Mitarbeiter-Spionage kontra Cyber-Kriminalität Insider oder Hacker – wo liegt das größere Risiko für IT-Sicherheit?

Die eigenen Mitarbeiter und nicht externe Hacker sind das größte IT-Sicherheitsrisiko – lange Zeit war diese Annahme in Expertenkreisen ausgemachte Sache: Doch hat diese Aussage angesichts der immer raffinierteren Methoden der Internetverbrecher noch Gültigkeit?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Mimecast Germany GmbH

Specops Software GmbH

Die größte Bedrohung für das IT-Netzwerk eines Unternehmens geht von unzufriedenen Mitarbeitern aus und nicht von Internetkriminellen, so lautet die These. Nicht nur, dass Interne die Passwörter kennen und IT-Administratoren über weitgehende Rechte verfügen. Die eigenen Mitarbeiter wissen normalerweise auch, welche Informationen so brisant sind, dass dies auch dem Mitbewerber einiges wert ist.

Das Konzept der Gefahr durch Insider (Insider Threat) hat sich in den Kreisen der IT-Sicherheitsexperten sehr lange gehalten. Es basiert unter anderem auf einer FBI-Studie aus den frühen 90er Jahren, die zu dem Schluss kam, 80 Prozent aller Angriffe würden auf die IT-Sicherheit von Insidern verübt. Doch in den vergangenen 20 Jahren – im Internet-Zeitalter kommt das schon einem Jahrtausend gleich – hat sich viel geändert.

Noch vor zehn Jahren wurden Viren und andere Formen von Malware hauptsächlich von jungen Amateur-Programmieren geschrieben, die damit einfach nur auf sich aufmerksam machen wollten. Doch mittlerweile ist das Cyberverbrechen nicht mehr ein Freizeitvergnügen von jugendlichen Computer-Nerds, sondern ein richtig großes Geschäft. So wurden im Internet laut World Economic Forum allein im Jahr 2009 Diebstähle im Wert von einer Billion US-Dollar begangen.

Cyberkriminalität – den Kinderschuhen entwachsen

In den letzten Jahren hat sich die Sicherheitslandschaft merklich verändert. Organisierte kriminelle Banden haben entdeckt, dass sie mit Malware viel Geld verdienen können. Sie lassen sich von erfahrenen Programmierern Schadsoftware entwickeln, die es ihnen ermöglicht, Geld oder persönliche Daten zu stehlen.

Mittlerweile lebt eine ganze Wirtschaftbranche von dem Geschäft mit unzureichend gesicherten PCs. Kriminelle bieten nicht nur gestohlene Daten zum Kauf an sondern auch gleich Programme, mit denen sich vertrauliche Informationen ausspionieren lassen.

In einem Whitepaper hat AVG die Entwicklung der Online-Schattenwirtschaft zusammengefasst. http://download.avg.com/filedir/atwork/pdf/AVG9_Whitepaper_GER_161109.pdf. Und auch das Bundesministerium des Inneren weist in seinem aktuellen Verfassungsschutzbericht auf die besondere Gefahr von Internetangriffen auf Netzwerke und Computersysteme hin.

Nachdem die Internetkriminalität eine „Industrialisierung“ durchlaufen hat und hinter externen Bedrohungen heute deutlich mehr organisierte Kriminalität steckt, stellen sich folgende Fragen: Hat die Bedrohung von innen für die IT-Sicherheit wirklich noch oberste Priorität? Sind nicht organisierte Banden, die das Kapern eines Unternehmensnetzwerks genau so planen wie das Knacken eines Banktresors, eventuell doch gefährlicher als ein verärgerter oder frustrierter Angestellter? Sollten also Unternehmen womöglich noch einmal den optimalen Einsatz ihrer Sicherheitsressourcen überdenken?

Seite 2: Experten sind geteilter Meinung

Neudefinition von Insidern...

Die Experten scheinen sich hier nicht einig zu sein. Dies hat zum Teil damit zu tun, wie sie die internen und externen Gefahren jeweils definieren. Denn nicht nur die Cyberkriminalität hat sich in den letzten zwanzig Jahren verändert, sondern auch das Geschäftsumfeld.

Dies ist vor allem der zunehmenden Fragmentierung der Unternehmen und der viel umfangreicheren Zusammenarbeit mit externen Beratern und Dienstleistern zuzuschreiben. Hinzu kommen weitere Faktoren wie Firmenzusammenschlüsse und -übernahmen. Dadurch werden Unternehmensgrenzen immer durchlässiger.

Dawn Capelli vom Computer Emergency Response Team (CERT) der Carnegie Mellon University hat sich kürzlich dazu geäußert, wie ihre Organisation die Definition einer „internen“ Person anpassen musste, um mit den aktuellen Entwicklungen in den Unternehmen Schritt zu halten. „Unsere Definition des ‚böswilligen Internen‘ umfasst jetzt nicht nur derzeitige oder frühere Mitarbeiter, sondern ebenso Lieferanten und Geschäftspartner“, erklärt Capelli.

Laut CERT, einer der wichtigsten Computer-Organisationen in den USA, sollten Unternehmen nach wie vor ihr Hauptaugenmerk auf interne Bedrohungen richten. Diesem Thema widmet die Organisation nicht nur einen eigenen Bereich auf ihrer Webseite. Das CERT hat dazu auch den Report „The ‚Big Picture‘ of Insider IT Sabotage Across U.S. Critical Infrastructures

Dort heißt es: „Aufgrund ihres legitimen Zugangs zu Informationen, Systemen und dem Unternehmensnetzwerk stellen Interne ein erhebliches Risiko für Arbeitgeber dar. Mitarbeiter mit finanziellen Problemen können einfach die Systeme, die sie jeden Tag für ihre Arbeit nutzen, für betrügerische Aktivitäten missbrauchen.“

... lässt andere kalt

Während Organisationen wie CERT ein klares Bild der Gefahren durch „Insider“ zeichnen, sind andere der Meinung, durch die immer raffinierteren Angriffe und die zunehmende Organisation von Cyberkriminellen habe sich das Spiel grundlegend verändert. So steht beispielsweise für Verizon fest, dass sich Firmen auf externe Bedrohungen konzentrieren sollten.

Im „2009 Verizon Business Data Breach Investigations Report“ zeigt der Anbieter auf, dass bei 600 untersuchten Fällen von Datenmissbrauch ganze 74 Prozent auf externe Personen zurückzuführen, 32 Prozent davon auf Geschäftspartner. „Nur 20 Prozent gingen von ‚Insidern‘ aus, eine Erkenntnis, die unter Umständen im Widerspruch zu einigen weit verbreiteten Ansichten steht“, heißt es im Report.

Zwar räumen die Autoren des Berichts auch ein, dass viele interne Sicherheitsverletzungen nicht ans Licht der Öffentlichkeit gelangen – denn damit wäre unweigerlich negative Publicity verbunden. Doch Verizon kommt zu dem Schluss: Selbst wenn dem Rechnung getragen wird, stellen externe Attacken die größere Gefahr dar.

„Die Ergebnisse der Untersuchung von 600 Vorfällen in fünf Jahren liefern überzeugende Argumente. Sie hebeln den lange und hartnäckig gehegten Glauben aus, dass die meisten Sicherheitsverletzungen auf ‚Interne‘ zurückzuführen sind“, ist Verizon überzeugt.

Seite 3: Alles nur eine akademische Debatte?

Alles nur eine akademische Debatte?

Ein weiterer Denkansatz geht davon aus, dass die Diskussion, ob Risiken eher von externen oder internen Kräften ausgehen, grundsätzlich falsch und unter Umständen sogar verhängnisvoll ist. So schreibt zum Beispiel der Sicherheitsguru Bruce Schneier in seinem Blog: „Gemessen an der Anzahl von Angriffen sind die Attacken von außen ‚führend‘. Beim Schaden, der durch Internetkriminalität angerichtet wird, liegen die internen Verbrecher vorn; hauptsächlich, weil sie über viel mehr Detailinformationen verfügen und dadurch umso zielgerichteter angreifen können.“

Schneiers Schlussfolgerung: Bei der IT-Sicherheit sollten Unternehmen nicht in den Kategorien „innen“ oder „außen“ denken, sondern sich vielmehr fragen: Wie kann ich meine Daten zuverlässig sichern und die Systeme vor Angriffen schützen – egal woher diese kommen.

Was bedeutet das alles für mein Unternehmen?

Zwei Aspekte gilt es festzuhalten: Erstens ist offensichtlich in den letzten Jahren die Gefahr von außen gewachsen, denn die Internetschurken arbeiten mit immer raffinierteren Methoden. Zweitens entsteht durch fragmentierte Unternehmensstrukturen ein deutlich erweiterter Kreis potenzieller Missetäter. Denn oft haben nicht nur die eigenen Mitarbeiter, sondern auch Geschäftspartner und sogar Kunden Zugang zu vertraulichen Informationen.

Unternehmen fahren deshalb mit einer robusten und zugleich flexiblen Sicherheitsstrategie am besten. So können sie mit den schnellen Veränderungen in Sachen Internetkriminalität Schritt halten.

Robert Gorby ist Global Head of Small Business Propositions bei AVG Technologies

(ID:2046116)