Neuer Benutzer als Sicherheitsrisiko

Als Administratoren betreiben wir oft großen Aufwand hinsichtlich der externen Sicherheit. Wir installieren Firewalls um das Netzwerk vor Hackerangriffen zu schützen. Wir verwenden eine Verschlüsselung um die Übertragung von Daten abzusichern. Wir erstellen Gruppen-Richtlinien um überwachen zu können, wer wann Zugriff erhält. Dabei vergessen wir nur allzu oft, dass die größte Bedrohung von Personen ausgehen kann, die bereits Zugang zum Netzwerk haben.

Den Feind im Blick
Interne Sicherheit stand für das Unternehmen, in dem Debra als leitende Netzwerkingenieurin tätig ist, stets im Mittelpunkt. Die Unternehmensleitung hatte die Benutzer darauf hingewiesen, dass sie ihre Passwörter geheim halten mussten und nicht versuchen sollten auf Daten zuzugreifen, zu deren Nutzung sie nicht berechtigt sind. Dabei konnte ein Verstoß gegen eine dieser Regeln zur Kündigung führen. Dennoch hielt dies einen bestimmten neuen Mitarbeiter nicht davon ab, sein Unwesen zu treiben.

Ein neuer Verkaufsmitarbeiter kam kurz nach seinem Eintritt in das Unternehmen in die IT-Abteilung um dort ein von ihm entwickeltes Konzept vorzustellen, das dem Unternehmen Geld einsparen sollte. Angesichts der Aussicht auf mögliche Kosteneinsparungen hielt die Unternehmensleitung die IT-Abteilung zur Zusammenarbeit mit dem neuen Mitarbeiter an.

Das Unternehmen erwog zu jenem Zeitpunkt den Kauf eines teuren Softwarepakets. Der Verkaufsmitarbeiter behauptete nun, dass er das gleiche System mithilfe von Linux, einiger anderer frei verfügbarer Open Source-Anwendungen und eines gewissen Programmieraufwands einrichten könne. Er präsentierte also der IT-Abteilung anhand von Diagrammen sein Konzept. Es klang sehr beeindruckend und schien auch in der Umsetzung recht einfach. Der Mitarbeiter benötigte lediglich eine Netzwerkverbindung für seinen Linux-Rechner um mit der Arbeit beginnen zu können. In Anbetracht der Weisungen der Unternehmensleitung gewährte ihm die IT-Abteilung den Zugang, allerdings unter der Bedingung, dass er mit dem IT-Bereich zusammenarbeiten und diesen im Falle von Fragen konsultieren sollte.