Innentäter-Prävention: Validato erklärt, warum Unternehmenssicherheit in Deutschland vor dem ersten Arbeitstag beginnt

Als Innentäter gelten Personen, die aufgrund ihrer Position oder ihres Zugangs innerhalb einer Organisation Schäden verursachen können – vorsätzlich, etwa durch Spionage, Sabotage, Datendiebstahl oder Betrug, aber auch unbeabsichtigt. Dabei geht es längst nicht nur um klassische Mitarbeitende: Auch externe IT-Dienstleister, Consultants, Freelancer, Lieferanten oder andere Personen mit privilegiertem Zugang können ein entsprechendes Risiko darstellen. Das Bundesamt für Verfassungsschutz weist im Rahmen des Wirtschaftsschutzes ausdrücklich darauf hin, dass neben aktuellen und ehemaligen Beschäftigten auch externe Dienstleister und weitere Personen mit Zugang zu Unternehmensinformationen als mögliche Innentäter betrachtet werden müssen.

Ein Unternehmen kann technisch exakt steuern, welche Berechtigung eine Person erhält. Die Technik beantwortet jedoch nicht automatisch, ob die Identität der Person tatsächlich verifiziert ist, ob angegebene berufliche Stationen und Qualifikationen stimmen, ob es relevante Unstimmigkeiten im beruflichen Hintergrund gibt oder ob sicherheitsrelevante Informationen bewusst falsch angegeben wurden. Gerade bei Positionen mit hohen Zugriffsrechten sollte deshalb bereits vor der Einstellung definiert werden, welches Risiko mit einer Rolle verbunden ist und welche Überprüfungen angemessen sind. Ein professionelles Background Screening ist dabei nach Verständnis von Validato kein Instrument, um Kandidatinnen und Kandidaten unter Generalverdacht zu stellen, sondern ein Instrument zur Verifikation – von Identitätsprüfung über die Kontrolle von Berufserfahrung und Ausbildung bis hin zu einer, sofern rechtlich zulässig und für die Position erforderlich, Strafregisterprüfung.

Background Checks allein verhindern jedoch keine Innentäter, ebenso wenig wie Firewalls allein Cyberangriffe verhindern. Ein wirksames Schutzkonzept verbindet nach Einschätzung von Validato deshalb mehrere Ebenen: Prävention durch Identitätsprüfung, Background Screening und Rollen- und Risikobewertung; Zugriffskontrolle nach dem Least-Privilege-Prinzip mit klaren Verantwortlichkeiten; Sensibilisierung durch Security Awareness und eine funktionierende Sicherheitskultur; Detektion ungewöhnlicher Aktivitäten; sowie Re-Screening bei besonders kritischen Funktionen, Rollenwechseln oder erhöhtem Risiko. Auch das Bundesamt für Verfassungsschutz nennt Pre-Employment-Screening, Sensibilisierung und eine etablierte Sicherheitskultur als mögliche Bestandteile eines ganzheitlichen Schutzkonzepts.

„Innentäter-Prävention beginnt nicht mit Misstrauen, sondern mit einem professionellen Umgang mit Vertrauen. Die entscheidende Frage ist nicht, ob wir unseren Mitarbeitenden vertrauen, sondern welche Risiken wir verifizieren, bevor wir einer Person Zugang zu unseren wichtigsten Systemen, Daten und Informationen geben".

— Reto Marti, Managing Partner, Validato

Validato unterstützt Unternehmen dabei, personenbezogene Risiken bereits vor der Einstellung und risikobasiert während der Beschäftigung zu überprüfen. Denn moderne Unternehmenssicherheit schützt nach Auffassung von Validato nicht nur Systeme, sondern berücksichtigt auch die Menschen, die darauf zugreifen.