Der vertrauenswürdige Mitarbeiter: Wenn Loyalität allein nicht ausreicht, um Ihre Organisation zu schützen
Als eine langjährige Mitarbeiterin beginnt, vertrauliche Dateien „nur zur Hilfe" weiterzugeben, und ein frustrierter Kollege still Kundendaten kopiert, bevor er kündigt, lernt ein mittelständisches Unternehmen, dass Insider-Bedrohungen von den unerwartetsten – und vertrauenswürdigsten – Personen ausgehen können. Dieses Szenario untersucht sowohl versehentliche als auch vorsätzliche Datenlecks, bevor es zu spät ist.
Als eine langjährige Mitarbeiterin beginnt, vertrauliche Dateien „nur zur Hilfe" weiterzugeben, und ein frustrierter Kollege still Kundendaten kopiert, bevor er kündigt, lernt ein mittelständisches Unternehmen, dass Insider-Bedrohungen von den unerwartetsten – und vertrauenswürdigsten – Personen ausgehen können. Dieses Szenario untersucht sowohl versehentliche als auch vorsätzliche Datenlecks, bevor es zu spät ist.
Mariam arbeitete seit elf Jahren bei Crescent Solutions. Sie wusste, wo die Kaffeemaschinenfilter aufbewahrt wurden, sie erinnerte sich an die Geburtstage aller Kollegen, und sie hatte Zugang zu nahezu jedem gemeinsamen Laufwerk des Unternehmens. Niemand stellte Mariam in Frage. Sie war, wie ihr Vorgesetzter gerne sagte, „ein fester Bestandteil des Inventars."
Es war ein Dienstagsnachmittag, als ihre Kollegin Lena aus der Marketingabteilung über die Trennwand zwischen ihren Schreibtischen lehnte.
„Mariam, ich brauche den Q3-Kundenumsatzbericht für die Vorstandspräsentation morgen. Mein Zugang wurde entzogen, als ich letzten Monat in die neue Abteilung versetzt wurde, und die IT braucht ewig, um zu antworten. Kannst du ihn einfach an meine private Gmail schicken? Das geht schneller."
Mariam zögerte nur einen Moment. Sie kannte Lena. Lena war nett. Lena brachte freitags Gebäck mit. Und die Deadline war real – sie konnte den Stress im Gesicht ihrer Kollegin sehen.
Also schickte sie die Datei.
Was Mariam nicht bedacht hatte, war, dass Lenas privates Gmail-Konto über keine Verschlüsselungsstandards, keine Tools zur Verhinderung von Datenverlust und keine unternehmensinterne Kontrolle verfügte. Die Datei – mit Umsatzzahlen, Kundennamen und Vertragswerten für über 200 Konten – befand sich nun auf einem privaten E-Mail-Server außerhalb der Kontrolle des Unternehmens. Lena hatte nie böse Absichten. Sie wollte einfach nur ihre Arbeit erledigen. Sicherheitsexperten bezeichnen dies als versehentliche Insider-Bedrohung: keine böswillige Absicht, aber echter und dauerhafter Schaden für die Datenintegrität und die Compliance.
Die zweite Geschichte, die sich bei Crescent Solutions abspielte, war weitaus vorsätzlicher.
Tariq war in zwei Jahren dreimal bei einer Beförderung übergangen worden. Er lächelte in Meetings, meldete sich freiwillig für Projekte und sagte öffentlich nichts – doch im Stillen hatte er bereits ein Jobangebot von einem direkten Konkurrenten angenommen. Sein letzter Arbeitstag war in drei Wochen, und niemand wusste davon.
In den folgenden zwei Wochen begann Tariq mit dem, was er sich selbst als bloßes „Aufbewahren von Kopien seiner eigenen Arbeit" einredete. Er lud die vollständige Kundenkontaktdatenbank des Unternehmens herunter. Er exportierte die Preisstrategie-Dokumente, an deren Erstellung er mitgewirkt hatte. Er leitete interne E-Mails zur Produkt-Roadmap an sein privates Konto weiter. Jede einzelne Handlung für sich genommen hätte geringfügig erscheinen können. Zusammengenommen beliefen sie sich auf den systematischen Diebstahl von geistigem Eigentum.
„Ich habe die Hälfte davon aufgebaut", sagte sich Tariq eines Abends, während ein USB-Stick in seinem Arbeits-Laptop steckte. „Das steht mir zu."
Was Tariq nicht wusste – oder vielleicht nicht kümmerte – war, dass das Data-Loss-Prevention-System des Unternehmens einen ungewöhnlichen Anstieg in seiner Datei-Download-Aktivität gemeldet hatte. Ein Bericht lag vier Tage lang ungelesen im Posteingang der IT-Sicherheit. Als das Sicherheitsteam ihn schließlich prüfte und an die Personalabteilung weiterleitete, hatte Tariq bereits seine Kündigung eingereicht.
Die darauffolgende Untersuchung war kostspielig, rechtlich kompliziert und hat der Arbeitsmoral erheblichen Schaden zugefügt. Das Unternehmen konnte nachweisen, dass eine Datenexfiltration stattgefunden hatte,
- Senden Sie niemals vertrauliche Dateien an private E-Mail-Konten. Auch bei guten Absichten werden durch die Übertragung vertraulicher Daten außerhalb unternehmenseigener Systeme sämtliche Sicherheitsvorkehrungen aufgehoben, was gegen Datenschutzbestimmungen verstoßen kann.
- Die Aufhebung von Zugriffsrechten ist ein Prozess – kein Umweg. Wenn ein Kollege den Zugang zu einer Datei verloren hat, die er legitim benötigt, ist die richtige Reaktion, die IT über offizielle Kanäle zu kontaktieren – und nicht das System mithilfe der Zugangsdaten oder des Kontos einer anderen Person zu umgehen.
- Unzufriedene oder ausscheidende Mitarbeiter stellen ein erhöhtes Risiko dar. Unternehmen sollten Mitarbeiter, die gekündigt haben, bei Beförderungen übergangen wurden oder Anzeichen von Unzufriedenheit zeigen, verstärkt überwachen – nicht als Strafe, sondern als Schutzmaßnahme.
- DLP-Warnungen müssen umgehend geprüft werden. Ein Data-Loss-Prevention-System ist nur dann wirksam, wenn die von ihm generierten Warnungen schnell bearbeitet werden. Verzögerte Überprüfungen ermöglichen es Bedrohungen, sich auszuweiten und Daten das Unternehmen zu verlassen.
- Absicht bestimmt nicht die Auswirkung. Versehentliche Datenlecks verursachen echten regulatorischen, finanziellen und rufschädigenden Schaden – unabhängig davon, ob die verursachende Person gute Absichten hatte. Jeder muss die Richtlinien zum Umgang mit Daten kennen – nicht nur die IT-Mitarbeiter.
- Schaffen Sie eine Kultur, in der Nachfragen sicher ist. Mitarbeiter sollten sich wohlfühlen, wenn sie sagen: „Ich bin mir nicht sicher, ob ich das weitergeben sollte" – ohne Angst vor Verurteilung. Eine rechtzeitig gestellte einfache Frage kann einen kostspieligen Sicherheitsvorfall verhindern.
Dieses Szenario und Quiz freischalten
Der kostenlose Plan umfasst 3 Szenarien. Upgraden Sie für vollen Zugang zu allen Szenarien und Quizzen.
⬆️ Pläne ansehen