7 Beispiele für Datenschutzverletzungen, die durch Insider-Bedrohungen verursacht wurden

Insider kennen alle Ins und Outs der Infrastruktur und Cybersicherheitstools Ihres Unternehmens. Aus diesem Grund werden Unternehmen weltweit jeden Monat Opfer zahlreicher böswilliger und fahrlässiger Insider-Sicherheitsvorfälle, die zu Datenschutzverletzungen und vielen anderen negativen Folgen führen. Solche Angriffe können zu finanziellen und Reputationsverlusten und sogar zur Unterbrechung des Geschäftsbetriebs führen.

In diesem Artikel analysieren wir sieben reale Beispiele von Insider-Bedrohungen, die zu Datenschutzverletzungen führten, und geben Tipps, wie sie hätten verhindert werden können.

Insider-Bedrohungen und ihre Folgen

Beginnen wir mit der Definition des Begriffs “Insider”. In der Sonderveröffentlichung 800-53 des Nationalen Instituts für Standards und Technologie (NIST) wird eine Insider-Bedrohung definiert als “die Gefahr, dass ein Insider seinen autorisierten Zugang wissentlich oder unwissentlich nutzt, um der Sicherheit von organisatorischen Abläufen und Vermögenswerten, Einzelpersonen, anderen Organisationen und der Nation Schaden zuzufügen”.

Es gibt drei Hauptquellen für Insider-Bedrohungen:

Insider-Angriffe sind vor allem aus drei Gründen besonders gefährlich:

• Insider handeln in den meisten Fällen nicht böswillig. Deshalb ist es schwieriger, schädliche Insider-Aktivitäten zu erkennen als Angriffe von außen.
• Insider kennen die Schwachstellen in der Cybersicherheit Ihres Unternehmens.
• Insider kennen den Ort und die Art der sensiblen Daten, die sie ausnutzen können.

Aus diesen Gründen zielen Insider-Angriffe genau auf die sensibelsten Vermögenswerte ab und es dauert lange, sie einzudämmen, was zu verheerenden Verlusten für Unternehmen führt. Die durchschnittlichen Gesamtkosten von Insider-Bedrohungen sind laut dem Bericht zu weltweiten Kosten von Insider-Bedrohungen 2023 des Ponemon Instituts von 8,3 Millionen US-Dollar im Jahr 2018 auf 16,2 Millionen US-Dollar im Jahr 2023 gestiegen.

Insider-Angriffe können zu verschiedenen negativen Folgen führen, von Strafen für die Nichteinhaltung von Cybersicherheitsanforderungen bis hin zum Verlust des Kundenvertrauens. Hier sind die häufigsten Folgen von Cybersecurity-Vorfällen im wirklichen Leben:

In diesem Artikel befassen wir uns mit den berüchtigten Fällen von Insider-Bedrohungen, analysieren ihre Folgen und untersuchen, wie diese Angriffe abliefen. Wir werden auch sehen, wie diese internen Datenschutzverletzungen hätten verhindert werden können.

7 Beispiele von Datenschutzverletzungen, die durch Insider-Bedrohungen verursacht wurden

Wir haben sieben bekannte Beispiele für Insider-Bedrohungen, die zu Datenschutzverletzungen führten, zur Analyse ausgewählt. Sie veranschaulichen die üblichen Motive und Quellen von Insider-Bedrohungen. Diese Angriffe verdeutlichen auch, wie ein einzelner Vorfall ein ganzes Unternehmen schädigen kann.

Werfen wir zunächst einen Blick auf die wichtigsten Arten von Insider-Bedrohungen:

Nachdem wir nun die wichtigsten Arten von Insider-Bedrohungen skizziert haben, wollen wir uns nun ansehen, wie sich diese theoretischen Risiken in der Praxis bewährt haben.

Fall Nr. 1: Datenexposition bei Pegasus Airlines aufgrund von Fahrlässigkeit der Mitarbeiter

Was ist passiert?

Im März 2022 meldete ein Cybersicherheitsteam namens SafetyDetectives Pegasus Airlines, dass eine große Menge ihrer sensiblen Daten ungeschützt online war. Der ungeschützte AWS S3-Bucket von Pegasus Airlines enthielt sensible Flugdaten, die mit der Flugsystem-Software des Unternehmens verbunden waren. Diese Software half Piloten bei der Verwaltung von Prozessen während des Flugs und enthielt Flugkarten, Navigationsmaterialien, personenbezogene Daten der Besatzung und Software-Quellcode.

Was waren die Folgen?

Dort befanden sich fast 23 Millionen Dateien, die etwa 6,5 Terabyte an Daten ausmachten. Wäre es zu einer Datenpanne gekommen, hätte dies Tausende von Passagieren und Flugpersonal betreffen können. Die Preisgabe personenbezogener Daten von Mitarbeitern stellt einen Verstoß gegen das türkische Gesetz zum Schutz personenbezogener Daten (LPPD) dar, der mit einer Geldstrafe von maximal 183.000 Dollar geahndet werden kann. Auch die Tochtergesellschaften von Pegasus Airlines könnten davon betroffen sein. Glücklicherweise hatte die in diesem Fall an den Tag gelegte Nachlässigkeit keine bleibenden Folgen.

Warum ist das passiert?

Fahrlässigkeit der Mitarbeiter und menschliches Versagen waren die Hauptursachen für diesen Vorfall mit Insider-Risiko, da keine böswilligen oder betrügerischen Aktivitäten stattfanden. Dies geschah, weil der Systemadministrator des Unternehmens einen Fehler machte und es nicht schaffte, die Cloud-Umgebung ordnungsgemäß zu konfigurieren, sodass sensible Daten nicht durch ein Passwort geschützt waren. Der Systemadministrator war möglicherweise nicht ausreichend für die ordnungsgemäße Konfiguration von Cloud-Umgebungen und die Verwaltung von Daten geschult, wodurch das Unternehmen in Gefahr geriet.

Pegasus Airlines hätte auch die Weitsicht haben müssen, die Interaktionen der Nutzer mit sensiblen Systemen und Daten zu überwachen. Hätten sie das getan, wäre ihnen die unsachgemäße Konfiguration des Cloud-Speichers aufgefallen. Privilegierte Benutzer haben Zugang zu den kritischsten IT-Infrastrukturen und -Ressourcen, daher ist die Überwachung ihrer Aktivitäten ein Muss. Sie können privilegierte Konten auch vor Kompromissen schützen, indem Sie die bewährten Verfahren zur Cybersicherheit für Systemadministratoren befolgen.

Fall Nr. 2: Leck bei den Kundendaten von Cash App durch einen verärgerten Mitarbeiter

Was ist passiert?

Im April 2022 lud ein ehemaliger verärgerter Mitarbeiter die persönlichen Daten der Nutzer des mobilen Zahlungsdienstes Cash App herunter. Nach der Kündigung am 10. Dezember 2022 stahl der Mitarbeiter die folgenden Informationen über die Kunden von Cash App:

• Vollständige Namen
• Werte des Maklerportfolios
• Bestände des Maklerportfolios
• Aktivität im Aktienhandel

Was waren die Folgen?

Die Sicherheitsverletzung führte zu einer Kompromittierung der Daten von 8,2 Millionen Kunden. Das Unternehmen informierte die betroffenen Kunden erst vier Monate nach der Entdeckung des Vorfalls über den Verstoß, was zu einer Sammelklage gegen Cash App Investing und Block, die Muttergesellschaft, führte.

Warum ist das passiert?

Obwohl der Mitarbeiter entlassen wurde, hat sich das Unternehmen nicht die Mühe gemacht, die Zugriffsrechte des Benutzers zu widerrufen, so dass der Mitarbeiter weiterhin sensible Ressourcen von außerhalb des Unternehmens herunterladen konnte. Die Einführung eines angemessenen Kündigungsverfahrens und die Durchführung regelmäßiger Überprüfungen des Benutzerzugriffs hätten diesen Vorfall verhindern können.

Die Implementierung einer Lösung zur kontinuierlichen Überwachung der Nutzeraktivitäten hätte es Cash App Investing zudem ermöglicht, verdächtige Aktivitäten auf dem Konto ihres ehemaligen Mitarbeiters zu bemerken und umgehend zu reagieren.

Fall Nr. 3: Diebstahl geistigen Eigentums durch einen böswilligen Insider bei Yahoo

Was ist passiert?

Yahoo behauptet, dass sein ehemaliger Forscher Qian Sang, der als Forscher bei Yahoo arbeitete, im Februar 2022 das geistige Eigentum des Unternehmens gestohlen hat. Nach Yahoos Behauptung wollte der böswillige Insider die gestohlenen Daten zum finanziellen Vorteil von Yahoos Konkurrenten The Trade Desk nutzen. Vor dem Vorfall hatte Sang ein Jobangebot von diesem Unternehmen erhalten.

Das Unternehmen behauptet auch, dass Sang andere vertrauliche Informationen gestohlen hat, darunter Yahoos Strategiepläne und eine Wettbewerbsanalyse von The Trade Desk.

Was waren die Folgen?

Bei einer forensischen Untersuchung stellte Yahoo fest, dass Sang angeblich 570.000 Dateien heruntergeladen hatte, die eine Reihe sensibler Informationen und den Quellcode von AdLearn, Yahoos Engine für den Anzeigenkauf in Echtzeit, enthielten. Yahoo verklagte seinen ehemaligen Mitarbeiter und behauptete, dass das gestohlene geistige Eigentum seinem Konkurrenten “einen Wettbewerbsvorteil im Bereich der Online-Werbung” verschaffen würde, was zu finanziellen Verlusten führen könnte.

Warum ist das passiert?

Sang soll die sensiblen Daten von seinem Firmenlaptop auf zwei persönliche externe Speichergeräte übertragen haben, während er noch bei Yahoo arbeitete.

In den meisten Fällen können solche Fälle von Datendiebstahl durch Mitarbeiter mit den richtigen Sicherheitstools leicht verhindert werden. Eine Software zur Mitarbeiterüberwachung hätte in diesem Fall böswillige Aktivitäten verhindern können, indem sie das Sicherheitsteam in die Lage versetzt hätte, verdächtige Aktivitäten rechtzeitig zu erkennen und darauf zu reagieren. Eine Lösung zur Verwaltung von USB-Geräten könnte den Sicherheitsbeauftragten von Yahoo auch helfen, den Anschluss unbekannter externer Speichergeräte zu erkennen.

Die forensische Analyse von Yahoo zeigte auch, dass der Insider mit jemandem auf WeChat über die Verwendung eines Cloud-Dateisicherungssystems kommunizierte. Echtzeit-Warnungen über Benutzeraktivitäten und Cybersecurity-Funktionen zum Keylogging hätten dem Unternehmen helfen können, die Kommunikation von Sang über diese verdächtige Angelegenheit vor dem Vorfall zu erkennen.

Fall Nr. 4: Datendiebstahl durch einen ehemaligen SGMC-Mitarbeiter

Was ist passiert?

Im November 2021 lud ein ehemaliger Mitarbeiter des South Georgia Medical Center in Valdosta, Georgia, am Tag nach seiner Kündigung ohne ersichtlichen Grund private Daten von den Systemen des medizinischen Zentrums auf sein USB-Laufwerk herunter. Dies ist eines von vielen Beispielen für Datenschutzverletzungen durch Mitarbeiter, bei denen der Insider wütend oder unzufrieden war oder andere persönliche Gründe hatte, dem Unternehmen zu schaden.

Was waren die Folgen?

Testergebnisse, Namen und Geburtsdaten von Patienten wurden veröffentlicht. Das medizinische Zentrum musste allen Patienten, die Opfer des Lecks wurden, kostenlose Dienste zur Kreditüberwachung und Wiederherstellung der Identität anbieten.

Warum ist das passiert?

Ein ehemaliger Mitarbeiter hatte rechtmäßigen Zugang zu den gestohlenen Daten und wurde durch nichts daran gehindert, seine Absichten zu verwirklichen. Die Sicherheitssoftware des South Georgia Medical Center reagierte jedoch auf den Vorfall eines nicht autorisierten Datendownloads in Form einer Warnung, die das Cybersicherheitspersonal darüber informierte, dass ein Mitarbeiter sensible Informationen auf ein USB-Gerät kopiert hatte.

Im Fall des South Georgia Medical Center wurde der Vorfall bemerkt und umgehend beendet. Mit einer effizienten Zugriffsmanagementlösung, die Zugriffsberechtigungen nach dem Prinzip “Kenntnis nur, wenn nötig” vergibt, hätte der unberechtigte Zugriff jedoch von Anfang an verhindert werden können. Der Einsatz einer Lösung für die Verwaltung privilegierter Zugriffe wäre eine gute Möglichkeit gewesen, diesen Vorfall zu verhindern. Weitere Informationen finden Sie in unserem Artikel über den Schutz vor unberechtigtem Zugriff in Ihrem Unternehmen.

Fall Nr. 5: Massiver Datenmissbrauch durch zwei ehemalige Mitarbeiter von Tesla

Was ist passiert?

Im Mai 2023 meldete eine deutsche Nachrichtenagentur Tesla, dass sie in den Besitz vertraulicher Informationen des Unternehmens gelangt sei. Laut dem Datenschutzbeauftragten von Tesla, Steven Elentukh, “ergab die Untersuchung, dass zwei ehemalige Tesla-Mitarbeiter die Informationen unter Verletzung der IT-Sicherheits- und Datenschutzrichtlinien von Tesla veruntreut und an das Medienunternehmen weitergegeben hatten”.

Was waren die Folgen?

Die Zeitung erhielt mehr als 23.000 interne Dokumente von Tesla – insgesamt fast 100 Gigabyte vertraulicher Daten. Die Dokumente enthielten personenbezogene Daten von Mitarbeitern, Finanzinformationen von Kunden, Produktionsgeheimnisse von Tesla und Kundenbeschwerden über die Funktionen von Teslas Elektroautos.

Die Datenschutzverletzung führte zur Offenlegung der personenbezogenen Daten von 75 000 Personen, was aufgrund des unzureichenden Schutzes sensibler personenbezogener Daten zu einer Geldstrafe von 3,3 Milliarden US-Dollar führen könnte. Große Datenschutzverletzungen wie diese können sich auch negativ auf den Ruf und den Aktienkurs eines Unternehmens auswirken, insbesondere wenn sensible Daten in die falschen Hände geraten.

Warum ist das passiert?

Tesla hat Klage gegen die verantwortlichen Ex-Mitarbeiter eingereicht, allerdings sind die Details, wie die Täter Zugang zu den sensiblen Daten erhielten, nicht öffentlich zugänglich. Höchstwahrscheinlich hat es das Unternehmen versäumt, den Mitarbeitern bei ihrer Kündigung die Zugriffsrechte zu entziehen.

Die Durchführung von Hintergrundprüfungen während des Einführungsprozesses ist ebenfalls hilfreich, um die Zuverlässigkeit und die Absichten einer Person zu ermitteln. In diesem Fall hätte die Überwachung der Benutzeraktivitäten des Mitarbeiters dazu beitragen können, dessen böswillige Handlungen aufzudecken.

Fall Nr. 6: Dreifache Datenverletzung bei Mailchimp durch Social Engineering

Was ist passiert?

Im Laufe des Jahres 2022 gerieten Mailchimp und seine Partner ins Visier von Cyberkriminellen und wurden Opfer mehrerer Angriffe. Im Januar 2023 gelang es böswilligen Akteuren, einen erfolgreichen Phishing-Angriff durchzuführen und mindestens einen Mailchimp-Mitarbeiter dazu zu bringen, seine Anmeldedaten preiszugeben.

Was waren die Folgen?

Die Datenpanne führte zur Kompromittierung von mindestens 133 Mailchimp-Benutzerkonten. Einige der betroffenen Konten gehörten zu Unternehmen wie WooCommerce, Statista, Yuga Labs, Solana Foundation und FanDuel.

Warum ist das passiert?

Die Täter konzentrierten ihre Social Engineering-Angriffe auf Mitarbeiter und Auftragnehmer von Mailchimp. Die Nachlässigkeit oder Unfähigkeit eines Mitarbeiters, einen Social Engineering-Angriff zu erkennen, ermöglichte es den böswilligen Akteuren, auf ihre Benutzerkonten zuzugreifen.

Solche von Mitarbeitern verursachten Sicherheitsverletzungen zeigen, dass Phishing und andere Social Engineering-Techniken nicht unterschätzt werden dürfen. Um solche Angriffe zu verhindern, müssen Mitarbeiter und Partner regelmäßig in Cybersicherheit geschult werden, statt sich nur auf Sicherheitssoftware zu verlassen. Der Einsatz eines Tools zur Zwei-Faktor-Authentifizierung (2FA) hätte jedoch verhindern können, dass die Angreifer erfolgreich kompromittierte Anmeldedaten verwenden.

Fall Nr. 7: Die Code-Repositories von Slack wurden durch einen kompromittierten Anbieter gestohlen

Was ist passiert?

Im Dezember 2022 bemerkte das Sicherheitsteam von Slack verdächtige Aktivitäten auf dem GitHub-Konto des Unternehmens. Es stellte sich heraus, dass ein böswilliger Akteur die Token der Slack-Mitarbeiter gestohlen und verwendet hatte, um unbefugten Zugriff auf die Ressourcen des Unternehmens zu erhalten.

Was waren die Folgen?

Laut der Untersuchung von Slack haben die Täter keine Schwachstellen von Slack ausgenutzt. Die Datenverletzung war das Ergebnis der Kompromittierung eines Drittanbieters. Slack hat jedoch keine Informationen darüber weitergegeben, wer der Anbieter war und welche Dienste oder Produkte er Slack zur Verfügung gestellt hat.

Warum ist das passiert?

Laut der Untersuchung von Slack haben die Täter keine Schwachstellen von Slack ausgenutzt. Die Datenverletzung war das Ergebnis der Kompromittierung eines Drittanbieters. Slack hat jedoch keine Informationen darüber weitergegeben, wer der Anbieter war und welche Dienste oder Produkte er Slack zur Verfügung gestellt hat.

Dieses Beispiel für einen realen Vorfall im Bereich der Cybersicherheit ist darauf zurückzuführen, dass die Cybersicherheitssysteme die Sicherheitsbeauftragten nicht alarmierten, bevor die Code-Repositories gestohlen wurden. Die Einführung eines NIST-Prozesses für die Reaktion auf Vorfälle sowie die Einsatz von Echtzeit-Reaktionssoftware, um ungewöhnliche Verhaltensmuster zu erkennen und darauf zu reagieren, hätten den Vorfall verhindern können. Ein Identitätsmanagement und eine Zwei-Faktor-Authentifizierung hätten ebenfalls verhindern können, dass die Täter auf das GitHub-Konto von Slack zugreifen. Und schließlich hätte ein Cyber Supply Chain Risk Management (C-SCRM)-Programm helfen können, den Vorfall im Keim zu ersticken.

Im nächsten Abschnitt werfen wir einen Blick auf die Funktionen von Syteca zur Erkennung und Verhinderung von Insider-Bedrohungen, die Ihnen helfen, das Risiko der oben analysierten Vorfälle von Datenschutzverletzungen zu bewältigen.

Verhinderung von Insiderverstößen mit Syteca

Syteca ist eine All-in-One-Plattform für das Management von Insider-Risiken, mit der Sie Vorfälle von Insider-Betrug und andere Insider-Bedrohungen erkennen, abwehren und verhindern können.

Syteca kann Ihr Unternehmen beim Schutz sensibler Daten mit Hilfe der folgenden Cybersicherheitsfunktionen unterstützen:

• Mit der Benutzeraktivitätsüberwachung (UAM) können Sie Bildschirmaufnahmen von Benutzeraktivitäten zusammen mit Metadaten zu jeder Aktion machen: getippte Tastenanschläge, besuchte URLs, gestartete Anwendungen, angeschlossene USB-Geräte usw. Ihre Sicherheitsbeauftragten können Benutzersitzungen in Echtzeit beobachten oder vergangene Aktivitäten von normalen und privilegierten Benutzern überprüfen. Aufgezeichnete Benutzeraktivitätsdaten dienen auch als Beweismittel bei der Untersuchung von Vorfällen.
• Mit der privilegierten Zugriffsverwaltung (PAM) können Sie kontrollieren, welche Benutzer auf welche Endpunkte zugreifen können. Syteca bietet Tools zur granularen Verwaltung von Zugriffsberechtigungen, zur Sicherung von Benutzeranmeldeinformationen und zur Überprüfung von Benutzeridentitäten mit Zwei-Faktor-Authentifizierung. Mit der PAM-Funktionalität von Syteca können Sie sensible Daten schützen, indem Sie den Zugriff für alle regulären und privilegierten Benutzer in Ihrer Infrastruktur genau kontrollieren.
• Alarmierungs- und Vorfallsreaktions-Funktionen ermöglichen eine sofortige Benachrichtigung über verdächtige Insider-Aktivitäten und Sicherheitsverstöße. Ausgestattet mit einem anpassbaren Warnregelsystem benachrichtigt Syteca Ihr Cybersicherheitsteam und blockiert automatisch Benutzer und Prozesse in Echtzeit.
• Durch die Überwachung von Drittanbietern werden Ihre Drittnutzer mit Fernzugriff auf Ihre Infrastruktur genau überwacht. Auf diese Weise können Sie ein Auge auf Ihre Lieferanten, Partner und Subunternehmer werfen und verhindern, dass diese gegen Sicherheitsrichtlinien verstoßen oder eine Datenschutzverletzung verursachen.

Fazit

Von Insidern verursachte Datenschutzverletzungen können jedes Unternehmen treffen, wie die oben erwähnten Sicherheitsvorfälle und reale Beispiele interner Bedrohungen zeigen. Die Folgen von Datenschutzverletzungen durch Insider sind oft verheerend. In den meisten Fällen ist es jedoch möglich, Insider-Angriffe mit Hilfe spezieller Insider-Risikomanagement-Tools zu erkennen und zu stoppen.

Die Syteca-Software für das Management von Insider-Bedrohungen stellt Ihnen Tools zur Verfügung, die von der Überwachung der Benutzeraktivitäten über die Reaktion auf verdächtiges Benutzerverhalten bis hin zur Erfassung von Daten über Sicherheitsvorfälle reichen.