Wenn der Flur zur Gefahrenzone wird: Insider-Bedrohungen im Zeitalter des verteilten Arbeitens

Der Anruf, den niemand machen will

Es ist Freitagvormittag, wenn bei einem Maschinenbauer aus Schwaben die Buchhaltung anruft: Ein Zahlungslauf ist ausgelöst worden, den niemand aufgegeben hat. Der Zugriff stammt aus dem VPN – und zwar aus dem Heimbüro eines langjährigen Mitarbeiters. Der Mitarbeiter selbst sitzt völlig ahnungslos in seinem Garten. Was folgt, ist ein Krisenstab, der bis in den Abend hinein tagt, und eine unbequeme Erkenntnis: Der teuerste Vorfall des Jahres begann nicht mit einem ausgeklügelten Hackerangriff, sondern mit einem privaten Laptop, auf dem seit Monaten kein Browser-Update mehr installiert worden war.

Warum der eigene Mitarbeiter zum ersten Verdächtigen wird

Sobald ein Vorfall aufgedeckt wird, laufen die Ermittlungen häufig in eine Richtung, die für alle Beteiligten unangenehm ist: nach innen. Wer hatte Zugriff? Wessen Konto wurde verwendet? In welchem Zeitraum war jemand eingeloggt? Die Logdaten liefern meist einen Namen – und damit einen Menschen, der sich plötzlich erklären muss, obwohl er selbst Opfer geworden ist.

Diese Dynamik ist kein Zufall, sondern eine Konsequenz der Systemarchitektur. Wenn Zugänge geteilt werden, wenn ein Kollege den Benutzeraccount eines anderen nutzt, weil „es ging ja schneller", dann verschwimmt die Zuordnung von Handlung und Verantwortung. Genau in dieser Grauzone entstehen die Fälle, die später als Insider-Vorfall aktenkundig werden – häufig ohne dass böse Absicht im Spiel war.

Drei typische Fallkonstellationen aus dem Mittelstand

Der verwaiste Account

Ein Teamleiter wechselt das Unternehmen, sein Zugang zum Warenwirtschaftssystem bleibt bestehen. Monate später nutzt ein Phishing-Mail die noch aktive Identität als Einstiegspunkt. Weil der Account offiziell niemandem mehr zugeordnet ist, dauert die Aufklärung Wochen.

Der Familienanschluss

Der Heimarbeitsplatz wird parallel als Familienrechner genutzt, ein Jugendlicher lädt im gleichen Netzwerk eine scheinbar kostenlose Software herunter. Die darauf versteckte Malware gelangt über die VPN-Verbindung direkt in die Firmenumgebung – ohne dass eine Firewall im Firmennetz dies verhindert hätte.

Der gut gemeinte Ausnahmefall

Die Einkaufsabteilung braucht dringend Zugriff auf eine Lieferantenliste, das Berechtigungskonzept sieht das nicht vor. Also wird kurzfristig eine Vollberechtigung erteilt – und nie wieder entzogen. Zwei Jahre später ist genau dieser Zugang der Weg in die Lieferantendaten.

Least Privilege: Der einfachste Hebel mit der größten Wirkung

Kein Mitarbeiter braucht dauerhaft Zugriff auf alles. Das Prinzip der minimalen Rechtevergabe – fachlich als Least-Privilege-Prinzip bezeichnet – klingt banal, stößt in der Praxis aber regelmäßig auf Widerstand: zu aufwendig, zu unpraktisch, zu viel Verwaltungsarbeit.

Der Aufwand lässt sich deutlich reduzieren, wenn Rollenprofile einmal sauber definiert werden, statt jedem Einzelfall hinterherzulaufen. Ein Mittelständler mit 150 Beschäftigten benötigt selten mehr als zwanzig bis dreißig solcher Profile. Entscheidend ist die Kombination aus zwei Maßnahmen:

• Berechtigungen mit Ablaufdatum: Jede erweiterte Vergabe endet automatisch, eine Verlängerung erfordert eine aktive Entscheidung.
• Vier-Augen-Prinzip bei Freischaltungen: Niemand genehmigt eigene Zugänge – auch nicht die Geschäftsführung.

Der geschulte Blick statt der totale Monitor

Technische Maßnahmen allein verhindern nicht, dass jemand über die Schulter schaut – im Zug, im Café oder im eigenen Arbeitszimmer, in dem Besuch erwartet wird. Der sogenannte Schulterblick ist die wohl unterschätzteste Variante des Datenabflusses, weil er keine Spuren in irgendeinem Logfile hinterlässt.

Praxistauglich ist hier eine kurze, regelmäßige Sensibilisierung, die nicht in Richtlinienprosa abdriftet, sondern mit konkreten Situationen arbeitet: Was mache ich, wenn im Homeoffice ein Handwerker im Raum ist? Wie reagiere ich, wenn ein Fremder am Flughafen auf meinen Bildschirm schaut? Solche kurzen Szenarien wirken nachweislich besser als einmal jährlich durchgeklickte E-Learning-Pflichtkurse.

Der Betriebsfrieden als Grenze

Sicherheit, die als Kontrolle empfunden wird, erzeugt Widerstand – und Widerstand erzeugt Schattenlösungen. Wer Keylogging-Software auf firmeneigene Geräte installiert, wird im Gegenzug private Messenger und private Cloudspeicher im Einsatz sehen. Das Sicherheitsniveau sinkt, obwohl investiert wurde.

Der bessere Weg verläuft über Transparenz: Beschäftigte sollten wissen, welche Daten zu welchem Zweck protokolliert werden, welche Mitwirkungspflichten der Betriebsrat mitgestaltet hat und wo die Grenzen der unternehmerischen Fürsorge liegen. Die Mitbestimmung ist dabei kein Hindernis, sondern ein Stabilitätsfaktor – Akzeptanz entsteht dort, wo Regeln nachvollziehbar verhandelt wurden.

Ein Fahrplan in vier Schritten

1. Bestandsaufnahme: Welche Konten existieren, wer nutzt sie, seit wann sind sie inaktiv? Eine einfache Konto-Inventur offenbart oft Überraschungen.
2. Berechtigungsstutzung: Überflüssige Rechte entziehen, Ausnahmen befristen – idealerweise im Rahmen eines abgestimmten Rollenkonzepts.
3. Heimarbeitsplätze prüfen: Mindeststandards definieren (aktuelle Betriebssystemversion, automatische Updates, getrennte private Nutzung) und deren Einhaltung technisch unterstützen statt nur zu fordern.
4. Vorfallskommunikation vorbereiten: Festlegen, wer im Ernstfall informiert, wer mit Beschäftigten spricht und wie der Verdächtige zum Betroffenen erklärt wird.

Fazit: Vertrauen braucht Struktur

Der eigene Mitarbeiter ist selten der Täter – aber sehr häufig die unvermeidliche erste Spur. Wer die Strukturen so gestaltet, dass diese Spur sauber ist, schützt gleichzeitig das Unternehmen und die Menschen in ihm. Minimale Rechte, saubere Konto­führung und ehrliche Sensibilisierung kosten weniger als jeder einzelne Vorfall – und erhalten etwas, das sich nicht nachrüsten lässt: das Vertrauen der Belegschaft in eine IT, die schützt statt kontrolliert.