Wenn der Feind im eigenen Haus sitzt
Im Mai 2025 wurde bekannt, dass Kriminelle bei der Kryptobörse Coinbase gezielt externe Support-Mitarbeiter bestachen, um an sensible Kundendaten zu gelangen. Rund 70.000 Nutzer waren betroffen — Namen, Adressen, Kontodaten. Die Angreifer forderten 20 Millionen Dollar Lösegeld. Coinbase zahlte nicht, sondern setzte selbst eine Belohnung in gleicher Höhe für Hinweise auf die Täter aus.
Was nach einem Problem der großen Player klingt, ist längst in der Mitte des deutschen Mittelstands angekommen: Insider-Bedrohungen gehören heute zu den gefährlichsten und am meisten unterschätzten Risiken der IT-Sicherheit.
Was genau ist eine Insider-Bedrohung?
Eine Insider-Bedrohung entsteht, wenn Personen mit legitimem Zugang — Mitarbeiter, Dienstleister, Freelancer — diesen Zugang missbrauchen. Das muss nicht immer böswillig sein. Die drei häufigsten Varianten:
- Böswillige Insider: Mitarbeiter oder externe Kräfte, die bewusst Daten stehlen oder verkaufen — wie im Coinbase-Fall.
- Fahrlässige Insider: Mitarbeiter, die durch Unachtsamkeit Sicherheitslücken öffnen — etwa durch schwache Passwörter, weitergeleitete E-Mails oder ungesicherte USB-Sticks.
- Kompromittierte Insider: Mitarbeiter, deren Zugangsdaten durch Phishing oder Credential Leaks in fremde Hände geraten sind — ohne dass sie es bemerken.
Warum deutsche KMU besonders gefährdet sind
Großkonzerne investieren Millionen in IT-Sicherheitsmaßnahmen, Zero-Trust-Architekturen und Security Operations Center. Kleine und mittlere Unternehmen haben diese Ressourcen in der Regel nicht. Gleichzeitig steigen die Anforderungen durch Regulierung wie NIS2 und ISO 27001.
Das BSI bestätigt im Lagebericht 2025: Die IT-Sicherheitslage in Deutschland bleibt angespannt. Besonders betroffen sind Unternehmen, die auf externe Dienstleister setzen — ohne deren Zugriffe ausreichend zu kontrollieren.
Typische Schwachstellen in KMU:
- Keine Trennung von Admin- und Nutzerrechten
- Ehemalige Mitarbeiter behalten Zugänge
- Externe Dienstleister erhalten pauschale Vollzugriffe
- Kein Monitoring von Datenzugriffen
- Passwörter werden geteilt oder nie geändert
Fünf Maßnahmen, die KMU sofort umsetzen sollten
1. Least-Privilege-Prinzip einführen: Jeder Nutzer bekommt nur die Rechte, die er für seine aktuelle Aufgabe braucht. Nicht mehr. Regelmäßig überprüfen.
2. Offboarding-Prozess etablieren: Wenn ein Mitarbeiter oder Dienstleister ausscheidet, müssen sämtliche Zugänge sofort gesperrt werden — nicht erst beim nächsten IT-Rundgang.
3. Zugriffsprotokollierung aktivieren: Wer hat wann auf welche Daten zugegriffen? Ohne Logging gibt es keine Chance, einen Insider-Vorfall zu erkennen.
4. Regelmäßige Credential Checks: Kompromittierte Zugangsdaten sind ein Einfallstor. Durch professionelle Credential-Leak-Checks lässt sich feststellen, ob Firmenzugänge bereits im Darknet kursieren.
5. Security Awareness schaffen: Mitarbeiter müssen verstehen, warum Sicherheitsregeln existieren. Ein einmaliges PDF reicht nicht — regelmäßige, praxisnahe Schulungen sind Pflicht.
Fazit: Vertrauen ist gut, Kontrolle ist überlebenswichtig
Der Coinbase-Vorfall zeigt deutlich: Es braucht keinen ausgefeilten Hackerangriff von außen, wenn der Zugang von innen erkauft werden kann. Für deutsche KMU bedeutet das: Insider-Bedrohungen gehören auf die Agenda — jetzt.
Wer seine IT-Sicherheit auf ein solides Fundament stellen will, braucht klare Prozesse, technische Kontrollen und regelmäßige Überprüfungen. Das muss nicht kompliziert oder teuer sein — aber es muss gemacht werden.
Sie möchten wissen, ob Zugangsdaten Ihres Unternehmens bereits kompromittiert sind? Sprechen Sie uns an — AntiLeaks unterstützt Sie beim Credential-Leak-Check und beim Aufbau einer wirksamen Sicherheitsstrategie.