Korrupte Mitarbeiter als Ware
Insider-as-a-Service. Cyberkriminelle setzen für Firmenangriffe zunehmend auf gekaufte Mitarbeitende als Insider. Mittlerweile hat sich dafür ein eigener Markt etabliert mit definierten Diensten und Preislisten. Security-Dienstleister TrendAI hat zwei Jahre im einschlägigen Untergrund recherchiert und nun Report veröffentlicht.
Der aktuelle Bericht von TrendAI (ehemals Trend Micro) beleuchtet erstmals den Trend, dass Kriminelle und Cybergangster Unternehmen nicht mehr nur versuchen zu hacken, sondern immer öfter deren Mitarbeitende zu kaufen. Der Dienstleister für IT-Sicherheit und Cybersecurity hat dafür über zwei Jahre einschlägige Untergrundforen und Telegram-Kanäle analysiert und die Ergebnisse nun im neuen TrendAI-Report „The Market for Trust: How Cybercriminals Recruit Corporate Insiders“ veröffentlicht.
Besonders gefragt sind demnach Beschäftigte bei Banken, Telekommunikationsanbietern, Social-Media-Plattformen und Krankenhäusern veröffentlicht. Für den Report haben die TrendAI-Forscher untersucht, wie sich der Handel mit Insider-Zugängen im Untergrund organisiert. Dabei zeigt sich, dass aus Einzelfällen ein reifes, arbeitsteiliges Geschäft geworden ist. Bestandteile sind etwa Festpreise, Gewinnbeteiligungen, Vermittlungsprämien und langfristige Partnerschaften, die eher an eine reguläre Branche erinnern als an klassische Cyberkriminalität.
Ein neuer Wirtschaftszweig
„Der einfachste Weg in ein Unternehmen führt heute nicht mehr zwangsläufig über eine Sicherheitslücke – oft reicht ein Mitarbeiter. In der Cybercrime-Untergrundszene wird vertrauenswürdiger Zugang zunehmend wie eine Ware gehandelt“, sagt David Sancho, Senior Threat Researcher bei TrendAI. „Kriminelle werben gezielt Insider an, die Sicherheitsmaßnahmen allein durch ihre reguläre Arbeit umgehen können. Sich gegen Insider-Bedrohungen zu schützen, bedeutet heute auch zu erkennen, dass die eigenen Mitarbeitenden selbst zum Angriffsziel geworden sind,“ so Sancho von TrendAI.
Insider-Rekrutierung ist heute ein eigener Wirtschaftszweig. Auf Untergrundforen und in Telegram-Kanälen agieren Broker, Treuhänder-Dienste und feste Geschäftspartner mittlerweile so offen wie in einer regulären Branche. Nicht die meisten Nutzerrechte zählen, sondern die größte Entscheidungsmacht. Kriminelle suchen gezielt nach Mitarbeitenden, die Zahlungen freigeben, Konten wiederherstellen oder Betrugsprüfungen umgehen können.
Gezielte Anwerbungen
Das sind alles Handlungen, die ein Angreifer von außen niemals glaubwürdig nachstellen könnte. Insider-Dienstleistungen werden damit zur Massenware. Ob entsperrte Social-Media-Accounts, manipulierte Sendungsverfolgung oder erschlichene Rabatte: Für all das gibt es inzwischen feste Preise, garantierte Bearbeitungszeiten und sogar Wiederverkäuferprogramme. Auch die KI-Branche rückt ins Visier. Je mehr wertvolle Modelldaten, Trainingsmaterial und privilegierte Zugänge KI-Unternehmen anhäufen, desto attraktiver werden ihre Mitarbeitenden für Kriminelle.
„Lange Zeit haben wir bei Insider-Bedrohungen vor allem an frustrierte Mitarbeitende oder menschliche Fehler gedacht. Was wir heute beobachten, ist etwas grundlegend anderes: Kriminelle rekrutieren gezielt vertrauenswürdige Beschäftigte über organisierte Untergrund-Marktplätze und machen Insider-Zugänge zu einer Dienstleistung, die sich kaufen und verkaufen lässt“, erläutert Mayra Rosario Fuentes, Senior Threat Researcher bei TrendAI.
SIM-Swap als lukrativstes Geschäft in Telekombranche
Der Report untersucht dieses Phänomen branchenübergreifend und beleuchtet Behörden, Gesundheitswesen, Social Media, Telekommunikation und Finanzwesen über Industrie und Energie, Logistik und Einzelhandel bis hin zu Bewertungsplattformen. Wie weit die Professionalisierung bereits fortgeschritten ist, zeigt sich besonders deutlich in den drei Branchen Telekommunikation, Social Media und Finanzwesen. Hier dokumentiert der Report die konkretesten Fallbeispiele mit belastbaren Zahlen, und das bis zur strafrechtlichen Verfolgung.
Beispiel Telekommunikation: Der SIM-Swap als lukrativstes Geschäft. Ein bestochener Mitarbeiter in einem Telekomunternehmen kann per SIM-Swap die SMS-basierte Zwei-Faktor-Authentifizierung aushebeln und Angreifern so den Weg zu Bank- und Kryptokonten öffnen. „Im Untergrund kostet das bei Verizon, T‑Mobile oder AT&T bis zu 20.000 US-Dollar plus 20 Prozent Gewinnbeteiligung“, so die TrendAI-Forscher. Die Strafverfolgungsbehörden haben aber ebenso reagiert, das zeigt ein Fall aus den USA: Im November 2025 klagte die Staatsanwaltschaft Manhattan einen SIM-Swapping-Ring an, der mit bestochenen AT&T- und T‑Mobile-Mitarbeitenden rund 435.000 US-Dollar von vier Opfern erbeutet haben soll.
Bis zu 7.000 US-Dollar für entsperrte Social-Media Konten und 25.000 für Zugang zu Bankkonten
Beispiel Social Media: Gesperrte Accounts, entsperrt gegen Bargeld. „Insider reaktivieren gesperrte Accounts bei Meta, TikTok oder X für 1.000 bis über 7.000 US-Dollar oder winken betrügerische Werbeanzeigen durch“, so die Trend-AI Forscher weiter. Bei Meta führte der Missbrauch des internen Tools „Oops“ durch bestochene Mitarbeitende Ende 2022 bei mehr als zwei Dutzend Beschäftigten und Vertragspartnern zu Entlassungen oder anderen disziplinarischen Konsequenzen. Meta verklagte die mutmaßlichen Vermittler daraufhin 2023 vor einem kanadischen Gericht.
Das Beispiel Finanzwesen betrifft den Fall eines Schlüssels zu einem betrieblichen Bankkonto. Ein Verkäufer bot in einem Untergrundforum dreijährigen Insider-Zugang zur Buchhaltung eines Unternehmens mit 25 Millionen US-Dollar Jahresumsatz an. Das Startgebot belieft sich auf 25.000 US-Dollar. Für die Vermittlung eines einzigen bestechlichen Mitarbeiters bei Kryptobörsen wie Binance oder Robinhood zahlten Auftraggeber bis zu 5.000 US-Dollar Kopfgeld oder alternativ 15 Prozent Beteiligung am Erlös. Der vollständige Report ist über die Webseite von TrendAI einsehbar, siehe Link. (red/czaak)