Warum Entwickler, Administratoren, externe IT-Spezialisten und Quellcode-Zugriff besondere Aufmerksamkeit brauchen

Insider-Risiken gelten in der IT-Sicherheit als schwer greifbar, weil hier keine technische Schwachstelle vorliegt, sondern das Verhalten oder die Vertrauenswürdigkeit einer Person mit legitimem Zugang entscheidend ist. Nach Einschätzung von Validato entsteht Insider-Risiko nicht nur durch vorsätzliche Schädigung, sondern auch durch Nachlässigkeit, mangelndes Sicherheitsbewusstsein oder finanziellen Druck. Besonders relevant sind Rollen mit weitreichendem Zugriff auf Produktivsysteme, Quellcode-Repositories oder Konstruktionsdaten – dazu zählen Entwicklerinnen, Administratoren und häufig auch externe IT-Spezialisten, die laut Validato seltener geprüft werden als Festangestellte, obwohl ihr Systemzugriff vergleichbar sein kann. Laut Bitkom-Studie „Wirtschaftsschutz 2025” werden Angriffe auf deutsche Unternehmen besonders häufig organisierter Kriminalität (68 Prozent der betroffenen Unternehmen) sowie staatlichen oder staatsnahen Akteuren aus Russland und China (je 46 Prozent) und ausländischen Nachrichtendiensten (28 Prozent) zugeordnet – ein Hinweis darauf, dass Industriespionage nicht zwangsläufig über einen technischen Hackerangriff erfolgt, sondern häufig über Personen mit legitimem Zugang. Validato empfiehlt eine differenzierte, am tatsächlichen Risiko einer Rolle orientierte Prüftiefe statt eines pauschalen Vollchecks. (Hinweis: Die Bitkom-Zahlen sollten vor Veröffentlichung anhand des Originalberichts auf bitkom.org gegengeprüft werden.)

Insider-Risiko ist mehr als vorsätzlicher Missbrauch

Nach Einschätzung von Validato entsteht Insider-Risiko nicht nur durch bewusste Schädigung, sondern auch durch Nachlässigkeit, mangelndes Sicherheitsbewusstsein oder den Verkauf von Zugängen unter finanziellem Druck. Auch ein unbedacht weitergegebenes Passwort oder eine nachlässig konfigurierte Zugriffsberechtigung kann ähnlich schwerwiegende Folgen haben wie ein gezielter Missbrauch. Deshalb reicht es aus Sicht von Validato nicht aus, Prüfprozesse ausschliesslich auf die Erkennung böswilliger Absicht auszurichten.

Entwickler, Administratoren und externe IT-Spezialisten im Fokus

Wer Zugriff auf Produktivsysteme, Quellcode-Repositories oder Kundendaten hat, kann grösseren Schaden anrichten als Positionen ohne solche Rechte. Gerade in kleineren Teams verfügen einzelne Entwicklerinnen und Entwickler häufig über Admin-Rechte auf mehreren Systemen gleichzeitig. Freelancer, Consultants und externe Administratoren erhalten oft ähnlich weitreichende Zugriffsrechte wie Festangestellte, werden aber nach Beobachtung von Validato seltener im gleichen Umfang geprüft, weil sie formal nicht als eigene Mitarbeitende gelten – besonders bei kurzfristigen Projekteinsätzen, in denen der Fokus auf schneller Verfügbarkeit statt auf strukturierter Prüfung liegt.

Quellcode als Kronjuwelen

Quellcode, Konstruktionsdaten und Produktions-Know-how gehören zu den wertvollsten Vermögenswerten produzierender und softwarenaher Unternehmen. Ein Abfluss von Quellcode kann Wettbewerbern nicht nur Entwicklungszeit, sondern auch Einblick in strategische Produktentscheidungen verschaffen. Validato empfiehlt, die Prüftiefe am tatsächlichen Zugriffsumfang einer Rolle zu koppeln, nicht am Jobtitel: Ein Praktikant mit eingeschränktem Lesezugriff stellt ein anderes Risiko dar als eine Senior-Entwicklerin mit Schreibrechten auf die gesamte Codebasis.

Industriespionage beginnt nicht immer mit einem Hackerangriff

Laut Bitkom-Studie „Wirtschaftsschutz 2025” werden Angriffe auf deutsche Unternehmen zu 68 Prozent organisierter Kriminalität sowie je 46 Prozent staatlichen oder staatsnahen Akteuren aus Russland und China und zu 28 Prozent ausländischen Nachrichtendiensten zugeordnet. Für Validato zeigt diese Verteilung, dass Industriespionage häufig auch über Personen mit legitimem Zugang zu sensiblen Informationen erfolgt – etwa über finanzielle Anreize, gezielte Ansprache oder den schrittweisen Aufbau von Vertrauen über Fachkonferenzen oder soziale Netzwerke. Besonders relevant sind dabei Positionen in Forschung, Entwicklung und Produktion.

Differenzierte statt pauschale Prüfung

Aus den 18 verfügbaren Screening-Modulen wählen Unternehmen laut Validato erfahrungsgemäss typischerweise vier bis fünf pro Position aus, abhängig vom konkreten Rollenrisiko. Da sich Risiken über die Zeit ändern können, setzt Validato zusätzlich auf In-Employment-Screening: eine wiederkehrende Überprüfung während eines laufenden Beschäftigungs- oder Vertragsverhältnisses, nicht nur beim Onboarding.

Validato: Screening entlang des gesamten Lebenszyklus

Validato bietet Pre-Employment-, In-Employment- und External-Partner-Screening aus einer Plattform an, nutzbar über WebApp oder API. „Der grösste blinde Fleck ist oft nicht der neue Mitarbeitende, sondern die Person, deren Zugang seit Jahren niemand mehr hinterfragt hat”.