Die Zahl der Datenlecks durch Insider hat sich während der Pandemie erheblich verschlimmert, da fast alle Mitarbeiter von zu Hause aus arbeiteten, was weniger sicher war. Angesichts einer schwächelnden Wirtschaft, die massive Entlassungen nach sich zieht, könnten Unternehmen nun einer noch größeren Bedrohung ausgesetzt sein: ehemalige Mitarbeiter, die weiterhin Zugriff auf sensible Passwörter und Daten haben oder – schlimmer noch – Cyberangriffe gegen ihre ehemaligen Arbeitgeber starten.
Die jüngsten Entlassungen, insbesondere in der Hightech-Branche, sind erschütternd: Alphabet, die Muttergesellschaft von Google, hat 12 000 Stellen gestrichen; Amazon hat 18 000 Stellen abgebaut; Dell hat 6 650 Mitarbeiter entlassen; IBM hat 3 900 Stellen gestrichen; Microsoft hat 10 000 Stellen gestrichen; und SAP hat 2 800 Mitarbeitern die Kündigung ausgesprochen.
„Seit dem Ende der Großen Rezession um das Jahr 2009 haben wir keine nennenswerten Entlassungen dieser Art mehr erlebt“, sagt John Dooney, Fachberater bei der Society for Human Resource Management (SHRM). „Es wird interessant sein zu sehen, wie Arbeitgeber mit den Bedrohungen oder Problemen umgehen, die sich aus diesen Entlassungen ergeben.“
Es ist nicht so, dass jeder entlassene Mitarbeiter so wütend sein wird, dass er Passwörter oder Unternehmensdaten zurückhält, um später im Rahmen eines böswilligen Plans Rache zu üben. Tatsächlich finden die meisten entlassenen Mitarbeiter schnell und unauffällig eine neue Anstellung. Und im High-Tech-Bereich ist es laut einer aktuellen Umfrage von ZipRecruiter fast vier von 10 gelungen, innerhalb eines Monats nach Beginn ihrer Stellensuche eine neue Anstellung zu finden.
Allerdings können Unternehmen bei Entlassungen schwerwiegende Konsequenzen zu tragen haben, wenn sie die Cybersicherheit nicht in den Mittelpunkt ihrer Einarbeitungs- und Austrittspläne sowie -praktiken gestellt haben.
„Einer der größten Fehler im Personalwesen, den viele Unternehmen begehen, besteht darin, die Auswirkungen der Personalbeschaffung und -entlassung auf die Cybersicherheit erst dann zu berücksichtigen, wenn es bereits zu spät ist“, argumentiert Kyle Dewar, Leiter des technischen Kundenmanagements bei Tanium. „Meistens nehmen Mitarbeiter lediglich unbedeutende Dokumente mit, wie beispielsweise Vorlagen oder Präsentationen, die sie in ihrer nächsten Anstellung verwenden möchten.“ Doch es reicht bereits ein einziger Dieb, der geistiges Eigentum [IP] verkauft, oder ein einziger verärgerter ehemaliger Mitarbeiter, der sich in ein Unternehmensnetzwerk hackt, um einem Unternehmen zu schaden. „Leider kommt dies angesichts der Massenentlassungen, die wir in letzter Zeit erlebt haben, immer häufiger vor.“
Tatsächlich gibt etwa ein Drittel der Arbeitgeber mit ineffektiven Offboarding-Maßnahmen an, dass ehemalige Mitarbeiter im vergangenen Jahr vertrauliche Daten entwendet (29 %), in ihre Netzwerke eingedrungen sind (28 %) oder die Backend-Systeme ihrer Websites gehackt haben (32 %), wie eine Umfrage von „ “ und „Beyond Identity“ unter dem Titel „ “ (öffnet in einem neuen Tab) ergab. Ein Viertel dieser Unternehmen erlitt infolgedessen einen Reputationsschaden.
Um solche Schwierigkeiten zu vermeiden, empfehlen Experten, festzulegen, welchen Zugriff Mitarbeiter während ihres Beschäftigungsverhältnisses auf Netzwerkdaten und -ressourcen haben, wie dies überwacht und durchgesetzt wird und was bei Beendigung des Arbeitsverhältnisses geschieht.
Sicheres Schießen beginnt mit einer klugen Personalauswahl
Als ersten Schritt sollten Führungskräfte aus den Bereichen Personalwesen und IT Richtlinien zur akzeptablen Nutzung (AUPs) festlegen und diese in alle Einarbeitungsunterlagen aufnehmen, die neue Mitarbeiter vor Arbeitsbeginn unterzeichnen, rät Rajan Koo, Chief Customer Officer und i3 -Leiter bei DTEX Systems, einem Unternehmen für das Management interner Sicherheitsbedrohungen. Durch die rechtliche Zustimmung zu den Nutzungsrichtlinien (AUPs) verpflichten sich die Mitarbeiter, die Regeln für die sichere Nutzung von Unternehmenscomputern und Netzwerkressourcen einzuhalten. Sie geben zudem zu, dass sie sich bewusst sind, dass ihr Arbeitgeber ihre Online-Aktivitäten während der Arbeitszeit anonym überwachen könnte, um verdächtiges oder böswilliges digitales Verhalten aufzudecken.
„“ Einer der größten Fehler, den Unternehmen im Personalwesen begehen, besteht darin, die Auswirkungen der Personalbeschaffung und -entlassung auf die Cybersicherheit erst dann zu berücksichtigen, wenn es bereits zu spät ist.“Kyle Dewar, Leiter des Bereichs Technical Account Management bei Tanium
Herr Koo sagt, nichts davon solle kühl oder mit harter Hand vermittelt werden. Vielmehr sollten Führungskräfte aufrichtig darlegen, dass das Unternehmen seinen Mitarbeitern zwar vertraut, jedoch aus rechtlichen und aufsichtsrechtlichen Gründen dennoch alles in seiner Macht Stehende tun muss, um vertrauliche Finanz- und Kundendaten zu schützen. „Wenn diese Botschaft richtig vermittelt wird, kann sie die Einhaltung von Vorschriften fördern und gleichzeitig von unzulässigem Verhalten abschrecken – selbst nach einer Entlassung“, fügt Koo hinzu.
Unternehmen sollten nicht behaupten, dass sie Aktivitäten überwachen, wenn dies nicht der Fall ist. Mitarbeiter sind nicht dumm; sie werden irgendwann merken, dass niemand sie beobachtet, und könnten sich dann dazu verleitet sehen, Unternehmensdaten ohne Genehmigung zu entwenden, insbesondere wenn sie vorhaben, zu kündigen, oder wenn sie ahnen, dass Entlassungen bevorstehen.
[Lesen Sie auch: Warum Mitarbeiter gegen Cybersicherheitsrichtlinien verstoßen]
Tatsächlich ergab eine Umfrage von „ “ und „Cyberhaven“ unter dem Titel „ “, dass die Wahrscheinlichkeit, dass Mitarbeiter vor ihrem Ausscheiden Daten oder Passwörter entwenden, um 68,7 % höher ist. Ebenso ergab die Umfrage, dass entlassene Mitarbeiter am Tag vor ihrer Entlassung mit einer um 23,1 % höheren Wahrscheinlichkeit Daten entwenden und am Tag ihrer Entlassung mit einer um 109,3 % höheren Wahrscheinlichkeit Daten mitnehmen.
Insiderrisiken aufspüren
Experten weisen darauf hin, dass Unternehmen solchen Aktivitäten mit Vorsicht begegnen sollten, da sie darauf hindeuten könnten, dass ein Mitarbeiter Geschäftsgeheimnisse entwendet.
Ein typisches Beispiel hierfür ist der verurteilte (und begnadigte) Ingenieur für autonome Fahrzeuge, Anthony Levandowski, der Google vor einigen Jahren verließ, um sein eigenes Unternehmen Otto zu gründen (das später von Uber übernommen wurde), und dem vorgeworfen wurde, geheime Dateien zu selbstfahrenden Autos mitgenommen zu haben. Ungewöhnliches digitales Verhalten könnte auch darauf hindeuten, dass Mitarbeiter Kundenkontaktdaten herunterladen, um damit ihre eigenen Geschäfte anzukurbeln. Oder es könnte darauf hindeuten, dass desillusionierte Mitarbeiter Passwörter horten, um interne Kommunikation abzuhören, Unternehmensdaten zu vernichten oder später Cyberangriffe zu starten.
Es gibt zahlreiche Tools für Echtzeit-Transparenz, -Kontrolle und -Abhilfe im Bereich „ “ ( ), die Unternehmen dabei unterstützen, solche digitalen Aktivitäten zu überwachen und zu bekämpfen. Beispielsweise können einige Endpoint-Security-Lösungen von Unternehmen vor Bedrohungen durch Insider (oder baldige Outsider) sowie vor Zero-Day-Angriffen schützen. Außerdem können sie Sicherheitslücken aufdecken und schließen, die andernfalls möglicherweise übersehen worden wären. Darüber hinaus erstellen einige dieser Produkte Prüfpfade, anhand derer sich nachvollziehen lässt, wohin gestohlene Daten – insbesondere geistiges Eigentum – gelangt sein könnten.
[Read also: The top cybersecurity trends for 2023]
„Dies ist wichtig, da viele Unternehmen erst viele Jahre später bemerken, dass sie geistiges Eigentum verloren haben – nämlich dann, wenn es als kommerzielles Angebot in das Produkt eines Wettbewerbers Einzug hält“, sagt Koo. „Anhand eines Prüfpfads können Sie zurückverfolgen, welche Daten übertragen wurden, woher sie stammten, wer darauf zugegriffen hat und wohin sie weitergeleitet wurden.“
Vorbereitungen für den „D-Day“
Experten zufolge sollten gut durchdachte Einarbeitungs- und Austrittsprozesse Unternehmen im Idealfall dabei helfen, Datenverluste oder Hackerangriffe zu begrenzen, wenn Mitarbeiter kündigen oder ihre Kündigung erhalten. Am Abreisetag – dem sogenannten D-Day – müssen jedoch noch einige Maßnahmen ergriffen werden, um langfristige Risiken zu minimieren.
„Wenn man Mitarbeitern einige der Dinge überlässt, an denen sie gearbeitet haben, kann dies den Mitarbeitern beim Ausscheiden eine gewisse Erleichterung und Trost spenden.“John Dooney, Fachberater, Society for Human Resource Management
Einer der wichtigsten – und zugleich am meisten vernachlässigten – Aspekte ist folgender: Mitgefühl zählt. Stellen Sie sicher, dass die Mitarbeiter die Nachricht von ihrer Entlassung zunächst von einfühlsamen Menschen erfahren, anstatt ihnen eine elektronische Mitteilung zu senden, ihnen ohne Erklärung den Netzwerkzugang zu sperren oder sie ihr Schicksal erst aus den Nachrichten erfahren zu lassen. Ein solch rücksichtsloses Verhalten könnte einige gekränkte ehemalige Mitarbeiter dazu veranlassen, digitale Vermögenswerte zu stehlen oder künftig Cyberangriffe zu starten.
In einem kürzlich erschienenen Blogbeitrag empfiehlt Catherine Marinis-Yaqub, Partnerin bei Control Risks Crisis and Security Consulting, Unternehmen, zudem einige weitere Vorsichtsmaßnahmen zu ergreifen, darunter:
- Die Sperrung des gesamten Zugriffs auf digitale Unternehmensressourcen, einschließlich E-Mail-Postfächer, Anwendungen, , Cloud-, das Unternehmensnetzwerk und andere Datenquellen sowie unternehmenseigene Mobilgeräte. Auch dies sollte zeitgleich mit dem Zeitpunkt erfolgen, zu dem die Mitarbeiter über ihre Entlassung informiert werden, oder unmittelbar darauf folgen.
- Die Rückgabe aller vom Unternehmen bereitgestellten Geräte, Ausrüstungsgegenstände und Sachwerte, die den Mitarbeitern ausgehändigt wurden, wie beispielsweise Laptops, Festplatten, USB-Sticks, Mobiltelefone, Firmenkreditkarten, Ausweise, Zugangskarten und Parkausweise.
- Löschung von Unternehmensdaten auf elektronischen Geräten, die sich im Besitz der Mitarbeiter befinden.
[Lesen Sie auch: So kann – und muss – jeder Mitarbeiter Teil des Cybersicherheitsteams sein]
- „Es empfiehlt sich, ein Austrittsgespräch in Anwesenheit eines Sicherheits- oder Risikobeauftragten durchzuführen, um ‚Risiken für das Unternehmen im Zusammenhang mit dem Ausscheiden von Mitarbeitern anzusprechen und die Mitarbeiter an ihre Verpflichtung zum Schutz von Unternehmens en und kritischen Vermögenswerten sowie an ihre Wettbewerbsverbotsvereinbarungen zu erinnern‘“, schlägt Marinis-Yaqub vor. Sollte dies nicht persönlich möglich sein, so sagt sie, sollten Unternehmen diese Kernpunkte in schriftlichen Mitteilungen an die Mitarbeiter ansprechen.
- Die Organisation zusätzlicher Sicherheitsmaßnahmen an den jeweiligen Standorten, wenn zu erwarten ist, dass ausscheidende Mitarbeiter ihre letzten Arbeitstage vor Ort verbringen, sowie gegebenenfalls deren Begleitung vom Gelände, um Schäden an Personen, Daten oder Einrichtungen zu verhindern.
Zu diesem letzten Punkt erklärt Dooney von der SHRM, dass Personalabteilungen das psychische Trauma mildern sollten, das damit einhergeht, vom Firmengelände begleitet zu werden.
„Arbeitgeber können hilfreich sein und für Beruhigung sorgen, indem sie den Mitarbeitern mitteilen, dass sie Zeit haben werden, zurückzukommen, um persönliche Gegenstände und Unterlagen abzuholen, deren Mitnahme das Unternehmen gestattet“, sagt er. „Selbstverständlich handelt es sich dabei nicht um Kontaktdaten von Kunden oder Ähnliches.“ „Wenn man den Mitarbeitern jedoch einige der Dinge überlässt, an denen sie gearbeitet haben, kann dies ihnen beim Ausscheiden eine gewisse Erleichterung und Trost spenden.“
