Mitarbeiterverhalten: CyberArk-Studie 2024 deckt Sicherheitsrisiken auf

Sicherheitsteams sollten Anwendung von Identity-Security-Kontrollen neu überdenken

[datensicherheit.de, 09.12.2024] Laut einer neuen Untersuchung von CyberArk führen gängige Verhaltensweisen von Mitarbeitern beim Zugriff auf sensible und privilegierte Daten – bewusst oder unbewusst – zu Sicherheitsrisiken, weshalb Unternehmen den Datenzugang von Arbeitnehmern nicht nur verwalten, sondern auch sichern müssten. Diese basiert demnach auf einer globalen Umfrage unter 14.003 Arbeitnehmern und gibt Einblicke in die üblichen Verhaltensweisen und Datenzugriffsmuster: „Sie zeigt, dass Sicherheitsteams die Anwendung von Identity-Security-Kontrollen neu überdenken sollten!“ Für diese neue Studie habe Censuswide für ihre Tätigkeit Computer nutzende Arbeitnehmer in Deutschland, Frankreich, Großbritannien, den USA, Australien und Singapur befragt. Die Erhebung habe zwischen dem 17. und 25. Oktober 2024 stattgefunden.

Mehrheit der Mitarbeiter umgeht Cyber-Sicherheitsrichtlinien

In Deutschland seien hierzu 2.000 Arbeitnehmer befragt worden. Die vier zentralen Ergebnisse laut CyberArk im Überblick:

1. Erkenntnis: Die Mehrheit hat Zugang zu vertraulichen Informationen
86 Prozent der Befragten griffen auf Arbeitsplatzanwendungen, die oft geschäftskritische Daten enthielten, von persönlichen, vielfach unzureichend gesicherten Geräten aus zu. „Die Umfrage bestätigt, dass ein privilegierter Zugang nicht mehr nur IT-Administratoren vorbehalten ist. So geben 38 Prozent an, dass sie häufig Kundendaten herunterladen.“ Ein Drittel sei in der Lage, kritische oder sensible Daten zu ändern, und mehr als 30 Prozent könnten große Finanztransaktionen genehmigen.

2. Erkenntnis: Die Wiederverwendung von Passwörtern ist weit verbreitet
Die Untersuchung habe mehrere Gewohnheiten ermittelt, welche die Sicherheit gefährdeten. So verwendeten 41 Prozent der befragten Mitarbeiter dieselben Anmeldedaten für unterschiedliche arbeitsbezogene Anwendungen, wobei 32 Prozent dieselben Anmeldedaten sowohl für private als auch für berufliche Applikationen nutzten. „71 Prozent der Befragten haben bereits arbeitsplatzspezifische vertrauliche Informationen an Außenstehende weitergegeben.“ Diese Praktiken erhöhten das Risiko von Sicherheitslecks und Sicherheitsverletzungen erheblich.

3. Erkenntnis: Die Mehrheit umgeht Cyber-Sicherheitsrichtlinien
77 Prozent der Befragten beachteten häufig Cyber-Sicherheitsrichtlinien nicht, um sich die Arbeit zu erleichtern. „Zu solchen Praktiken gehören die Verwendung eines Passworts für mehrere Accounts, die Nutzung privater Geräte als WLAN-Hotspots und die Weiterleitung von Unternehmens-E-Mails an private Konten.“

4. Erkenntnis: Die Einführung von KI führt zu weiteren Sicherheitsherausforderungen
80 Prozent der Mitarbeiter nutzten KI-Tools, welche neue Schwachstellen schaffen könnten, „wenn beispielsweise vertrauliche Daten in die Tools eingegeben werden“. Fast die Hälfte (44%) der Beschäftigten halte sich bei der Nutzung von KI-Tools „nur manchmal“ oder „nie“ an die Richtlinien zum Umgang mit sensiblen Daten.

Mit dynamischen Berechtigungskontrollen könnten Sicherheitsteams Angriffe abwehren

Zudem zeige die neue Studie „White FAANG: Devouring Your Personal Data“ der CyberArk Labs, wie der individuelle Browser- und Internetverlauf einzelner Mitarbeiter eine Bedrohung sowohl für ihre Arbeitgeber als auch für ihr Privatleben darstellen könne. So könnten individuelle Browser-Verlaufsdaten leicht gestohlen und als Angriffsvektor auf die Infrastruktur von Unternehmen genutzt werden.

Die Kombination aus besorgniserregenden Mitarbeiteraktionen und der Fähigkeit von Angreifern, den Browserverlauf zu entwenden, erhöhe das Risiko für Unternehmen. „Mit der Implementierung eines robusten Identity-Security-Programms mit dynamischen Berechtigungskontrollen können Sicherheitsteams Angreifer daran hindern, Zugang zu sensiblen und privilegierten Informationen zu erhalten.“

Standardansatz für Sicherheit des Mitarbeiterzugriffs unzureichend

Michael Kleist, „Area Vice President DACH“ bei CyberArk, kommentiert: „Viel zu lange hat sich der Standardansatz für die Sicherheit des Mitarbeiterzugriffs auf grundlegende Kontrollen wie die Authentifizierung über ,Single Sign-on’ konzentriert. Dies ignoriert die sich verändernde Art der Identität: Nahezu jeder Mitarbeiter kann privilegierte Zugriffsrechte erhalten.“

Abschließend gibt Kleist zu bedenken: „Die Untersuchungsergebnisse zeigen, dass risikoreiche Zugriffe fast immer möglich sind und es viele Verhaltensweisen gibt, die zu ernsthaften Sicherheitsproblemen für Unternehmen führen können.“ Deshalb bestehe die dringende Notwendigkeit, die Identitätssicherheit neu zu definieren – „indem jeder Benutzer mit dem richtigen Maß an Berechtigungskontrollen geschützt wird!“

Weitere Informationen zum Thema:

CYBERARC
CyberArc 2024 Employee Risk Survey

CYBERARC, 03.12.2024
New Research from CyberArk Reveals Security Risks Introduced by Everyday Employee Behaviors