6 Ihre sensibelsten Daten brauchen keine externen Angreifer, um in falsche Hände zu geraten. Es genügt eine einzige Person mit legitimem Zugriff und böser Absicht. Eine Insider-Bedrohung– ob verärgerter Mitarbeiter, eingeschleuster Maulwurf eines Wettbewerbers oder nachlässiger Dienstleister – zählt zu Ihren größten Risiken. Insider haben legitimen Systemzugriff, kennen Ihre Sicherheitspraktiken und können wochen- oder monatelang unentdeckt agieren und ihre Spuren verwischen. Objektspeichersysteme sind darauf ausgelegt, autorisierten Benutzern Zugriff auf große Datenmengen zu bieten. Für legitime Anwendungsfälle ist das ihre Stärke – schneller Datenabruf, skalierbare Kapazität, nahtlose Integration in Anwendungen. Bei Insider-Bedrohungen wird genau diese Fähigkeit jedoch zur Schwachstelle. Ein Insider mit Zugangsdaten für den Objektspeicher kann in Minuten Terabytes kopieren, sie unbemerkt abziehen und kaum Spuren hinterlassen. Ein wirksamer Schutz vor Insider-Bedrohungen im Unternehmen erfordert eine Speicherarchitektur, die davon ausgeht, dass ein gewisses Maß an interner Kompromittierung unvermeidlich ist. Sie müssen verdächtige Zugriffsmuster erkennen. Sie müssen begrenzen, worauf eine einzelne kompromittierte Zugangsberechtigung zugreifen kann. Sie brauchen Audit-Trails, die zeigen, was wann kopiert wurde. Und Sie müssen den Schadensradius eindämmen, falls ein Insider tatsächlich sensible Daten abzieht. Die Landschaft der Insider-Bedrohungen verstehen Insider-Bedrohungen treten in unterschiedlichen Formen auf. Wer die konkreten Bedrohungen kennt, kann die Schutzarchitektur gezielt ausrichten. Verärgerte Mitarbeitende bilden eine Bedrohungsklasse. Wer vor der Kündigung steht oder bei einer Beförderung übergangen wurde, versucht womöglich, vor dem Ausscheiden Quellcode, Kundendatenbanken oder strategische Dokumente zu kopieren. Diese Bedrohung ist meist zeitlich begrenzt – der Datenabfluss geschieht über Tage oder Wochen, während die Person ihren Weggang vorbereitet. Sie ist aber oft besonders schädlich, weil gezielt wertvolle Daten ausgewählt werden. Eingeschleuste Maulwürfe von Wettbewerbern bilden eine weitere Klasse. Ein Maulwurf wurde womöglich gezielt eingestellt, um Zugang zu Ihrem Unternehmen zu erhalten und geistiges Eigentum zu stehlen. Diese Bedrohung ist raffiniert und geduldig – der Maulwurf arbeitet womöglich jahrelang, baut schrittweise Vertrauen und Zugriffsrechte auf und versucht erst dann einen großangelegten Datenabfluss. Solche Personen verstehen es meist auch technisch, ihre Spuren zu verwischen. Nachlässige Insider stellen eine andere Art von Bedrohung dar: Personen, die legitim auf Daten zugreifen, dabei aber unsichere Praktiken anwenden – sensible Daten auf private Geräte kopieren, Zugangsdaten weitergeben, Datensätze in nicht autorisierte Cloud-Dienste hochladen. Diese Bedrohung richtet oft unbeabsichtigten Schaden an statt gezielten Diebstahl, doch die Folgen für die Vertraulichkeit der Daten sind dieselben. Kompromittierte Insider schließlich sind ein Extremfall. Ein externer Angreifer kompromittiert die Zugangsdaten eines internen Benutzers und nutzt diesen legitimen Zugriff, um Daten abzuziehen. Der Insider weiß nicht, dass seine Zugangsdaten kompromittiert sind – der legitime Benutzer wird unwissentlich zum Einfallstor für einen externen Angriff. Jedes dieser Bedrohungsmuster erfordert eigene Erkennungs- und Schutzmechanismen. Segmentierung des Speicherzugriffs und Least Privilege Das Grundprinzip der Abwehr von Insider-Bedrohungen lautet: Keine einzelne Zugangsberechtigung darf Zugriff auf alle sensiblen Daten gewähren. Segmentieren Sie Ihren Speicher stattdessen in mehrere Domänen mit eigenen Zugriffskontrollen – nach den Best Practices für Zero-Trust-Sicherheit, die davon ausgehen, dass jede Zugangsberechtigung kompromittiert sein könnte. Ein Data Engineer, der legitim mit Transaktionsdatenbanken arbeitet, sollte nicht automatisch Zugriff auf medizinische Kundendaten oder strategische Dokumente haben. Setzen Sie Zugriffsrichtlinien um, bei denen der Data Engineer nur die Transaktionsdatenbank lesen kann, an der er arbeitet, Schreibzugriff auf Staging-Bereiche beschränkt ist (damit er die Produktion nicht direkt ändern kann) und kein Zugriff auf fremde Datensätze besteht. Das erfordert sorgfältige organisatorische Überlegungen zur Datenklassifizierung und dazu, wer worauf legitim zugreifen muss. Gängige Ansätze: Klassifizieren Sie Daten nach Sensibilität – öffentlich, intern, vertraulich, eingeschränkt – und führen Sie mit steigender Sensibilität immer strengere Zugriffskontrollen ein. Mitarbeitende haben womöglich uneingeschränkten Zugriff auf öffentliche und interne Daten, für vertrauliche Daten ist eine Genehmigung nötig, und eingeschränkte Daten stehen nur bestimmten Rollen zur Verfügung. Klassifizieren Sie Daten nach Funktion – Kundendaten, Finanzdaten, Mitarbeiterdaten, Produktdaten. Setzen Sie einen rollenbasierten Zugriff um, bei dem der Kundensupport auf Kundendaten zugreifen kann, nicht aber auf Finanzunterlagen, und die Buchhaltung auf Finanzunterlagen, nicht aber auf Produktdesigns. Diese funktionale Segmentierung begrenzt, was eine einzelne Kompromittierung offenlegen kann. Führen Sie zeitlich begrenzte Zugriffe ein, bei denen temporäre Berechtigungen für bestimmte Projekte vergeben werden und nach Projektende automatisch ablaufen. Das verhindert das verbreitete Problem, dass Mitarbeitende im Laufe ihrer Betriebszugehörigkeit immer mehr Zugriffsrechte anhäufen. Verhaltensanalysen für den Speicherzugriff Insider-Bedrohungen verraten sich oft durch Zugriffsmuster, die vom normalen Verhalten abweichen. Ein Benutzer, der sonst ein paar Dutzend Dateien im Monat liest und plötzlich Tausende abruft, verhält sich verdächtig. Wer auf Daten außerhalb seines üblichen Aufgabenbereichs zugreift, ebenso. Und wer spät nachts riesige Datenmengen herunterlädt, obwohl er normalerweise tagsüber arbeitet, ebenfalls. Setzen Sie Verhaltensanalysen ein, die die Zugriffsmuster auf den Speicher überwachen und Sicherheitsteams bei Anomalien alarmieren. Diese Systeme führen Basisprofile für das Zugriffsverhalten jedes Benutzers: Wie viele Dateien liest er üblicherweise? Wann greift er typischerweise auf Systeme zu? Auf welche Arten von Daten? Von welchen Systemen aus? Weicht das Verhalten deutlich von diesem Profil ab, wird ein Alarm ausgelöst. Verhaltensanalysen für Speicher sollten Folgendes erfassen: Volumenanomalien: Lädt jemand plötzlich 100 Gigabyte herunter, obwohl es normalerweise 100 Megabyte sind? Alarm. Geschwindigkeitsanomalien: Greift jemand hundertmal schneller als üblich auf Dateien zu, was auf massenhaftes Kopieren hindeutet? Alarm. Zeitanomalien: Greift jemand zu ungewöhnlichen Zeiten auf Systeme zu, um einer Entdeckung zu entgehen? Alarm. Anomalien im Zugriffsmuster: Greift jemand auf Daten außerhalb seines Aufgabenbereichs zu? Ruft ein Vertriebsmitarbeiter plötzlich Finanzunterlagen ab, ist das verdächtig. Alarm. Geografische Anomalien: Greift jemand von einem ungewöhnlichen Ort aus auf Systeme zu? Greift ein Ingenieur, der in Kalifornien arbeitet, plötzlich aus China zu, ist das verdächtig. Alarm. Solche Systeme nutzen oft Machine Learning, um Muster zu erkennen, die Menschen übersehen würden. Ein Benutzer greift vielleicht nicht auf offensichtlich sensible Daten zu, doch die Kombination aus Zugriffen auf 50 verschiedene Datensätze, Downloads zu ungewöhnlichen Zeiten und ungewöhnlichem Volumen kann zusammengenommen auf verdächtige Aktivitäten hinweisen, die eine Untersuchung wert sind. Unveränderliche Audit-Trails und forensische Fähigkeiten Zieht ein Insider Daten ab, hängt Ihre Fähigkeit, das zu erkennen und zu untersuchen, von umfassenden, manipulationssicheren Audit-Logs ab. Ein technisch versierter Insider versucht womöglich, seine Spuren durch das Löschen von Zugriffsprotokollen zu verwischen. Ein unveränderlicher Audit-Trail verhindert das nach den Prinzipien der Zero-Trust-Architektur . Setzen Sie auf ein Audit-Logging, bei dem neue Einträge nur angehängt, bestehende aber weder geändert noch gelöscht werden können. Manche Unternehmen nutzen blockchainbasiertes Logging, bei dem jeder Eintrag kryptografisch mit dem vorherigen verknüpft ist, sodass Änderungen nicht unbemerkt bleiben. Andere setzen auf einmal beschreibbaren Speicher wie WORM (Write Once Read Many) auf Band oder spezialisierte unveränderliche Log-Systeme. Ihre Audit-Logs sollten Folgendes erfassen: Wer hat worauf zugegriffen – welcher Benutzer, welches Objekt oder welcher Datensatz, worauf genau? Wann – mit exaktem Zeitstempel für jeden Zugriff? Wie – von welchem System, über welche Anwendung, über welche API oder welches Protokoll? Welche Aktion – Lesen, Schreiben, Kopieren, Löschen, Ändern? Mit welchem Ergebnis – war der Zugriff erfolgreich oder wurde er abgelehnt? Speichern Sie diese Audit-Logs getrennt von den Daten, die sie beschreiben. Zieht ein Insider Daten aus Ihrem primären Speichersystem ab, darf er die Audit-Logs, die seinen Zugriff belegen, nicht ändern können. Ideale Architekturen halten die Audit-Logs in einer vollständig getrennten Infrastruktur vor – in einem anderen Speichersystem, möglichst an einem anderen Standort, mit eigenen Zugriffskontrollen und anderen Administratoren. Führen Sie Log-Analysen ein, die Audit-Trails über reine Anomalien hinaus auf bedenkliche Muster prüfen. Versuchen mehrere Benutzer plötzlich, auf Daten zuzugreifen, für die sie keine Berechtigung haben, deutet das auf einen koordinierten Angriff oder eine kompromittierte Zugangsberechtigung hin, die im ganzen Unternehmen genutzt wird. Wird der Zugriff eines Benutzers Dutzende Male abgelehnt, sucht er womöglich nach Schwachstellen. Lösen Sie bei solchen Mustern automatisch Alarme aus. Datenabfluss erkennen Selbst mit Verhaltensanalysen und Audit-Trails ist das Ideal, Versuche des Datenabflusses in Echtzeit zu erkennen und den Verlust zu verhindern, bevor er eintritt. Dafür braucht es Mechanismen, die erkennen, wenn Benutzer außerhalb normaler Betriebsmuster große Datenmengen kopieren wollen. Setzen Sie Systeme zur Data Loss Prevention (DLP) ein, die Netzwerkverkehr und Dateivorgänge auf Versuche überwachen, sensible Daten aus Ihrem Kontrollbereich zu bringen. Versucht jemand, ein vertrauliches Dokument in einen Cloud-Speicher zu kopieren, per E-Mail zu versenden oder auf ein privates Gerät hochzuladen, können DLP-Systeme das erkennen und blockieren. Manche Unternehmen setzen Egress-Kontrollen direkt im Objektspeicher ein. Statt sich auf DLP auf Netzwerkebene zu verlassen, führen sie Kontrollen auf der Speicherebene ein: Zugangsdaten erlauben das Lesen, aber nicht das Herunterladen von Daten, oder nur in begrenztem Umfang. Ein Benutzer kann womöglich Terabytes direkt auf Ihren Speichersystemen für Analysen verarbeiten, das tatsächliche Herunterladen ist jedoch eingeschränkt. Setzen Sie bei besonders sensiblen Daten auf dauerhafte Zugriffskontrollen, bei denen die Daten verschlüsselt bleiben und nur innerhalb Ihrer Infrastruktur nutzbar sind – selbst wenn sie kopiert werden. Ein Benutzer kann einen Datensatz zwar kopieren, ihn aber ohne Zugangsdaten, die Ihre Systeme nie verlassen, nicht entschlüsseln. Dieses Modell, bei dem die Zugriffskontrolle mit den Daten wandert, macht einen Datenabfluss nutzlos – selbst wenn die Daten Ihre Infrastruktur verlassen, bleiben sie unzugänglich. Eindämmung und Begrenzung des Schadensradius Erkennen Sie tatsächlich eine Insider-Bedrohung – jemand zieht Daten ab –, verlagert sich Ihr Ziel auf die Eindämmung: weiteren Schaden verhindern, Beweise sichern und den Geschäftsbetrieb aufrechterhalten. Führen Sie Prozesse für den schnellen Entzug von Zugangsdaten ein. Besteht der Verdacht auf eine Insider-Bedrohung, sollten alle Zugangsdaten dieses Benutzers sofort widerrufen werden. Natürlich hat die Person womöglich weitere Zugangsdaten oder Wege, sich erneut Zugang zu verschaffen, doch der Widerruf bekannter Zugangsdaten erschwert einen fortgesetzten Datenabfluss. Ihr Prozess sollte den vollständigen Widerruf innerhalb von Minuten ermöglichen. Setzen Sie eine Trennung der Datenzugriffe um, die begrenzt, worauf ein einzelner kompromittierter Benutzer zugreifen kann. Statt mit einer Zugangsberechtigung auf 500 Datensätze zuzugreifen, gewährt die primäre Berechtigung Zugriff auf 20 Datensätze, und für weitere Datensätze sind zusätzliche Authentifizierungsfaktoren nötig (separate API-Schlüssel, Hardware-Token, Genehmigung durch eine Führungskraft). Wird eine Zugangsberechtigung kompromittiert, bleibt der Schadensradius begrenzt. Führen Sie für besonders wertvolle Datensätze das Mehr-Augen-Prinzip ein, bei dem kein einzelner Insider ohne Genehmigung einer weiteren Person auf die Daten zugreifen kann. Für Finanzberichte, Produkt-Roadmaps oder Kundenlisten kann der Zugriff erfordern, dass sich zwei verschiedene Personen mit unterschiedlichen Zugangsdaten gleichzeitig authentifizieren. So kann ein einzelner verärgerter Mitarbeiter keine äußerst wertvollen Daten abziehen. Sorgen Sie für eine schnelle Isolation von Daten, mit der Sie den Zugriff auf bestimmte Datensätze abtrennen können. Stellen Sie fest, dass ein Benutzer Kundendaten abzieht, können Sie ihm sofort den Zugriff auf jeden kundenbezogenen Speicher entziehen und alle Systeme benachrichtigen, die diese Daten zwischengespeichert oder repliziert haben. So verhindern Sie, dass sich der Datenabfluss ausweitet. Organisatorische und kulturelle Faktoren Technische Kontrollen gegen Insider-Bedrohungen sind notwendig, aber nicht ausreichend. Unternehmen mit wenigen Insider-Vorfällen setzen zusätzlich auf kulturelle und organisatorische Praktiken, die das Risiko senken. Führen Sie regelmäßige Zugriffsüberprüfungen ein, bei denen Führungskräfte ausdrücklich bestätigen, dass ihre direkten Mitarbeitenden ihre aktuellen Zugriffsrechte benötigen. So fallen Fälle auf, in denen sich Zugriffsrechte über den Bedarf der aktuellen Rolle hinaus angesammelt haben. Es kommen auch Fragen auf wie: „Warum hat diese Person noch Zugriff auf ein System, das sie seit zwei Jahren nicht genutzt hat?“ Setzen Sie auf Funktionstrennung, bei der kritische Vorgänge mehrere Personen erfordern. Systemadministratoren sollten Backups nicht eigenmächtig löschen oder Datensätze exportieren können. Finanzvorgänge sollten nicht vollständig in der Hand einer Person liegen. Dieses in sicherheitssensiblen Organisationen verbreitete Prinzip gilt auch für den Datenzugriff. Schaffen Sie eine Kultur, in der Sicherheitsbedenken gegenüber Kollegen ohne persönliches Risiko geäußert werden können. Viele Insider-Bedrohungen werden nicht durch technisches Monitoring entdeckt, sondern durch Hinweise von Kollegen, denen verdächtiges Verhalten aufgefallen ist. Mitarbeitende müssen darauf vertrauen können, dass solche Hinweise erwünscht sind und sie keine Nachteile befürchten müssen. Fazit: Speicherarchitektur als Abwehr gegen Insider-Bedrohungen Die Abwehr von Insider-Bedrohungen ist keine reine Frage von Sicherheitstools. Sie erfordert eine Speicherarchitektur, die bewusst darauf ausgelegt ist, den Zugriff jeder einzelnen Zugangsberechtigung zu begrenzen, unveränderliche Nachweise aller Zugriffe zu führen, verdächtige Muster zu erkennen und bei Bedarf eine schnelle Eindämmung zu ermöglichen. Unternehmen, die Insider-Bedrohungen ernst nehmen, bauen diese Fähigkeiten von Anfang an in ihre Speicherinfrastruktur ein. Stützt sich Ihre Erkennung von Insider-Bedrohungen vor allem auf Endpunkt-Monitoring und Verhaltensanalysen, während Ihre Speichersysteme breiten Zugriff mit minimalen Audit-Trails gewähren, sind Sie verwundbar. Gestalten Sie Ihre Speicherarchitektur so um, dass keine einzelne Zugangsberechtigung Zugriff auf alle sensiblen Daten gewährt. Führen Sie ein unveränderliches Audit-Logging ein. Setzen Sie Verhaltensanalysen ein, um verdächtige Zugriffsmuster zu erkennen. Etablieren Sie Prozesse für die Incident Response, die eine schnelle Eindämmung und die Sicherung von Beweisen ermöglichen. Die Insider-Bedrohungen in Ihrem Unternehmen sind vermutlich bereits vorhanden. Ihre schützende Speicherarchitektur entscheidet darüber, ob sie erheblichen Schaden anrichten oder erkannt und eingedämmt werden, bevor größerer Schaden entsteht. Bauen Sie Ihren Speicher mit dieser Realität im Blick. Weitere Hinweise finden Sie in unseren Best Practices für Zero-Trust-Sicherheit. Weiterführende Artikel Best Practices für Identitäts- und Zugriffsmanagement (IAM) Multi-Faktor-Authentifizierung (MFA) Was ist SIEM? Datenverschlüsselung: Leitfaden für Compliance- und IT-Verantwortliche Immutable Storage und Ransomware-Abwehr (auf Englisch) Backup-Speicher mit Air Gap
