Erkennung von Insider-Bedrohungen für kleine Unternehmen

Was als Insider-Bedrohung gilt

Eine Insider-Bedrohung ist das Risiko, dass jemand mit legitimem Zugriff diesen — absichtlich oder unabsichtlich — nutzt, um der Organisation zu schaden. Die US-Behörde Cybersecurity and Infrastructure Security Agency definiert einen Insider als jede Person, die autorisierten Zugriff auf oder Kenntnis von den Ressourcen einer Organisation hat oder hatte — einschließlich Personal, Einrichtungen, Informationen, Ausrüstung, Netzwerken und Systemen. Das entscheidende Wort darin ist autorisiert. Niemand muss einbrechen.

CISAs zentrale Unterscheidung verläuft zwischen unbeabsichtigtem und vorsätzlichem Schaden, ergänzt um zwei Situationen, die quer zu beiden liegen. Daraus ergeben sich vier Bezeichnungen, denen Sie in der Praxis begegnen werden — gut zu wissen, denn die Formulierung „die drei Arten von Insider-Bedrohungen“ taucht überall auf und entspricht nicht der Quelle:

Nun zu dem Teil, den die meisten Artikel zu diesem Thema auslassen. Insider-Vorfälle sind nicht der häufigste Weg, wie ein kleines Unternehmen kompromittiert wird, und Sie sollten misstrauisch werden, wenn Ihnen jemand etwas anderes erzählt. Verizons Data Breach Investigations Report 2026 — gestützt auf mehr als 31.000 reale Vorfälle — fand interne Akteure bei 12% der Datenschutzverletzungen, ein Rückgang gegenüber 18% im Vorjahr. Das Small-Business-Panel des Berichts, das Organisationen mit unter 1.000 Mitarbeitern erfasst, führt so gut wie alle Datenschutzverletzungen auf externe Akteure mit finanziellem Motiv zurück.

Warum also überhaupt einen Nachmittag darauf verwenden? Weil sich das Kostenprofil umkehrt. Die Studie Cost of Insider Risks von Ponemon Institute und DTEX aus dem Jahr 2026 stellte fest, dass die Eindämmung von Insider-Vorfällen im Schnitt 67 Tage dauert — bei rund 747.000 US-Dollar je fahrlässigem Vorfall, 742.000 US-Dollar je vorsätzlichem und 842.000 US-Dollar, wenn ein Außenstehender gestohlene Zugangsdaten nutzte. Insider-Vorfälle sind seltener als Phishing, ziehen sich aber länger hin, bevor sie auffallen, und was dabei abhandenkommt, ist meist genau das Material, auf dem das Unternehmen eigentlich aufbaut.

Warum Kündigungen der kritische Zeitpunkt sind

Weil sich das Risiko auf ein schmales, vorhersehbares Zeitfenster konzentriert. Carnegie Mellons Software Engineering Institute — die CERT-Abteilung, die seit zwei Jahrzehnten Insider-Fälle untersucht — brachte es in ihrer Analyse von Fällen des Diebstahls geistigen Eigentums klar auf den Punkt: die meisten Insider stehlen geistiges Eigentum innerhalb von 30 Tagen nach ihrem Ausscheiden aus einer Organisation. Dieser Befund stammt aus dem Jahr 2011, und sein Alter ist erwähnenswert; dennoch hat er sich seither als Leitprinzip der Insider-Risiko-Praxis gehalten, und jeder seitdem veröffentlichte Telemetriebericht von Anbietern zeigt eine Häufung der Aktivität im selben Zeitfenster rund um das Ausscheiden.

Dieser eine Satz ist operativ nützlicher als jeder Threat-Intelligence-Feed, den ein kleines Unternehmen kaufen könnte. Er bedeutet, dass Sie keine durchgehende Überwachung aller Mitarbeiter brauchen. Sie müssen wissen, wann jemand das Unternehmen verlässt, und in den Wochen vor und nach diesem Datum auf die richtige Handvoll Signale achten.

Prüfen Sie die Statistiken, bevor Sie Ihre Planung darauf stützen

Drei Zahlen dominieren praktisch jeden Artikel über Datendiebstahl durch Mitarbeiter, und jede davon wird in einer Form zitiert, die sie übertreibt. Das hat praktische Folgen: Wer glaubt, die Hälfte der Belegschaft stehle Daten, kauft das Falsche und behandelt dabei Menschen schlecht.

• „45% der Mitarbeiter nehmen beim Ausscheiden Daten mit.“ Echt, aber das ist die US-Teilstichprobe einer Tessian-Umfrage vom Mai 2020. Der Gesamtwert derselben Studie lag bei 34%, der britische Wert bei 23%. Diese Einschränkung fällt fast jedes Mal weg, wenn die Zahl zitiert wird.
• „72% der Mitarbeiter nehmen Unternehmensdaten mit.“ Das ist eine Fehllesung. Die 72% in Code42s Bericht von 2019 sind der Anteil der Informationssicherheitsverantwortlichen, die der Einstellungsaussage zustimmten: es sind nicht nur Unternehmensdaten, es ist meine Arbeit — und meine Ideen. Das ist ein Befund darüber, wie Menschen über Eigentum empfinden, nicht darüber, wie viele von ihnen tatsächlich Dateien kopieren.
• „63% brachten Daten von einem früheren Arbeitgeber mit.“ Für diese Zahl gibt es eine reale, auffindbare Quelle — Code42s Global Data Exposure Report 2019, veröffentlicht im Oktober 2019. Aber achten Sie auf die Stichprobe, an der auch die 72%-Zahl krankt: Befragt wurden 1.028 Sicherheitsverantwortliche und 615 Geschäftsentscheider, kein Querschnitt der Belegschaft. Und sie beschreibt Menschen, die mit Daten ankommen — ein anderes Risiko als jenes, das Sie beim Ausscheiden zu erkennen versuchen.

Die am besten belastbare Zahl stammt von Cyberhaven Labs aus dem Jahr 2022, und sie ist gerade deshalb belastbar, weil sie beobachtete Telemetriedaten statt Selbstauskunft ist: Bei rund 1,4 Millionen Mitarbeitern, die mit sensiblen Daten umgehen, exfiltrierten 9,4% über einen Zeitraum von sechs Monaten Daten. Der Blogbeitrag mit dieser Zahl wurde inzwischen entfernt — der zugrunde liegende Bericht existiert weiterhin als Download hinter einer Zugangsschranke —, sodass er sich heute am einfachsten über zeitgenössische Presseberichte nachprüfen lässt. So oder so: als veraltet einordnen. DTEX' Untersuchungsbericht von 2023 beziffert den Anteil ausscheidender Mitarbeiter, die sensibles geistiges Eigentum mitnehmen, auf 12%.

Auch CISAs Empfehlung lohnt sich hier zu verinnerlichen: Die Risikobewertung sollte auf Verhaltensweisen basieren, nicht auf Profilen, und diese Taten sind selten spontan — sie folgen einer bewussten Entscheidung. Es gibt kein demografisches Muster, auf das man achten sollte, und die Suche danach macht Sie zugleich ungenau und ungerecht.

Wie Daten tatsächlich abfließen

Daten verlassen ein kleines Windows-Netzwerk über eine kurze, wenig aufregende Liste von Kanälen. Operativ entscheidend ist nicht der Kanal selbst, sondern ob er eine Spur hinterlässt, die Sie im Nachhinein finden können — und bei mehreren dieser Kanäle lautet die ehrliche Antwort: nein.

In den Begriffen von MITRE ATT&CK entspricht das T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — MITREs eigene Beschreibung nennt namentlich Dropbox und Google Docs) und T1114.003 (Email Forwarding Rule). MITREs Detection-Analytic für den USB-Fall lautet Einstecken eines USB-Geräts, gefolgt von hochvolumigem oder sensiblem Dateizugriff und Staging — genau das ist Event 6416 in Korrelation mit 4663, und genau das bauen die nächsten Abschnitte auf.

Bevor Sie irgendetwas überwachen

Bevor Sie auch nur eine einzige Audit-Richtlinie aktivieren, verfassen Sie den Hinweis. Das ist keine Compliance-Fußnote, die man später nachträgt — in drei US-Bundesstaaten ist es eine gesetzliche Pflicht, die bereits vor Beginn der Überwachung greift, und keines dieser Gesetze macht eine Ausnahme für kleine Arbeitgeber. Ein Zehn-Personen-Unternehmen in New York fällt genauso darunter wie eines mit zehntausend Mitarbeitern.

Die föderale Grundlage und die Falle

Der Electronic Communications Privacy Act bildet die föderale Untergrenze. Zwei Ausnahmen leisten für Arbeitgeber den Großteil der Arbeit. Die Provider-Ausnahme nach 18 U.S.C. § 2511(2)(a)(i) deckt das Abfangen auf den eigenen Anlagen ab, wo dies eine notwendige Begleiterscheinung des Dienstes ist oder dem Schutz der Rechte oder des Eigentums des Anbieters dieses Dienstes dient. Daneben macht § 2511(2)(d) das Bundesrecht zu einer Regel der Einwilligung einer Partei: rechtmäßig wenn eine der Parteien der Kommunikation zuvor eingewilligt hat.

Der praktische Hebel — und er ist real, auch wenn es nicht die saubere Ein-Dokument-Geschichte ist, die man manchmal hört — besteht darin, dass eine unterschriebene Überwachungsbestätigung doppelt wirkt. Bundesrecht verlangt keine Einwilligung, wo die Provider-Ausnahme bereits greift, aber die Einwilligung ist der zweite, unabhängige Weg nach § 2511(2)(d), und beides zusammen ist eine solidere Position, als sich nur auf eines von beiden zu verlassen. Dieselbe Unterschrift erfüllt gleichzeitig die Bestätigung, die New York und Delaware verlangen.

Das deckt jedoch nicht alles ab, und drei Lücken sind erwähnenswert. Eine Unterschrift allein erfüllt nicht die Aushangpflicht — New York verlangt den Hinweis sowohl an der Wand als auch bestätigt, und in Connecticut ist der Aushang die erforderliche Mitteilung. Der Umfang der Provider-Ausnahme ist richterrechtlich entwickelt und keine klare Grenze, sodass „wir besitzen den Laptop“ eine starke Ausgangsposition ist, aber keine gesicherte Verteidigung. Und wenn Sie Anrufe aufzeichnen, prüfen Sie das Abhörgesetz Ihres Bundesstaats separat: Mehrere Bundesstaaten verlangen die Einwilligung aller Parteien, was strenger ist als die föderale Untergrenze.

Haben Sie Mitarbeiter in der EU, kehrt sich die Antwort um

Nach der DSGVO ist die tragfähige Rechtsgrundlage für die Überwachung am Arbeitsplatz das berechtigte Interesse nach Article 6(1)(f) — nicht die Einwilligung. Die Article 29 Working Party stellte in ihrer Stellungnahme 2/2017 fest, dass Mitarbeiter fast nie in der Lage sind, eine Einwilligung frei zu erteilen, zu verweigern oder zu widerrufen, und dass eine Einwilligung höchst unwahrscheinlich eine Rechtsgrundlage für die Datenverarbeitung am Arbeitsplatz darstellt. Das ist genau das Gegenteil der US-Position, wo eine Unterschrift Ihre stärkste Verteidigung ist.

Das berechtigte Interesse erfordert einen dokumentierten dreiteiligen Test — einen konkreten Zweck, echte Erforderlichkeit ohne weniger eingriffsintensive Alternative und eine Abwägung gegen die Rechte der Mitarbeiter —, und Article 21 gibt jedem Mitarbeiter das Recht auf Widerspruch. Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn die Überwachung systematisch ist und voraussichtlich ein hohes Risiko birgt — und nationale Aufsichtsbehörden stufen kontinuierliche Mitarbeiterüberwachung durchweg so ein. Article 88 erlaubt es den Mitgliedstaaten zudem, strengere nationale Regeln festzulegen, sodass insbesondere Deutschland, Frankreich und die Niederlande über die DSGVO-Grundlage hinausgehen.

Das kostenlose Erkennungs-Setup

Um die häufigsten Exfiltrationskanäle zu erkennen, können Sie mit Gruppenrichtlinien-Einstellungen beginnen, die bereits in Windows enthalten sind und nichts kosten. Hier ist die Reihenfolge, die bei geringstem Aufwand die größte Abdeckung liefert.

1. Audit Removable Storage — die wertvollste Einzeleinstellung

Diese sollten Sie zuerst aktivieren, und der Grund ist ein Detail, das Microsoft in der eigenen Dokumentation nennt und das fast niemand wiederholt: Für alle Objekte und alle angeforderten Zugriffsarten wird ein Sicherheitsüberwachungsereignis generiert, unabhängig von der SACL des Objekts.

Lesen Sie das noch einmal, wenn Sie schon einmal versucht haben, Dateisystemüberwachung einzurichten. Gewöhnliche Dateisystemüberwachung bleibt wirkungslos, bis Sie für jeden relevanten Ordner System Access Control Lists konfigurieren — Microsoft stellt ausdrücklich klar: Für die standardmäßigen Dateisystem-SACLs werden keine Überwachungsereignisse generiert. Audit Removable Storage überspringt das alles. Aktivieren Sie es, und Sie erhalten ein 4663-Ereignis für jede von einem USB-Gerät gelesene oder darauf geschriebene Datei, auf jedem Rechner, ohne Konfigurationsaufwand pro Ordner. Microsofts Empfehlung stuft es gleichermaßen auf Workstations, Member-Servern und Domänencontrollern als Success und Failure ein, während Audit File System nur als „falls erforderlich“ eingestuft wird.

2. Audit PNP Activity — wissen, wann ein Gerät aufgetaucht ist

Diese Einstellung befindet sich unter Detailed Tracking, nicht unter Object Access — eine Kleinigkeit, die viele zehn Minuten Suche im Richtlinienbaum kostet. Sie erzeugt Event ID 6416, „A new external device was recognized by the System“, unter Windows 10 und Server 2016 oder neuer. Die Nutzlast enthält den Geräteinstanzpfad, Hersteller-IDs und einen ClassName — filtern Sie nach DiskDrive, um Speichergeräte von Tastaturen und Mäusen zu trennen. Microsoft stuft das Volumen als typischerweise gering ein und liefert einen nützlichen Tuning-Tipp: melden, wann immer die Subject Security ID nicht SYSTEM ist. Beachten Sie die Grenze — 6416 erfasst das Einstecken und die Aktivierung, nicht das Entfernen, sodass es Ihnen nicht sagt, wie lange ein Stick eingesteckt war.

3. Audit Logon — das Muster außerhalb der Arbeitszeit erkennen

Event ID 4624 erfasst erfolgreiche Anmeldungen mit einem Logon Type: 2 für interaktiv an der Tastatur, 3 für Netzwerk, 10 für RDP, 7 für Entsperren. Microsoft befürwortet diesen Anwendungsfall ausdrücklich: Sie müssen möglicherweise die Nutzung eines Kontos außerhalb der Arbeitszeit überwachen. Eine Typ-10-Anmeldung an einem Samstagabend von einem Konto, das noch nie an einem Wochenende gearbeitet hat, ist der günstigste aussagekräftige Alarm, den Sie je bauen werden.

4. SACLs — aber nur dort, wo sie sich lohnen

Fügen Sie bei den zwei oder drei Freigaben, in denen wirklich die Kronjuwelen liegen, eine SACL hinzu und aktivieren Sie Audit File System. Ein Vorbehalt, den man kennen sollte: Microsofts empfohlene Liste der zu überwachenden Zugriffsarten deckt Schreib-, Lösch- und Berechtigungsänderungen ab — aber nicht ReadData. Lesen ist es, wonach Diebstahl aussieht, also fügen Sie es bewusst hinzu. Microsoft warnt zudem vor pauschaler Aktivierung, und das zu Recht: Legen Sie eine SACL auf einen ganzen Dateiserver, ertrinken Sie in Daten und hören irgendwann auf hinzusehen — was schlimmer ist, als gar nicht zu protokollieren.

5. Protokollgröße erhöhen und die Überprüfung tatsächlich einplanen

Das Standard-Security-Protokoll wird schnell überschrieben, sobald 4663-Ereignisse zu fließen beginnen, und ein Protokoll, das die Beweise bereits überschrieben hat, ist keine Kontrolle. Erhöhen Sie zuerst die Größe. Tragen Sie dann einen wiederkehrenden monatlichen Termin in den Kalender ein — USB-Ereignisse, Anmeldungen außerhalb der Arbeitszeit, neue Weiterleitungsregeln für Postfächer. Erkennung ist eine Gewohnheit, kein Häkchen; ein Protokoll, das niemand liest, hat noch nie jemanden erwischt.

Eine kostenlose Ergänzung, die sich zu installieren lohnt: Sysmon aus Microsofts Sysinternals-Suite schließt mehrere der oben genannten Lücken. Event 3 protokolliert Netzwerkverbindungen, die einem Prozess zugeordnet sind — standardmäßig deaktiviert, bis Sie es konfigurieren —, und Event 22 protokolliert DNS-Abfragen, sodass eine Anfrage an eine Consumer-Filesharing-Domain sichtbar wird. Event 9 erfasst rohe Festplattenzugriffe, die laut Microsoft genutzt werden, um Tools zur Dateizugriffsüberwachung zu umgehen. Diese drei lohnt es sich, routinemäßig laufen zu lassen.

Sysmon kann außerdem Änderungen der Zwischenablage protokollieren (Event 24), und Sie sollten es sich gut überlegen, bevor Sie das aktivieren. Zwischenablagen enthalten Passwörter, private Nachrichten und Daten anderer Personen, und sie zu erfassen ist ihrer Art nach eingriffsintensiver als zu protokollieren, dass eine Datei verschoben wurde. Wenn Sie es dennoch aktivieren, nennen Sie es im Überwachungshinweis ausdrücklich, statt es unter einer allgemeinen Beschreibung zu verstecken — die Offenlegung muss dem entsprechen, was Sie tatsächlich erfassen, sonst erfüllt der Hinweis seinen Zweck nicht.

Was Windows nicht sehen kann

Windows kann nicht in verschlüsselten Datenverkehr hineinsehen, und allein diese Einschränkung markiert die Grenze des kostenlosen Setups. Hier ehrlich zu sein ist wichtiger als eine weitere Funktionsliste, denn eine Kontrolle, von der Sie fälschlich glauben, sie zu haben, ist schlimmer als eine, von der Sie wissen, dass sie fehlt.

• HTTPS-Nutzdaten. Jeder Webmail-Upload, jede Consumer-Cloud-Synchronisierung und jede Messaging-App ist undurchsichtig. Sie sehen vielleicht, dass eine Verbindung stattfand; Sie sehen nicht, was dabei übertragen wurde.
• Netzwerk-Egress mit Zuordnung. Die Windows-Firewall-Protokollierung ist standardmäßig deaktiviert, und selbst wenn sie eingeschaltet ist, erfasst sie Verbindungstupel — nicht, welcher Prozess oder welcher Benutzer dahintersteckt.
• Welche Datei wohin ging. Windows protokolliert Dateizugriffe und Netzwerkversand unabhängig voneinander und verknüpft sie nie. Genau das Zusammenführen dieser beiden Hälften ist es, wofür Data-Loss-Prevention-Produkte gemacht sind.
• Eine Smartphone-Kamera, auf den Bildschirm gerichtet. Keine Spur, keine Kontrolle, kein Produkt. Es ist der älteste Exfiltrationskanal und bis heute ungelöst.

Zwei Dinge, bei denen das Internet falschliegt

Erstens, die Sitzungsdauer. Viele Anleitungen schlagen vor, das Anmeldeereignis 4624 mit dem Abmeldeereignis 4634 zu kombinieren, um zu messen, wie lange jemand gearbeitet hat. Microsoft dokumentiert diesen Anwendungsfall, fügt aber einen Warnhinweis hinzu, den die meisten Anleitungen weglassen: Abmeldeereignisse sind nicht zu 100 Prozent zuverlässig. Der Computer kann beispielsweise ohne ordnungsgemäße Abmeldung und Herunterfahren ausgeschaltet werden; in diesem Fall wird kein Abmeldeereignis generiert. Die Sitzungsdauer als Trend zu beobachten ist sinnvoll; bauen Sie darauf einen harten Alarm, wird er bei Leuten auslösen, die einfach nur ihren Laptop zugeklappt haben.

Zweitens, die Druckprotokollierung. Das Aktivieren des operativen PrintService-Protokolls wird oft so dargestellt, als erhalte man dadurch eine Aufzeichnung dessen, was gedruckt wurde. Es liefert Event 307 mit dem Druckauftrag — aber der Dokumentname wird bis zu einer zusätzlichen Einstellungsänderung zur wörtlichen Zeichenfolge „Print Document“ verschleiert. Aktivieren Sie das Protokoll, drucken Sie eine Testseite, und prüfen Sie den Namen, bevor Sie sich darauf verlassen.

Es kursieren zudem zwei weitverbreitete USB-Forensik-Behauptungen — eine Reihe von DriverFrameworks-Event-IDs für Einstecken und Abziehen sowie ein Partition-Diagnoseereignis mit Geräteseriennummern —, die in Dutzenden Blogbeiträgen auftauchen, aber von Microsoft nirgends dokumentiert sind, und das betreffende Protokoll ist standardmäßig deaktiviert. Sie funktionieren möglicherweise durchaus. Bauen Sie darauf aber keine Kontrolle, ohne es vorher an Ihrer eigenen Hardware getestet zu haben.

Wann sich zusätzliche Software lohnt

Zusätzliche Software lohnt sich an dem Punkt, an dem das kostenlose Setup die Fragen, die Sie eigentlich stellen, nicht mehr beantwortet — meist dann, wenn Sie Einblick in verschlüsselte Uploads brauchen oder das manuelle Durchsehen roher Ereignisprotokolle nicht mehr realistisch ist. Hier ein ehrlicher Vergleich für die Größenordnung von 10 bis 50 PCs.

Was die meisten kleinen Unternehmen von der kostenlosen Stufe wegtreibt, ist nicht die Erkennungsfähigkeit, sondern die Lesbarkeit. Windows zeichnet bereitwillig Tausende von 4663-Ereignissen auf; daraus „so, das hat diese Person in den letzten zwei Wochen getan“ zu machen, ist manuelle Arbeit, die niemand dauerhaft durchhält. Das ist die Aufgabe, die offengelegtes Activity-Monitoring auf Firmenrechnern übernimmt — und das funktioniert, rechtlich wie kulturell, nur auf der zuvor beschriebenen Offenlegungsbasis.

Für welche Lösung Sie sich auch entscheiden — wenden Sie sie auf alle gleichermaßen an, statt die Person herauszugreifen, die Sie verdächtigen. Gezielte, heimliche Überwachung eines einzelnen Mitarbeiters ist genau dort, wo das rechtliche Risiko liegt, und es ist auch der Weg, wie Sie das Vertrauen der neun Kollegen zerstören, die später davon erfahren.

Die Checkliste für den Austritt und die erste Stunde

Da die meisten Fälle von Diebstahl geistigen Eigentums innerhalb von 30 Tagen nach dem Ausscheiden passieren, ist die folgende Checkliste mehr wert als jedes Werkzeug aus der vorherigen Liste. Alle sagen „Zugriff sofort entziehen“; kaum jemand schreibt auf, was das in der Praxis bedeutet.

• Deaktivieren Sie das Konto, löschen Sie es nicht. Löschen zerstört den Audit-Trail und jedes Postfach, das Sie später eventuell brauchen.
• Widerrufen Sie aktive Sitzungen und Tokens, nicht nur das Passwort. Eine angemeldete Sitzung auf einem privaten Smartphone übersteht eine Passwortänderung.
• Prüfen Sie Weiterleitungsregeln für Postfächer — sowohl Weiterleitungen auf Postfachebene als auch Posteingangsregeln. Regeln lassen sich so anlegen, dass sie in Outlook nicht angezeigt werden, prüfen Sie deshalb serverseitig.
• Ziehen Sie das Audit-Protokoll jetzt, nicht später. Microsoft 365 Audit (Standard) bewahrt Datensätze standardmäßig 180 Tage lang auf — die veraltete Admin-Audit-Suche reicht jedoch nur 90 Tage zurück, und die Aufbewahrungsdauer unterscheidet sich je nach Lizenz. Exportieren Sie, was Sie brauchen, statt darauf zu vertrauen, dass es im nächsten Quartal noch da ist.
• Trennen Sie private Cloud-Sync-Clients vom Rechner, und prüfen Sie, welche Ordner synchronisiert wurden.
• Wechseln Sie gemeinsam genutzte Zugangsdaten aus — den WLAN-Schlüssel, den gemeinsamen Admin-Login, die Konten, für die bisher niemand individuelle Zugänge eingerichtet hat. In einem kleinen Unternehmen ist das meist der längste Teil der Liste.
• Holen Sie die Hardware zurück, einschließlich privat verwahrter Laufwerke oder Dongles, und dokumentieren Sie, was zurückkam.
• Lassen Sie das Gerät des Ausscheidenden zwei Wochen lang unangetastet, bevor Sie es neu aufsetzen, wenn der Abgang irgendwie unschön verlief.
• Führen Sie das Austrittsgespräch mit der IP-Vereinbarung in der Hand. Carnegie Mellons CERT-Abteilung empfiehlt seit Langem, das Austrittsgespräch zu nutzen, um mit der ausscheidenden Person die unterschriebene Vereinbarung durchzugehen und sie erneut bestätigen zu lassen. Das kostet zehn Minuten und ist der einzige Punkt auf dieser Liste, der Absicht statt Gelegenheit adressiert.

Wenn Sie vermuten, dass es gerade passiert

Erst sichern, dann untersuchen, dann handeln — in dieser Reihenfolge, denn der natürliche Instinkt bringt alle drei durcheinander.

1. Schalten Sie den Rechner nicht aus. Beim Ausschalten geht alles verloren, was im Arbeitsspeicher liegt, und es kann eine Bereinigung beim Herunterfahren auslösen. Isolieren Sie ihn stattdessen vom Netzwerk und lassen Sie ihn laufen.
2. Stöbern Sie nicht darauf herum. Jeder Ordner, den Sie öffnen, überschreibt Zugriffszeitstempel — genau die Metadaten, auf die Sie sich später verlassen würden. Könnte die Sache vor irgendjemandem landen, lassen Sie zuerst ein Image erstellen.
3. Sichern Sie die Protokolle, bevor sie überschrieben werden. Exportieren Sie sofort das Security-Protokoll vom Endgerät sowie die relevante Microsoft-365-Audit-Suche.
4. Öffnen Sie niemals deren private Konten. Im Firmenbrowser gespeicherte Zugangsdaten geben Ihnen keine Befugnis, und genau darin bricht die starke Position eines Arbeitgebers zusammen.
5. Ziehen Sie einen Anwalt hinzu, bevor Sie irgendjemanden konfrontieren. Ein Gespräch auf Basis unvollständiger Beweise warnt genau die eine Person vor, die noch etwas löschen kann — und liegen Sie falsch, haben Sie einen Mitarbeiter einer Straftat bezichtigt.

Nichts davon erfordert ein Sicherheitsteam. Es erfordert die Entscheidung, schon bevor irgendetwas passiert, die unspektakuläre Version sauber umzusetzen: der am ersten Tag unterschriebene Hinweis, drei aktivierte Audit-Richtlinien, eine Checkliste, die bei jedem Ausscheiden abläuft, und eine Stunde im Monat, die man tatsächlich mit Hinsehen verbringt. So sieht Insider-Bedrohungserkennung in dieser Größenordnung aus, und sie liegt vollständig in greifbarer Nähe.

Häufig gestellte Fragen