Wie DSPM die Offenlegung von Daten durch Insider in Cloud-Umgebungen erkennt und reduziert

Datenlecks durch Insider in Cloud-Umgebungen stellen eine grundlegende Abkehr von den traditionellen, auf Perimeter-Sicherheit ausgerichteten Sicherheitsbedenken dar. Im Gegensatz zu durch Malware verursachten Sicherheitsverletzungen beginnen Insider-Risiken häufig mit legitimen Zugriffsmustern, die sich durch das Teilen, Herunterladen und die schleichende Ausweitung von Zugriffsrechten in SaaS-Anwendungen, Cloud-Speichern und Kollaborationsplattformen allmählich zu Datenverlusten ausweiten.

Wie sich die Offenlegung von Daten durch interne Bedrohungen in der Cloud darstellt

Moderne Insider-Bedrohungen umfassen drei Kategorien von Risikoträgern: böswillige Mitarbeiter, die Daten stehlen wollen, fahrlässige Nutzer, die versehentlich Informationen preisgeben, sowie kompromittierte Konten, die von externen Angreifern genutzt werden.

Laut dem „Insider Threat Mitigation Guide“ der CISA resultiert der Schaden durch Insider-Bedrohungen häufig eher aus dem Missbrauch legitimer Zugriffsrechte als aus unbefugten Systemzugriffen.

Mitarbeiter synchronisieren regelmäßig vertrauliche Dateien mit ihren privaten Geräten, geben Dokumente über vom Browser generierte Links an externe Partner weiter, laden Berichte zur Offline-Analyse herunter und übertragen Datensätze zwischen verschiedenen Analyseplattformen. Jede dieser Handlungen ist Teil der normalen Geschäftstätigkeit, doch in ihrer Gesamtheit schaffen sie eine immer größer werdende Angriffsfläche, die mit herkömmlichen Sicherheitsmaßnahmen nur schwer zu überwachen ist.

Die Analyse der Cloud Security Alliance zur Gefährdung sensibler Cloud-Daten identifiziert mehrere wesentliche Sicherheitsrisiken: die Datenreplikation zwischen Cloud-Diensten, unsachgemäße Konfigurationen für die gemeinsame Nutzung, die Datenübertragung zwischen nicht zugelassenen Anwendungen sowie Fehlkonfigurationen im Bereich der Identitäts- und Zugriffsverwaltung (IAM), die übermäßige Zugriffsrechte gewähren.

Im Gegensatz zu lokalen Umgebungen, in denen Daten in der Regel in kontrollierten Netzwerksegmenten gespeichert waren, verteilen sich Cloud-Daten heute auf SaaS-Anwendungen, Kollaborationsplattformen und externe Mechanismen zum Datenaustausch, die herkömmliche Sicherheitsgrenzen umgehen.

Stellen Sie sich einen Mitarbeiter in der Finanzabteilung vor, der Kundendaten von einer Cloud-Analyseplattform herunterlädt, um einen Quartalsbericht zu erstellen. Der Mitarbeiter lädt die Datei zur Bearbeitung am Wochenende in seinen persönlichen Cloud-Speicher hoch, gibt die Daten über einen Browser-Link an einen externen Beratungspartner weiter und lässt das ursprüngliche Repository nach Abschluss des Projekts für eine breite Projektgruppe zugänglich. Es ist keine Malware im Spiel. Es wird keine Firewall-Regel ausgelöst. Dennoch sind sensible Daten über die vorgesehenen Kontrollmechanismen hinausgelangt.

Laut dem „Verizon 2026 Data Breach Investigations Report“ (DBIR) war bei der Mehrheit der Sicherheitsverletzungen menschliches Versagen im Spiel. Auf der Grundlage einer Analyse von mehr als 22.000 Sicherheitsvorfällen und 12.195 bestätigten Sicherheitsverletzungen identifizierte der Bericht menschliches Verhalten, mangelhaftes Identitäts- und Zugriffsmanagement sowie die Gefährdung durch das Ökosystem von Drittanbietern als Hauptursachen für Sicherheitsverletzungen. Dies unterstreicht die Tatsache, dass legitimer, autorisierter Zugriff häufig der Hauptweg für den Verlust sensibler Daten ist.

Warum herkömmliche Kontrollmechanismen die Risiken durch Insider in der Cloud-Ära übersehen

Tools zur Analyse des Nutzerverhaltens und zur Endpunktüberwachung wurden für netzwerkzentrierte Umgebungen entwickelt, in denen der Datenverkehr über vorhersehbare Kanäle erfolgte. Diese Systeme sind zwar hervorragend geeignet, um Verhaltensabweichungen zu erkennen, verfügen jedoch nicht über den erforderlichen Datenkontext, um das Ausmaß der Gefährdung in Cloud-Umgebungeneinzuschätzen.

UEBA-Systeme können erkennen, wenn ein Benutzer ungewöhnlich große Datenmengen herunterlädt oder auf Anwendungen zugreift, die von den üblichen Mustern abweichen; sie können jedoch nicht feststellen, ob diese Dateien Quellcode, Finanzdaten, personenbezogene Kundendaten oder routinemäßige Betriebsdaten enthalten. Ohne Kenntnis der Datensensibilität stehen Sicherheitsteams vor einer unmöglichen Entscheidung: Entweder sie untersuchen jede Anomalie und versinken in einer Flut von Fehlalarmen, oder sie erhöhen die Alarmschwellen und riskieren, echte Sicherheitslücken zu übersehen.

Browserbasierte SaaS-Anwendungen, direkte Cloud-Synchronisierung und die Weitergabe über Weblinks umgehen herkömmliche Endpunktkontrollen. Ein Mitarbeiter kann sensible Daten vollständig über Browsersitzungen an externe Partner weitergeben, ohne dass endpunktbasierte Erkennungssysteme ausgelöst werden. Diese modernen Muster der Cloud-Zusammenarbeit finden über Kanäle statt, die von Endpunkt-Agenten nicht vollständig überwacht werden können.

Herkömmliche DLP-Lösungen eignen sich hervorragend für die Überprüfung von E-Mail-Anhängen, USB-Übertragungen und Netzwerkverkehr, haben jedoch Schwierigkeiten, den Sicherheitsstatus von Cloud-Speichern, Berechtigungen auf Kollaborationsplattformen oder Konfigurationen für die externe Freigabe zu bewerten. Diese Systeme erkennen Datenbewegungen oft erst, wenn bereits Sicherheitsrisiken bestehen, anstatt übermäßig gefährdete Speicherorte zu identifizieren, bevor es zu Versuchen der Datenentwendung kommt.

IAM-Systeme erfassen, wer wann auf welche Cloud-Anwendungen zugegriffen hat; diese Telemetriedaten sind jedoch für die Erkennung von Insider-Bedrohungen nur dann aussagekräftig, wenn sie mit Datenklassifizierung und dem Kontext der Risikoexposition kombiniert werden.

Die Datensignale, die Insiderrisiken aufdecken, bevor es zu einem Datenabfluss kommt

Eine wirksame Erkennung von Insider-Bedrohungen in Cloud-Umgebungen setzt voraus, dass Sicherheitslücken erkannt werden, bevor Daten die Kontrolle des Unternehmens verlassen. DSPM deckt verschiedene Kategorien von Risikosignalen auf, die bereits vor dem Eintreten eines Schadens auftreten und von herkömmlichen Überwachungstools in der Regel übersehen werden.

DSPM durchsucht diese Repositorys kontinuierlich, um sensible Daten zu identifizieren, die möglicherweise ohne Wissen des Sicherheitsteams hochgeladen, synchronisiert oder repliziert wurden. Cloud-Plattformen und Arbeitsabläufe zur Zusammenarbeit können weitreichende oder vererbte Freigabeberechtigungen schaffen, die den Zugriff über das von den Teams beabsichtigte Maß hinaus erweitern.

DSPM identifiziert Repositorys, die sensible Daten enthalten und für große Benutzergruppen, externe Mitarbeiter oder über öffentliche Links zugänglich sind, die über den Projektzeitraum hinaus bestehen bleiben. In Verbindung mit DLP, CASB, SSE oder Verhaltensanalysen hilft DSPM dabei, risikoreiche Szenarien wie das Herunterladen sensibler Dateien, die Weiterleitung an private E-Mail-Adressen oder die Synchronisierung mit nicht verwalteten Geräten zu erkennen, indem es Informationen zur Datensensibilität und zum Kontext der Offenlegung hinzufügt.

DSPM erkennt diese Schatten-Repositorys und Konfigurationsabweichungen, bevor sie zu aktiven Ursachen für Datenverluste werden.

Das MITRE ATT&CK-Framework dokumentiert, wie Angreifer und kompromittierte Insider Daten über legitime Cloud-Speicherdienste und Webanwendungen abziehen. Das Verständnis dieser Angriffsmuster hilft Sicherheitsteams zu erkennen, wann normale Nutzungsmuster in der Cloud auf Vorbereitungen für einen Datendiebstahl hindeuten können.

Warum DSPM für die Erkennung interner Bedrohungen in Cloud-Umgebungen von grundlegender Bedeutung ist

DSPM befasst sich mit der Erkennung von Insider-Bedrohungen, indem es den Datenkontext bereitstellt, den andere Sicherheitsmaßnahmen benötigen, um in Cloud-Umgebungen effektiv zu funktionieren. Anstatt Verhaltensanalysen oder Zugriffsüberwachung zu ersetzen, dient DSPM als grundlegende Ebene.

Der Gartner Market Guide for Data Security Posture Management, 2025 betont, dass der Kernnutzen von DSPM darin besteht, strukturierte und unstrukturierte Daten zu identifizieren und zu klassifizieren, Transparenz über Datenbestände zu schaffen und dazu beizutragen, Risiken in den Bereichen Datenschutz, Sicherheit und KI zu mindern.

DSPM hilft dabei, riskante Kombinationen wie hochsensible Daten mit weitreichenden Zugriffsberechtigungen und externer Weitergabe zu erkennen, insbesondere wenn es mit Geräte- und Zugriffsdaten von SSE, CASB oder Identitätskontrollen integriert ist.

Herkömmliche IAM-Systeme erfassen Zugriffsrechte, doch DSPM setzt diese Berechtigungen in Beziehung zur tatsächlichen Datensensibilität, um Risiken durch die Ausweitung von Zugriffsrechten, inaktive Konten mit Zugriff auf sensible Daten sowie externe Mitarbeiter zu identifizieren, deren Zugriffsrechte über den Projektzeitraum hinaus bestehen bleiben. DSPM überwacht diese Änderungen kontinuierlich, um festzustellen, wann routinemäßige Betriebsabläufe unbeabsichtigt neue Sicherheitslücken schaffen.

DSPM kann Informationen zu risikoreichen Repositorys an data loss prevention , Datenkontext für UEBA-Plattformen bereitstellen und Expositionskennzahlen an SIEM-Systeme liefern. Diese Korrelation ist es, die rohe Aktivitätsdaten in verwertbare Erkenntnisse zu Insider-Bedrohungen umwandelt.

Wie man Untersuchungen zu internen Bedrohungen nach Geschäftsrisiken priorisiert

Nicht jede Sicherheitslücke in der Cloud erfordert die gleiche Reaktion. Sicherheitsteams können den Informationsüberfluss reduzieren und die Qualität der Reaktion verbessern, indem sie Vorfälle nach ihren geschäftlichen Auswirkungen einstufen, anstatt jedes Ereignis als potenziellen Sicherheitsverstoß zu behandeln.

Beginnen Sie mit der Sensibilität der betreffenden Daten. Kundendaten, Gehaltsdaten, Quellcode, geistiges Eigentum und regulierte Inhalte sollten oberste Priorität haben. Die Klassifizierung von Daten ist wichtig, da ein auf den ersten Blick harmloses Zugriffsmuster weitaus schwerwiegender wird, wenn es um hochsensible Informationen geht.

Prüfen Sie als Nächstes die Zugänglichkeit. Repositorys, die breiten internen Gruppen, externen Partnern oder über öffentliche Links zugänglich sind, stellen ein wesentlich höheres Risiko dar als streng abgegrenzte Ordner mit eingeschränkten Zugriffsrechten. Die Schwere der Gefährdung nimmt zu, wenn der Zugriff nach Projektende fortbesteht, wenn Dateien an nicht verwaltete Speicherorte kopiert werden oder wenn sich die Berechtigungen vom ursprünglichen Geschäftszweck entfernen.

Berücksichtigen Sie zudem den Nutzer- und Gerätekontext. Der Zugriff über nicht verwaltete Geräte, von ungewöhnlichen Standorten oder über nicht standardmäßige Browsersitzungen muss nicht unbedingt auf böswillige Absichten hindeuten, kann jedoch die Wahrscheinlichkeit erhöhen, dass sensible Daten außerhalb der genehmigten Kontrollmechanismen kopiert, weitergegeben oder gespeichert werden.

Auch zeitliche Abläufe und Verhaltensmuster spielen eine Rolle. Ein umfangreicher Download aus einem Finanzarbeitsbereich während der Quartalsabschlussarbeiten kann normal sein. Die gleiche Aktion bei einem Mitarbeiter, der das Unternehmen verlässt, zum ersten Mal auf ein Repository zugreift oder ein ungewohntes Gerät verwendet, verdient hingegen eine genauere Überprüfung.

Das Ergebnis ist ein Triage-Modell, das den Fokus auf die Kombination aus Datensensibilität, Expositionsstatus und Verhalten legt, anstatt auf ein einzelnes Signal für sich genommen.

Eine moderne Architektur zur Erkennung von Datenlecks durch interne Bedrohungen in der Cloud

Eine effektive Erkennung interner Bedrohungen in Cloud-Umgebungen erfordert einen einheitlichen Überblick über Datenspeicher, Zugriffskontrollsysteme und Kanäle für Benutzeraktivitäten, anstatt sich auf isolierte Sicherheitstools zu verlassen. Die Datenebene bildet dabei die Grundlage.

DSPM ermittelt und klassifiziert sensible Daten in Cloud- und SaaS-Umgebungen. Es ermittelt, wo sich Daten befinden, wie sie gekennzeichnet sind und welche Speicherorte übermäßig exponiert sind. Diese Transparenz bildet die Kontextbasis für alle weiteren Schritte.

Die Zugriffsebene liefert entscheidende Kontextinformationen. IAM-Systeme, Berechtigungen für die Zusammenarbeit und Einstellungen für die externe Freigabe zeigen auf, wer unter welchen Bedingungen auf sensible Daten zugreifen kann. In Verbindung mit der Datenklassifizierung machen diese Informationen deutlich, welche Zugriffsrechte ein tatsächliches Risiko darstellen und welche lediglich theoretischer Natur sind.

SSE-bezogene Kontrollmechanismen können in Verbindung mit datenkontextbezogenen Informationen aus dem DSPM dazu beitragen, einheitlichere Richtlinien für den Zugriff und die Freigabe über Web- und Cloud-Kanäle hinweg durchzusetzen. Cloud Access Security Broker bieten detaillierte Einblicke in die Nutzung von Cloud-Anwendungen und ermöglichen gleichzeitig eine detaillierte Durchsetzung von Richtlinien auf der Grundlage der Datensensibilität und des Zugriffskontexts. Secure Web Gateway können das Hochladen sensibler Daten in nicht genehmigte Cloud-Dienste verhindern, während integrierte DLP-Funktionen Inhalte in E-Mails, auf Kollaborationsplattformen und bei Übertragungen in Cloud-Speichern überprüfen können.

Eine kontinuierliche Überwachung stellt sicher, dass sich ändernde Sicherheitsrisiken erkannt werden, wenn sich Cloud-Konfigurationen ändern, neue Kooperationsverbindungen hergestellt werden oder sich Benutzerrollen im Laufe der Zeit verschieben.

Häufige Fehler, die Unternehmen bei der Reaktion auf Datenlecks durch Insider begehen

Einer der häufigsten Fehler besteht darin, jedes ungewöhnliche Zugriffsereignis als bestätigte Bedrohung zu betrachten. Dieser Ansatz führt zu einer Alarmmüdigkeit und verdeckt die wenigen Vorfälle, die wirklich von Bedeutung sind. Die bessere Strategie besteht darin, das Verhalten mit der Sensibilität der Daten und dem Expositionsstatus zu kombinieren.

Ein weiterer Fehler besteht darin, sich ausschließlich auf Identitätsprotokolle zu verlassen. Zu wissen, wer auf ein System zugegriffen hat, ist zwar nützlich, sagt jedoch nichts darüber aus, ob es sich bei den betroffenen Daten um sensible Informationen handelte, ob diese extern weitergegeben oder in einem ungeschützten Speicherort abgelegt wurden.

Unternehmen unterschätzen zudem den browserbasierten Zugriff und nicht verwaltete Geräte. Die Zusammenarbeit in der Cloud findet häufig außerhalb der Reichweite herkömmlicher Endpunktkontrollen statt, sodass Sicherheitsprogramme, die sich ausschließlich auf verwaltete Laptops konzentrieren, einen Großteil der Angriffswege übersehen.

Ein damit verbundenes Problem ist die Tool-Flut. Unternehmen setzen häufig separate Tools für DLP, UEBA, IAM, CASB und SSE ein, ohne diese über ein gemeinsames Datenmodell miteinander zu verknüpfen. Die Folge sind lückenhafte Einblicke und Doppelarbeit.

Die Studie des Ponemon Institute zu Insider-Risiken macht deutlich, dass unachtsame und fahrlässige Mitarbeiter neben vorsätzlich böswilligen Akteuren ebenfalls erhebliche und kostspielige Sicherheitsrisiken darstellen. Umfassende Programme zum Schutz vor Insider-Bedrohungen müssen alle Kategorien von Insider-Risiken abdecken, anstatt sich ausschließlich auf vorsätzlichen Datendiebstahl zu konzentrieren.

Die Einführung übermäßig restriktiver Richtlinien, die eine legitime Zusammenarbeit behindern, kann zur Verbreitung von Schatten-IT führen und neue Sicherheitsrisiken schaffen.

Worauf Sie bei einer Lösung zur Erkennung von Datenlecks durch Insider achten sollten

Ein solider Ansatz beginnt mit der Erfassung. Die Plattform sollte sensible Daten in Cloud-Speichern, SaaS-Anwendungen und Kollaborationsumgebungen identifizieren, ohne dass überall eine manuelle Kennzeichnung erforderlich ist.

Zudem sollte es die Klassifizierung, die Erfassung von Zugriffsmöglichkeiten und die Durchsetzung von Richtlinien in einem einzigen Arbeitsablauf unterstützen. So können Teams nicht nur erkennen, wo sich sensible Daten befinden, sondern auch, wer darauf zugreifen darf und ob dieser Zugriff den geschäftlichen Anforderungen entspricht.

Integration ist entscheidend. Die nützlichsten Systeme lassen sich mit IAM-, SIEM-, DLP-, CASB- und SSE-Kontrollen verknüpfen, sodass die Sensibilität von Daten in umfassendere Sicherheitsentscheidungen einfließen kann. Untersuchungsabläufe sollten den Sicherheitsstatus, das Nutzerverhalten und den Zugriffskontext zusammenführen, anstatt Analysten dazu zu zwingen, mehrere Konsolen miteinander abzugleichen.

Auch die Unterstützung bei der Einhaltung von Vorschriften ist wichtig. Sicherheitsteams benötigen Nachweise darüber, wo sich regulierte Daten befinden, wer darauf zugreifen kann, wie sie weitergegeben wurden und welche Abhilfemaßnahmen nach der Feststellung einer Sicherheitslücke ergriffen wurden.

KI-gestützte Untersuchungsfunktionen können dabei helfen, die Sensibilität von Daten, Zugriffsmuster und Nutzerverhalten miteinander in Zusammenhang zu bringen, um Vorfälle mit höherem Risiko vorrangig zu behandeln.

Für Unternehmen, die einen umfassenden Schutz vor Insider-Bedrohungen suchen, unterstreicht die Auszeichnung von Gartner für führende Anbieter im Bereich SSE die Bedeutung integrierter Plattformen, die Datentransparenz, Zugriffskontrolle und Verhaltensüberwachung in einheitlichen Architekturen vereinen.