Verhindern Sie, dass Daten mit ausscheidenden Mitarbeitern das Unternehmen verlassen

Acht von zehn Sicherheitsverantwortlichen geben zu, dass ausscheidende Mitarbeiter beim Ausscheiden wertvolles geistiges Eigentum mitnehmen. Ponemon beziffert die durchschnittlichen jährlichen Kosten aufgrund von Insiderrisiken nun auf 19,5 Millionen Dollar. Im Durchschnitt dauert es 81 Tage, bis ein Vorfall durch einen Insider aufgedeckt und eingedämmt wird. 

Und in den meisten Unternehmen ändert sich am Sicherheits-Stack nichts, sobald ein Mitarbeiter seine Kündigung einreicht. Die meisten Untersuchungen im Zusammenhang mit ausscheidenden Mitarbeitern erfolgen reaktiv, und ohne eine zweiwöchige Kündigungsfrist würden viele Instrumente zum Insider-Risikomanagement schlichtweg keine Erkenntnisse liefern.

Die Phase des Ausscheidens stellt den risikoreichsten Moment im Mitarbeiterlebenszyklus dar und wird dabei am wenigsten überwacht. Quellcode, Kundenlisten und Vertriebspipelines lassen sich mit sehr geringem Aufwand in die persönliche Cloud, per E-Mail, auf USB-Sticks oder in soziale Netzwerke übertragen. Die Untersuchung beginnt fast immer erst, nachdem die Daten bereits verloren gegangen sind. Den meisten CISOs werden derzeit drei Fragen von ihrem Vorstand, ihrem Leiter der Rechtsabteilung und ihrem Personalvorstand gestellt: 

• Können Sie das gesamte Fenster sehen?
• Ist es möglich, Kontrollmaßnahmen zu automatisieren, wenn die Personalabteilung auf Risiken hinweist?
• Können Sie Beweise schnell genug vorlegen, um darauf zu reagieren? 

Mit Mimecast Incydr lässt sich dies in nur 30 Tagen erreichen.

Können Sie das Fenster mit den Angaben zu ausscheidenden Mitarbeitern vollständig sehen?

Incydr verfolgt automatisch den Transfer nicht vertrauenswürdiger Daten – und zwar vom ersten Tag an. Dies ist ideal bei plötzlichen Kündigungen oder unangekündigten Personalabbau-Maßnahmen (RIF), bei denen Sicherheitsteams feststellen müssen, ob sensible Daten bei einem ausscheidenden Mitarbeiter verbleiben.

Die meisten Unternehmen können die Frage „Was hat Jane Doe in ihren letzten Wochen im Unternehmen unternommen?“ nicht beantworten, da die Transparenz erst nach ihrem Ausscheiden aktiviert wurde. Bei einer richtliniengesteuerten, auf Inhaltskennzeichnung basierenden DLP-Lösung muss ein Ermittler wissen, wonach er suchen muss, eine Richtlinie verfassen, diese implementieren und abwarten. Der Zeitraum vor dem Ausscheiden ist nicht im System erfasst.

Incydr kehrt dies um. Die kontinuierliche Überwachung des Datenverkehrs aus nicht vertrauenswürdigen Quellen auf Endgeräten, in der Cloud, im Browser und auf Wechseldatenträgern ist der Standardzustand des Produkts, wobei weder Richtlinien noch eine Kennzeichnung von Inhalten erforderlich sind. Wenn ein Mitarbeiter ohne Einhaltung der Kündigungsfrist kündigt, noch am selben Tag gekündigt wird oder von einer Personalreduktion betroffen ist, ist der Aktivitätsverlauf bereits vorhanden. Der Schutz erstreckt sich auch auf die Kanäle, die bei herkömmlichen DLP-Lösungen nicht berücksichtigt werden: USB, AirDrop, private Gmail- und Drive-Konten, Uploads über den Browser in Social-Media-Apps sowie sogar Uploads oder Einfügungen in Schatten-KI-Tools. Ausgangsbezogene Risikoindikatoren weisen auf Muster bei Massen-Downloads und der Weiterleitung persönlicher E-Mails hin, die häufig bereits Wochen vor dem Eingang einer Offboarding-Meldung bei der Personalabteilung auftreten.

„Wenn jemand seine zweiwöchige Kündigungsfrist einreicht, muss ich sofort wissen, womit er unsere Daten bearbeitet hat.“ „Im Moment muss ich die IT-Abteilung fragen, und die sagt mir, dass sie E-Mails abrufen kann, aber das war’s dann auch schon.“ – Vizepräsident für Personalwesen, Professional Services (Incydr Kunde)

Ist es möglich, die Kontrollmaßnahmen für ausscheidende Mitarbeiter zu automatisieren, wenn die Personalabteilung auf ein Risiko hinweist?

Transparenz ohne Maßnahmen ist lediglich eine schnellere Untersuchung. Im zweiten Schritt wird die Verbindung zwischen der Personalabteilung und der Sicherheitsabteilung hergestellt, sodass sich die Zugriffsrechte automatisch ändern, sobald das Ausscheiden bestätigt ist. Die HCM-Integrationen von Incydr lassen sich direkt mit Workday, BambooHR, SuccessFactors, UKG, Jira und Mimecast verbinden. Wenn die Personalabteilung einen Mitarbeiter als ausscheidend kennzeichnet, wird der betreffende Benutzer automatisch auf die Beobachtungsliste gesetzt, und die adaptiven Kontrollmaßnahmen können verschärft werden, sodass keine Daten an nicht vertrauenswürdige Empfänger gesendet werden.

Die legitime Arbeit geht weiter. Eine befristete Genehmigung mit Selbstauskunft bietet dem Mitarbeiter eine kontrollierte Möglichkeit, endgültige Arbeitsergebnisse zu übermitteln, wobei ein lückenloser Prüfpfad beide Parteien schützt. Für Szenarien mit hohem Risiko (Kündigungen zum selben Tag, unfreiwillige Abgänge) ermöglichen die Integrationen mit CrowdStrike, SentinelOne, Microsoft Entra und Okta die Eindämmung von Endgeräten sowie den Entzug von Zugriffsrechten mit nur einem Klick.

Können Sie Beweise schnell genug vorlegen, um darauf zu reagieren?

In einem typischen Fall, bei dem ein Mitarbeiter das Unternehmen verlässt, werden Signale von mehreren Konsolen abgerufen, manuell miteinander in Zusammenhang gebracht und erst Tage später ein forensischer Bericht erstellt. Bis die Rechtsabteilung oder die Personalabteilung über konkrete Anhaltspunkte verfügt, ist der Mitarbeiter bereits seit zwei Wochen nicht mehr im Unternehmen. Die Benutzer-Zeitleiste von Incydr bietet Analysten einen chronologischen Überblick über alle Dateivorgänge jedes Benutzers, einschließlich der Quellen- und Zielkontexte sowie einer Risikobewertung. Kunden können die integrierte Mihra-Analyse oder die MCP-Server-Integration nutzen, um schnell eine Triage durchzuführen und einen für die Geschäftsleitung geeigneten Bericht zu erstellen. Ein Analyst kann die Anfrage „Bitte erstellen Sie mir einen 90-Tage-Zeitplan für Jane Doe, ausschließlich mit Datenabflussereignissen“ stellen und erhält das Beweismaterial innerhalb von Sekunden zurück. Das Ergebnis ist eine Fallakte: Zeitachse, Ereignisse in der Datei, eingefügte Browserinhalte, Quell- und Zielmetadaten sowie eine Risikobewertung als single Dokument, auf dessen Grundlage die Personalabteilung und die Rechtsabteilung ohne weitere Übersetzung Maßnahmen ergreifen können.

Die Lücke durch ausscheidende Mitarbeiter zu schließen, beginnt mit einem „Proof of Value“ von Incydr

Woche 1. Endpunkt- und Browser-Agent wurden bereitgestellt. Die HCM-Integration wurde konfiguriert. Die Beobachtungsliste für ausscheidende Mitarbeiter ist nun live und wird automatisch aus dem Personalwesen gespeist. Die ersten Ereignisse im Zusammenhang mit der Aktenbewegung treten bereits innerhalb der ersten Stunde zutage.

Woche 2. Verhaltensmuster werden erkennbar. Ausreisebezogene Risikoindikatoren kennzeichnen die Nutzer mit dem höchsten Risiko in der Pilotgruppe. Adaptive Steuerungsfunktionen wie das Blockieren wurden getestet.

Wochen 3 bis 4. Nutzen Sie agentische KI über die MCP-Server-Integration oder den Mihra-Ermittlungsagenten, um für die Personalabteilung einen lückenlosen Fallbericht zum Ausscheiden eines Mitarbeiters als Beweismaterialpaket zusammenzustellen.

Tag 30. Nachweise, Kontrollmaßnahmen, ein stichhaltiges Governance-Konzept für den Vorstand, Einblicke in die Situation potenziell ausscheidender Mitarbeiter sowie ein vereinfachter Arbeitsablauf zwischen der Sicherheitsabteilung und der Personalabteilung bei Vorfällen und Warnmeldungen. 

Ein 30-tägiger „Proof of Value“, der auf 50 bis 100 Nutzer in einer Abteilung mit hoher Fluktuation ausgerichtet ist, liefert bereits in der ersten Woche ein aussagekräftiges Bild. Am 30. Tag verfügen Sie über Belege, Kontrollmechanismen und ein Governance-Konzept für den Vorstand.

Schließen Sie die Lücke innerhalb von 30 Tagen

Ein 30-tägiger Proof of Value, der auf 50 bis 100 Nutzer in einer Abteilung mit hoher Fluktuation ausgerichtet ist, liefert bereits in der ersten Woche ein aussagekräftiges Bild. Am 30. Tag verfügen Sie über Belege, Kontrollmechanismen und ein Konzept zur Unternehmensführung, das Sie dem Vorstand vorlegen können.

Fordern Sie ein Angebot an und vereinbaren Sie eine Incydr-Demo.