Der Feind im Innern

Nicht nur von außen lauern Gefahren für die Unternehmenssicherheit, auch die eigenen Angestellten und Admins werden manchmal  zur Sabotage verlockt. Mitarbeiter haben Zugriff auf verschiedene Ebenen an Informationen. Basierend auf ihrer Rolle, Betriebszugehörigkeit oder weiteren Faktoren erhalten sie bestimmte Berechtigungen. Typischerweise sind sensible Informationen und kritische Systeme auf privilegierte Benutzer wie IT- und Netzwerkadministratoren beschränkt. Ziel der Unternehmenssicherheit sollte es sein, die Möglichkeiten für reguläre Mitarbeiter und externe Angreifer einzuschränken, auf ‚das nächste Level‘ aufzusteigen.

Fehlen jedoch Maßnahmen, um die Zugriffsrechte von Mitarbeitern granular zu steuern und einzuschränken, stellt dies ein erhebliches Risiko für die Unternehmenssicherheit dar. Im Folgenden deshalb ein Überblick zu vier Hauptursachen für den Missbrauch privilegierter Berechtigungen sowie Best Practices zum Schutz.

1. Fehlende Zugriffseinschränkungen auf sensible Daten und Systeme

Eine der häufigsten Ursachen für einen Datenverstoß ist das Versäumnis von Unternehmen, den Zugang zu sensiblen Informationen oder Systemen einzuschränken. Je mehr Mitarbeiter Zugang zu unternehmenskritischen Assets erhalten, desto größer das Risiko eines Datenlecks. Ohne angemessenen Kontrollen kann beispielsweise ein unwissender Mitarbeiter ein Dokument mit sensiblen Informationen vom Server herunterladen und an andere Teammitglieder, Kunden, externe Partner oder schlimmstenfalls an einen Angreifer im Rahmen eines Spear-Phishing-Angriffs weitergeben.

2. Insider-Bedrohungen durch verärgerte Mitarbeiter

Auch verärgerte Mitarbeiter, denen entweder gekündigt oder eine Gehaltserhöhung verweigert wurde, stellen ein hohes Risiko dar, wenn Unternehmen deren digitale Identität und die dazugehörigen Berechtigungen nicht überwachen oder kappen. Haben böswillige Insider Zugriff auf kritische Daten, Anwendungen und Systeme, können sie sensible Informationen unbemerkt entwenden und an die Konkurrenz verkaufen oder brisantes Insiderwissen der Öffentlichkeit zugänglich machen.

3. Schlechte Passwort-Hygiene

Auch schwache Passwörter können böswillige Insider für sich nutzen. Laut dem aktuellen Passwort-Reports von NordPass verwenden über 2,5 Millionen Benutzer immer noch „123456“ als Passwort. Im Vergleich zu externen Angreifern haben Insider häufig umfangreiches persönliches Wissen über ihre Zielperson, um die Anmeldedaten eines privilegierten Kontos zu knacken und sich als legitimer Benutzer ausgeben.

4. Missbrauch privilegierter Konten durch externe Angreifer

Cyberkriminelle suchen stets nach Möglichkeiten, um auf vertrauliche Informationen und Systeme zuzugreifen oder anfällige Mitarbeiter zu manipulieren. Durch Phishing-Kampagnen, Social-Engineering-Techniken, digitale Scanner, Passwort-Sniffer oder eine beliebige Kombination dieser Methoden können Hacker Zugang zu den Anmeldeinformationen eines Mitarbeiters erhalten und sich als legitimer Benutzer ausgeben. Nachdem sich ein Angreifer Zugang verschafft hat, wird er seine Umgebung auskundschaften und nach Möglichkeiten suchen, seine Zugriffsrechte zu erhöhen, um Daten zu extrahieren oder die kritische Unternehmensabläufe durch Malware zu sabotieren.

Game Over durch Implementierung eines Least-Privilege-Ansatzes

Unabhängig davon, ob es sich um einen unwissenden Benutzer, böswilligen Insider oder externen Angreifer handelt, der sich Zugang zu sensiblen Informationen verschafft hat, kann dies für Unternehmen verheerende Folgen haben.

Um zu verhindern, dass Mitarbeiter zu viel Zugang zu sensiblen Systemen und Informationen erhalten, sollten Unternehmen zunächst gemeinsam genutzte administrative Konten identifizieren und diese im einem Passwort-Vault verwahren. Alle anderen privilegierten Benutzer sollten mit Kontrollen versehen werden, die auf dem Least-Privilege-Prinzip basieren. Es sollte ein System eingerichtet werden, mit dem überprüft werden kann, wer den Zugriff beantragt, aus welchem Grund, und mit dem das Sicherheitsrisiko der Umgebung bestimmt wird, aus der sich der jeweilige Mitarbeiter einloggen will. Um unangemessenen Privilegien-Erhöhungen ein Ende zu setzen, sollten Unternehmen daher folgende Maßnahmen implementieren:

1. Etablierung von Least Privilege: Jeder Mitarbeiter kann potenziell einem Cyberangriff zum Opfer fallen oder selbst zum Angreifer werden. Die Sicherheitsarchitektur muss deshalb entsprechend strukturiert sein. Unternehmen sollten „Zero Standing Privileges“ anstreben, das heißt, privilegierte Zugänge für Mitarbeiter schließen, sobald eine Aufgabe erledigt ist, damit sie nicht für Bedrohungsakteure offen stehen.

2. Granulare Kontrolle von Ressourcen durch Zugriffszonen: Insbesondere bei sensiblen Prozessen und Aufgaben, sollte gewährleistet sein, dass keine Person mehr Zugriffsrechte hat, als für ihre Arbeit unbedingt erforderlich ist. Unternehmen können sogenannte Identitäts-Zugriffszonen nutzen, um die Rechte eines Benutzers an Ressourcen zu binden, die er tagtäglich benötigt, basierend auf seiner Rolle.

3. Implementierung von Access Request- und Approval-Workflows: Unternehmen sollten die Erweiterung von Berechtigungen mithilfe eines Access-Request- und Approval-Verfahrens steuern, bei denen Mitarbeiter den Grund für ihre gewünschte, vorrübergehende Privilegien-Erhöhung angeben. Dadurch wird nachverfolgbar, wer den Zugriff genehmigt hat und welcher Kontext mit der Anfrage verbunden ist.

Ein traditioneller rein Perimeter-basierter Sicherheitsansatz ist heutzutage nicht mehr ausreichend, da stets davon ausgegangen werden muss, dass sich Bedrohungsakteure bereits im Unternehmensnetzwerk befinden. Durch die Einführung eines Least-Privilege-Ansatzes, granularer Kontrollen von Ressourcen durch Zugriffszonen sowie die Implementierung von Access-Request- und Approval-Workflows können Unternehmen den Missbrauch von Privilegien erheblich reduzieren.