Der Feind in den eigenen (digitalen) Reihen
In der Cybersicherheit liegt der Fokus häufig auf der Härtung der äußeren Brandmauern. Doch die gravierendsten Vorfälle erfolgen häufig von innen – durch Personen, die bereits über legitime Zugriffsberechtigungen verfügen. Mitarbeiter, externe Auftragnehmer und Partner. Diese internen Bedrohungen werden als Angriffsvektor massiv unterschätzt, obwohl sie den Kern der Unternehmenswerte treffen. Die Datenlage ist eindeutig: Laut der Bitkom-Studie 2024 waren 74 % der deutschen Unternehmen von digitalem Ausspähen betroffen oder vermuten dies. Besonders brisant ist die Phase des Offboardings. Statistiken belegen, dass 87 % der Insider-Vorfälle im Zusammenhang mit ausscheidenden Mitarbeitern stehen, die vor ihrem Weggang versuchen, wertvolle Daten zu exfiltrieren. Für uns als Sicherheitsarchitekten stellt sich daher die zentrale Frage: Wie können wir ein System etablieren, das Gefahren erkennt, bevor ein Schaden entsteht, ohne dabei das Betriebsklima durch den Verdacht einer Totalüberwachung zu vergiften?
Takeaway 1: Verhaltensmuster statt starrer Regeln (ML-Power)
Ein klassischer Fehler bei der Strategieplanung ist die Gleichsetzung von Insider Risk Management (IRM) mit herkömmlicher Data Loss Prevention (DLP). Während DLP den Abfluss bereits klassifizierter Daten primär reaktiv und regelbasiert blockiert, agiert IRM proaktiv durch die Analyse von Verhaltensmustern. Der technologische Vorsprung von Microsoft Purview IRM liegt im Einsatz von maschinellem Lernen (ML), um Signale aus unterschiedlichen Quellen zu korrelieren. Ein rein regelbasierter Ansatz scheitert zwangsläufig an autorisierten Zugriffen.
So ist es beispielsweise kein Regelverstoß, wenn ein Entwickler auf SharePoint zugreift. Dies wird jedoch zu einem hochgradigen Risikosignal, wenn ungewöhnliche Zugriffszeiten mit massenhaften Downloads kombiniert werden, die signifikant von der individuellen Baseline des Nutzers abweichen. Wie der Microsoft-Security-Spezialist Aaron Siller treffend analysiert, sehen viele Kunden Insider Risk Management wie einen Virenschutz oder eine Firewall. Aber hier geht es um etwas ganz anderes: Wir konfigurieren Mechanismen, die risikobehaftetes Verhalten sichtbar und steuerbar machen, bevor Schaden entsteht. Die Gefahr kommt nicht von außen, sie ist schon im Kern.“
Takeaway 2: Der HR-Konnektor als „Heiliger Gral“ der Prävention
Die Effektivität von IRM hängt maßgeblich vom Kontext ab. So kann ein Download-Volumen von 100 GB für einen Administrator im Rahmen eines Projekts völlig legitim sein. Derselbe Vorgang wird jedoch kritisch bewertet, wenn er im zeitlichen Kontext einer Kündigung steht. In diesem Fall fungiert die Integration von HR-Systemen (wie Workday oder SuccessFactors) als technologischer Enabler. Diese HR-Konnektoren liefern die sogenannten „Triggering Events“. Das Kündigungsdatum ist das wichtigste Signal, da es die ML-Modelle anweist, die Aktivitäten des Nutzers in einem deutlich sensibleren Zeitfenster zu bewerten. Purview korreliert folgende zentrale Risikoindikatoren:
- Bulk-Downloads: Massenhaftes Herunterladen von Daten aus SharePoint-Bibliotheken oder OneDrive-Ordnern.
- Exfiltrationsversuche: Uploads in private Cloud-Speicher oder massenhafte E-Mail-Weiterleitungen an externe Domains.
- Umgehung von Sicherheitskontrollen: Versuche, DLP-Richtlinien zu testen oder Überwachungsprotokolle zu manipulieren.
- Anomalien: Zugriffsmuster außerhalb der Geschäftszeiten oder von unüblichen geographischen Standorten.
Takeaway 3: Datenschutz-First durch Pseudonymisierung und HBDI-Konformität
In Deutschland scheitern Sicherheitsinitiativen oft an Bedenken bezüglich der DSGVO oder des Betriebsrats. Microsoft Purview begegnet dem Vorurteil der „Totalüberwachung“ durch einen strikten Privacy-by-Design- und Privacy-by-Default-Ansatz. Ein entscheidendes Argument in der Compliance-Diskussion ist der aktuelle Bericht des Hessischen Beauftragten für Datenschutz (HBDI) vom 15. November 2025. Darin stellt der HBDI explizit fest, dass M365 datenschutzkonform betrieben werden kann, sofern spezifische „Härtungsmaßnahmen” umgesetzt werden. IRM ist hierbei ein Schlüsselwerkzeug, da es technische Kontrolle mit maximalem Personenschutz verbindet. Die Namen der Nutzer werden standardmäßig maskiert (Pseudonymisierung). Nur bei einem durch ML-Signale begründeten Verdacht kann die Identität durch autorisierte Personen mit der Rolle „Privacy Reader“ aufgelöst werden. „Eine Einstellung sollte man niemals leichtfertig deaktivieren. Die Pseudonymisierung von Inhalten. Sie ist zentral für Datenschutz und Akzeptanz im Unternehmen.“ (Aaron Siller)
Takeaway 4: Die Lizenz-Hürde als strategische Entscheidung
Um das volle Potenzial der ML-basierten Analyse und forensischen Beweissicherung auszuschöpfen, ist eine gezielte Lizenzstrategie erforderlich. Da viele Unternehmen versuchen, die Voll-E5-Lizenz zu vermeiden, empfehlen wir oft den Weg über das M365 E5 Compliance Add-on oder die spezifische Purview Suite.
| Kontrollklasse | Mindestlizenz | Empfohlene Lizenz (Enterprise) | Nutzen |
|---|---|---|---|
| ML-Korrelation & IRM | M365 E5 Compliance | M365 E5 | Verknüpfung von HR-Signalen mit technischer Telemetrie. |
| Audit Premium | E5 / Purview Suite | M365 E5 | Forensische Standards wie MailItemsAccessed. |
| PIM (Entra ID P2) | Entra ID P2 | M365 E5 | Schutz der Admin-Ebene durch „Just-in-Time“-Rechte. |
| Forensic Evidence | E5 / Purview Suite | M365 E5 | Unveränderliche Aktivitätsprotokolle zur Beweissicherung. |
Architekten-Empfehlung: Starte den Pilotbetrieb mit einer fokussierten Nutzergruppe (max. 100 User). Dies erlaubt die Feinjustierung der Schwellenwerte, um die Rate an False-Positives unter 5 % zu drücken, bevor der unternehmensweite Rollout erfolgt.
Takeaway 5: Über böse Absichten hinaus – Das Management von Insider-Risiken
Ein erfahrener SOC-ler unterscheidet strikt zwischen „Insider Threat“ (dem Akteur) und „Insider Risk“ (dem absehbar wahrscheinlichen Angriffsszenario). IRM ist kein Werkzeug zur Jagd auf „böse Buben“, sondern ein Programm zur Risikominimierung, das auch fahrlässige und kompromittierte Insider einschließt.
- Malicious: Vorsätzliche Sabotage oder Diebstahl.
- Negligent: Mitarbeiter, die Sicherheitsrichtlinien aus Bequemlichkeit umgehen (z. B. Schatten-IT).
- Accidental: Fehlerhafte Konfigurationen oder Fehlversand von Daten.
- Compromised: Externe Angreifer, die ein legitimes Konto übernommen haben.
Technisch stützt sich IRM auf die Unified Audit Logs (UAL) als Rückgrat der Nachweisfähigkeit. Durch die Integration mit Microsoft Defender for Endpoint wird die Sichtbarkeit zudem auf physische Wege wie die Nutzung von USB-Sticks und lokale Druckvorgänge erweitert. Dadurch ist eine lückenlose Kette der Beweissicherung möglich.
Vom reaktiven Schutz zur proaktiven Resilienz
Microsoft Purview Insider Risk Management ist kein Misstrauensvotum, sondern eine notwendige Komponente einer modernen Zero-Trust-Architektur. Ein entscheidender Synergieeffekt besteht darin, dass IRM-Signale direkt als Input für Conditional Access (CA) genutzt werden können, um bei erhöhtem Risiko automatisch den Zugriff zu beschränken oder eine erneute MFA-Prüfung zu erzwingen. Grundlage ist und bleibt jedoch eine saubere Identitäts-Governance mittels Entra ID P2 und Privileged Identity Management (PIM). Nur wer die „Wächter überwacht” und Berechtigungen konsequent minimiert, kann Insider-Risiken nachhaltig beherrschen.
Abschlussfrage: Ist dein Unternehmen bereit, das Risiko zu managen, das bereits innerhalb Firewalls existiert?
Quellenverzeichnis:
- Meroth IT-Service: Der DSGVO-konforme Betrieb von Microsoft 365 (HBDI-Kontext)
- Siller Consulting: Insider Risk Management mit Microsoft Purview einrichten
- Diverse Seiten des Microsoft Learn Universums zum IRM
