HUMINT in der Cybersicherheit für Unternehmenssicherheitsverantwortliche

HUMINT-Angriffe manipulieren Mitarbeitende dazu, Netzwerkzugang zu gewähren und umgehen so technische Kontrollen vollständig. Lernen Sie, sich gegen Social Engineering und Insider-Bedrohungen zu verteidigen.

Was ist HUMINT?

Angreifer, die legitime Zugangsdaten verwenden, umgehen Ihre gesamte Sicherheitsarchitektur. Laut der FBI/CISA-Warnung zur Bedrohungsakteurgruppe Scattered Spider zeigen diese fortgeschrittene Human Intelligence (HUMINT)-Methoden, indem sie IT-Helpdesk-Mitarbeiter manipulieren, Zugangsdaten preiszugeben. Dadurch werden Firewalls, EDR und Netzwerksegmentierung irrelevant.

Human Intelligence (HUMINT) im Bereich Cybersicherheit bezeichnet die systematische Ausnutzung menschlichen Verhaltens, von Vertrauensbeziehungen und sozialen Dynamiken zur Kompromittierung der Unternehmenssicherheit. Der Begriff stammt ursprünglich aus dem militärischen und nachrichtendienstlichen Kontext, beschreibt heute jedoch Angriffe, die auf das menschliche Element abzielen. Laut CISA-Leitfaden nutzen Social-Engineering-Angriffe „menschliche Interaktion (soziale Fähigkeiten), um Informationen über eine Organisation oder deren Computersysteme zu erlangen oder zu kompromittieren“.

HUMINT-basierte Angriffe sind erfolgreich, weil sie jede eingesetzte technische Kontrolle umgehen. Ihre Firewall, Endpoint Protection und Netzwerksegmentierung werden irrelevant, wenn Angreifer Menschen dazu bringen, freiwillig Zugriff zu gewähren. Sie nutzen keine Software-Schwachstellen aus. Sie nutzen Vertrauen, Autorität, Dringlichkeit und das natürliche Bedürfnis, hilfsbereit zu sein, aus.

Laut dem Verizon 2024 DBIR bleiben gestohlene Zugangsdaten die häufigste Methode für den Erstzugriff und werden in 22 % der Vorfälle verwendet. Werden diese menschzentrierten Angriffsmethoden kombiniert: Social Engineering, Systemintrusion und grundlegende Webanwendungsangriffe machen den Großteil der Sicherheitsverletzungen in verschiedenen Branchen aus.

Um zu verstehen, warum HUMINT andere Verteidigungsmaßnahmen als technische Angriffe erfordert, müssen Sicherheitsteams HUMINT zunächst von anderen nachrichtendienstlichen Disziplinen abgrenzen.

HUMINT vs. andere Nachrichtendiensttypen

Sicherheitsteams begegnen verschiedenen nachrichtendienstlichen Disziplinen, die jeweils unterschiedliche Angriffsvektoren adressieren. Das Verständnis, wo HUMINT einzuordnen ist, verdeutlicht, warum es eigene Verteidigungsansätze erfordert.

• OSINT (Open Source Intelligence) sammelt öffentlich verfügbare Informationen aus sozialen Netzwerken, Unternehmenswebsites, Stellenanzeigen und öffentlichen Registern. Angreifer nutzen OSINT, um Ziele vor dem Start von HUMINT-Operationen zu recherchieren. Während OSINT passiv gesammelt wird, erfordert HUMINT aktive menschliche Interaktion.
• SIGINT (Signals Intelligence) fängt elektronische Kommunikation und Netzwerkverkehr ab. Technische Kontrollen wie Verschlüsselung und Netzwerküberwachung schützen vor SIGINT. HUMINT umgeht diese Kontrollen vollständig, indem Menschen manipuliert werden, freiwillig Zugriff zu gewähren.
• TECHINT (Technical Intelligence) analysiert Malware, Exploits und technische Indikatoren für Kompromittierungen. Sicherheitstools erkennen TECHINT-basierte Angriffe anhand von Signaturen und Verhaltensmustern. HUMINT-Angriffe mit legitimen Zugangsdaten erzeugen keine bösartigen technischen Indikatoren.

Der entscheidende Unterschied: SIGINT und TECHINT zielen auf Systeme und Datenflüsse. HUMINT zielt auf Menschen. Wenn Angreifer Zugangsdaten durch Social Engineering erlangen, authentifizieren sie sich als legitime Nutzer. Ihr SIEM sieht normale Anmeldeaktivitäten. Ihr EDR sieht autorisierte Prozesse. Ihre Firewall sieht erlaubten Datenverkehr. Der Angriff bleibt für technische Erkennung unsichtbar, da kein technischer Angriff stattgefunden hat.

Diese Unsichtbarkeit erklärt, warum traditionelle Cybersicherheitsprogramme bei HUMINT-Bedrohungen an ihre Grenzen stoßen.

Wie HUMINT mit Cybersicherheit zusammenhängt

Cybersicherheitsprogramme konzentrieren sich typischerweise auf technische Schwachstellen: ungepatchte Systeme, falsch konfigurierte Firewalls, Malware-Signaturen und Netzwerk-Anomalien. HUMINT kehrt dieses Modell um. Statt Code auszunutzen, nutzen Angreifer Psychologie. Statt nach CVE-Nummern zu suchen, durchsuchen sie LinkedIn nach Organigrammen. Statt Ports zu scannen, entwickeln sie Pretexting-Szenarien für gezielte Personen.

HUMINT zielt in Unternehmensumgebungen auf Organisationen durch drei Hauptangriffskategorien:

• Social-Engineering-Angriffe manipulieren Mitarbeitende dazu, Zugangsdaten preiszugeben, betrügerische Transaktionen zu genehmigen oder schädliche Handlungen durch psychologische Manipulation auszuführen.
• Insider-Bedrohungen nutzen autorisierten Zugriff aus, wenn aktuelle oder ehemalige Mitarbeitende, Auftragnehmer oder Geschäftspartner absichtlich oder unbeabsichtigt die Sicherheit kompromittieren.
• Aufklärungs- und Zieloperations beinhalten, dass Advanced Persistent Threat (APT)-Gruppen systematisch Informationen sammeln, um optimale Ziele zu identifizieren, Vertrauensbeziehungen zu kartieren und personalisierte Angriffsszenarien zu entwickeln.

Laut Ponemon Institute 2025 Forschung werden 45 % aller Datenschutzverletzungen durch Insider-Bedrohungen verursacht, mit durchschnittlichen Kosten von 2,7 Millionen US-Dollar pro Vorfall. Die gleiche Studie zeigt, dass 60 % der Organisationen Insider-Bedrohungen nicht effektiv erkennen können, was eine Lücke schafft, die APT-Gruppen und finanziell motivierte Angreifer systematisch ausnutzen.

Angreifer nutzen diese Lücken mit spezifischen Techniken aus, die Sicherheitsteams erkennen müssen.

HUMINT-Techniken und -Methoden

HUMINT-Angriffe folgen einer systematischen Methodik, die Aufklärung, psychologische Manipulation und technische Ausnutzung kombiniert. Laut CISA-Grundlagenleitfaden beinhalten diese Angriffe „menschliche Interaktion (soziale Fähigkeiten), um Informationen über eine Organisation oder deren Computersysteme zu erlangen oder zu kompromittieren“. Das Verständnis dieser Komponenten hilft, Verteidigungslücken zu identifizieren, insbesondere bei Verhaltensanalysen, Security Awareness und Insider-Bedrohungsfähigkeiten.

• Open-Source-Intelligence-(OSINT)-Sammlung bildet die Grundlage. Angreifer profilieren Organisationen anhand öffentlich verfügbarer Informationen: Mitarbeitende und Rollen aus LinkedIn, Organisationsstruktur von Unternehmenswebsites, Technologie-Stack aus Stellenanzeigen und Geschäftsbeziehungen aus Pressemitteilungen.
• Elicitation-Techniken gewinnen Informationen durch scheinbar harmlose Gespräche. Geschickte Social Engineers führen mit Zielpersonen lockere Dialoge und sammeln schrittweise Informationsfragmente, die zu vollständigen Zugriffspfaden kombiniert werden.
• Insider-Rekrutierung und -Ausnutzung zielt auf Mitarbeitende mit autorisiertem Zugriff. CISA-Leitfaden definiert Insider-Bedrohungen als Situationen, in denen „ein Insider seinen autorisierten Zugriff absichtlich oder unbeabsichtigt nutzt, um der Mission, den Ressourcen, dem Personal, den Einrichtungen, Informationen, Geräten, Netzwerken oder Systemen der Behörde zu schaden“.
• Missbrauch von Vertrauensbeziehungen nutzt Geschäftsbeziehungen und Lieferkettenverbindungen durch gezieltes Social Engineering und Pretexting aus. Angreifer kompromittieren vertrauenswürdige Anbieter, Partner oder Auftragnehmer durch Spear-Phishing und gezielten Zugangsdiebstahl, um indirekten Zugriff zu erlangen.

Diese Techniken werden zu strukturierten Angriffssequenzen kombiniert, die vorhersehbaren Phasen folgen.

Risiken und Grenzen von HUMINT

HUMINT-Angriffe sind nicht zwangsläufig erfolgreich. Das Verständnis ihrer Grenzen hilft Sicherheitsteams, Verteidigungsprioritäten zu setzen und zu erkennen, wann Angriffe scheitern oder ins Stocken geraten.

• Menschliche Unvorhersehbarkeit schafft operationelles Risiko für Angreifer. Im Gegensatz zu Software-Exploits, die zuverlässig gegen verwundbare Systeme funktionieren, hängt der HUMINT-Erfolg von individuellen menschlichen Reaktionen ab. Mitarbeitende können misstrauisch werden, ungewöhnliche Anfragen melden oder sich einfach weigern, mitzumachen. Eine einzige aufmerksame Person kann eine gesamte Operation aufdecken.
• HUMINT-Angriffe erfordern erheblichen Zeitaufwand. Effektives Social Engineering erfordert umfangreiche Aufklärung, Beziehungsaufbau und Entwicklung von Vorwänden. Im Gegensatz zu automatisierten Angriffen, die sofort skalieren, benötigen HUMINT-Operationen oft Wochen oder Monate für ein einzelnes Ziel. Dieser Zeitaufwand begrenzt die Anzahl der gleichzeitig angreifbaren Organisationen.
• Attributions- und Entdeckungsrisiken schrecken manche Bedrohungsakteure ab. HUMINT-Operationen beinhalten direkte menschliche Kontakte, was Identifizierungsmöglichkeiten schafft. Telefonate können aufgezeichnet werden, E-Mails enthalten Metadaten, und persönliche Annäherungen bergen das Risiko physischer Identifikation. Staatlich unterstützte Gruppen und hochentwickelte Kriminelle akzeptieren diese Risiken, weniger fähige Angreifer meiden HUMINT jedoch oft zugunsten rein technischer Methoden.
• Die Sicherheitskultur einer Organisation beeinflusst die Erfolgsquote direkt. Unternehmen mit starken Security-Awareness-Programmen, klaren Eskalationsverfahren und einer Kultur, die das Melden verdächtiger Aktivitäten belohnt, reduzieren die Erfolgsquote von HUMINT erheblich. Wenn Mitarbeitende sich ermutigt fühlen, ungewöhnliche Anfragen ohne Angst vor Konsequenzen zu hinterfragen, wird Social Engineering deutlich erschwert.
• Fehlgeschlagene Versuche alarmieren Verteidiger. Im Gegensatz zu passiver Aufklärung oder automatisiertem Scanning hinterlassen gescheiterte HUMINT-Versuche oft Spuren. Gemeldete Phishing-E-Mails, markierte Anrufe und verdächtige Ausweisanfragen liefern Informationen, die Sicherheitsteams zur Identifizierung laufender Kampagnen und zur Stärkung der Verteidigung nutzen können.

Trotz dieser Einschränkungen investieren Angreifer weiterhin in HUMINT, da die Techniken bei unvorbereiteten Organisationen sehr effektiv bleiben.

Wie HUMINT-Angriffe funktionieren

HUMINT-Angriffe folgen vorhersehbaren operativen Abläufen, wobei die Ausführungskomplexität je nach Fähigkeiten des Gegners und Wert des Ziels variiert.

1. Zielauswahl und Aufklärung beginnen Wochen oder Monate vor dem eigentlichen Angriff. APT-Gruppen identifizieren systematisch Organisationen mit wertvollem geistigem Eigentum, Finanzsystemen oder strategischen Informationen und analysieren öffentliche Informationen, um die Organisationsstruktur und Schlüsselpersonen zu verstehen.
2. Identifikation von Zugriffspfaden kartiert das menschliche Umfeld, um optimale Einstiegspunkte zu finden. Angreifer identifizieren Mitarbeitende mit erforderlichen Zugriffsrechten, geringer Sicherheitsbewusstheit, vorhersehbaren Verhaltensmustern oder persönlichen Umständen, die Verwundbarkeit schaffen.
3. Entwicklung und Testen von Vorwänden (Pretexting) erstellt glaubwürdige Szenarien, die auf bestimmte Ziele zugeschnitten sind. Laut SANS-Institute-Forschung entwickeln Bedrohungsakteure Szenarien, die Autorität, Dringlichkeit, Angst oder Hilfsbereitschaft ausnutzen.
4. Erstkontakt und Manipulation führen den Social-Engineering-Angriff durch Spear-Phishing-E-Mails, Telefonanrufe auf Basis gesammelter Informationen, physische Zugriffsversuche oder SMS-Nachrichten aus, die scheinbar von vertrauenswürdigen Quellen stammen.
5. Erfassung und Validierung von Zugangsdaten sammelt Authentifizierungsinformationen und überprüft den Zugriff. Angreifer stellen sicher, dass gestohlene Zugangsdaten den erwarteten Zugriff ermöglichen, und beginnen mit der Kartierung interner Systeme.
6. Persistenz und laterale Bewegung etablieren dauerhaften Zugriff und erweitern die Kontrolle. Einmal im Netzwerk mit legitimen Zugangsdaten erscheinen Angreifer für die meisten Sicherheitstools als autorisierte Nutzer, während sie Backup-Zugriffsmethoden schaffen und Privilegien eskalieren.

Diese operativen Muster treten weltweit in dokumentierten Vorfällen gegen Unternehmen konsistent auf.

HUMINT-Angriffe aus der Praxis

Hochkarätige Sicherheitsvorfälle zeigen, wie HUMINT-Techniken technische Sicherheitsinvestitionen umgehen.

• MGM Resorts (2023): Scattered Spider rief den IT-Helpdesk von MGM an, gab sich als Mitarbeitender aus, der auf LinkedIn gefunden wurde, und überzeugte den Operator, Zugangsdaten zurückzusetzen. Dieser eine Anruf führte zur Ransomware-Verteilung, Systemausfällen in Las Vegas und geschätzten Verlusten von über 100 Millionen US-Dollar. Die Angreifer recherchierten ihr Ziel per OSINT, entwickelten einen überzeugenden Vorwand und nutzten die Hilfsbereitschaft des Helpdesks aus.
• Twitter (2020): Angreifer nutzten telefonbasiertes Social Engineering, um Zugangsdaten von Mitarbeitenden zu kompromittieren, griffen dann auf interne Tools zu und übernahmen hochkarätige Konten, darunter Elon Musk, Barack Obama und Apple. Der Angriff brachte über 100.000 US-Dollar in Bitcoin durch betrügerische Posts ein. Technische Kontrollen versagten, weil die Angreifer legitimen Mitarbeitendenzugang durch Manipulation erlangten.
• Ubiquiti Networks (2015): Angreifer gaben sich per gefälschter E-Mails als Führungskräfte und externe Anwälte aus und überzeugten Finanzmitarbeitende, 46,7 Millionen US-Dollar auf ausländische Konten der Angreifer zu überweisen. Dieser Business Email Compromise (BEC)-Angriff erforderte keine Malware, keinen Netzwerkeinbruch und keine technische Ausnutzung.

Allen Vorfällen gemeinsam sind: umfangreiche Aufklärung, glaubwürdiges Pretexting, Ausnutzung von Vertrauen und Autorität sowie die Nutzung legitimer Zugriffspfade, die technische Kontrollen nicht von normalen Abläufen unterscheiden können. Das Verständnis, warum diese Muster immer wieder erfolgreich sind, offenbart grundlegende Lücken traditioneller Sicherheitsansätze.

Warum HUMINT-Angriffe erfolgreich sind

HUMINT-basierte Angriffe dominieren die Bedrohungslandschaft, weil sie grundlegende Architekturannahmen der Unternehmenssicherheit ausnutzen und in den toten Winkeln der Verteidiger operieren. Laut Verizon 2024 DBIR sind die meisten Sicherheitsverletzungen auf Social Engineering, Systemintrusion oder grundlegende Webanwendungsangriffe zurückzuführen. Sicherheitstools sind architektonisch darauf ausgelegt, technische Abweichungen zu erkennen, nicht jedoch psychologische Manipulation.

Laut dem SANS 2025-Bericht stufen 80 % der Organisationen Social Engineering inzwischen als ihr größtes menschenbezogenes Risiko ein, während die Ponemon-Studie berichtet, dass viele Organisationen Schwierigkeiten haben, Insider-Bedrohungen effektiv zu erkennen.

• Legitime Zugangsdaten umgehen technische Kontrollen. Wenn Angreifer gültig erlangte Zugangsdaten durch Phishing, Social Engineering oder Insider-Diebstahl nutzen, erscheinen sie als autorisierte Nutzer. Perimetersicherheit, Intrusion-Prevention-Systeme und Endpoint Protection können legitime Nutzung von Zugangsdaten nicht von Angreifern unterscheiden, bis nach dem Kompromittieren Indikatoren auftreten.
• Menschliche Psychologie bleibt konstant ausnutzbar. Technische Schwachstellen werden gepatcht. Menschliche psychologische Tendenzen wie Autorität, Dringlichkeit, Angst, Vertrauen und Gegenseitigkeit bestehen in allen organisatorischen Kontexten fort. Laut SANS 2025-Bericht „beschleunigt“ KI inzwischen die Raffinesse und Skalierung dieser Angriffe.
• Aufklärung erfolgt außerhalb der Verteidigungssichtbarkeit. APT-Gruppen betreiben Informationsbeschaffung ausschließlich über öffentlich verfügbare Informationen und nutzen autorisierten Zugriff wochen- oder monatelang vor der Entdeckung aus.
• KI ermöglicht Personalisierung im großen Maßstab. Laut Verizon 2024 DBIR können Angreifer mit generativer KI nun hochüberzeugende Phishing-Nachrichten in großem Umfang erstellen, was deren Erkennung erheblich erschwert.
• Die Ausweitung von Maschinenidentitäten schafft eine enorme Angriffsfläche. Laut Forschung des SANS Institute übersteigen Maschinenidentitäten inzwischen menschliche Identitäten deutlich, wobei KI bis 2025 als größter Erzeuger neuer privilegierter Identitäten prognostiziert wird.

Diese Erfolgsfaktoren schaffen spezifische Verteidigungsherausforderungen, die Sicherheitsteams adressieren müssen.

Herausforderungen bei der Verteidigung gegen HUMINT

Die Verteidigung gegen menschzentrierte Angriffe erfordert andere Ansätze als technische Sicherheitsprogramme.

• Autorisierter Zugriff wird von Haus aus vertraut. Sicherheitsarchitekturen gehen davon aus, dass authentifizierte Nutzer vertrauenswürdig sind. Angriffe auf Basis von Zugangsdaten bleiben für Sicherheitskontrollen unsichtbar, da Angreifer als autorisierte Nutzer mit normalen Aktivitäten erscheinen.
• Bereichsübergreifende Zusammenarbeit ist für Insider-Bedrohungsprogramme unerlässlich. Laut CISA-Leitfaden erfordern effektive Insider-Bedrohungsprogramme bereichsübergreifende Teams aus Security, HR, Legal und Management. Die meisten Unternehmen schaffen diese Strukturen nicht, was zu isolierten Bedrohungsinformationen und verzögerter Reaktion auf auffälliges Verhalten führt.
• Missbrauch normaler Geschäftsprozesse ist von legitimer Aktivität nicht zu unterscheiden. HUMINT-Angriffe sind erfolgreich, weil sie normale Arbeitsabläufe ausnutzen. Angreifer nutzen E-Mail für Phishing, Dateifreigaben für Datenexfiltration, VPN-Zugriff mit gestohlenen Zugangsdaten und privilegierte Konten für Insider-Missbrauch. Diese Aktivitäten spiegeln legitime Abläufe wider und entgehen technischer Erkennung.

Über diese inhärenten Herausforderungen hinaus verschärfen Organisationen das Problem oft durch vermeidbare Fehler.

Häufige Fehler bei der Verteidigung gegen HUMINT

Unternehmen machen immer wieder vorhersehbare Fehler, die ausnutzbare Lücken in der menschlichen Sicherheitsschicht schaffen.

1. Reine Technologiefokussierung ohne menschzentrierte Verteidigung. Organisationen setzen fortschrittliche EDR, SIEM, Zero-Trust-Architektur und Firewalls ein, investieren jedoch zu wenig in Security-Awareness-Programme, Verhaltensanalysen und dedizierte Insider-Bedrohungsfähigkeiten. Wenn der SANS 2025-Bericht zeigt, dass 80 % der Organisationen Social Engineering als ihr größtes menschenbezogenes Risiko einstufen, wird die Diskrepanz zwischen Bedrohungsrealität und Verteidigungsinvestition deutlich.
2. Security-Awareness-Theater statt Messung von Verhaltensänderungen. Jährliche Sicherheitsschulungen messen Abschlussquoten statt tatsächlicher Verhaltensänderung. Mitarbeitende sehen sich Compliance-Videos an, klicken durch Module und vergessen den Inhalt sofort wieder.
3. Keine Unterscheidung zwischen Insider-Bedrohungskategorien. Einheitliches Monitoring für alle Mitarbeitenden oder der vollständige Verzicht auf Insider-Bedrohungsprogramme aus Datenschutzgründen schaffen blinde Flecken. Laut Verizon DBIR sind differenzierte Ansätze für böswillige Insider, die Zugriffe absichtlich ausnutzen, nachlässige Akteure, die durch Fehler die Sicherheit kompromittieren, und Gewissensverweigerer mit ideologischen Motiven erforderlich.
4. Ignorieren der Angriffsfläche durch Maschinenidentitäten. IAM-Programme, die sich ausschließlich auf menschliche Identitäten konzentrieren, lassen Servicekonten, API-Schlüssel, Container-Zugangsdaten und autonome Prozessidentitäten ohne Governance proliferieren. SANS-Forschung zeigt massive blinde Flecken, die Angreifer systematisch ausnutzen.

Diese Fehler zu vermeiden, erfordert die Umsetzung bewährter Verteidigungsrahmenwerke.

Best Practices zur Verteidigung gegen HUMINT

Effektive Verteidigung gegen menschzentrierte Angriffe erfordert integrierte Programme nach dem vierphasigen CISA-Rahmenwerk: Definieren, Finden und Identifizieren, Bewerten und Managen. Dies kombiniert Verhaltensanalysen zur Erkennung von Insider-Bedrohungen, Security-Awareness-Trainings mit messbaren Ergebnissen und bereichsübergreifende Zusammenarbeit zwischen Security, Human Resources, Legal und Management.

• Implementieren Sie Insider-Bedrohungsprogramme nach dem vierphasigen CISA-Rahmenwerk. Definieren Sie, was Insider-Bedrohungen im spezifischen Organisationskontext bedeuten, und erkennen Sie, dass Insider jede Person mit autorisiertem Zugriff auf oder Wissen über Unternehmensressourcen sind. Setzen Sie Monitoring-Fähigkeiten ein, die technische Indikatoren mit Verhaltenssignalen integrieren.
• Setzen Sie Verhaltensanalysen ein, die Baselines etablieren und Anomalien erkennen. Implementieren Sie User and Entity Behavior Analytics (UEBA)-Plattformen, die Authentifizierungsmuster, Zugriffsverhalten und Aktivitätssequenzen analysieren, um Abweichungen von etablierten Baselines zu erkennen. Beispielsweise identifiziert die Verhaltensanalyse eine Abweichung und alarmiert das Team, wenn ein Nutzerkonto plötzlich um 2 Uhr morgens von einem ungewöhnlichen geografischen Standort auf Dateifreigaben zugreift, was auf einen möglichen Zugangsdatenmissbrauch hindeutet.
• Etablieren Sie messbare Security-Awareness-Programme mit Verhaltenstests. Gehen Sie über compliance-orientierte Schulungen hinaus zu Programmen, die tatsächliche Verhaltensänderungen durch realistische Phishing-Simulationen mit personalisierten Szenarien messen.
• Implementieren Sie Zero-Trust-Architektur mit kontinuierlicher Verifizierung. Laut dem Zero Trust Architecture Framework von ISC2 erfordert die Zero-Trust-Implementierung Least-Privilege-Zugriff, rollenbasierte Zugriffskontrolle, Multi-Faktor-Authentifizierung, Privileged Access Management und kontinuierliches Monitoring mit Protokollierung.
• Schützen Sie sich vor identitätsbasierten Angriffen auf menschliche und Maschinenidentitäten. Implementieren Sie Identity-Governance-Programme, die menschzentrierte Security Awareness, Verhaltensanalysen, bereichsübergreifende Insider-Bedrohungsprogramme und kontinuierliches Monitoring sowohl menschlicher als auch maschineller Identitätsnutzung kombinieren.
• Schaffen Sie bereichsübergreifende Insider-Bedrohungsteams aus Security, HR, Legal und Management. Laut CISA-Leitfaden sollten formale Kooperationsstrukturen mit klar definierten Rollen, Verantwortlichkeiten und Informationsaustauschprotokollen etabliert werden.

Die Umsetzung dieser Best Practices erfordert Technologie, die Verhaltensanomalien im gesamten Unternehmen erkennen kann.

Wichtige Erkenntnisse

HUMINT-basierte Angriffe dominieren die moderne Bedrohungslandschaft, weil sie menschliche Psychologie und legitime Zugangsdaten statt technischer Schwachstellen ausnutzen. Laut dem Verizon DBIR 2024 bleiben gestohlene Zugangsdaten die häufigste Methode für den Erstzugriff, während die Ponemon-Institute-Forschung 2025 bestätigt, dass viele Organisationen Schwierigkeiten haben, Insider-Bedrohungen effektiv zu erkennen. Die Verteidigung gegen diese Angriffe erfordert integrierte Programme, die Verhaltensanalysen, Security Awareness mit messbaren Ergebnissen, Insider-Bedrohungsrahmenwerke, Zero-Trust-Architektur und bereichsübergreifende Zusammenarbeit kombinieren. 

Wenn Angreifer wie Scattered Spider Helpdesk-Mitarbeitende zur Herausgabe von Zugangsdaten manipulieren, hängt der Verteidigungserfolg davon ab, integrierte Programme zu implementieren, die menschzentrierte Angriffe erkennen, die technische Kontrollen nicht sehen können.

FAQs

Was ist HUMINT in der Cybersicherheit?

HUMINT, oder Human Intelligence, bezeichnet in der Cybersicherheit die systematische Ausnutzung menschlichen Verhaltens, von Vertrauensbeziehungen und sozialen Dynamiken, um die Sicherheit von Unternehmen zu kompromittieren. 

Obwohl der Begriff ursprünglich aus dem militärischen und nachrichtendienstlichen Bereich stammt, beschreibt er heute Angriffe, bei denen Mitarbeitende dazu gebracht werden, freiwillig Zugang zu gewähren, anstatt technische Schwachstellen auszunutzen. HUMINT-basierte Angriffe umgehen technische Kontrollen, indem sie gezielt das menschliche Element der Sicherheit adressieren.

Wie nutzen Angreifer HUMINT bei Cyberangriffen?

Angreifer nutzen HUMINT durch einen strukturierten Prozess, der Aufklärung, Pretexting und Manipulation kombiniert. Sie beginnen mit der Informationsbeschaffung aus öffentlichen Quellen wie LinkedIn, Unternehmenswebsites und sozialen Medien, um Ziele zu identifizieren und glaubwürdige Legenden zu erstellen. 

Anschließend nehmen Angreifer Kontakt zu den Zielen auf, etwa per Telefon, E-Mail oder persönlich, und geben sich als IT-Support, Führungskräfte, Dienstleister oder andere vertrauenswürdige Instanzen aus. Ziel ist es, Mitarbeitende dazu zu bringen, Zugangsdaten preiszugeben, betrügerische Anfragen zu genehmigen oder Handlungen vorzunehmen, die unautorisierten Zugriff ermöglichen. Sobald Angreifer gültige Zugangsdaten erlangt haben, tarnen sie sich als normale Benutzeraktivität, was die Erkennung äußerst schwierig macht.

Worin unterscheidet sich HUMINT von traditionellen Cyberangriffen?

Traditionelle Cyberangriffe nutzen technische Schwachstellen in Software, Systemen oder Netzwerkkonfigurationen aus. HUMINT-basierte Angriffe nutzen menschliches Verhalten, Vertrauensverhältnisse und soziale Dynamiken aus. Angreifer manipulieren Mitarbeitende dazu, freiwillig Zugriff zu gewähren, anstatt technische Schutzmaßnahmen zu überwinden. 

Dieser grundlegende Unterschied bedeutet, dass technische Sicherheitskontrollen allein keinen ausreichenden Schutz gegen menschlich ausgerichtete Angriffe bieten können.

Was sind die häufigsten HUMINT-Techniken, die auf Unternehmen abzielen?

Laut dem Verizon DBIR stellt Pretexting einen bedeutenden und wachsenden Anteil an Social-Engineering-Angriffen dar. Gestohlene Zugangsdaten bleiben die häufigste Methode für den Erstzugriff durch Phishing, Social Engineering und Credential Stuffing. 

Insider-Bedrohungen machen etwa 45 % aller Datenverletzungen aus und nutzen autorisierten Zugriff durch böswillige Absicht oder unbeabsichtigte Kompromittierung aus.

Können Sicherheitstools Insider-Bedrohungen und Social Engineering erkennen?

Perimetersicherheit, Antivirenprogramme und viele EDR-Lösungen können HUMINT-basierte Angriffe architektonisch nicht erkennen, da sie technische Indikatoren statt Verhaltenskontext analysieren. Wenn Angreifer legitime Zugangsdaten verwenden, die durch Social Engineering oder Insider-Zugriff erlangt wurden, erscheinen sie als autorisierte Benutzer. 

Laut dem Insider-Bedrohungsrahmenwerk der CISA müssen effektive Programme „sowohl menschliche als auch technologische Elemente“ implementieren, einschließlich User and Entity Behavior Analytics (UEBA).

Wie identifizieren Verhaltensanalysen anmeldebasierte Angriffe?

Verhaltensanalysen und UEBA-Systeme erkennen Insider-Bedrohungen und anmeldeinformationsbasierte Angriffe, indem sie Abweichungen von etablierten Mustern überwachen. Laut NIST und Branchen-Frameworks sollte die Überwachung Authentifizierungen aus ungewöhnlichen geografischen Standorten, Zugriffe auf Systeme außerhalb normaler Muster, ungewöhnliche Datenzugriffs- oder Übertragungsvolumina sowie Versuche der Privilegienerweiterung identifizieren. 

Durch die kontinuierliche Analyse dieser Verhaltensmuster können Organisationen eine Kompromittierung von Anmeldeinformationen früher im Angriffszyklus erkennen.

Welche Kennzahlen belegen die Wirksamkeit von Insider-Bedrohungsprogrammen?

Messen Sie die Leistungsfähigkeit des Programms anhand der pro Quartal identifizierten Insider-Bedrohungen, der durchschnittlichen Zeit zur Erkennung von Verhaltensindikatoren und der Falsch-Positiv-Rate. Überwachen Sie die Effektivität der Bewertung durch die Genauigkeit der Bedrohungskategorisierung und die Zeit bis zum Abschluss von Untersuchungen. 

Überwachen Sie die Management-Ergebnisse anhand der Vorfallslösungsraten und der Kosten-Nutzen-Analyse, gemessen an Branchen-Benchmarks von durchschnittlich etwa 2,7 Millionen US-Dollar pro Vorfall. Für Security Awareness messen Sie die Reduzierung der Klickrate bei Phishing-Simulationen und die Steigerung der Melderate von Sicherheitsvorfällen.