Wenn Vertrauen zum Risiko wird

Europas geopolitische und industriepolitische Neuausrichtung beschleunigt Investitionen in technologische Souveränität, Verteidigungsfähigkeit und zivil-militärische Schlüsseltechnologien. Gleichzeitig geraten High-Tech-Unternehmen, Forschungseinrichtungen und Betreiber:innen kritischer Infrastrukturen verstärkt in den Fokus staatlicher oder staatlich unterstützter Akteur:innen. Insider-Vorfälle können dabei besonders schwerwiegende Folgen und Schäden verursachen, weil berechtigte Personen vorhandene Zugänge zu digitalen Informationen, Expertise im Unternehmen und organisatorische Schwachstellen nutzen können.

In unserem Beitrag untersuchen wir Insider-Risiken an der Schnittstelle von Arbeitspsychologie, Geopolitik, Forensik und Cybersicherheit. Wir zeigen, wie Merkmale der dunklen Tetrade zusammen mit organisatorischen Belastungen und mangelnder Cybersicherheit Fehlverhalten begünstigen können, und wie ein integriertes Governance-, Risiko- und Compliance-System Prävention, Erkennung und Reaktion wirksam miteinander verbindet.

Inhalt:

Die geopolitische Zeitenwende
Die Psychologie des Täters
Wenn Mitarbeiter zum Sicherheitsrisiko werden
Regulatorische Vorgaben und Präventionsmöglichkeiten
Toolbox für das Insider-Risiko
Fehlerkultur und Hinweisgebersystem
Fazit

Die europäischen Bestrebungen zur Wiederherstellung strategischer Souveränität, beschleunigt durch Programme wie das European Defence Innovation Scheme (EDIS) des European Defence Fund (EDF) und nationale Verteidigungs­investitionen, haben die Trennlinien zwischen ziviler und militärischer Forschung deutlich durchlässiger gemacht. Technologien wie Künstliche Intelligenz (KI), Quantensensorik, fortschrittliche Halbleiterarchitekturen, autonome Systeme und neuartige Werkstoffe zählen vielfach zu den Dual-Use-Gütern. Sie bilden das Fundament zukunfts­trächtiger Industriestandorte und sind zugleich attraktive Ziele staatlich gesteuerter Wirtschaftsspionage.

Österreich nimmt in dieser Dynamik eine besonders exponierte Rolle ein. Als Binnenmarkt mit einer außergewöhn­lich hohen Dichte an weltweiten Nischenmarktführern im High-Tech- und Maschinenbausektor ist die heimische Wirt­schaft ein bevorzugtes Ziel. Die Direktion Staatsschutz und Nachrichtendienst unterstreicht im Verfassungs­schutz­bericht 2025, dass die Aktivitäten fremder Nachrichtendienste in Österreich ein Ausmaß erreicht haben, das jenem des Kalten Krieges entspricht1. Die strategische Stoßrichtung hat sich jedoch verschoben: Primäres Angriffsziel ist nicht mehr allein das diplomatische Parkett, sondern das geistige Eigentum (Intellectual Property, IP) sowie die Wertschöpfungsketten österreichischer Schlüsselunternehmen.

Dass berechtigte Personen bei Sicherheitsvorfällen eine wesentliche Rolle spielen können, zeigt auch die 11. Ausgabe der Studie „Cybersecurity in Österreich 2026“ von KPMG Austria und Kuratorium Sicheres Österreich (KSÖ), für die 1.396 Unternehmen befragt wurden: Der Faktor Mensch kann sowohl fahrlässig als auch vorsätzlich zum Einfallstor werden. Wenn sensible Forschungsdaten aus Dual-Use-Projekten abfließen, liegt die Ursache selten in einem spektakulären Zero-Day-Exploit durch externe Hacker, sondern häufig im Missbrauch legitim vergebener Zugriffs­rechte durch eigene Mitarbeiter:innen sowie Lieferant:innen und Dienstleister:innen2. Wenn sensible Forschungs­daten aus Dual-Use-Projekten abfließen, liegt die Ursache selten in einem spektakulären Zero-Day-Exploit durch externe Hacker:innen, sondern im Missbrauch legitim vergebener Zugriffsrechte.

Um zu verstehen, weshalb scheinbar loyale Mitarbeitende zu Insider-Bedrohungen werden, greift eine rein technische Betrachtung zu kurz. Die Verhaltensforschung beschreibt Insider-Aktivitäten als mögliches Ergebnis eines komplexen, oft länger andauernden Prozesses. Individuelle Persönlichkeitsmerkmale und organisatorische Rahmenbedingungen können einander dabei verstärken.

Im Zentrum der Betrachtung steht die Dunkle Tetrade. Dieses psychologische Konstrukt umfasst Narzissmus mit Grandiosität und übersteigertem Anspruchsdenken, Machiavellismus mit kalkulierender Manipulation und emotionaler Kälte, Psychopathie mit Impulsivität und mangelnder Empathie sowie alltäglichen Sadismus mit Freude an der Schädigung oder Verunsicherung anderer.

Forschungsergebnisse deuten darauf hin, dass stark ausgeprägte Merkmale der Dunklen Tetrade mit einer erhöhten Neigung zu kontraproduktivem Arbeitsverhalten verbunden sein können. Narzisstische Prägungen können ein ausgeprägtes Rachemotiv entwickeln, wenn sich die Betroffenen bei Beförderungen übergangen oder in ihrer Expertise nicht ausreichend gewürdigt fühlen. Der Abfluss von Unternehmensgeheimnissen kann subjektiv als Wiederherstellung vermeintlicher Gerechtigkeit rationalisiert werden. Machiavellistisch geprägte Personen handeln demgegenüber häufig kalkulierter. Sie wägen Erfolgsaussichten und Entdeckungsrisiken ab und nutzen Berechtigungsstrukturen aus, wenn sie eine günstige Gelegenheit erkennen3.

Persönlichkeitsmerkmale allein führen jedoch nicht unmittelbar zu einer Straftat. Das Stressor-Emotion-Modell4 des kontraproduktiven Arbeitsverhaltens liefert einen Erklärungsansatz dafür, wie situativer Frust und Ärger Fehlverhalten begünstigen können. Besonders risikobehaftet sind unzureichend gesteuerte Trennungs- und Austrittsprozesse. Auch eine von Willkür, Feindseligkeit und mangelnder psychologischer Sicherheit geprägte Unternehmenskultur kann die Bindung an das Unternehmen schwächen. Einzelne Verhaltensänderungen erlauben jedoch keine verlässliche Aussage über eine Insider-Gefährdung. Relevant wird erst die risikobasierte Betrachtung mehrerer technischer, organisatorischer und verhaltensbezogener Indikatoren unter Wahrung von Datenschutz, Arbeitsrecht und Persönlichkeitsrechten.

Das Critical-Pathway-to-Insider-Risk-Modell beschreibt diesen Prozess von persönlichen Dispositionen über organisatorische Belastungen und beobachtbares Fehlverhalten bis zur technischen Tat. Ein isoliertes IT-Monitoring erfasst häufig erst den letzten Schritt und damit einen Zeitpunkt, zu dem bereits Schaden entstanden sein kann5.

Als Insider gelten aktuelle oder ehemalige Mitarbeitende, Beratende, Auftragnehmende oder sonstige externe Personen, die rechtmäßigen Zugang zu Systemen, Prozessen, Vermögenswerten oder Informationen einer Organisation haben oder hatten. Kennzeichnend sind ihre Zugriffsrechte, ihr internes Wissen und das ihnen entgegengebrachte Vertrauen. Diese privilegierte Position kann bewusst oder unbeabsichtigt genutzt werden und dadurch Schäden oder Verluste für die Organisation verursachen.

Das Insider-Risiko beschreibt folglich die Gefahr, dass berechtigte Personen ihren Zugang selbst missbrauchen oder externe Angreifer durch Fehler, Manipulation oder unzureichendes Sicherheitsbewusstsein unterstützen. Für die Bewertung sind insbesondere drei Faktoren relevant: Absicht, Fähigkeit und Gelegenheit. Sie zeigen, ob eine Motivation besteht, welche Mittel und Kenntnisse verfügbar sind und in welchem Maß wirksame Schutzmaßnahmen fehlen oder umgangen werden können. Da nicht alle Faktoren gleichzeitig vorliegen müssen, darf sich die Betrachtung nicht auf Personen mit bereits bestehenden Zugriffsrechten beschränken. Der potenziell relevante Personenkreis lässt sich vielmehr anhand von fünf Merkmalen bestimmen:

Entsprechend ist in der Praxis zwischen dem unbeabsichtigten Insider und dem vorsätzlich handelnden Insider zu unterscheiden. Unbeabsichtigte Insider schädigen die Organisation durch Nachlässigkeit, Fehlbedienung oder mangelndes Verständnis. Ursachen sind häufig gezielte Manipulation durch Dritte, unzureichende Kenntnisse, fehlendes Sicherheitsbewusstsein oder unklare Vorgaben. Vorsätzlich handelnde Insider handeln demgegenüber bewusst gegen die Interessen der Organisation – etwa aus persönlichem Nutzen, unter Druck, aus ideologischen Motiven oder im Auftrag Dritter. Auch sie überblicken jedoch nicht zwingend sämtliche Folgen ihres Handelns.

Diese Merkmale beschreiben zunächst die Nähe einer Person zu schützenswerten Informationen, Systemen und Entscheidungen. Für die konkrete Risikobewertung ist anschließend entscheidend, ob eine mögliche Schädigung unbeabsichtigt oder vorsätzlich erfolgt.

Die zunehmende Nutzung von KI und die stärkere digitale Vernetzung verschärfen beide Formen des Insider-Risikos: Sie erleichtern unbeabsichtigte Datenweitergaben ebenso wie gezielten Missbrauch. Die folgende Gegenüberstellung ordnet typische Erscheinungsformen ein und schafft damit die Grundlage für die anschließende vertiefende Betrachtung.

Die Gegenüberstellung macht deutlich, dass ähnliche technische Folgen aus unterschiedlichen Motiven und Verhaltens­weisen entstehen können. Beim unbeabsichtigten Insider steht meist nicht die Schädigung, sondern die Vereinfachung oder Beschleunigung von Arbeitsabläufen im Vordergrund. Besonders relevant ist dabei die Nutzung nicht freigegebener KI-Dienste. Werden interne Systeme als zu starr empfunden, integrieren Mitarbeitende mitunter nicht autorisierte Werkzeuge in ihren Arbeitsalltag. Dadurch können proprietäre Quellcodes, Patententwürfe oder Finanzkennzahlen in öffentliche, cloudbasierte generative KI-Dienste gelangen. Laut den Umfrageergebnissen der KPMG-&-KSÖ-Studie gaben 61 % der befragten Unternehmen an, dass fehlerhafte KI-Nutzung zu Datenschutz­verstößen und Know-how-Abfluss geführt habe. Hinzu kommen unbeabsichtigte Insider-Vorfälle durch KI-gestützte Phishing-Angriffe, deren Erkennung unter Zeitdruck und Stress erschwert sein kann.

Anders gelagert ist das Risiko durch vorsätzlich handelnde Innentäter:innen. Eine Untersuchung weist darauf hin, dass aktive und ehemalige Mitarbeitende für rund 31 % der dokumentierten Vorfälle verantwortlich waren. Unter­nehmen schreiben die Gefahr dagegen häufiger externen Wettbewerb zu (rund 40 %) und unterschätzen damit das Risiko aus den eigenen Reihen. In Einzelfällen können interne Täter:innen auch von externen Akteur:innen, etwa konkurrierenden Unternehmen oder fremden Nachrichtendiensten, angeworben beziehungsweise beeinflusst werden6. Im Umfeld von Dual-Use-Technologien setzen fremde Nachrichtendienste zunehmend auf hybride Anwerbung. Über berufliche Netzwerke kontaktieren verdeckte Anwerbende gezielt Fachkräfte in kritischen Forschungs- und Entwicklungsprojekten. Unter dem Deckmantel lukrativer Beratungsaufträge können Abhängig­keiten geschaffen und Forschungsdaten abgeschöpft werden.

RKEG und NISG 2026 (österreichische Umsetzung der NIS-2-Richtlinie) verlangen von betroffenen Organisationen ein nachvollziehbares Risikomanagement, angemessene technische und organisatorische Sicherheitsmaßnahmen sowie dokumentierte Verantwortlichkeiten. Insider-Risiken sind dabei insbesondere über Zutritts- und Zugriffskontrollen, Personalsicherheit, Lieferkettenmanagement, Schulungen, Überwachung und Meldeprozesse zu berücksichtigen. Versäumnisse können, abhängig von Anwendungsbereich, Pflichtverletzung und Verschulden, verwaltungsrechtliche, zivilrechtliche oder organhaftungsrechtliche Konsequenzen haben.

Das RKEG verpflichtet betroffene Betreiber kritischer Einrichtungen, Risiken umfassend zu bewerten und ange­messene Maßnahmen zur physischen, organisatorischen und personellen Resilienz nachzuweisen. Dazu zählen auch Risiken durch Innentäter:innen, Sabotage sowie unbefugten physischen oder digitalen Zugriff. Das NISG 2026 (österreichische Umsetzung der NIS-2-Richtlinie) verpflichtet Leitungsorgane, Cybersicherheits-Risiko­management­maßnahmen zu genehmigen und deren Umsetzung zu überwachen. Zu den relevanten Maßnahmen zählen unter anderem Zugriffskontrollen, Sicherheit in der Lieferkette, sichere Personalprozesse, Schulungen und die kontinuierliche Überprüfung der Wirksamkeit.

Ergänzend sind beim grenzüberschreitenden Transfer von Dual-Use-Gütern und -Technologien die anwendbaren außenwirtschafts- und exportkontrollrechtlichen Vorgaben zu beachten. Ein durch unzureichende interne Kontrollen begünstigter Abfluss von Modellen, Konstruktionsunterlagen oder Quellcodes an nicht genehmigte Empfänger in Drittländern kann rechtliche Konsequenzen auslösen. Erforderlich ist daher ein integrierter Risiko­management­ansatz, der Cybersicherheit, Personalmanagement, Recht, Compliance und Führungskultur miteinander verbindet.

Aus den regulatorischen Anforderungen lassen sich sechs miteinander verzahnte Handlungsfelder ableiten. Erst ihr Zusammenspiel ermöglicht es, Insider-Risiken systematisch zu steuern: Governance schafft klare Verantwortung, das Risikomanagement priorisiert Schutzbedarfe, das Vorfallmanagement stellt eine koordinierte Reaktion sicher, Personalsicherheit begleitet den gesamten Beschäftigungszyklus, Technologie unterstützt Prävention und Erkennung und das Lieferkettenmanagement bezieht externe Partner ein.

Technik allein schützt nicht. Wachsame Mitarbeitende können wesentlich zur Erkennung von Angriffen und Regel­verstößen beitragen und bilden damit eine wichtige menschliche Schutzlinie. Dafür braucht es eine lernorientierte Fehlerkultur: Wer einen Verdachtsfall oder einen Fehler frühzeitig meldet, sollte keine unangemessenen Nachteile befürchten. Hinweise auf mögliche Risiken müssen sachlich geprüft werden; persönliche Krisen oder psychische Belastungen dürfen nicht pauschal als Täterindikatoren gewertet werden. Ein zugängliches Hinweisgebersystem nach dem HinweisgeberInnenschutzgesetz (HSchG) unterstützt die frühzeitige Weiterleitung relevanter Warnsignale.

Die technologische Transformation Europas schafft große Chancen für Innovation, erhöht aber zugleich das Risiko von Wissensabfluss, Wirtschaftsspionage und Sabotage, insbesondere bei Dual-Use-Technologien. Insider-Risiken entstehen dabei nicht nur durch vorsätzlich handelnde Personen, sondern auch durch unbeabsichtigte Fehler, nicht freigegebene KI-Dienste, organisatorischen Frust, unzureichend gesteuerte Eintritts- und Austrittsprozesse sowie die gezielte externe Anwerbung. Diese Faktoren können sensible Daten, geistiges Eigentum und kritische Systeme gefährden. Persönlichkeitsmerkmale wie jene der Dunklen Tetrade dürfen niemals isoliert als Täterindikatoren verstanden werden. Entscheidend ist eine risikobasierte Gesamtbetrachtung technischer, organisatorischer und verhaltensbezogener Hinweise unter Wahrung von Datenschutz, Arbeitsrecht und Persönlichkeitsrechten.

Der zentrale Appell an Vorstand, Geschäftsführung und Aufsichtsrat lautet: Insider-Risiken müssen als strategische Führungsaufgabe behandelt werden. RKEG und NISG 2026 geben dafür einen verbindlichen Rahmen vor. Wirksame Resilienz entsteht jedoch erst durch das abgestimmte Zusammenspiel von Governance, Risikomanagement, Incident-Management, Personalsicherheit, Cybersecurity-Kontrollen, sicher gesteuerten Lieferketten sowie einer offenen Sicherheits-, Fehler- und Hinweiskultur. Wer diese Handlungsfelder frühzeitig verbindet, Verantwortlichkeiten eindeutig zuordnet und ihre Wirksamkeit regelmäßig überprüft, schützt nicht nur Daten und Systeme, sondern auch Innovationskraft, Wettbewerbsfähigkeit und Vertrauen.