Insider-Risiko-Kosten: Die 19,5-Millionen-Dollar-Bedrohung im Unternehmen aufdecken

Cybersecurity-Diskussionen neigen dazu, ins Dramatische abzudriften: staatlich gesteuerte Akteure, Zero-Day-Exploits, Angriffe auf die Lieferkette. Diese Bedrohungen sind real und verdienen Aufmerksamkeit. Doch es gibt ein alltäglicheres und deutlich teureres Problem, das in den meisten Unternehmen täglich präsent ist – und der 2026 DTEX/Ponemon Insider Risk Report benennt dafür eine sehr präzise Zahl.

Wichtige Erkenntnisse

1. Nachlässigkeit ist die teuerste Kategorie bei Insider-Bedrohungen. Der 2026 DTEX/Ponemon Insider Risk Report zeigt, dass nachlässige Insider für 53 % der Gesamtkosten durch Insider-Risiken verantwortlich sind – jährlich 10,3 Mio. US-Dollar, ein Anstieg von 17 % im Jahresvergleich. Es handelt sich dabei nicht um den unzufriedenen Mitarbeiter, der mit Daten das Unternehmen verlässt. Es sind gutmeinende Mitarbeitende, die zu schnell handeln, die falschen Tools nutzen und dadurch Risiken schaffen, die niemand protokolliert.
2. Shadow Apps sind der neue Kanal für Datenverluste. Mitarbeitende fügen routinemäßig interne Dokumente, Quellcode, juristische Unterlagen und Geschäftsstrategien in nicht genehmigte öffentliche Tools ein. Nur 18 % der Unternehmen haben KI-Governance vollständig in ihre Insider-Risikoprogramme integriert. Die meisten haben daher keine echte Transparenz darüber, welche Daten das Unternehmen verlassen – oder wohin sie gehen.
3. Die durchschnittlichen Kosten durch Insider-Risiken liegen jetzt bei 19,5 Mio. US-Dollar pro Unternehmen – und steigen weiter. Von 17,4 Mio. US-Dollar im Jahr 2024 und 16,2 Mio. US-Dollar in 2023 steigt der Trend weiter an. Die Eindämmung bleibt mit 247.587 US-Dollar pro Vorfall der größte Kostentreiber. Die Geschwindigkeit der Eindämmung entscheidet, ob ein Vorfall beherrschbar bleibt oder zu einem finanziellen Schaden wird.
4. KI-Agents befinden sich bereits im Unternehmensnetzwerk – und die meisten Insider-Risikoprogramme berücksichtigen sie nicht. Nur 19 % der Unternehmen stufen KI-Agents als Insider-Risiko auf gleicher Ebene wie menschliche Mitarbeitende ein, obwohl 44 % bereits erwarten, dass böswillige Nutzung dieser Agents den Datendiebstahl deutlich erhöhen wird. Die Definitionen hinken den tatsächlichen Implementierungen hinterher.
5. Programme, die in das Management von Insider-Risiken investieren, vermeiden durchschnittlich 8,2 Mio. US-Dollar an jährlichen Kosten durch Datenpannen. Unternehmen mit formalen Insider-Risikoprogrammen vermeiden etwa sieben Vorfälle pro Jahr. Privileged Access Management bringt mit 6,1 Mio. US-Dollar die größte Kostenersparnis. Der ROI ist nicht theoretisch – er ist dokumentiert und wiederholbar.

Das durchschnittliche Unternehmen gab 2025 19,5 Mio. US-Dollar für den Umgang mit Insider-Risiken aus. Dieser Wert lag 2024 bei 17,4 Mio. US-Dollar und 2023 bei 16,2 Mio. US-Dollar. Es handelt sich nicht um eine Ausnahme, sondern um eine Entwicklung. Und was sie antreibt – wie der Bericht eindrucksvoll zeigt – ist kein Anstieg böswilliger Mitarbeitender. Es ist etwas, das sich viel schwerer abwehren lässt: ganz normale Menschen, die ihre Arbeit machen und dabei Entscheidungen treffen, die ein außergewöhnlich hohes Risiko erzeugen.

Der Bericht basiert auf Daten von 354 Unternehmen und 7.490 Insider-Vorfällen. Er deckt das gesamte Spektrum von Insider-Risiken ab – vom nachlässigen Mitarbeitenden, der vertrauliche Daten in ein öffentliches Tool kopiert, bis zum böswilligen Insider, der gezielt geistiges Eigentum exfiltriert. Das Ergebnis ist ein Bild der Datensicherheit, das die meisten Unternehmen lieber nicht direkt betrachten: Der teuerste Angriffsvektor in Ihrer Umgebung ist wahrscheinlich bereits vertrauenswürdig, mit Zugangsdaten ausgestattet und aktiv.

Nachlässigkeit kostet mehr als Böswilligkeit

Der Instinkt bei Gesprächen über Insider-Risiken ist, sich auf den böswilligen Akteur zu konzentrieren – den Mitarbeitenden, der Daten verkauft, den Dienstleister, der Quellcode stiehlt, die unzufriedene Führungskraft, die mit der Kundenliste das Unternehmen verlässt. Diese Fälle gibt es, sie sind ernst und stellen ein echtes finanzielles Risiko dar. Aber sie verursachen nicht die höchsten Kosten.

Nachlässige Insider sind für 53 % der Gesamtkosten durch Insider-Risiken verantwortlich, das entspricht jährlich 10,3 Mio. US-Dollar – ein Anstieg von 17 % im Jahresvergleich. Ein durchschnittlicher Vorfall durch Nachlässigkeit kostet 747.107 US-Dollar. Im Berichtszeitraum gab es 13,8 solcher Vorfälle pro Unternehmen. Nachlässigkeit – nicht Böswilligkeit – ist der dominierende Kostentreiber in Insider-Risikoprogrammen aller Branchen. DTEX identifiziert drei Hauptursachen: unüberwachtes Filesharing, persönliche Webmail und Shadow Apps – Tools, die Mitarbeitende eigenständig nutzen, außerhalb der Sichtbarkeit oder Kontrolle der IT.

Ein nachlässiger Insider-Vorfall im Jahr 2026 bedeutet nicht, dass jemand versucht, Sicherheitsmaßnahmen zu umgehen. Es ist jemand, der seine Arbeit schneller erledigen möchte. Er oder sie muss ein Dokument prüfen lassen, einen langen Bericht zusammenfassen oder vor einer Frist etwas mit einem Mandanten teilen. Der Konflikt zwischen Sicherheitskontrollen und Arbeitsabläufen ist real – und wenn diese beiden Kräfte aufeinandertreffen, verliert die Sicherheit oft.

Eindämmung ist mit 247.587 US-Dollar pro Vorfall der größte Einzelkostenfaktor, verglichen mit 39.728 US-Dollar für Eskalation. Diese Diskrepanz ist kein Zufall. Sie spiegelt wider, wie schwierig es ist, Vorfälle zu lokalisieren, zu bewerten und zu beheben, die nie protokolliert wurden. Wenn Daten über nicht genehmigte Kanäle übertragen werden, existiert der forensische Audit-Trail, auf den die Eindämmung angewiesen ist, schlichtweg nicht.

Die Apps, von denen Sie nichts wissen, sind Ihr größtes Compliance-Risiko

Shadow Apps sind laut DTEX-Bericht inzwischen der Haupttreiber für nachlässige Insider-Vorfälle. Mitarbeitende kopieren interne Dokumente, juristische Unterlagen, Quellcode, Architekturdiagramme und Geschäftsstrategien in öffentliche Tools wie ChatGPT, Gemini, Perplexity und Grok. Diese Transfers erfolgen auf Anwendungsebene, außerhalb des Geltungsbereichs traditioneller Data Loss Prevention (DLP)-Kontrollen, und erzeugen unkontrollierte Datenflüsse, die außerhalb der Unternehmensgrenzen landen – ohne Protokollierung, ohne Zustimmung und ohne die Datenverarbeitungsvereinbarungen, die Compliance-Rahmenwerke verlangen.

Das Compliance-Risiko ist unmittelbar. Nach DSGVO, CCPA, HIPAA und einer wachsenden Zahl branchenspezifischer Vorgaben sind Unternehmen verpflichtet, nachzuweisen, wie personenbezogene Daten verarbeitet werden, wohin sie gelangen und wer darauf zugreifen kann. Wenn ein Mitarbeitender einen Vertrag mit personenbezogenen Informationen eines Kunden in ein öffentliches Tool kopiert, wurden diese Daten an eine Drittpartei weitergegeben – unter Bedingungen, die das Unternehmen fast nie dokumentieren kann. Fordert eine Aufsichtsbehörde Nachweise für eine rechtmäßige Verarbeitung, gibt es keine. Geht eine Anfrage auf Auskunftsrechte zu diesen Daten ein, weiß das Unternehmen möglicherweise nicht einmal, wohin sie gelangt sind.

Der DTEX-Bericht identifiziert KI-Notetaker als besonders risikoreiche Kategorie innerhalb dieses Problems. Diese Tools zeichnen Meetings auf, transkribieren und speichern häufig die Inhalte – darunter oft personenbezogene Daten, sensible Geschäftsinformationen und vertrauliche Gespräche. Ohne konsistente Zugriffskontrollen, definierte Aufbewahrungsfristen und formale Datenverarbeitungsvereinbarungen fungieren KI-Notetaker als unüberwachte Datenablagen außerhalb jedes angemessenen Compliance-Perimeters.

92 % der Unternehmen erkennen an, dass generative Tools grundlegend verändert haben, wie Mitarbeitende auf Informationen zugreifen und sie teilen. Dennoch haben nur 13 % diese Realität formell in ihre Geschäftsstrategie integriert. 73 % befürchten, dass nicht autorisierte Tool-Nutzung unsichtbare Datenabflusswege schafft. Nur 18 % haben KI-Governance vollständig in ihre Insider-Risikomanagement-Programme integriert. Diese Lücke – zwischen Sorge und Handlung – ist der Bereich, in dem sich Compliance-Risiken unbemerkt ansammeln, bis es zu spät ist.

Der Insider-Perimeter ist deutlich komplexer geworden

Die Definition eines Insiders war immer eindeutig: eine Person mit autorisiertem Zugang zu Systemen, Daten oder Räumlichkeiten des Unternehmens. Diese Definition steht nun unter Druck – auf eine Weise, auf die die meisten Insider-Risikoprogramme noch nicht vorbereitet sind.

19 % der Unternehmen haben autonome Agents in ihre täglichen Arbeitsabläufe integriert. Diese Tools greifen auf Unternehmenssysteme zu, arbeiten eigenständig und umgehen in vielen Fällen traditionelle Kontrollen und Protokollierung vollständig. Sie agieren mit Zugangsdaten, greifen auf Daten zu und führen Aktionen mit Sicherheits- und Compliance-Auswirkungen aus – und das alles ohne die Verhaltenssignale, auf die menschliche Insider-Risikoprogramme ausgelegt sind. Das Problem: Die meisten Frameworks definieren „Insider“ weiterhin ausschließlich menschlich. Nur 19 % der Unternehmen stufen KI-Agents als gleichwertig zu menschlichen Insidern aus Governance-Sicht ein, obwohl 44 % bereits erwarten, dass böswillige Nutzung dieser Agents das Risiko von Datendiebstahl deutlich erhöht.

DTEX beschreibt agentische Browser und Task-Completion-Agents, die bereits beobachtet wurden, wie sie auf Unternehmensumgebungen zugreifen, im Auftrag von Nutzern arbeiten und die Protokollierungsinfrastruktur umgehen, auf die Unternehmen für Erkennung und Compliance-Nachweise angewiesen sind. Greift ein autonomer Agent auf sensible Daten zu, existiert der Audit-Trail, den Compliance-Rahmenwerke verlangen, möglicherweise nicht. Der Zugriff fand statt, die Daten wurden gelesen oder übertragen – aber das Ereignis sieht völlig anders aus als das, was traditionelle Monitoring-Systeme erkennen können.

Dies ist kein Zukunftsszenario. Unternehmen, die Agents zur Produktivitätssteigerung einsetzen, bewegen sich bereits in dieser Lücke. Insider-Risikoprogramme, die auf menschliche Verhaltensanalysen ausgelegt sind, bieten keinen nativen Schutz für nicht-menschliche Akteure. Die Compliance-Risiken dieser Lücke wachsen mit zunehmender Verbreitung der Agents.

Die Kosten langsamer Eindämmung sind messbar

Einer der aufschlussreichsten Befunde im DTEX-Bericht ist der Zusammenhang zwischen Geschwindigkeit der Eindämmung und den Gesamtkosten eines Vorfalls. Diese Beziehung ist nicht subtil, sondern direkt und signifikant.

Unternehmen, die Insider-Vorfälle in weniger als 30 Tagen eindämmen, geben durchschnittlich 14,2 Mio. US-Dollar jährlich für das Management von Insider-Risiken aus. Unternehmen, bei denen die Eindämmung länger als 90 Tage dauert, zahlen 21,9 Mio. US-Dollar. Diese Differenz von 7,7 Mio. US-Dollar ist nicht auf schwerwiegendere Vorfälle zurückzuführen, sondern auf die Zeit. Die Eindämmung mit 247.587 US-Dollar pro Vorfall ist der größte Einzelkostenfaktor in Insider-Risikoprogrammen. Jeder Tag, an dem ein Vorfall nicht eingedämmt ist, erhöht diese Zahl.

Die Budgetentwicklung in den DTEX-Daten bestätigt dies aus einer anderen Perspektive. Unternehmen erhöhten den Anteil des Insider-Risiko-Budgets von 8,2 % der gesamten Sicherheitsausgaben im Jahr 2023 auf 19 % im Jahr 2025. Im gleichen Zeitraum sank die durchschnittliche Eindämmungsdauer von 86 auf 67 Tage – eine Reduktion um 17 %. Mehr Investitionen in Insider-Risikoprogramme führen zu messbaren Verbesserungen bei der Eindämmungsgeschwindigkeit, und schnellere Eindämmung senkt nachweislich die Gesamtkosten.

Unter den Tools mit dem größten Kosteneinsparungspotenzial sind die DTEX-Daten eindeutig: Privileged Access Management führt mit 6,1 Mio. US-Dollar jährlicher Einsparung, gefolgt von User Behavior Analytics und Behavioral Intelligence mit 5,1 Mio. US-Dollar, Anwenderschulungen mit 4,8 Mio. US-Dollar und SIEM mit 4,6 Mio. US-Dollar. Anwenderschulungen und Awareness sind mit 83 % am weitesten verbreitet, erzielen aber weniger als die Hälfte des finanziellen Effekts von Privileged Access Controls. Unternehmen, die nur auf breite Implementierung statt auf Kostenwirkung setzen, verschenken erhebliche Einsparpotenziale.

Was das für Ihr Compliance-Programm bedeutet

Die Compliance-Auswirkungen der DTEX-Ergebnisse konzentrieren sich auf drei Bereiche: Transparenz bei Datenflüssen, KI-Governance und Vorfalldokumentation.

Bei der Transparenz von Datenflüssen liegt das Grundproblem darin, dass Unternehmen keine konforme Datenverarbeitung nachweisen können, wenn sie die Datenflüsse nicht kennen. Unüberwachte Filesharing-Plattformen, persönliche Webmail und nicht genehmigte Tools, die sensible Daten außerhalb verwalteter Umgebungen verarbeiten, schaffen regulatorische Risiken unter Rahmenwerken, die dokumentierte Kontrolle darüber verlangen, wohin Daten gelangen und wer darauf zugreift. Das Verantwortlichkeitsprinzip der DSGVO, die Anforderungen an Service Provider im CCPA und der Mindeststandard von HIPAA setzen voraus, dass Unternehmen ihre Datenflüsse abbilden können. Shadow Apps machen diese Abbildung bestenfalls unvollständig.

Im Bereich KI-Governance quantifizieren die DTEX-Daten die Lücke: 92 % der Unternehmen erkennen an, dass generative Tools die Art und Weise, wie Mitarbeitende Informationen teilen, grundlegend verändert haben, aber nur 13 % haben KI in die formale Geschäftsstrategie integriert und nur 18 % haben KI-Governance in ihre Insider-Risikomanagement-Programme aufgenommen. Der EU AI Act, branchenspezifische Finanzvorgaben und die zunehmende Kontrolle automatisierter Entscheidungsfindung deuten auf eine verstärkte Prüfung der Governance von KI-Tools hin – eine Prüfung, der Unternehmen ohne Governance-Framework kaum gewachsen sind.

Bei der Vorfalldokumentation geht es bei Investitionen in das Management von Insider-Risiken nicht nur um Prävention. Es geht darum, nachweisen zu können, was passiert ist, wer beteiligt war und welche Maßnahmen ergriffen wurden. Die Tools mit dem größten finanziellen Effekt – Privileged Access Management und Verhaltensanalysen – sind auch diejenigen, die die Audit-Trails und forensischen Nachweise liefern, die Compliance-Prüfungen erfordern. Investitionen in das Management von Insider-Risiken sind gleichzeitig Investitionen in die Dokumentationsinfrastruktur, auf die regulatorische Verantwortlichkeit angewiesen ist.

Was Ihr Programm jetzt anders machen muss

Der 2026 DTEX-Bericht beschreibt keine neue Bedrohungslandschaft. Er beschreibt eine bekannte, aber weiterentwickelte Komplexität, in der die verfügbaren Tools für Mitarbeitende die Governance-Rahmenwerke überholt haben – und in der die Compliance-Anforderungen zunehmend Kontrolle über Datenflüsse verlangen, die die meisten Programme derzeit nicht dokumentieren können.

Die Programme, die diese Umgebung erfolgreich managen, sind nicht die mit den meisten Kontrollen. Es sind die mit der größten Transparenz – darüber, wohin Daten gehen, wer darauf zugreift und welche Verhaltensweisen Risiken darstellen, bevor daraus Vorfälle werden. Diese Transparenz ermöglicht schnellere Eindämmung, macht Compliance-Dokumentation möglich und entscheidet darüber, ob ein Unternehmen jährlich 14,2 Mio. oder 21,9 Mio. US-Dollar für Insider-Risiken ausgibt.

Drei Anpassungen verbessern die Wirksamkeit von Programmen laut DTEX-Erkenntnissen erheblich. Erstens: Erweitern Sie die Definition von „Insider“ um autonome Agents mit Zugangsdaten und Datenzugriff. Zweitens: Priorisieren Sie Transparenz statt Blockierung – wenn Unternehmen beliebte Tools blockieren, weichen Mitarbeitende auf Alternativen aus, was die Datenflüsse schwerer nachvollziehbar macht, anstatt das Verhalten zu eliminieren. Drittens: Schließen Sie die Lücke bei der Integration von KI-Governance. Unternehmen, bei denen KI-Governance außerhalb des Insider-Risikoprogramms angesiedelt ist, haben einen strukturellen Blindspot, der mit zunehmender Nutzung dieser Tools wächst.

Unternehmen, die diese Lücken 2026 schließen, werden nicht nur geringere Vorfallkosten haben. Sie sind auch besser aufgestellt, um die Art von dokumentierter Kontrolle über Datenflüsse nachzuweisen, die die sich entwickelnde regulatorische Landschaft zunehmend verlangt. Diejenigen, die das nicht tun, werden ihre Risiken weiterhin auf die teuerste Weise kennenlernen – Vorfall für Vorfall.