Eine Insider-Bedrohung (englisch Insider Threat) ist ein Sicherheitsrisiko, das von Personen mit legitimem Zugang ausgeht — Mitarbeitern, Dienstleistern oder Partnern. Weil diese Personen berechtigt sind, auf Systeme und Daten zuzugreifen, ist die Gefahr von innen oft schwerer zu erkennen als Angriffe von außen durch einen Threat Actor.
Die drei Typen von Insider-Bedrohungen
- Fahrlässiger Insider: handelt nicht vorsätzlich, sondern durch Unachtsamkeit — etwa Fehlkonfigurationen, verlorene Geräte oder das Öffnen von Phishing-Mails. Dies ist die häufigste und oft kostspieligste Ursache für Insider-Vorfälle.
- Bösartiger Insider: stiehlt Daten oder sabotiert Systeme mutwillig — aus Rache, finanziellem Gewinn oder im Auftrag Dritter, etwa eines Hacktivisten oder Konkurrenten.
- Kompromittierter Insider: sein Konto wurde von außen übernommen (gestohlene Zugangsdaten); die Schäden ähneln denen eines Angreifers mit Insider-Zugang.
Erkennung und Gegenmaßnahmen
Laut Studien (Ponemon/DTEX 2024) kostet ein Insider-Vorfall ein Unternehmen durchschnittlich rund 15,4 Millionen US-Dollar. Moderne Erkennung setzt auf UEBA (User and Entity Behavior Analytics), Anomalie-Erkennung und die Auswertung von SIEM-Protokollen: ungewöhnliche Zugriffszeiten, Massen-Downloads oder Datenexporte fallen so auf. EDR- und XDR-Lösungen überwachen Endgeräte zusätzlich.
Wirksame Gegenmaßnahmen sind das Prinzip der geringsten Rechte (Least Privilege), regelmäßige Zugriffsreviews, Data-Loss-Prevention, klare Exit-Prozesse beim Ausscheiden und Schulungen — ein wachsamer Script Kiddie von außen richtet meist weniger Schaden an als ein unachtsamer Mitarbeiter mit Admin-Rechten.
Verwandte Grundlagen: Malware, Backdoor, Sicherheitslücke, Schwachstelle, Penetrationstest.