CyberArk-Studie deckt durch Mitarbeiterverhalten verursachte Sicherheitsrisiken auf

Düsseldorf, 9. Dezember 2024 – Eine neue Untersuchung von CyberArk, dem führenden Unternehmen im Bereich Identity Security, zeigt, dass Unternehmen den Datenzugang von Arbeitnehmern nicht nur verwalten, sondern auch sichern müssen. Der Grund: Viele gängige Verhaltensweisen von Mitarbeiterinnen und Mitarbeitern beim Zugriff auf sensible und privilegierte Daten führen – bewusst oder unbewusst – zu Sicherheitsrisiken.

Die Untersuchung von CyberArk basiert auf einer globalen Umfrage unter 14.003 Arbeitnehmern und gibt Einblicke in die üblichen Verhaltensweisen und Datenzugriffsmuster (1). Sie zeigt, dass Sicherheitsteams die Anwendung von Identity-Security-Kontrollen neu überdenken sollten.

In Deutschland wurden dabei 2.000 Arbeitnehmer befragt. Die vier zentralen Ergebnisse im Überblick:

1. Die Mehrheit hat Zugang zu vertraulichen Informationen: 86 % der Befragten greifen auf Arbeitsplatzanwendungen, die oft geschäftskritische Daten enthalten, von persönlichen, vielfach unzureichend gesicherten Geräten aus zu. Die Umfrage bestätigt, dass ein privilegierter Zugang nicht mehr nur IT-Administratoren vorbehalten ist. So geben 38 % an, dass sie häufig Kundendaten herunterladen. Ein Drittel ist in der Lage, kritische oder sensible Daten zu ändern, und mehr als 30 % können große Finanztransaktionen genehmigen.
2. Die Wiederverwendung von Passwörtern ist weit verbreitet: Die Untersuchung hat mehrere Gewohnheiten ermittelt, die die Sicherheit gefährden. So verwenden 41 % der befragten Mitarbeiter dieselben Anmeldedaten für unterschiedliche arbeitsbezogene Anwendungen, wobei 32 % dieselben Anmeldedaten sowohl für private als auch für berufliche Applikationen nutzen.  71 % der Befragten haben bereits arbeitsplatzspezifische vertrauliche Informationen an Außenstehende weitergegeben. Diese Praktiken erhöhen das Risiko von Sicherheitslecks und Sicherheitsverletzungen erheblich.
3. Die Mehrheit umgeht Cybersicherheitsrichtlinien: 77 % der Befragten beachten häufig Cybersicherheitsrichtlinien nicht, um sich die Arbeit zu erleichtern. Zu solchen Praktiken gehören die Verwendung eines Passworts für mehrere Accounts, die Nutzung privater Geräte als WLAN-Hotspots und die Weiterleitung von Unternehmens-E-Mails an private Konten.
4. Die Einführung von KI führt zu weiteren Sicherheitsherausforderungen: 80 % der Mitarbeiter nutzen KI-Tools, die neue Schwachstellen schaffen können, wenn beispielsweise vertrauliche Daten in die Tools eingegeben werden. Fast die Hälfte (44 %) der Beschäftigten hält sich bei der Nutzung von KI-Tools „nur manchmal“ oder „nie“ an die Richtlinien zum Umgang mit sensiblen Daten.

Neue Untersuchung der CyberArk Labs

Auch die neue Studie „White FAANG: Devouring Your Personal Data“ der CyberArk Labs, zeigt, wie der individuelle Browser- und Internetverlauf einzelner Mitarbeiter eine Bedrohung sowohl für ihre Arbeitgeber als auch für ihr Privatleben darstellen kann. So können individuelle Browserverlaufsdaten leicht gestohlen und als Angriffsvektor auf die Infrastruktur von Unternehmen genutzt werden.

Die Kombination aus besorgniserregenden Mitarbeiteraktionen und der Fähigkeit von Angreifern, den Browserverlauf zu entwenden, erhöht das Risiko für Unternehmen. Mit der Implementierung eines robusten Identity-Security-Programms mit dynamischen Berechtigungskontrollen können Sicherheitsteams Angreifer daran hindern, Zugang zu sensiblen und privilegierten Informationen zu erhalten.

„Viel zu lange hat sich der Standardansatz für die Sicherheit des Mitarbeiterzugriffs auf grundlegende Kontrollen wie die Authentifizierung über Single Sign-on konzentriert. Dies ignoriert die sich verändernde Art der Identität: Nahezu jeder Mitarbeiter kann privilegierte Zugriffsrechte erhalten“, betont Michael Kleist, Area Vice President DACH bei CyberArk. „Die Untersuchungsergebnisse zeigen, dass risikoreiche Zugriffe fast immer möglich sind und es viele Verhaltensweisen gibt, die zu ernsthaften Sicherheitsproblemen für Unternehmen führen können. Deshalb besteht die dringende Notwendigkeit, die Identitätssicherheit neu zu definieren, indem jeder Benutzer mit dem richtigen Maß an Berechtigungskontrollen geschützt wird.“