Wer sich mit Informationssicherheit beschäftigt, stößt schnell auf die drei klassischen Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit. Sie bilden das Fundament jeder Sicherheitsstrategie und sind maßgeblich für die Risikobewertung, Auswahl von Schutzmaßnahmen und die tägliche Arbeit im Bereich der Informationssicherheit.
Die drei Schutzziele werden im internationalen Kontext häufig als „CIA-Triade“ bezeichnet, eine Abkürzung für die englischen Begriffe Confidentiality, Integrity und Availability. Diese Bezeichnung hat sich besonders im angloamerikanischen Raum etabliert und steht für das grundlegende Sicherheitsdreieck der Informationssicherheit. Die CIA-Triad dient als gedankliches Modell, um Sicherheitsmaßnahmen systematisch zu planen und Risiken strukturiert zu bewerten. Auch internationale Normen wie die ISO/IEC 27001 greifen auf dieses Konzept zurück.
Doch was genau steckt hinter diesen Begriffen und warum sind sie in der Praxis so entscheidend?
1. Vertraulichkeit – Informationen vor unbefugtem Zugriff schützen
Definition: Vertraulichkeit bedeutet, dass Informationen nur von berechtigten Personen eingesehen oder verarbeitet werden dürfen.
Praxisbeispiel: Ein Unternehmen verwaltet sensible Kundendaten, wie Adressen, Bankverbindungen oder Gesundheitsinformationen. Gelangen diese Daten in falsche Hände, ist nicht nur der Ruf des Unternehmens bedroht, es drohen auch rechtliche Konsequenzen, etwa aufgrund der DSGVO.
Typische Maßnahmen:
- Zugriffsrechte nach dem Need-to-know-Prinzip
- Verschlüsselung von Daten (z.B. E-Mails oder Festplatten)
- Zwei-Faktor-Authentifizierung (2FA)
- Schulungen für Mitarbeitende zum Umgang mit sensiblen Daten
Vertraulichkeit ist auch ein wichtiges Thema für den Informationssicherheitsbeauftragten (ISB). Er sorgt dafür, dass entsprechende Richtlinien vorhanden sind und technische sowie organisatorische Maßnahmen umgesetzt werden.
2. Integrität – Schutz vor Manipulation und Datenverfälschung
Definition: Integrität stellt sicher, dass Daten und Systeme korrekt und unverändert sind – sowohl bei der Speicherung als auch bei der Übertragung.
Praxisbeispiel: Eine manipulierte Rechnung, bei der die Bankverbindung geändert wurde, kann zu erheblichen finanziellen Schäden führen. Noch gravierender wird es, wenn ein medizinisches System Patientendaten verfälscht – etwa durch fehlerhafte Diagnosen oder Medikationsangaben.
Typische Maßnahmen:
- Hash-Werte und Prüfsummen zur Überprüfung der Unverfälschtheit
- Digitale Signaturen
- Versionierung und Änderungsprotokolle
- Kontrollmechanismen bei der Datenverarbeitung
In der Praxis geht es also nicht nur darum, ob jemand Zugriff auf Informationen hat, sondern auch, ob diese korrekt sind. Der ISB prüft deshalb regelmäßig, ob Prozesse zur Sicherstellung der Integrität funktionieren. Dies gilt besonders für Systeme, in denen kritische Entscheidungen getroffen werden.
3. Verfügbarkeit – Informationen und Systeme müssen nutzbar sein
Definition: Verfügbarkeit bedeutet, dass Informationen und IT-Systeme bei Bedarf zuverlässig zur Verfügung stehen.
Praxisbeispiel: Ein Onlineshop, der während einer Rabattaktion stundenlang nicht erreichbar ist, verliert Umsatz und Kunden. In kritischen Infrastrukturen – etwa bei Krankenhäusern oder Energieversorgern – kann mangelnde Verfügbarkeit sogar Menschenleben gefährden.
Typische Maßnahmen:
- Backup- und Wiederherstellungskonzepte
- Ausfallsichere Systeme (Redundanzen)
- Notfallpläne und Business Continuity Management
- Schutz vor DDoS-Angriffen
Auch hier spielt der Informationssicherheitsbeauftragte eine wichtige Rolle: Er koordiniert Notfallübungen, bewertet die Resilienz der IT-Systeme und wirkt bei der Erstellung von Wiederanlaufplänen mit.
Das Zusammenspiel der Schutzziele ist ein Balanceakt
In der Realität stehen die drei Schutzziele oft in einem Spannungsverhältnis. Ein Beispiel: Wenn man den Zugang zu Informationen stark beschränkt (Vertraulichkeit), kann das die Verfügbarkeit für befugte Nutzer einschränken. Oder: Eine zu starke Komprimierung von Daten zur Effizienzsteigerung könnte die Integrität gefährden.
Daher ist es Aufgabe der Informationssicherheit, diese Schutzziele sinnvoll auszubalancieren, je nach Schutzbedarf der jeweiligen Daten und Systeme. Diese Einordnung erfolgt meist im Rahmen einer Schutzbedarfsanalyse, die auch andere Aspekte wie rechtliche Vorgaben oder Unternehmenswerte berücksichtigt.
Schnittstellen zu anderen Bereichen der Informationssicherheit
Die drei Schutzziele sind nicht nur theoretische Prinzipien, sondern wirken in viele Bereiche hinein:
- Risikomanagement: Die Bewertung von Risiken erfolgt entlang der Schutzziele – „Was passiert, wenn die Verfügbarkeit einer Anwendung nicht gegeben ist?“
- Technische Maßnahmen: Firewalls, Monitoring-Tools oder Verschlüsselungstechnologien zielen stets auf mindestens eines der drei Ziele ab.
- Awareness & Schulung: Mitarbeitende müssen die Bedeutung der Schutzziele verstehen und ihr Handeln daran ausrichten.
- Recht & Compliance: Gesetze wie die DSGVO oder Normen wie ISO/IEC 27001 fordern explizit Maßnahmen zur Wahrung der Schutzziele.
Fazit
Vertraulichkeit, Integrität und Verfügbarkeit sind keine abstrakten IT-Begriffe – sie sind konkrete Leitplanken für den sicheren und verantwortungsvollen Umgang mit Informationen. Wer diese Ziele im Blick behält, schützt nicht nur Daten, sondern auch Prozesse, Entscheidungen und letztlich den unternehmerischen Erfolg.
Der Informationssicherheitsbeauftragte ist dabei eine zentrale Schnittstelle: Er plant und koordiniert Maßnahmen, damit die Schutzziele im Unternehmen nicht nur definiert, sondern auch praktisch in Systemen, in Richtlinien und im Verhalten der Mitarbeitenden umgesetzt werden.
Gerne stehen wir Ihnen als externer Informationssicherheitsbeauftragter zur Seite, wenn Sie Unterstützung hierbei benötigen. Nutzen Sie unsere kostenlose Erstberatung, um mehr über unsere Leistungen zu erfahren.
