Insider Threat: Wie Cyberkriminelle Mitarbeiter kaufen

Ein Exploit muss erst gefunden, ein Zugang nur gekauft werden. Auf dieser Rechnung basiert der Markt für Insider Threat: Statt Sicherheitslücken in gepatchten Systemen zu suchen, rekrutieren organisierte Gruppen Beschäftigte, die bereits legitime Rechte im Zielnetz besitzen. Der auslösende Beitrag beschreibt genau dieses Geschäft mit bestechlichen Insidern und wie Firmen sich schützen können — ist aber Paid-Content. Auswertbar ist nur der Teaser; der Volltext mit den Aussagen des zitierten Forschers und den dort angekündigten Schutzmaßnahmen liegt nicht vor. Belastbar ist dagegen die Falllage aus unabhängigen Security-Quellen. Sie zeigt ein Muster, das sich in vier Schritten beschreiben lässt.

Insider Threat: Zugang kaufen, Angriff behaupten, Quelle schützen

LMG Security beschreibt die Mechanik so: Zuerst kauft eine Gruppe Insider-Zugang, dann verkauft sie den Angriff öffentlich als Hightech-Einbruch, schützt die eigene Quelle und bläht mit dem Ergebnis die eigene Marke auf. Der Insider ist damit nicht nur Zugangsmittel, sondern Marketinginstrument — die Erzählung vom genialen Hack ersetzt die technische Leistung. Wer im Untergrund Aufmerksamkeit und Auftraggeber gewinnen will, braucht spektakuläre Beute; ob sie aus einem Exploit oder aus einem gekauften Zugang stammt, ist zweitrangig.

Der Köder richtet sich an Menschen, nicht an Systeme. Die Vorschau auf eine WSJ-Recherche beschreibt Ansprachen, die gezielt auf unzufriedene Beschäftigte zielen und als Gegenleistung eine Beteiligung an Lösegeldzahlungen oder am Verkauf gestohlener Daten in Aussicht stellen. Hier trifft Cyberkriminalität auf klassisches Social Engineering: Angegriffen wird nicht die Firewall, sondern die wirtschaftliche Not oder der Frust eines Einzelnen.

Für Administratoren ist das eine unangenehme Kategorie. Es gibt keine CVE-Nummer, keinen CVSS-Score und keinen Patch, den man über das Wochenende einspielen könnte. Die Lücke ist organisatorisch — und sie lässt sich nicht schließen, sondern nur verkleinern.

Belegte Fälle: CrowdStrike, DigitalMint und Tesla

Wie konkret das Geschäft ist, zeigt der CrowdStrike-Fall: Ein Mitarbeiter fertigte Screenshots interner Dashboards an, darunter ein Okta-basiertes Zugangsportal, und leitete sie an die Gruppe „Scattered Lapsus$ Hunters" weiter. Für die Weitergabe sollen Berichten zufolge 25.000 US-Dollar geflossen sein — der Betrag ist ausdrücklich nicht gerichtsfest bestätigt. Bemerkenswert ist die Begleitgeschichte: Die Angreifer behaupteten, über die Plattform Gainsight eingedrungen zu sein; diese Darstellung hielt einer Prüfung nicht stand. Genau das ist Teil der Taktik.

Im Oktober 2025 wurden zwei DigitalMint-Mitarbeiter angeklagt, mit Akteuren der BlackCat/ALPHV-Ransomware konspiriert zu haben. Anders als im CrowdStrike-Fall missbrauchten sie laut Anklage nicht die Systeme ihres Arbeitgebers, sondern betrieben die Ransomware-Operationen in ihrer Freizeit. Sie sollen an der Kompromittierung von mindestens fünf Unternehmen mitgewirkt haben, darunter ein Medizintechnikhersteller, ein Pharmaunternehmen und ein Drohnenhersteller. Ein Opfer zahlte 1,27 Millionen US-Dollar.

Tesla: drei Insider-Profile, ein Offboarding-Problem

Der Autobauer liefert gleich drei Varianten desselben Problems. 2020 versuchte ein russischer Agent, einen Tesla-Mitarbeiter mit einer Million US-Dollar zu bestechen, damit er Malware platziert — der Mitarbeiter meldete den Vorgang dem FBI. Zwischen 2018 und 2021 legte ein unzufriedener Beschäftigter mit legitimen Zugriffsrechten Fake-Accounts an, veränderte Fertigungssoftware und stahl mehrere Gigabyte sensibler Daten. 2023 schließlich behielt ein ehemaliger Mitarbeiter nach dem Ausscheiden seine Zugangsdaten und nutzte sie zum Datendiebstahl. Die dritte Variante ist die unbequemste: Sie braucht keinen aktiven Insider, nur eine vergessene Deaktivierung.

Eine zweite, 2023 dokumentierte Tesla-Datenpanne passt ins Bild: Zwei ehemalige Mitarbeiter gaben sensible personenbezogene Daten an ein ausländisches Medienunternehmen weiter — darunter Namen, Adressen, Telefonnummern, Beschäftigungsdaten und Sozialversicherungsnummern. Die deutschsprachige Übersicht von Mimecast nennt über 75.000 Betroffene, LMG Security spricht von mehr als 70.000. Die beiden Angaben widersprechen sich; welche Zahl zutrifft, lässt sich mit dem vorliegenden Material nicht klären.

Nordkorea und die Laptop Farms

Ein staatlich organisiertes Programm zeigt, wie weit die Professionalisierung reicht. Mitte 2025 veröffentlichten DOJ und FBI Angaben zu einem Schema, bei dem Operative mit gestohlenen Identitäten, Deepfake-Vorstellungsgesprächen und sogenannten Laptop Farms in US-Unternehmen platziert wurden. Einige erlangten Zugang zu Quellcode-Repositories, CI/CD-Systemen sowie verteidigungs- und exportkontrollrelevanten Informationen. Entdeckt wurden sie erst durch EDR-Alarme oder auffällige Datentransfers — nicht durch Einstellungsprüfungen.

Ein deutscher Bezugsfall illustriert die Begleitkommunikation: Ein Hacker will Daten von RTL erbeutet haben und behauptet, im Besitz persönlicher Informationen zu über 27.000 Mitarbeitern zu sein. Das Unternehmen untersucht den Vorfall. Bis dahin bleibt es eine Behauptung — und damit ein Beispiel für genau jenes Muster, bei dem die Erzählung wichtiger ist als der Nachweis.

Wenn der Insider kein Mitarbeiter ist

Die wichtigste Verschiebung betrifft die Täter selbst. Huntress unterteilt Insider-Vorfälle in drei Formen — vorsätzlichen Missbrauch, kompromittierte Accounts und gewöhnliche menschliche Fehler. Ein großer Teil beginnt demnach über gestohlene Identitäten: Credential Theft, gestohlene Session-Tokens, bösartige Inbox-Regeln, Rogue-OAuth-Apps und Session Hijacking. Der Angreifer gibt sich dann als legitimer Nutzer aus, ohne je eingestellt worden zu sein — für die Erkennung ist er trotzdem ein Insider, weil er sich exakt wie einer verhält.

Der Begriff reicht ohnehin weiter als das klassische Angestelltenverhältnis. Mimecast unterscheidet sechs Typen, darunter „interne Agenten" — Personen, die wissentlich oder unwissentlich für eine externe Gruppe arbeiten und durch Erpressung oder Bestechung zur Informationsherausgabe gezwungen werden. Frühere Beschäftigte, Auftragnehmer, Praktikanten, Lieferanten und Geschäftspartner gehören ebenfalls dazu. Wer nur die eigenen Festangestellten im Blick hat, deckt damit nicht einmal die Hälfte der Angriffsfläche ab.

Warnsignale und Offboarding: was Erkennung leisten kann

Auffälligkeiten gibt es, sie werden nur selten ausgewertet. Zu den von Huntress genannten Warnsignalen zählen Arbeit zu ungewöhnlichen Zeiten, Zugriffe auf Daten außerhalb der eigenen Rolle, geäußerte Unzufriedenheit und unautorisierte Versuche der Privilegien-Eskalation. Kein einzelnes Signal ist ein Beweis; in der Summe und im zeitlichen Zusammenhang sind sie es wert, nachverfolgt zu werden.

Technische Erkennung hat im nordkoreanischen Fall den Unterschied gemacht: EDR-Alarme und ungewöhnliche Datenabflüsse brachten die Operative ans Licht. Das spricht dafür, Verhaltensanomalien und Datenbewegungen mindestens so ernst zu nehmen wie Signaturen. Ergänzend bleibt die organisatorische Hygiene: Rechte beim Rollenwechsel entziehen, Dienstkonten beim Ausscheiden konsequent sperren, Zugriff auf das Nötigste begrenzen — der Tesla-Fall 2023 ist im Kern ein Offboarding-Versäumnis.

Zur Vorsicht bei Zahlen: Mimecast schreibt, menschliches Versagen trage „zu 95 %" zu Datenschutzverletzungen bei, nennt in der vorliegenden Passage aber keine Quelle dafür. Solche Werte stammen aus dem Marketingumfeld eines Anbieters und taugen nicht als Planungsgrundlage.

Fazit: Zugang ist die neue Angriffsfläche

Der Insider-Markt funktioniert, weil er für beide Seiten günstig ist: Die Gruppe spart sich die Exploit-Kette, die Quelle bekommt Geld für etwas, das sie ohnehin darf. Wirksame Gegenmaßnahmen sind deshalb unspektakulär — strikte Rechtevergabe, sauberes Offboarding, Überwachung von Sitzungen und Datenabflüssen, Aufmerksamkeit für die Warnsignale bei Beschäftigten. Ein Werkzeug gegen diese Bedrohung gibt es nicht. Was bleibt, ist die Erkenntnis, dass die spannendste Angriffsgeschichte selten der technisch schwierigste Fall ist.

Transparenz gehört zum Schluss dazu: Der auslösende Beitrag bleibt hinter der Bezahlschranke. Welche Schutzmaßnahmen der darin zitierte Forscher konkret vorschlägt, lässt sich nicht überprüfen — und wird hier auch nicht rekonstruiert.

Quellen