Vom Menschen zum Hybrid: Einblicke in den Exabeam-Bericht 2025 zum KI-gestützten Insiderrisiko

Das Risiko hat sich nach innen verlagert – und das verändert die Architektur

Wenn die Hauptbedrohung von innen kommt, ist „mehr Firewall“ nicht die Lösung. Es geht um Identität, Zugriff und Verhalten. Denken Sie an die kontinuierliche Überprüfung von WER macht was, mit welche Daten und ob dieses Muster normal ist. Regional betrachtet man in den meisten Märkten Insider mittlerweile als Hauptsorge; der größte Ausreißer ist APJ (Asien-Pazifik & Japan), wo viele noch immer größere Angst vor externen Angreifern haben. Für Führungskräfte bedeutet dies in der Praxis, die Ausgaben auf folgende Bereiche zu verlagern:

• Stärkere Identitätskontrollen (dauerhafte MFA, risikobasierter Zugriff, geringste Privilegien, die tatsächlich durchgesetzt werden).
• Datenbewusste Überwachung von SaaS, Endpunkten, Speicher und E-Mail, sodass abnormale Bewegungen sichtbar sind.
• Verhaltensanalysen, die normale Muster pro Person, Team und System lernen – und bei bedeutsamen Abweichungen warnen.

Die organisatorische Konsequenz: Sicherheit und Dateneigentümer müssen zusammenarbeiten. Wenn Sie die Frage „Wer hat diese Woche welche sensiblen Daten berührt und war dies typisch für diese Personen?“ nicht beantworten können, kennen Sie den modernen Angriffspfad (kompromittiertes Konto → stille Datenbereitstellung → schnelle Exfiltration) nicht.

KI hat die Definition von „Insider“ neu gestaltet

Schatten-KI ist die neue Schatten-IT. Mitarbeiter fügen Code, Verträge, Kundenlisten oder Eingabeaufforderungen mit sensiblem Kontext in nicht genehmigte Modelle ein. Deshalb ist die 76% Zahl ist wichtig: Es bedeutet, dass dies kein Nischenproblem ist. Behandeln Sie GenAI wie privilegierter Zugang– Genehmigen Sie bestimmte Tools, protokollieren Sie die Nutzung, sofern dies rechtmäßig ist, und verhindern Sie, dass geschützte Datenklassen (regulierte PII, Geschäftsgeheimnisse) jemals in Modelle von Drittanbietern gelangen. Kombinieren Sie Richtlinien mit Ermöglichung: Geben Sie den Mitarbeitern genehmigte KI-Optionen, damit sie sich nicht gezwungen fühlen, eigenmächtig zu handeln.

Auch im Inneren gibt es einen neuen Schauspieler: AI-AgentenTeams binden Agenten mit echten Anmeldeinformationen und API-Schlüsseln in Workflows ein. Diese „nicht-menschlichen Insider“ werden nicht müde und beschweren sich selten – bis sie abdriften. Das erfordert zwei Kontrollmechanismen, die Führungskräfte berücksichtigen sollten:

• Geltungsbereich: Jeder Agent benötigt einen Eigentümer, einen klaren Job und minimale Berechtigungen.
• Beobachtbarkeit: Jeder Agent hat Anspruch auf denselben Prüfpfad und dieselbe Anomalieerkennung wie ein Mensch.

UEBA (Benutzer- und Entitätsverhaltensanalyse) ist eine Erkennung, die sich auf Verhalten, nicht nur Signaturen und Führungskräfte sollten sich damit vertraut machen. Es schafft eine Basis für jeden Benutzer oder jede Entität (einschließlich Bots, Dienstkonten und Agenten), indem es Folgendes lernt:

• Zeitreihennormen: typische Anmeldezeiten, Datenmengen oder Ziele.
• Peergroup-Kontext: Wie sich ein Finanzanalyst im Vergleich zu anderen Finanzanalysten verhält.
• Sequenzmuster: ungewöhnliche Reihenfolgen (z. B. erstmalige VPN-Anmeldung → sofortige Berechtigungsänderung → Massendownload).
  Weicht die Aktivität von den erlernten Mustern ab, bewertet UEBA das Risiko und deckt Ausreißer auf. Technisch basiert dies auf Statistik und maschinellem Lernen (unüberwachte und halbüberwachte Methoden), die mit Protokolldaten arbeiten, ohne perfekte Beschriftungen zu benötigen. Im Klartext: UEBA verwandelt viele Ereignisse in „Ist das normal für Sie im Augenblick?"

Schließen Sie die Analyselücke – und die Kulturlücke

Hier ist die tatsächliche Belichtung: nur 44% der Organisationen nutzen UEBA, obwohl das Insider-Risiko mittlerweile das Hauptproblem darstellt. Gleichzeitig 74% der Praktiker geben an, dass Führungskräfte Insider-Bedrohungen unterschätzen. Diese kulturelle Lücke verlangsamt die Einstellung, die Entwicklung von Tools und die Umsetzung von Richtlinien. So lassen sich beide Lücken schließen:

Machen Sie Verhalten zu einem erstklassigen Signal. Konsolidieren Sie Identitäts-, Endpunkt-, SaaS-Admin-, E-Mail- und Datenbewegungsprotokolle, damit eine Person (oder ein Agent) systemübergreifend über eine einheitliche Story verfügt. Investieren Sie in Korrelation vor Dashboards. Wenn das SOC die Identität nicht über verschiedene Tools hinweg verknüpfen kann, entgehen ihm heimlicher Missbrauch und schleichende Exfiltration.

Bringen Sie Datenschutz und Erkennung in Einklang – und zwar von vornherein. Das häufigste Hindernis für Insider-Programme ist der Widerstand gegen den Datenschutz. Lösen Sie dieses Problem mit zweckgebundenen Analysen, rollenbasiertem Zugriff auf Telemetriedaten, klaren Aufbewahrungsfristen und einer transparenten Dokumentation Ihrer Analysen und des Zwecks. Richtig eingesetzt ermöglichen Datenschutzmaßnahmen eine stärkere Erkennung, da sie die Datenflüsse freigeben, die Teams benötigen.

Messen Sie Ergebnisse, nicht die Anzahl der Werkzeuge. Führungskräfte sollten monatlich drei Zahlen erfragen:

1. Zeit zum Erkennen abnormales Verhalten
2. Zeit zur Eindämmung Insider-Vorfälle
3. Prozent der Vorfälle durch Verhaltensanalysen statt durch Glück oder nachträgliche Prüfungen erkannt.

Verknüpfen Sie Ihr Budget mit der Verbesserung dieser Kennzahlen und nicht mit der Anzahl der „eingesetzten“ Einzelprodukte.

Behandeln Sie GenAI wie ein Produktionssystem. Legen Sie Zulassungslisten, Datenkategorien und Protokolle für Eingabeaufforderungen und Ausgaben fest, sofern dies zulässig ist. Geben Sie Produkt- und Rechtsabteilungen einen festen Platz am Tisch, damit „schnelles Handeln“ niemals bedeutet, Daten in Blackboxen zu streuen.

Legen Sie für alles und jeden eine Basislinie fest. Personen, Servicekonten, RPA-Skripte und KI-Agenten erhalten jeweils eine eigene Basislinie. Achten Sie auf Abweichungen – neue Daten, ungewöhnliche Tageszeiten, ungewöhnliche Ziele oder Sequenzen, die nicht zur zu erledigenden Aufgabe passen.

Zusammenfassung

Direkt von der Vom Menschen zum Hybrid: Wie KI und die Analyselücke das Insiderrisiko erhöhen ist mehr als nur eine Momentaufnahme der heutigen Risiken – es ist ein Ausblick auf die nächsten Schritte in der Sicherheitspolitik. Insider-Bedrohungen, verstärkt durch KI, sind keine Ausnahmen mehr, sondern eine Grundannahme. Für CISOs und CEOs bedeutet der Weg in die Zukunft, von Perimeter-Abwehrmaßnahmen zu identitätszentrierten Strategien überzugehen, GenAI mit der gleichen Vorsicht zu behandeln wie privilegierte Konten und sowohl Menschen als auch KI-Agenten ihre eigenen Verhaltensgrundlinien zu geben. Erfolgreich werden diejenigen Organisationen sein, die Telemetrie vereinheitlichen, ergebnisorientierte Kennzahlen nutzen und Führung und Betrieb aufeinander abstimmen. In diesem Sinne ist der Exabeam-Bericht weniger eine Warnung als vielmehr ein Leitfaden für den Aufbau von Resilienz in einer KI-definierten Zukunft.