- Anzeigen -

Diebstahl vertraulicher Daten durch Insider


Studie zeigt: Viele Unternehmen in Deutschland unterschätzen die Gefahr von Datendiebstahl durch Mitarbeiter
Fast 60 Prozent der Teilnehmer sehen Hackerangriffe als größte Bedrohung für vertrauliche Daten in Unternehmen

(07.11.14) - LogRhythm hat gemeinsam mit dem Marktforschungsunternehmen Atomik Research eine Umfrage zur Datensicherheit in deutschen Unternehmen durchgeführt. Schwerpunkt der Studie ist die Gefahr von Datenmissbrauch durch Insider. Das Stimmungsbarometer offenbart, dass die Befragten die Gefahr von Datendiebstahl durch aktuelle oder ehemalige Mitarbeiter zwar erkennen, die Arbeitgeber diese aber offenbar unterschätzen. Knapp die Hälfte der Befragten ist der Meinung, ihr Unternehmen könnte mehr für den Schutz vertraulicher Daten vor internem Missbrauch tun. Ähnlich viele sehen diese Notwendigkeit auch bei der Abwehr von externen Attacken.

Die Untersuchung zeigt: Die Teilnehmer sind sich offensichtlich bewusst, dass Datendiebstahl durch Mitarbeiter eine reale Gefahr ist. Über 80 Prozent der Befragten können sich vorstellen, dass Mitarbeiter ihres Unternehmens die Möglichkeit hätten, geheime Daten zu entwenden beziehungsweise wissen, dass dies bereits vorgekommen ist. Nahezu 30 Prozent nehmen an, dass vertrauliche Daten durch derzeitige oder ehemalige interne Mitarbeiter tatsächlich gefährdet sind.

Lesen Sie zum Thema "IT-Sicherheit" auch: IT SecCity.de (www.itseccity.de)

Gleichzeitig sehen sie eine Diskrepanz zwischen dieser Gefahr und den implementierten Gegenmaßnahmen: Nur rund die Hälfte berichtet, dass im Unternehmen Sicherheitssysteme installiert sind, die internen Datendiebstahl verhindern soll, und dass diese aktiv eingesetzt werden. Über ein Drittel gibt an, dass die vorhandenen Systeme in ihrem Unternehmen nicht leistungsstark genug sind, um den Missbrauch zuverlässig zu unterbinden.

"Bei Diskussionen über Cyber-Attacken und Datenmissbrauch stehen fast immer Angriffe und Spähaktionen von Hackern oder staatlichen Einrichtungen im Fokus, die Unternehmen von außen bedrohen", sagt Roland Messmer, Director für Zentral- und Osteuropa bei LogRhythm. "Die aktuelle Untersuchung zeigt jedoch, dass vertrauliche Daten potenziell auch massiv durch Insider-Attacken bedroht sind." Auf solche Bedrohungen seien viele Firmen nur unzureichend vorbereitet. Wichtig sei nicht allein, unzulässige Zugriffe so schnell wie möglich zu erkennen und zu unterbinden. "Entscheidend ist die lückenlose Aufklärung solcher Cyber-Angriffe und die Beweissicherung, zum Beispiel mithilfe von IT-Forensik-Werkzeugen. Daraus gewonnene Erkenntnisse können die Unternehmen dann für die Abwehr folgender und sich verändernder Attacken nutzen."

In der IT-Forensik werden unternehmensweit möglichst lückenlos gesammelte Log-Daten korreliert und mit forensischen Methoden analysiert. So lassen sich Muster und ungewöhnliche Ereignisse herausfiltern und gezielt untersuchen. "Dieser Big Data-Ansatz ist für die IT-Sicherheit von Organisationen ein großer Schritt vorwärts. Denn in den riesigen Datenmengen liegt der Schlüssel zur Abwehr von hochkomplexen Angriffen", erklärt Messmer. "Big Data Analytics liefert alle Anzeichen und Fakten, die zur Aufklärung und vor allem zur Früherkennung von Bedrohungen nötig sind."

Wie hoch die reale Gefahr von Cyber-Bedrohungen tatsächlich ist, zeigt folgendes Ergebnis der Umfrage: Nur rund die Hälfte der Befragten gibt an, dass ihr Unternehmen noch nie Opfer eines Hackerangriffs gewesen ist. Über 30 Prozent erlebten hingegen mindestens eine Attacke. Und in zwei Drittel dieser Fälle gingen tatsächlich sensible Daten verloren.

In Unternehmen, die weder strenge Zugangskontrollvorschriften noch Technik implementiert haben, die unbefugte Zugriffe von Mitarbeitern überwacht, sehen knapp 40 Prozent der Teilnehmer Bedrohungen von außen als größere Gefahr für die Unternehmensdaten an. Weitere 35 Prozent sehen keinen Bedarf, derartige Sicherheitssysteme zu implementieren. Knapp die Hälfte der Befragten ist der Meinung, ihr Unternehmen könnte mehr für den Schutz vertraulicher Daten vor internem Missbrauch tun. Ähnlich viele sehen diese Notwendigkeit auch bei der Abwehr von externen Attacken.

Die in den Medien lange Zeit omnipräsente Snowden-Affäre, bei der der Whistleblower Edward Snowden massenhaft hochbrisante Dokumente der staatlichen amerikanischen Spähbehörde NSA entwendet hat, hat offenbar bei vielen Firmen nicht dazu beigetragen, ihre Sicherheitssysteme zu verbessern, um sensible Daten besser vor dem Zugriff durch Insider zu schützen. Nur etwas mehr als ein Drittel der Befragten haben seitdem ihre Sicherheitssysteme verbessert. Immerhin: Fast 80 Prozent der Befragten ändern regelmäßig ihre Passwörter und erschweren so den unberechtigten Zugriff auf Daten – zum Beispiel durch ehemalige Mitarbeiter.

"Viele Organisationen – darunter auch die Regierung – haben die neue Qualität der Bedrohungen aus dem Cyberspace zu lange auf die leichte Schulter genommen. Zahlreiche Missbrauchsfälle und Datenpannen haben das Vertrauensverhältnis in die Datensicherheit zum Beispiel von Cloud-Lösungen nachhaltig erschüttert", ist Roland Messmer überzeugt. Dieses Vertrauen gelte es nun zurück zu gewinnen – mit leistungsfähigen Sicherheitsmaßnahmen und -vorkehrungen.

Eine entscheidende Rolle spiele dabei die permanente, proaktive und granulare Sicht auf alle Netzwerkaktivitäten und -ereignisse – kurz: die Visibility: "Anstatt vor den enormen Datenbeständen des eigenen IT-Systems zurückzuschrecken, sollten sich die Verantwortlichen eben diesen zuwenden und sie detailliert analysieren. Das passende Werkzeug dafür sind SIEM-Systeme (Security Information and Event Management)", sagt Messmer. "Diese zentralisierten und automatisierten Sicherheitssysteme sammeln Daten aus dem gesamten Netzwerk, analysieren sie und setzen sie in einen sinnvollen Gesamtzusammenhang. So erhalten IT-Verantwortliche eine Rundumsicht auf alle sicherheitsrelevanten Daten des eigenen Netzwerks – ein wichtiger und nötiger Schritt in Richtung erhöhte IT-Sicherheit." Diese verbesserte IT-Security ist nicht zuletzt auch ein Wettbewerbsvorteil für Unternehmen.

In der Untersuchung, die Atomik Research im Auftrag von LogRhythm durchführte, wurden 350 Personen in ganz Deutschland zu ihrer Meinung bezüglich Datenschutz, Datensicherheit und Cyber-Bedrohungen in Unternehmen befragt.
(LogRhythm: ra)

LogRhythm: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Studien

  • GDPR: Viele IT-Abteilungen noch nicht vorbereitet

    Spiceworks hat untersucht, wie sich IT-Abteilungen auf die neue Datenschutzrichtlinie General Data Protection Regulation (GDPR) vorbereiten, die am 18. Mai 2018 in Kraft tritt. Wie die Studie "GDPR: The Impact on IT" zeigt, wird die Richtlinie zwar von vielen IT-Verantwortlichen begrüßt. Aber zumindest in den USA hat die Mehrheit der Befragten noch nicht damit begonnen, ihre Unternehmen aktiv für die Compliance-Anforderungen zu rüsten. Vielerorts hat das Thema keine Priorität, hinzu kommt der Mangel an Ressourcen, um die Anforderungen umzusetzen. Oft wissen die ITler auch nicht, welche Maßnahmen konkret anstehen. US-amerikanische Unternehmen sind der Spiceworks-Umfrage zufolge deutlich schlechter für GDPR gewappnet als Firmen aus EU-Ländern. Auch die drohenden Vertragsstrafen machen den IT-Verantwortlichen in den USA weniger Sorgen als ihren Kollegen in der EU.

  • 56 Prozent forderten Anonymität

    In deutschen Unternehmen herrscht keine Akzeptanz für Verstöße und Missstände. Die überwiegende Mehrheit (62 Prozent) der Befragten einer aktuellen Umfrage schreitet dagegen zur Tat: Sie würden unethisches oder illegales Handeln am Arbeitsplatz durch einen Hinweis bekannt machen. Die Haltung der Führungsebene überrascht: 55 Prozent der Geschäftsführer vermuten Missstände in Unternehmen, die ihrem eigenen ähnlich sind. 17 Prozent wissen sogar von Missständen im eigenen Unternehmen. Ganze 40 Prozent der Geschäftsführer geben an, sich große Sorgen zu machen, dass jemand einen Hinweis darauf abgeben könnte. Korrektheit und Disziplin scheinen noch immer Werte deutscher Arbeitnehmer zu sein. Denn die äußern großes Verständnis dafür, wenn jemand einen Hinweis auf illegales oder unethisches Handeln gibt.

  • Notfalldatensatz kann Leben retten

    Unfall, Herzinfarkt, Bewusstlosigkeit: Im Notfall zählt jede Minute. Der Arzt muss vor allem rasch wissen, mit wem er es zu tun hat. Medizinische Daten über den Patienten müssen in diesem Fall unverzüglich bereit stehen, doch Patienten sind im Notfall oft nicht mehr in der Lage, selbst Auskunft zu geben. Die elektronische Gesundheitskarte (eGK) bietet für die medizinische Versorgung im Notfall neue Möglichkeiten: Auf ihr können in einem Notfalldatensatz alle für diese Situation relevanten medizinischen Informationen gespeichert sein: chronische Erkrankungen, Blutgruppe, Medikation, Allergien, Unverträglichkeiten, Kontaktdaten zu Angehörigen und besondere Hinweise, beispielsweise auf Schwangerschaft oder Implantate.

  • Knappe Frist bis zur EU-DS-GVO

    Deutschen Unternehmen bleibt weniger als ein Jahr Vorbereitungszeit, doch sind nur wenige auf Informationsmanagement im digitalen Zeitalter eingestellt wie eine Iron Mountain-Studie zeigt. Es gibt noch viel zu tun, bevor am 25. Mai 2018 die EU-Datenschutz-Grundverordnung (EU-DS-GVO) anwendbar wird. Laut dem Digitalverband Bitkom verfolgt ein Großteil der Unternehmen immerhin eine Strategie zur Bewältigung des digitalen Wandels, doch fehlt es vielen an Hilfestellungen und Partnern und gar jedes fünfte IT-Unternehmen ignoriert bislang die EU-Datenschutz-Grundverordnung, die wesentliche Änderungen hinsichtlich der Vorgaben zur Datenverwaltung mit sich bringt.

  • Verarbeitung personenbezogener Daten

    Zu diesem Ergebnis kommt die Studie "Auswirkung der Datenschutzgrundverordnung auf Unternehmen" der artegic AG. Ziel der Studie war es, eine Einschätzung deutscher Unternehmen zur Bedeutung der Datenschutzgrundverordnung, den Auswirkungen auf ihr Unternehmen sowie dem Stand der Umsetzung zu erlangen. 59,2 Prozent der Unternehmen haben sich bereits mit der Datenschutzgrundverordnung befasst, weitere 37,3 Prozent haben zumindest davon gehört. Fast alle Unternehmen haben das Thema also grundsätzlich auf dem Schirm. Doch fühlen sie sich auch betroffen? 61,6 Prozent sagen, dass sie stark oder sogar sehr stark betroffen sind. 26 Prozent fühlen sich moderat betroffen, 9,5 Prozent kaum. In der Umsetzung der Anforderungen der Datenschutzgrundverordnung haben die Unternehmen jedoch noch Nachholbedarf. Die Umsetzung muss in ca. einem Jahr, am 25. Mai 2018, abgeschlossen sein. Sonst drohen Unternehmen teils empfindliche Strafen. Je nach Verstoß bis zu 20 Mio. EUR oder 4 Prozent des gesamten, weltweiten Jahresumsatzes, je nachdem was höher ist. Bisher haben jedoch nur 10 Prozent der Unternehmen die Anforderungen der Datenschutzgrundverordnung bereits umgesetzt.