Auf den Punkt: Ein effektives Insider-Risk-Management verlangt enge Zusammenarbeit über Abteilungsgrenzen hinweg und ein Gleichgewicht zwischen notwendiger Datenerfassung und Transparenz gegenüber Mitarbeitern.
Unternehmen unterschätzen systematisch die Bedrohung durch Insider-Risiken: Etwa ein Fünftel bis ein Viertel aller Datenverluste geht auf interne Verursacher zurück, ein großer Teil davon absichtlich. Ein wirksames Programm erfordert enge Zusammenarbeit von IT-Sicherheit, Personalwirtschaft, Recht und Geschäftsführung.
Das Kernproblem ist strukturell: Unternehmen müssen Mitarbeitern, Dienstleistern und Partnern umfassende Zugriffsrechte auf Systeme und Daten gewähren, um produktiv zu arbeiten. Genau diese notwendige Berechtigung schafft zugleich eine Verwundbarkeit, die klassische, am Netzwerkperimeter ausgerichtete Sicherheitsansätze nicht abdecken. Remote- und Hybridarbeit, private Endgeräte sowie cloudbasierte Dienste verschärfen das Problem zusätzlich. Sicherheitsverantwortliche weltweit bestätigen: Insider-Risiken gehören zu den größten Cybersecurity-Bedrohungen.
Wirksame Insider-Risk-Management-Programme (IRM) müssen technisch, organisatorisch und kulturell ansetzen. Im Zentrum steht ein personenorientierter Ansatz: Riskante Verhaltensweisen lassen sich durch fahrlässigkeit, Wissenslücken, bewusste Sabotage oder kompromittierte Anmeldedaten auslösen. Ziel ist, solche Muster früh zu erkennen, den Kontext richtig einzuordnen und einzugreifen, bevor Datenschutzverletzungen, Datenabflüsse oder Wirtschaftsspionage entstehen. Gleichzeitig darf ein IRM-Programm die Mitarbeiter-Privatsphäre nicht unterlaufen und muss zu rechtlichen Vorgaben sowie gelebter Unternehmenskultur passen.
Die Datenerfassung erfordert Augenmaß. Ein IRM-Programm braucht Informationen über Benutzeraktivitäten, Zugriffe und Datenflüsse, um Muster zu erkennen – aber flächendeckende Überwachung ist weder rechtlich haltbar noch vermittelbar. Stattdessen sollten Unternehmen definieren: welche Daten zu welchem Zweck, wie lange sie gespeichert, wie sie genutzt werden. HR-Systeme liefern Hinweise auf Kündigungen, Versetzungen oder Tätigkeiten in sensiblen Bereichen. Sicherheitssysteme erfassen Anmeldeversuche, Dateizugriffe oder ungewöhnliche Übertragungen. Die Kunst besteht darin, diese Quellen gezielt zu kombinieren, ohne in pauschale Datensammlung zu verfallen.
Transparenz ist zentral: Wenn Mitarbeitende verstehen, warum bestimmte Daten erhoben werden, welche Risiken damit adressiert werden und wofür sie ausdrücklich nicht genutzt werden – etwa nicht für Leistungsüberwachung –, steigt die Akzeptanz. Zusätzlich sind klare Regeln nötig: Verfallsdatum für Daten, Zugriff nach dem Need-to-know-Prinzip, regelmäßige Überprüfung, ob Daten noch erforderlich sind. Dieses Fundament erfüllt sowohl gesetzliche Anforderungen als auch den berechtigten Anspruch auf Privatsphäre.
Quelle: www.it-daily.net · Erschienen 14. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.