriegsveteranen-Ministeriums. Dabei wurden ganze 26,5 Millionen Datensätze, die Informationen zu Kriegsveteranen und deren Angehörigen enthielten, entwendet. Der Bestohlene hatte die Daten unerlaubter Weise auf dem Notebook gespeichert, um "von Zuhause aus arbeiten zu können". Dieses menschliche Fehlverhalten wurde darin noch verstärkt, dass die Daten gänzlich unverschlüsselt auf der Festplatte lagen. Einen Monat später tauchte das Device mitsamt den Daten wieder auf - angeblich, ohne Anzeichen einer Kompromittierung. Der entstandene Schaden wurde dennoch auf einen Betrag von 100 bis 500 Millionen Dollar geschätzt. Alleine 20 Millionen Dollar musste das Department of Veteran Affairs in der Folge als Ausgleich an die Geschädigten entrichten. - Norwegen: Steuerbehörde
Im Herbst 2008 hat die norwegische Steuerbehörde Daten zur Einkommenssteuer aller vier Millionen Norweger an Zeitungen und Rundfunkanstalten verschickt. Die Behörde veröffentlicht diese Zahlen jährlich, mit dem Ziel die Bürger zu ehrlichen Steuerzahlern zu "erziehen". Außergewöhnlich ist daran nur, dass in diesem Fall auch die sogenanten Personennummer mitveröffentlicht wurde. Diese besteht aus einer Zahlengruppe und dem Geburtsdatum des Bürgers und wird für gewöhnlich von den Daten abgetrennt, um Anonymität zu gewährleisten. Offiziell ist hierbei nicht von einem menschlichen Fehler die Rede, sondern von einem "Formatierungsproblem". - Belgien: Gesellschaft der Belgischen Eisenbahnen
Die nationale Gesellschaft der Belgischen Eisenbahnen (NBMS) machte Anfang 2013 einen Ordner mit 1,5 Millionen persönlichen Daten ihrer Kunden via Web öffentlich zugänglich. Aus Versehen. Schuld war ein Mitarbeiter, der einen falschen Knopf gedrückt hat. Die Datensätze enthielten Namen sowie Wohn- und E-Mail-Adressen von NMBS-Kunden - darunter auch die von Mitarbeitern und Abgeordneten der EU-Institutionen in Brüssel.
Innentäter & Leaks: Steigendes Risiko durch Cloud & BYOD?
Auch beim Cloud-Security-Provider Bitglass hat man sich mit dem Thema Datenklau durch Mitarbeiter beschäftigt: Eine kürzlich veröffentlichte Studie kommt zu dem Ergebnis, dass ein Drittel der befragten Unternehmen im vergangenen Jahr Opfer eines Inside Jobs wurde, bei dem Daten entwendet wurden. Allerdings stecken dahinter nicht immer böse Absichten: In einigen Fällen war auch die Nachlässigkeit Einzelner der Grund für den Datenabfluss.
"Unabsichtlich herbeigeführte Datenlecks sind ebenfalls ein großes Problem", so Salim Hafid von Bitglass. Cloud-basierte Applikationen und BYOD-Policies hätten über die vergangenen Jahre das Risiko von versehentlichen "Leaks" drastisch erhöht. Das Resultat sei, dass mehr und mehr Unternehmensdaten ihren Weg aus dem Firmennetzwerk auf private Smartphones und in Filesharing-Netzwerke finden: "Eine Vielzahl von Unternehmen, die Cloud-Applikationen ausgerollt haben, verspüren überhaupt nicht das Bedürfnis, solche Fahrlässigkeiten zu unterbinden und verfügen deswegen über keinerlei Handhabe, die Bedrohungslage in dieser Hinsicht zu entschärfen."
Inside Jobs: Überwachungs-Tools gegen Datendiebstahl?
Um diesem Trend entgegenzuwirken, bieten etliche Security-Provider inzwischen Produkte und Lösungen an, die den Zugriff auf die sensibelsten Daten eines Unternehmens überwachen. Das in Ungarn beheimatete Security-Unternehmen Balabit hat beispielsweise ein Tool namens Blindspotter entwickelt, das darauf angelegt ist, jedes verdächtige Verhalten von Mitarbeitern im Unternehmensnetzwerk aufzudecken. Dazu kann das Tool nicht nur Maus- und Keyboard-Eingaben überwachen, sondern auch festhalten, wo der Mitarbeiter auf die Daten zugreift und welche Applikationen geöffnet werden, sagt Balabit-CTO Balázs Scheidler. Auf Basis ihrer Beobachtungen errechnet die Software einen Score für verdächtig aussehende Aktivitäten und kann diese im Zweifelsfall auch durch einen Verbindungsabbruch beenden. Ein ziemlich weitgehender Ansatz also, den man bei Balabit verfolgt, wie auch CTO Scheidler klarmacht: "Wir bekommen ziemlich intime Einblicke, was die Mitarbeiter tun. Konventionelle Tools sind dazu nicht in der Lage."
Dass eine derartige Echtzeit-Überwachung von Mitarbeitern nicht überall auf Gegenliebe stoßen dürfte, ist klar - von den jeweiligen gesetzlichen Grenzen eines solchen Vorgehens einmal ganz abgesehen: "Für Unternehmen ist Transparenz und offene Kommunikation gegenüber den Mitarbeitern, die auf eine solche Weise überwacht werden, von essentieller Bedeutung", so Scheidler. Die Überwachung müsse auch nicht alle Mitarbeiter umfassen, sondern könne ausschließlich auf Bereiche mit High-Level-Access - also beispielsweise Administratoren - angewandt werden, die potenziell attraktive Ziele für Hacker, Cyberkriminelle oder Innentäter darstellen.
"Eines der derzeit komplexesten Security-Probleme"
Unternehmen, die Grund zur Annahme haben, dass ein Innentäter am Werk ist, beziehungsweise war, sollten in jedem Fall auf die Unterstützung von Security-Profis zurückgreifen, empfiehlt Eric O’Neill, Security-Stratege bei Carbon Black: "Das sollten Sie nicht alleine in Angriff nehmen, denn das wäre einer Aufklärung nicht dienlich. Solche Vorfälle können sich als heikel erweisen."
Insbesondere dann, wenn es sich bei dem Innentäter um einen solchen handelt, der in böswilliger Absicht handelt und versucht, seine Spuren zu verwischen. Denn um überhaupt abschätzen zu können, welche Daten gestohlen wurden, sei es unerlässlich, so der Experte, die Beweise für einen Inside Job zu finden und sicherzustellen. Übertreiben sollten es Unternehmen mit ihrem Eifer dabei allerdings nicht, so O‘Neill: "Bestimmte Prozeduren könnten dafür sorgen, dass die Mitarbeiter sich wie in einem Polizeistaat vorkommen. Auf der anderen Seite besteht bei vielen Unternehmen und auch Regierungs-Institutionen immer noch ein blinder Fleck, wenn es um die Bedrohung durch Innentäter geht. Das ist eines der derzeit komplexesten Security-Probleme überhaupt."
- Adminrechte
Keine Vergabe von Administratorenrechten an Mitarbeiter - Dokumentation
Vollständige und regelmäßige Dokumentation der IT - Sichere Passwörter
IT-Sicherheit beginnt mit Sensibilisierung und Schulung der Mitarbeiter sowie mit einer klaren Kommunikation der internen Verhaltensregeln zur Informationssicherheit:<br /><br /> Komplexe Passwörter aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen, mindestens achtstellig. - Passwortdiebstahl
Niemals vertrauliche Daten weitergeben oder/und notieren. - E-Mail-Sicherheit
E-Mails signieren, sensible Daten verschlüsseln, Vorsicht beim Öffnen von E-Mail-Anlagen und Links. - Soziale Manipulation
Bewusst mit vertraulichen Informationen umgehen, nur an berechtigte Personen weitergeben, sich nicht manipulieren oder aushorchen lassen. - Vorsicht beim Surfen im Internet
Nicht jeder Link führt zum gewünschten Ergebnis. - Nur aktuelle Software einsetzen
Eine nicht aktualisierte Software lässt mehr Sicherheitslücken offen. - Verwendung eigener Software
Unternehmensvorgaben beachten und niemals Software fragwürdiger Herkunft installieren. - Unternehmensvorgaben
Nur erlaubte Daten, Software (Apps) und Anwendungen einsetzen. - Backups
Betriebliche Daten regelmäßig auf einem Netzlaufwerk speichern und Daten auf externen Datenträgern sichern. - Diebstahlschutz
Mobile Geräte und Datenträger vor Verlust schützen. - Gerätezugriff
Keine Weitergabe von Geräten an Dritte, mobile Geräte nicht unbeaufsichtigt lassen und Arbeitsplatz-PCs beim Verlassen sperren. - Sicherheitsrichtlinien
Die organisatorischen Strukturen im Hintergrund bilden den erforderlichen Rahmen der IT-Sicherheit. Hier gilt es, klare Regelungen zu formulieren und einzuhalten:<br /><br />Definition und Kommunikation von Sicherheitsrichtlinien - Zugriffsrechte
Regelung der Zugriffsrechte auf sensible Daten - Softwareupdates
Automatische und regelmäßige Verteilung von Softwareupdates - Logfiles
Kontrolle der Logfiles - Datensicherung
Auslagerung der Datensicherung - Sicherheitsanalyse
Regelmäßige Überprüfung der Sicherheitsmaßnahmen durch interne und externe Sicherheitsanalysen - Notfallplan
Erstellung eines Notfallplans für die Reaktion auf Systemausfälle und Angriffe - WLAN-Nutzung
Auf technischer Ebene muss ein Mindeststandard gewährleistet sein. Dieser lässt sich größtenteils ohne großen Kostenaufwand realisieren:<br /><br />Dokumentation der WLAN-Nutzung, auch durch Gäste - Firewalls
Absicherung der Internetverbindung durch Firewalls - Biometrische Faktoren
Einsatz von Zugangsschutz/Kennwörter/Biometrie - Zugangskontrolle
Physische Sicherung/Zugangskontrolle und -dokumentation - Schutz vor Malware
Schutz vor Schadsoftware sowohl am Endgerät als auch am Internetgateway, idealerweise durch zwei verschiedene Antivirenprogramme - Webzugriffe
Definition einer strukturierten Regelung der Webzugriffe - Verschlüsselung
Verschlüsselung zum Schutz von Dateien und Nachrichten mit sensiblen Inhalten - Löschen
Sicheres Löschen der Daten bei Außerbetriebnahme - Update der Sicherheitssysteme
Sicherstellung regelmäßiger Updates der Sicherheitssysteme - Monitoring
Permanente Überwachung des Netzwerkverkehrs auf Auffälligkeiten
Mit Material von IDG News Service.