Insider-Risiken funktionieren grundlegend anders als externe Angriffe: Interne Täter müssen keine Perimeter-Kontrollen überwinden, weil sie mit legitimen Zugriffsrechten, Systemkenntnis und dem Vertrauen ihrer Kollegen arbeiten. Die aufsichtsrechtliche Antwort darauf sind nicht mehr Firewalls, sondern personalbezogene Sicherungsmaßnahmen — insbesondere die laufende, nicht nur einmalige Zuverlässigkeitsprüfung nach § 6 Abs. 2 Nr. 5 GwG, flankiert von § 25h Abs. 1 KWG und den Anforderungen der MaRisk an das Personal.
Warum Perimeter-Kontrollen gegen Insider nicht greifen
Die Sicherheitsarchitektur der meisten Institute ist nach außen gerichtet: Zugangskontrollen, Netzwerksegmentierung, Betrugserkennung an den Schnittstellen. Ein Insider steht bereits hinter diesen Linien. Er weiß, welche Transaktionen ein Vier-Augen-Prinzip auslösen, welche Schwellenwerte das Monitoring anschlagen lassen und welche Prozesse niemand kontrolliert — Wissen, das ein externer Angreifer erst mühsam beschaffen müsste. Das macht Insider-Vorfälle nicht häufiger als externe Angriffe, aber schwerer zu erkennen und im Einzelfall gravierender. Hinzu kommt ein Zeitfaktor: Weil kein Alarm an der Außengrenze anschlägt, bleiben interne Handlungen oft über längere Zeiträume unentdeckt — und je länger der Zeitraum, desto höher der Schaden und desto schwieriger die Aufarbeitung.
Tätertypologien — und was sie rechtlich bedeuten
Ohne Alarmismus lassen sich drei Grundkonstellationen unterscheiden, die jeweils auf andere Pflichten verweisen:
- Der vorsätzlich Handelnde: Personen, die Zugriffsrechte gezielt für Untreue, Betrug oder die Unterstützung von Geldwäsche nutzen. Hierauf zielt § 25h Abs. 1 KWG, der von Instituten angemessene interne Sicherungsmaßnahmen auch gegen sonstige strafbare Handlungen zulasten des Instituts verlangt.
- Der Unterwanderte: Kandidaten oder Mitarbeiter, die mit verfälschtem Werdegang oder verdeckten Interessenkonflikten in sensible Positionen gelangen. Dagegen wirkt die Zuverlässigkeitsprüfung nach § 6 Abs. 2 Nr. 5 GwG — bei Einstellung und laufend; die Grundlagen erläutert unser Beitrag zur Zuverlässigkeitsprüfung nach § 6 GwG.
- Der Gefährdete: Mitarbeiter, deren Lebensumstände sich nach der Einstellung ändern — etwa finanzielle Schieflagen oder problematische Verflechtungen. Genau deshalb ist die Prüfung als fortlaufende Maßnahme angelegt und nicht als einmaliger Akt beim Onboarding.
Die aufsichtsrechtliche Antwort: Personal als Teil des Risikomanagements
Die MaRisk (BaFin-Rundschreiben 06/2024 (BA)) behandeln Personal in AT 7.1 ausdrücklich als Ressource des Risikomanagements: Qualifikation und Eignung der Mitarbeiter müssen den Aufgaben entsprechen, und Abwesenheits- oder Wechselrisiken sind zu steuern. Zusammen mit § 25h Abs. 1 KWG und § 6 Abs. 2 Nr. 5 GwG ergibt sich ein konsistentes Bild: Der Gesetzgeber und die Aufsicht erwarten, dass Institute den Faktor Mensch mit derselben Systematik behandeln wie technische und prozessuale Risiken. Wie sich die Prüfsystematik der Kundenseite auf die Belegschaft übertragen lässt, zeigt der Beitrag KYC vs. Know Your Employee.
Was ein wirksames Insider-Risk-Programm auszeichnet
Wirksame Programme kombinieren technische und personalbezogene Bausteine, statt sich auf einen einzelnen davon zu verlassen; die folgenden Elemente haben sich bewährt:
- Risikobasierte Klassifizierung der Positionen nach Schadenpotenzial und Zugriffstiefe,
- Zuverlässigkeitsprüfung vor Einstellung mit positionsabhängiger Prüftiefe,
- anlassbezogene Re-Prüfung bei Rollenwechseln in sensible Funktionen,
- angemessene Wiederholungszyklen für Schlüsselrollen,
- prüffeste Dokumentation jeder Prüfung für Revision und Aufsicht,
- Einbeziehung externer Kräfte mit vergleichbaren Zugriffsrechten — dazu vertiefend Externe und Interim-Manager prüfen.
Entscheidend ist das Zusammenspiel: Technische Kontrollen begrenzen, was ein Insider tun kann; personalbezogene Maßnahmen verringern die Wahrscheinlichkeit, dass eine ungeeignete Person überhaupt in eine kritische Rolle gelangt oder dort verbleibt. Keines der beiden Elemente ersetzt das andere.
Handlungsempfehlung
Prüfen Sie zuerst, ob Ihre personalbezogenen Maßnahmen mit der Zugriffstiefe Ihrer Rollen Schritt halten: Wer kann Kontrollen umgehen, und wann wurde diese Person zuletzt geprüft? Schließen Sie anschließend die typische Lücke zwischen Einstellungsprüfung und Dauerbeschäftigung durch definierte Anlässe und Zyklen. Für die dokumentierte Umsetzung liefert Indicium prüffeste Reports mit datierten Quellen und menschlicher Letztprüfung (Art. 22 DSGVO); einen Überblick über branchenspezifische Anforderungen finden Sie unter Branchen.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.