Ein externer Angreifer identifiziert einen Systemadministrator mit weitreichenden Zugriffsrechten und kontaktiert ihn über einen anonymen Kanal. Das Angebot: 50.000 Euro für die Einrichtung eines versteckten VPN-Zugangs zum internen Netzwerk. Der Administrator lehnt ab — aber die Tatsache, dass der Angriff möglich war, zeigt: Technische Sicherheitsmaßnahmen schützen nur so lange, wie die Menschen dahinter vertrauenswürdig handeln.
Nötigung, Erpressung oder Korruption (G 0.35) richten sich gegen die menschliche Komponente der Informationssicherheit. Technische Kontrollen können umgangen werden, wenn ein Insider unter Druck gesetzt oder gekauft wird.
Was steckt dahinter?
Nötigung, Erpressung und Korruption machen Menschen zum Werkzeug für Sicherheitsverletzungen. Während technische Angriffe Schwachstellen in Software oder Konfigurationen ausnutzen, zielen diese Bedrohungen auf Motivation und Verhalten der beteiligten Personen.
Angriffsformen
- Nötigung — Androhung von Gewalt oder anderen Nachteilen, um eine Person zur Missachtung von Sicherheitsrichtlinien zu bringen. Kann sich gegen die Person selbst oder gegen Angehörige richten.
- Erpressung — Ausnutzung einer Zwangslage (kompromittierende Informationen, finanzielle Schwierigkeiten) als Druckmittel für sicherheitswidrige Handlungen.
- Korruption — Gezielte Bestechung von Mitarbeitenden oder Dienstleistern mit Geld, Geschenken oder anderen Vorteilen. Ziel: Zugang zu vertraulichen Informationen, Manipulation von Systemen oder Einrichtung von Hintertüren.
Schadensausmass
Der Schaden ist potenziell grenzenlos, weil eine korrumpierte Person innerhalb ihrer Berechtigungen handelt und technische Sicherheitsmaßnahmen umgehen kann. Alle drei Schutzziele sind betroffen: Vertrauliche Informationen können weitergegeben, Daten manipuliert und Systeme sabotiert werden. Besondere Gefahr besteht bei Personen in Vertrauenspositionen — Administratoren, Sicherheitsbeauftragte, Führungskräfte — deren Handlungen weniger hinterfragt werden.
Praxisbeispiele
Bestechung eines Rechenzentrumstechnikers. Ein Wettbewerber bietet einem Techniker, der im Rechenzentrum eines Cloud-Providers arbeitet, Geld für das Kopieren von Kundendaten auf einen USB-Stick. Der Techniker hat physischen Zugang zu den Servern und umgeht damit alle logischen Zugriffskontrollen. Nur die Videoüberwachung und ein Vier-Augen-Prinzip beim Zugang zu Kundensystemen hätten den Vorfall verhindern können.
Erpressung eines Administrators. Ein Angreifer erlangt Kenntnis über private Informationen eines Administrators und droht mit deren Veröffentlichung. Im Gegenzug soll der Administrator ein bestimmtes Benutzerkonto mit erweiterten Rechten anlegen. Der Administrator meldet den Vorfall seiner Führungskraft, die die zuständigen Behörden einschaltet.
Korruption in der Lieferkette. Ein Mitarbeiter eines IT-Dienstleisters, der für die Wartung einer Firewall zuständig ist, wird von einem Angreifer kontaktiert. Gegen Bezahlung richtet er eine subtile Firewall-Ausnahme ein, die bestimmten externen IP-Adressen den Zugang zum internen Netz ermöglicht. Die Änderung geht im regulären Change-Log unter, weil sie formal als Wartungsmaßnahme dokumentiert wird.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 12 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.6.1 — Sicherheitsüberprüfung: Hintergrundprüfung bei der Einstellung, insbesondere für Positionen mit erhöhtem Vertrauensbedarf.
- A.5.19 — Informationssicherheit in Lieferantenbeziehungen: Vertragliche Sicherheitsanforderungen an Dienstleister, einschließlich Personalüberprüfung.
- A.5.23 — Informationssicherheit bei Nutzung von Cloud-Diensten: Spezifische Anforderungen an die Personalintegrität bei Cloud-Providern.
- A.5.15 — Zugangssteuerung: Minimale Rechte begrenzen den Schaden, den eine korrumpierte Person anrichten kann.
Erkennung:
- A.8.15 — Protokollierung: Lückenlose Protokollierung macht auch „legitime” Aktionen einer korrumpierten Person nachvollziehbar.
- A.8.17 — Uhrensynchronisation: Synchronisierte Zeitstempel ermöglichen die forensische Rekonstruktion von Ereignisketten.
Reaktion:
- A.5.20 — Berücksichtigung der Informationssicherheit in Lieferantenvereinbarungen: Vertragliche Handhabe bei Sicherheitsverstößen durch Dienstleisterpersonal.
- A.5.21 — Management der Informationssicherheit in der IKT-Lieferkette: Kontrolle über die gesamte Lieferkette, einschließlich Unterauftragnehmer.
BSI IT-Grundschutz
G 0.35 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- ORP.2 (Personal) — Anforderungen an Sicherheitsüberprüfungen und Vertrauenswürdigkeit.
- OPS.2.3 (Nutzung von Outsourcing) — Sicherheitsanforderungen an externe Dienstleister.
- OPS.3.2 (Anbieten von Outsourcing) — Anforderungen an Dienstleister, die Outsourcing-Leistungen erbringen.
- NET.1.2 (Netzmanagement) — Schutz der Netzwerkadministration vor Manipulation durch Innentäter.
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland — Jahreslagebericht mit Erkenntnissen zu Insider-Bedrohungen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.35 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 6.1 — Umsetzungshinweise zu Sicherheitsüberprüfungen