Wie Background Checks helfen können, Insider-Risiken bei Entwicklern, Administratoren und externen IT-Spezialisten zu reduzieren.
(openPR) Insider-Risiken gelten in der IT-Sicherheit seit Langem als schwer greifbar: Anders als bei externen Angriffen liegt hier keine Schwachstelle im System vor, sondern im Verhalten oder in der Vertrauenswürdigkeit einer Person mit legitimem Zugang. Validato, Anbieter für Background-Checks und Human Risk Management mit Sitz in Zürich, ordnet Entwicklerinnen, Administratoren und externe IT-Spezialisten aufgrund ihrer weitreichenden Systemrechte als besonders relevante Gruppe für strukturierte Personalrisikoprüfungen ein.
Insider-Risiko ist mehr als vorsätzlicher Missbrauch
Nach Einschätzung von Validato entsteht Insider-Risiko nicht nur durch bewusste Schädigung, sondern auch durch Nachlässigkeit, mangelndes Sicherheitsbewusstsein oder den Verkauf von Zugängen unter finanziellem Druck. Auch ein unbedacht weitergegebenes Passwort oder eine nachlässig konfigurierte Zugriffsberechtigung kann laut Validato ähnlich schwerwiegende Folgen haben wie ein gezielter Missbrauch. Deshalb reicht es nicht aus, Prüfprozesse ausschliesslich auf die Erkennung böswilliger Absicht auszurichten.
Entwickler und Administratoren im Fokus
Wer Zugriff auf Produktivsysteme, Quellcode-Repositories oder Kundendaten hat, kann grösseren Schaden anrichten als Positionen ohne solche Rechte. Validato beobachtet, dass diese Rollen in bestehenden Screening-Prozessen nicht immer entsprechend ihrer Kritikalität geprüft werden. Gerade in kleineren Teams verfügen einzelne Entwicklerinnen und Entwickler häufig über Admin-Rechte auf mehreren Systemen gleichzeitig. Nach Einschätzung von Validato steigt mit dieser Bündelung von Rechten auch die Notwendigkeit einer entsprechend vertieften Prüfung.
Externe IT-Spezialisten oft aussen vor
Freelancer, Consultants und externe Administratoren erhalten häufig ähnlich weitreichende Zugriffsrechte wie Festangestellte, werden aber laut Validato seltener im gleichen Umfang geprüft, weil sie formal nicht als eigene Mitarbeitende gelten. Das gilt besonders bei kurzfristigen Projekteinsätzen, in denen der Fokus auf schneller Verfügbarkeit statt auf einer strukturierten Prüfung liegt. Validato beobachtet, dass genau diese Konstellation in der Praxis häufig übersehen wird, obwohl der Systemzugriff identisch zu dem festangestellter Kolleginnen und Kollegen sein kann.
Screening als Präventionsinstrument
Ein strukturierter Background Check kann Auffälligkeiten sichtbar machen, bevor eine Person Zugang zu sensiblen Systemen erhält – etwa bei Identität, Ausbildung, früheren Beschäftigungsverhältnissen oder Sanktionslisten. Auch scheinbar unauffällige Widersprüche, etwa bei Beschäftigungszeiträumen oder Ausbildungsnachweisen, können laut Validato erste Hinweise auf ein erhöhtes Risiko liefern. Entscheidend ist dabei, dass diese Informationen vor Vertragsbeginn und nicht erst im Nachhinein geprüft werden.
Einmalige Prüfung reicht nicht aus
Da sich Risiken über die Zeit ändern können, setzt Validato zusätzlich auf In-Employment-Screening: eine wiederkehrende Überprüfung während eines laufenden Beschäftigungs- oder Vertragsverhältnisses, nicht nur beim Onboarding. Persönliche oder finanzielle Umstände einer Person können sich innerhalb weniger Jahre erheblich verändern, ohne dass dies dem Arbeitgeber auffällt. Validato sieht in der wiederkehrenden Prüfung deshalb kein Misstrauen gegenüber dem bestehenden Personal, sondern einen Bestandteil eines verantwortungsvollen Sicherheitskonzepts.
Validato: Screening entlang des gesamten Lebenszyklus
Validato bietet Pre-Employment-, In-Employment- und External-Partner-Screening aus einer Plattform an. Dieses Modell lässt sich sowohl für interne als auch für externe Rollen einsetzen und wird über eine WebApp sowie eine API bereitgestellt, sodass sich Prüfprozesse in bestehende HR- und Recruiting-Systeme integrieren lassen. „Der grösste blinde Fleck ist oft nicht der neue Mitarbeitende, sondern die Person, deren Zugang seit Jahren niemand mehr hinterfragt hat", so Reto Marti - Managing Partner von Validato. Dabei lässt sich für jede Phase individuell festlegen, welche Module zum Einsatz kommen, statt für alle Beschäftigten dasselbe starre Schema anzuwenden. So bleibt der Prüfaufwand laut Validato proportional zum tatsächlichen Risiko einer Rolle.
