Versteckte Insider-Bedrohungen aufspüren

Ein böswilliger Insider missbraucht seinen Zugriff bewusst, um persönlichen Gewinn zu erzielen, aus ideologischen Gründen oder um Schaden anzurichten – indem er vertrauliche Daten verkauft, wichtige Dateien löscht oder Zugangsdaten preisgibt, die Folgeangriffe ermöglichen. Ein fahrlässiger Insider gefährdet das Unternehmen ohne Vorsatz, typischerweise, indem er Opfer eines Phishing-Angriffs wird, schwache Passwörter wiederverwendet oder Sicherheitsrichtlinien missachtet. Ein kompromittierter Insider ist ein legitimer Mitarbeiter, dessen Anmeldedaten oder Sitzungstoken von einem externen Angreifer gestohlen wurden, der diesen Zugriff dann nutzt, während der Mitarbeiter davon nichts ahnt. Die meisten Tools zur Verhaltenserkennung sind darauf ausgelegt, Muster zu erkennen, die erst nach dem Missbrauch des Zugriffs auftreten. Das bedeutet, dass sich alle drei Kategorien in dem Zeitfenster zwischen der Kompromittierung und dem erkennbaren Verhalten unentdeckt durch ein Unternehmen bewegen können. Laut dem „2025 Insider Threat Pulse Report“ von SpyCloud äußern 97 % der Sicherheitsexperten Bedenken hinsichtlich fahrlässiger Insider-Bedrohungen und 93 % hinsichtlich böswilliger. SpyCloud deckt alle drei Kategorien durch Darknet-Intelligence ab, die Signale für Identitätsrisiken aufdeckt, bevor das Verhalten beobachtbar wird: Wiedergewonnene Malware-Protokolle enthüllen kompromittierte Mitarbeiter, die Korrelation krimineller Infrastrukturen deckt böswillige Insider auf, und die ganzheitliche Identitätskorrelation deckt synthetische oder betrügerische Identitätsmuster bei Bewerbern auf.

Böswillige Insider hinterlassen oft digitale Spuren in der kriminellen Unterwelt, bevor sie überhaupt innerhalb einer Organisation aktiv werden. Ein Mitarbeiter, der nebenbei als Angreifer agiert, Zugangsdaten auf kriminellen Märkten verkauft hat oder eine betrügerische Identität nutzt, die von einer bekannten kriminellen Person übernommen wurde, hinterlässt Spuren, die in Datendiebstahlprotokollen, Logs von Infostealer-Malware und in Darknet-Foren auftauchen. Die IDLink-Analysen von SpyCloud vergleichen die berufliche Identität eines Mitarbeiters mit seinem gesamten persönlichen digitalen Fußabdruck und decken so Verbindungen zu kriminellen Infrastrukturen auf, die für Verhaltensüberwachungstools innerhalb der Unternehmensumgebung unsichtbar sind. Wenn die persönliche E-Mail-Adresse eines Mitarbeiters im selben Protokoll eines Datenraub-Malware-Programms auftaucht wie die Infrastruktur zur Verbreitung von Malware oder wenn sein Benutzername in einem Darknet-Forum erscheint, das mit dem Handel mit Zugangsdaten in Verbindung steht, stellen diese Signale eine böswillige Absicht dar, die kein UEBA-Tool erkennen kann – da sie vollständig außerhalb des Unternehmensperimeters existieren. SpyCloud AI Insights automatisiert diese Korrelation, fasst verborgene Identitätsverbindungen zusammen und deckt Muster auf, für deren manuelle Ermittlung ein menschlicher Analyst Stunden oder Tage benötigen würde, wodurch sich die Ermittlungsdauer von Wochen auf Sekunden verkürzt.

Bei Betrugsmaschen nordkoreanischer IT-Fachkräfte fälschen oder stehlen die Täter legitime Identitäten, um sich auf Remote-Stellen bei westlichen Unternehmen zu bewerben – oft untermauert durch gefälschte Lebensläufe, erfundene Berufserfahrungen und gestohlene personenbezogene Daten. Herkömmliche Hintergrundüberprüfungen erkennen dieses Muster nicht, da die eingereichten Identitätsangaben für sich genommen legitim erscheinen können. SpyCloud geht dieses Problem von der Darknet-Seite her an. IDLink gleicht die bei einer Bewerbung eingereichten Identitätsmerkmale – E-Mail-Adressen, Benutzernamen, Telefonnummern, beruflicher Werdegang – mit dem von SpyCloud neu erfassten Datensatz aus Datenpannen, Malware-Protokollen und Aktivitäten auf dem kriminellen Markt ab. Wenn diese Identitätsmerkmale in Kombinationen auftreten, die mit einem legitimen Lebenslauf unvereinbar sind, oder wenn sie mit bekannter feindlicher Infrastruktur, betrügerischen Konten oder früheren kriminellen Aktivitäten in Zusammenhang stehen, macht SpyCloud auf dieses Signal aufmerksam, bevor der Bewerber eingestellt wird. Ein Kunde, eine professionelle Networking-Plattform, berichtete, dass er mithilfe von SpyCloud Investigations Hunderte von Konten identifiziert habe, die mit Akteuren aus der DVRK in Verbindung standen, und deren Zugriff sofort gesperrt habe. Der Blogbeitrag von SpyCloud zur Identifizierung gefälschter nordkoreanischer IT-Mitarbeiter beschreibt detailliert die spezifische Untersuchungsmethodik, die bei dieser Aufdeckung zum Einsatz kam. Laut Charles Carmakal, CTO von Mandiant Consulting, hat fast jeder CISO, mit dem er über das Problem der nordkoreanischen IT-Mitarbeiter gesprochen hat, zugegeben, mindestens einen nordkoreanischen IT-Mitarbeiter eingestellt zu haben.

Tools zur Erkennung von Verhaltensmustern analysieren, was Nutzer innerhalb der Unternehmensumgebung tun – Zugriffsmuster, Datenbewegungen, Anmeldeanomalien und Richtlinienverstöße. Sie sind von ihrer Konzeption her reaktiv: Sie generieren Warnmeldungen erst, nachdem beobachtbares Verhalten aufgetreten ist, was bedeutet, dass sich das Erkennungsfenster erst öffnet, nachdem ein Insider bereits aktiv geworden ist. Die gefährlichsten Szenarien für Insider-Bedrohungen betreffen Akteure, die sich über längere Zeiträume normal verhalten, bevor sie aktiv werden, oder die vertrauenswürdigen Zugriff auf eine Weise ausnutzen, die innerhalb der normalen Nutzungsparameter liegt. Der „Insider Threat Pulse Report“ von SpyCloud ergab, dass 67 % der Sicherheitsteams planen, ihre Programme zur Abwehr von Insider-Bedrohungen in den nächsten 12 Monaten auszubauen, was auf eine weit verbreitete Erkenntnis hindeutet, dass bestehende Tools unzureichend sind. Die Lücke, die verhaltensbasierte Tools nicht schließen können, betrifft das, was mit einem Nutzer geschah, bevor er in das Unternehmen eintrat, oder außerhalb des Unternehmensnetzwerks während seiner Beschäftigungszeit. Ein kompromittierter Mitarbeiter, dessen Gerät letzte Woche mit Infostealer-Malware infiziert wurde, hat bislang noch kein auffälliges Verhalten gezeigt. Ein böswilliger Insider, der seit Monaten die Exfiltration von Daten plant, zeigt möglicherweise bis zum Zeitpunkt der Tat keinerlei Verhaltenssignale. SpyCloud deckt die Hinweise vor dem eigentlichen Verhalten auf: aus dem Darknet zurückgewonnene Daten, die auf kompromittierte Zugangsdaten, Verbindungen zu kriminellen Infrastrukturen oder Muster synthetischer Identitäten hinweisen, die dem erkennbaren Verhalten um Tage, Wochen oder Monate vorausgehen.

Der „Insider Threat Pulse Report“ von SpyCloud ergab, dass 87 % der Unternehmen ihre Personal- oder Rekrutierungsteams bereits in die Abwehr von Insider-Bedrohungen einbeziehen, 60 % dies jedoch über manuelle Ad-hoc-Prozesse tun, ohne automatisierte Workflows, die Personal- und Sicherheitssysteme miteinander verknüpfen. SpyCloud ermöglicht eine strukturierte Zusammenarbeit über drei Lebenszyklusphasen hinweg. Bei der Überprüfung vor der Einstellung ermöglicht „SpyCloud Investigations“ Sicherheits- oder Personalteams, die Identität von Bewerbern mit dem von SpyCloud zurückgewonnenen Darknet-Datensatz abzugleichen, um betrügerische Identitäten, Verbindungen zu kriminellen Netzwerken oder Muster synthetischer Identitäten aufzudecken, bevor ein Stellenangebot unterbreitet wird. Dies ist besonders relevant für Positionen mit privilegiertem Zugriff und für Remote-Stellen, bei denen eine persönliche Überprüfung nicht möglich ist. Während des Beschäftigungsverhältnisses überwachen „Workforce Threat Protection“ und „Endpoint Threat Protection“ kontinuierlich die Anmeldedaten der Mitarbeiter sowie die Gerätetelemetrie auf Anzeichen einer Kompromittierung und melden neu offengelegte Anmeldedaten oder Malware-Infektionen an Sicherheitsteams, die handeln können, bevor ein externer Angreifer das kompromittierte Konto ausnutzt. Die API- und SOAR-Integrationen von SpyCloud ermöglichen es, diese Signale automatisch an Fallmanagementsysteme für Insider-Risiken oder HR-Ticketing-Workflows weiterzuleiten, anstatt sie isoliert im Sicherheitsstack zu belassen. Beim Ausscheiden aus dem Unternehmen kann SpyCloud feststellen, ob die Zugangsdaten oder Zugriffsrechte eines ausscheidenden Mitarbeiters derzeit auf kriminellen Märkten im Umlauf sind, und ermöglicht so eine gezielte Sperrung und Überprüfung der Zugriffsrechte anstelle einer pauschalen Checkliste.