Die Lage im Bereich der personellen Risiken im Jahr 2026: Wenn vertrauenswürdige Mitarbeiter zur Bedrohung werden

Es ist Freitag, 17:47 Uhr. Ein Finanzanalyst – vertrauenswürdig, fest angestellt und mit umfassendem Zugriff auf Ihre sensibelsten Systeme – lädt 10 Gigabyte an vertraulichen M&A-Daten auf ein persönliches Cloud-Laufwerk herunter. Bis Montagmorgen hat sie ihre Kündigung eingereicht. Spätestens am Mittwoch befinden sich diese Daten in den Händen eines Mitbewerbers. Es wurde keine Firewall durchbrochen. Es wurde keine Sicherheitslücke ausgenutzt. Sechs Jahre lang betrat die Bedrohung jeden Morgen durch die Haustür das Haus.

Das ist keine hypothetische Situation. Das ist die neue Normalität.

Die Zahl der böswilligen Insider hat das gleiche Niveau erreicht

Zum ersten Mal in der Geschichte der Cybersicherheit haben vorsätzliche Bedrohungen durch Insider mit den unbeabsichtigten Bedrohungen gleichgezogen. Den Daten zufolge, die Mimecast im Rahmen unserer Recherchen für den Bericht „The State of Human Risk 2026“ ermittelt hat, machen böswillige Insider-Vorfälle mittlerweile 42% aller Insider-Vorfälle aus – ebenso viele wie die durch Fahrlässigkeit verursachten. Das ist kein Rundungsfehler. Dies stellt eine grundlegende Veränderung der Bedrohungslage dar.

Der Anteil der Unternehmen, die einen Anstieg böswilliger Insider-Aktivitäten melden, ist von 35 % im Jahr 2024 auf 44 % im Jahr 2026 gestiegen – ein Anstieg um 26 Prozentpunkte in nur zwei Jahren. Dies ist kein vorübergehender Anstieg. Es handelt sich um eine strukturelle Veränderung in der Art und Weise, wie Insider mit den Daten umgehen, deren Schutz ihnen anvertraut ist.

Und die Kosten sind erschreckend hoch. Unternehmen melden mittlerweile durchschnittlich sechs Vorfälle durch Insider pro Monat, deren monatliche Gesamtkosten sich auf 13,1 Millionen US-Dollar belaufen.

Die Ökonomie des Verrats

Was ist der Grund für diesen Anstieg? Finanzielle Belastungen – Entlassungen, stagnierende Löhne, der Druck durch steigende Lebenshaltungskosten – haben dazu geführt, dass Mitarbeiter anfälliger für Abwerbungsversuche von außen geworden sind. Die weitreichendere Veränderung ist jedoch struktureller Natur: Cyberkriminelle haben die Anwerbung von Insidern industrialisiert.

Willkommen im Zeitalter von „Insider-as-a-Service“.

Auf Dark-Web-Marktplätzen werben Cyberkriminelle aktiv Mitarbeiter von Zielunternehmen an und bieten ihnen Barzahlungen als Gegenleistung für Zugangsdaten, Datenzugriff oder die Installation von Schadsoftware an. Anstatt wochenlang ein Netzwerk nach Schwachstellen zu durchsuchen, beauftragen Angreifer einfach eine Person, die bereits über die Zugangsdaten verfügt.

Die Anzeigen richten sich an Mitarbeiter bestimmter Unternehmen und bieten Tausende von Dollar für Handlungen, die nur wenige Minuten in Anspruch nehmen: das Exportieren einer Kundendatenbank, die Weitergabe von VPN-Zugangsdaten oder das Deaktivieren einer Sicherheitsmaßnahme. Dieses Modell kehrt die herkömmliche Angriffskette um. Anstatt die Sicherheitsperimeter zu durchbrechen und sich seitlich vorzuarbeiten, nutzen Angreifer zunächst einen vertrauenswürdigen Insider, der bereits weiß, wo die wertvollsten Daten gespeichert sind. Es ist schneller, kostengünstiger und weitaus schwerer aufzudecken.

Die Erkennungslücke

Obwohl 66 % der Unternehmen davon ausgehen, dass die Bedrohung durch Insider zunehmen wird, haben nur 59 % Verhaltensanalysen eingeführt – die Technologie, die sich am besten dazu eignet, böswillige Aktivitäten von Insidern zu erkennen, bevor Daten das Unternehmen verlassen.

Herkömmliche Perimetersicherheit wurde entwickelt, um Angreifer von außen fernzuhalten. Es war nie dafür vorgesehen, Personen zu überwachen, die sich bereits im Gebäude befinden. Statische Richtlinien zur Verhinderung von Datenverlusten können zwar unachtsame Fehler aufdecken, sind jedoch weitgehend wirkungslos gegenüber einem Insider, der die Regeln kennt und weiß, wie er sie umgehen kann.

Böswillige Insider sind anpassungsfähig. Sie loten Grenzen aus. Sie nutzen zugelassene Werkzeuge auf nicht zugelassene Weise. Sie übertragen Daten in kleinen Schritten, um zu vermeiden, dass Schwellenwerte ausgelöst werden. Um dies zu erkennen, ist es erforderlich, Verhaltensmuster im Zeitverlauf zu verstehen, und nicht nur Regeln an einem single Kontaktpunkt durchzusetzen.

Von der Erkennung bis zur Prävention

Die effektivsten Programme zum Schutz vor Insiderrisiken verlagern ihren Schwerpunkt von reaktiven Ermittlungen hin zur proaktiven Erkennung – dabei werden Verhaltensmerkmale genutzt, um Risiken zu identifizieren, bevor sie eintreten.

In der Praxis bedeutet dies eine kontextbezogene Risikobewertung, bei der Dutzende von Variablen gleichzeitig berücksichtigt werden: auf welche Datei zugegriffen wurde, wann, von wo aus, von wem und wohin sie gesendet wurde. Wenn ein Mitarbeiter um 2 Uhr morgens eine vertrauliche Datei von einem unbekannten Gerät herunterlädt, löst dies ein ganz anderes Risikosignal aus als wenn derselbe Mitarbeiter während der Geschäftszeiten von einem Firmenlaptop aus auf diese Datei zugreift.

Diese kontextbezogene Analyse ermöglicht es Sicherheitsteams, angemessen zu reagieren – von einer behutsamen Aufklärung über Maßnahmen zur Eindämmung in Echtzeit bis hin zur sofortigen Eskalation.

Aufbau eines widerstandsfähigen Programms zum Schutz vor Insiderrisiken

Technologie allein reicht nicht aus. Die widerstandsfähigsten Programme sind abteilungsübergreifend auf die Bereiche Personalwesen, Rechtsabteilung, IT und Sicherheit ausgerichtet – denn Insiderrisiken beschränken sich nicht auf eine single Abteilung.

Der Datenschutz muss von Anfang an berücksichtigt werden. Eine wirksame Überwachung stützt sich auf einfache Metadaten – Muster bei Dateiübertragungen, Anomalien bei der Anmeldung, Zugriffshäufigkeit – und nicht auf eine eingreifende Überwachung jedes einzelnen Tastenanschlags. Unternehmen, denen es gelingt, dieses Gleichgewicht zu finden, entwickeln Programme, denen die Mitarbeiter vertrauen können – und die gleichzeitig das Unternehmen vor den Mitarbeitern schützen, denen man nicht vertrauen kann.

Das Zeitfenster schließt sich

Zwei Drittel der Unternehmen gehen davon aus, dass die Bedrohung durch Insider weiter zunehmen wird. Die „Insider-as-a-Service“-Wirtschaft entwickelt sich immer weiter.

Die Unternehmen, die diesen Wandel erfolgreich bewältigen werden, sind diejenigen, die jetzt handeln – indem sie Verhaltensanalysen einsetzen, die subtile Absichtsmuster erkennen, Signale aus E-Mail-, Endgeräte-, Identitäts- und Kollaborationsplattformen zusammenführen und Reaktionskonzepte so schnell entwickeln, dass sie handeln können, bevor die Daten verloren gehen.

Die Bedrohung durch Insider ist kein Problem der Zukunft. Es handelt sich um eine aktuelle Krise, in der sich die Kluft zwischen denjenigen, die vorbereitet sind, und denjenigen, die es nicht sind, immer weiter vergrößert.

Erfahren Sie, wie Mimecast Incydr Insider-Risiken automatisch erkennt, priorisiert und darauf reagiert – ohne dass Richtlinien eingerichtet werden müssen und ohne Beeinträchtigung der Endgeräte-Leistung. Fordern Sie Ihren 30-tägigen Incydr-Wertnachweis an.