Insider threats und Shadow IT: die Risiken, die in keinem Datenstrategie-Papier stehen

Das Datenrisiko, das Ihr Security-Team umtreibt, kommt von externen Angreifern. Das Datenrisiko, das Ihren CDO umtreiben sollte, sitzt zwei Etagen tiefer im Marketing und betreibt eigene Tableau-Workbooks auf einem Spreadsheet-Download aus einem System, das seit sechs Monaten nicht aktualisiert wurde.

Shadow IT und insider threats sind die unglamourösen Datenrisiken, die es nie in die Keynotes von Security-Konferenzen schaffen und die für einen erheblichen Teil der realen Datenvorfälle verantwortlich sind.

Shadow IT: das Datenrisiko, das Sie nicht genehmigt haben

Shadow IT im Datenbereich ist jede Datenverarbeitung, die außerhalb Ihrer governten Infrastruktur stattfindet. Das sieht so aus:

• Ein Analyst pflegt eine „persönliche“ Kopie von Kundendaten in einem Google Sheet, „weil das offizielle System zu langsam ist“
• Ein Regionalteam baut sein eigenes Data WarehouseData WarehouseA central repository that consolidates data from many source systems into a structured, query-optimized store designed for analytics, reporting, and business intelligence.Vollständige Definition ansehen → in Microsoft Access, „weil die IT nicht rechtzeitig liefert, was sie brauchen“
• Ein Product Manager lädt einen Kundenexport mit 500.000 Zeilen herunter, „nur für eine schnelle Analyse“
• Ein Abteilungsleiter nutzt ein Drittanbieter-KI-Tool, um Kundenfeedback zu analysieren, und fügt Kundendaten in ChatGPT ein

Jedes dieser Szenarien erzeugt Datenrisiko: DSGVO-Verstöße, inkonsistente Datenqualität (die „Spreadsheet-Version“ läuft von der mamaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßgeblichen Quelle weg), Security-Exposure (Daten in nicht autorisierten Systemen) und Governance-Zusammenbruch (der CDO weiß nicht, welche Daten von wem zu welchem Zweck genutzt werden).

Shadow IT im Datenbereich ist fast immer ein Symptom berechtigter Frustration. Menschen bauen eigene Lösungen, weil die offizielle Infrastruktur ihre Anforderungen nicht erfüllt. Der CDO, der mit „Hört damit auf“ reagiert, ohne den zugrunde liegenden Bedarf zu adressieren, wird scheitern. Der CDO, der die offizielle Infrastruktur schnell, zugänglich und self-service macht, beseitigt den größten Teil der Shadow IT von selbst.

Insider threats: böswillig vs. fahrlässig

Böswillige Insider sind Mitarbeitende oder Dienstleister, die ihren Datenzugriff absichtlich missbrauchen. Sie stehlen Kundendaten für finanziellen Gewinn, nehmen vertrauliche Informationen zum Wettbewerber mit oder sabotieren Datensysteme. Solche Fälle sind relativ selten, aber mit hoher Wirkung.

Fahrlässige Insider, deutlich häufiger, sind Mitarbeitende, die Datenvorfälle durch Unachtsamkeit statt Absicht verursachen. Der Analyst, der eine Kundenliste an seine private E-Mail-Adresse schickt, um von zu Hause zu arbeiten. Der Engineer, der Datenbank-Credentials in ein öffentliches GitHub-Repo committet. Der Kundenservice-Mitarbeiter, der aus Neugier auf den Account eines Prominenten zugreift.

Die meisten Data-Loss-Prevention-Programme (DLP) konzentrieren sich auf böswillige Insider. Die meisten Vorfälle gehen auf fahrlässige zurück. Das Programm des CDO sollte beide abdecken, mit unterschiedlichen Ansätzen: technische Kontrollen für fahrlässige Akteure (sensible Dateien lassen sich nicht an externe Adressen mailen), Verhaltensmonitoring für böswillige.

Der Fall Uber 2022

Im September 2022 machte Uber einen schweren Security Breach öffentlich. Der Angreifer war 18 Jahre alt und nutzte keine ausgefeilten technischen Exploits. ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → nutzte Social Engineering.

Der Angreifer kontaktierte einen Uber-Mitarbeiter über WhatsApp und gab sich als Uber IT Security aus. ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → bat den Mitarbeiter, eine Multi-Faktor-Authentifizierungs-Anfrage (MFA) zu bestätigen. Der Mitarbeiter, genervt von den wiederholten Benachrichtigungen (ein „MFA-Fatigue“-Angriff), stimmte schließlich zu. Der Angreifer hatte vollen Netzwerkzugriff.

Einmal drinnen, fand der Angreifer ein PowerShell-Skript auf einem Netzwerk-Share. Das Skript enthielt hart codierte Credentials für Ubers Privileged-Access-Management-System (PAM). Mit diesen Credentials hatte ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → Zugriff auf praktisch alles: AWS, Google Cloud, Slack, HubSpot, interne Tools und eine Datenbank mit Sicherheitslücken.

Das Datenrisiko: Der Angreifer fand vertrauliche Dateien, interne Sicherheitsinformationen und potenziell personenbezogene Daten von Mitarbeitenden und Fahrern.

Die Lehren für den CDO:

1. Credential Management: Secrets (APIAPIApplication Programming Interface: a standardised interface that lets applications communicate and exchange data without knowing each other's internal workings.Vollständige Definition ansehen →-Keys, Passwörter, Datenbank-Credentials) dürfen nie in Skripten oder Code-Repositories liegen. Nutzen Sie Secrets Manager (AWS Secrets Manager, HashiCorp Vault).

2. Least Privilege: Einmal drinnen, hatte der Angreifer Zugriff auf fast alles. Saubere Zugriffssegmentierung begrenzt den Blast Radius.

3. MFA-Fatigue-Angriffe sind eine reale Bedrohung: Implementieren Sie Number-Matching-MFA statt einfacher Push-Bestätigung.

Ein Governance-Programm für Datenrisiken aufbauen

Der CDO verantwortet das Datenrisiko, in Partnerschaft mit dem CISO. Der CISO verantwortet typischerweise die Security-Infrastruktur; der CDO verantwortet Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen →, Klassifizierung und die Policies, die bestimmen, was gefährdet ist.

Ein CDO-Programm für Datenrisiken umfasst:

• Data Inventory: Sie kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen keine Daten schützen, von denen Sie nichts wissen. Monatliche Sweeps nach nicht klassifizierten Datenbeständen.
• Access Reviews: Vierteljährliche Prüfung, wer Zugriff auf vertrauliche und beschränkte Daten hat. Nicht mehr benötigte Zugriffe entfernen.
• Shadow-IT-Erkennung: Überwachung auf nicht autorisierte Datentransfers (DLP-Tools), nicht autorisierten Cloud-Storage, nicht autorisierte Nutzung von KI-Tools mit Unternehmensdaten.
• Insider-Threat-Monitoring: Behavioral Analytics auf Datenzugriffsmuster, ohne zur Überwachung zu werden, die Vertrauen zerstört. Klare Policies darüber festlegen, was überwacht wird und warum.
• Regelmäßige Schulungen: Die meisten Datenvorfälle haben eine menschliche Fehlerkomponente. Jährliche Data-Security-Schulung für alle Mitarbeitenden; häufiger für alle, die mit Daten arbeiten.