ERP-Sicherheit – So bekämpfen Sie Angriffe von Innentätern

09.05.2019 Lesezeit: 8 Min.
ERP-Sicherheit – So bekämpfen Sie Angriffe von Innentätern
Herbert Sommerfeld
Herbert Sommerfeld
Specialist Systemtechnik, Asseco Solutions AG

Sicherheit ist ein großer Faktor, wenn es um Auswahl und Betrieb eines ERP-Systems geht. Unternehmen wollen sicherstellen, dass Kunden- und Geschäftsdaten jederzeit vor Zugriffen von Dritten geschützt sind.

Allerdings betrachten viele Entscheider an dieser Stelle nicht das Big Picture. Sie richten ihre gesamte Aufmerksamkeit auf Hackerangriffe von außen. Dabei können Angriffe durch Innentäter mindestens genauso viel Schaden anrichten.

Wie kann ein Angriff von innen aussehen?

Als Innentäter bezeichnen wir in diesem Zusammenhang Menschen, die zu einem Unternehmen gehören und der Organisation gezielt schaden. Das müssen nicht immer Festangestellte sein. Auch freie Mitarbeiter oder Geschäftspartner können zu Innentätern werden, falls sie Zugriff auf das Unternehmensnetzwerk haben.

Die Motivation von Innentätern ist von Fall zu Fall unterschiedlich. Einige sind sauer auf ihren Arbeitgeber und wollen sich rächen. Andere handeln aus Profitgier. Dementsprechend gibt es auch verschiedene Angriffsszenarien, die wir in diesem Kontext betrachten müssen:

Datensabotage

Löscht oder verändert ein Angreifer Unternehmensdaten mit dem Ziel, sie unwiederbringlich zu zerstören, sprechen wir von Datensabotage. Sabotageangriffe sind in der Regel destruktiver Natur. Sie sind darauf ausgerichtet, dem Unternehmen zu schaden. Zum Teil handelt es sich dabei um Impulshandlungen, zum Beispiel als Reaktion auf eine Kündigung.

Datendiebstahl

Datendiebstahl liegt vor, wenn eine Mitarbeiterin oder ein Mitarbeiter einen Datensatz unberechtigt kopiert und entwendet. Das Motiv ist meistens Profitgier. Es geht nicht primär darum, dem Unternehmen zu schaden. Ziel ist eher, den gestohlenen Datensatz zu verkaufen, etwa an einen Konkurrenten.

Systemmanipulation

Systemmanipulationen zielen darauf ab, Unternehmensabläufe negativ zu beeinflussen, um einen persönlichen Vorteil zu erlangen. Beispielsweise könnte ein Innentäter gefälschte Produktionsaufträge in das System einschleusen und die Ware für den persönlichen Gebrauch behalten.

Innentäter streben immer danach, dem Unternehmen zu schaden - oder sie nehmen Schäden zumindest in Kauf. Ein Sonderfall sind Mitarbeiterinnen und Mitarbeiter, die grob fahrlässig handeln und ihre Fehltritte verschleiern.

Technisch gesehen handelt es dabei nicht um Innentäter. Aber da viele Gegenmaßnahmen auch in solchen Fällen anwendbar sind, nehmen wir sie in unsere Definition mit auf. Am Ende spielt es keine Rolle, ob ein wichtiger Datensatz mutwillig oder versehentlich gelöscht wurde. Ein Schaden ist in beiden Fällen eingetreten.

Cyberangriffe sind nicht immer das Werk von Hackern, die sich Zugriff auf das Unternehmensnetzwerk verschaffen.Cyberangriffe sind nicht immer das Werk von Hackern, die sich Zugriff auf das Unternehmensnetzwerk verschaffen.

Interne Angriffe sind schwerer zu bekämpfen als externe

Auf funktionaler Ebene spielt es für die ERP-Sicherheit keine Rolle, ob ein Angriff durch Innen- oder Außentäter erfolgt. Die oben beschriebenen Szenarien sind in beiden Fällen denkbar. Der Unterschied macht sich erst dann bemerkbar, wenn es um potentielle Gegenmaßnahmen geht.

Interner Missbrauch ist grundsätzlich schwerer zu bekämpfen, da sich Innentäter innerhalb des digitalen Sicherheitsparameters eines Unternehmens befinden. Mitarbeiterinnen und Mitarbeiter brauchen bestimmte Zugriffsrechte, um ihren Job zu machen. Das bedeutet: Ihr Arbeitgeber kann ihnen diese Rechte nicht einfach entziehen.

Alle Zugangspunkte abzudichten ist durchaus eine potentielle Gegenmaßnahme im Kampf gegen Hacker. Wenn es um internen Berechtigungsmissbrauch geht, müssen sich Unternehmen allerdings etwas anderes einfallen lassen.

Grundsätzlich gibt es zwei Arten von Maßnahmen, die für die Abwehr von Angriffen durch Innentäter in Betracht kommen:

  • proaktive
  • reaktive
Cyberangriffe sind nicht immer das Werk von Hackern, die sich Zugriff auf das Unternehmensnetzwerk verschaffen. Auch Innentäter können großen Schaden anrichten.

Angriffe durch Innentäter proaktiv verhindern

Proaktive Maßnahmen sollen verhindern, dass Angriffe durch Innentäter überhaupt auftreten. Das wichtigste Werkzeug ist in diesem Zusammenhang die Rechtevergabe im ERP-System. Wenn Mitarbeiterinnen und Mitarbeiter schon auf technischer Ebene nicht die Möglichkeit haben, dem Unternehmen zu schaden, gibt es auch keine internen Angriffe mehr.

Das ist jedoch leichter gesagt als getan, denn ERP-Berechtigungen sind von Natur aus weder konstruktiv noch destruktiv. Der Kontext entscheidet. Auf der einen Seite kann eine Löschfunktion dazu verwendet werden, um wichtige Daten zu zerstören. Auf der anderen Seite dient die gleiche Funktion dazu, fehlerhafte Daten zu bereinigen.

Die Lösung ist, Berechtigungen nur aufgabenbezogen zu vergeben. Anwenderinnen und Anwender sollten nur die Rechte erhalten, die sie für ihren Job benötigen. Gerade Zugriffsrechte mit hohem Missbrauchspotential, zum Beispiel der Export von Daten oder das Anlegen neuer Lieferanten, sollten nur ausgewählte Mitarbeiterinnen und Mitarbeiter erhalten. Ein Beispiel: Es gibt keinen Anlass für die Produktion, neue Fertigungsaufträge anzulegen. Dieser Vorgang sollte immer im Backoffice erfolgen. Daher sollten Sie dieses Recht auch nicht an Ihre Kolleginnen und Kollegen aus der Produktion vergeben.

Zusätzlich sollten Freigabeprozesse fester Bestandteil aller Geschäftsvorgänge sein, die ein hohes Missbrauchspotential aufweisen. Einzelne Personen sollten kritische Abläufe nicht alleine durchführen können. Nach dem Vier-Augen-Prinzip sollte mindestens eine weitere Person involviert sein, die den Vorgang überprüft. Das senkt nicht nur das Risiko für Fehler, sondern verhindert auch Berechtigungsmissbrauch durch Innentäter. Diese können nämlich nicht mehr alleine agieren, sondern brauchen Komplizen in spezifischen Positionen.

Berechtigungsmissbrauch reaktiv aufklären und ahnden

Strenge Rechtevergaben können Angriffe durch Innentäter zwar reduzieren, aber nicht vollständig verhindern. Ausreichend motivierte Angreifer finden immer eine Möglichkeit, ihre Zugriffsrechte zu missbrauchen.

Auch strukturierte Freigabeprozesse reduzieren dieses Risiko nicht auf null. Ihr Team braucht einen gewissen Spielraum, um seine Aufgaben zu erfüllen. Und spätestens auf der Administratorebene haben Restriktionen kaum noch Hebelwirkung. System- bzw. Datenbank-Admins brauchen nun mal umfangreiche Zugriffsrechte, was wiederum das Missbrauchspotential erhöht.

Das heißt jedoch nicht, dass Sie dieses Restrisiko einfach hinnehmen müssen. Sie haben immer noch die Möglichkeit, Angriffe durch reaktive Maßnahmen aufzuklären und entsprechend zu ahnden. Wichtigstes Werkzeug hierfür ist das Logging, die technische Dokumentation aller digitalen Arbeitsabläufe.

Im Kontext des Berechtigungsmissbrauchs sorgt Protokollierung vor allem für Abschreckung. Werden alle Zugriffe dokumentiert, können Innentäter nicht mehr davon ausgehen, dass sie straffrei davonkommen. Wie sich dieser Abschreckungseffekt genau auswirkt, hängt unter anderem vom Angriffsszenario ab. Impulstäter lassen sich vermutlich nicht von Log-Dateien aufhalten. Datendiebe sind dagegen eher darauf bedacht, ihre Tat zu verbergen.

ERP-Systeme haben in diesem Zusammenhang den Vorteil, dass sie alle Geschäfts- und Prozessdaten zentral speichern. Die damit verbundene Transparenz erschwert es Innentätern, ihre Aktionen zu verschleiern. In einer abteilungsspezifischen Insellösung kann es immer passieren, dass Manipulationen nicht auffallen - schließlich handelt es sich nur um einen Datentopf unter vielen. ERP-Lösungen sind aber dafür geschaffen, Zusammenhänge zu visualisieren. Daher ist es wesentlich schwieriger, Datenmanipulationen innerhalb eines ERP-Systems zu vertuschen.


Zusammengefasst

Cyberangriffe sind nicht immer das Werk von Hackern, die sich Zugriff auf das Unternehmensnetzwerk verschaffen. Oft sind es Innentäter, die ihren Zugang dafür verwenden, ihrem Arbeitgeber zu schaden. Dabei spielt es keine Rolle, ob Frustration oder Profitgier die Motivation für den Angriff bilden.

Es gibt zwei Ansätze, um internen Berechtigungsmissbrauch mithilfe eines ERP-Systems zu bekämpfen. Zum einen verhindert eine strenge Rechtevergabe in Kombination mit Freigabeprozessen und dem Vier-Augen-Prinzip, dass Angriffe überhaupt Erfolg haben. Zum anderen sorgen die Protokolldateien der ERP-Lösung dafür, dass Manipulationen zuverlässig aufgeklärt werden.

Sind Sie in einer Branche tätig, die hohe Ansprüche an Datenschutz- und Datensicherheit stellt? Dann sollten Sie das Thema ERP-Sicherheit unbedingt in Ihrem Lastenheft vermerken, denn es hat Einfluss auf Ihre Systemauswahl. Wenn Sie wissen möchten, welche Inhalte sonst noch in das Lastenheft gehören, ist unser Whitepaper „Der richtige Weg zum ERP-Lastenheft“ die ideale Informationsquelle.

Schlagwörter:

#

Mehr ERP-Wissen:
Ihr kostenloses Whitepaper.

Erfahren Sie, wie Sie ein Lastenheft für Ihr zukünftiges ERP-System korrekt erstellen.

Zum kostenlosen Whitepaper