Informationssicherheit — Definition & Umsetzung

Was ist Informationssicherheit? — Definition und Bedeutung

Informationssicherheit bezeichnet den Schutz von Informationen jeder Art vor unbefugtem Zugriff, Veränderung, Verlust und Zerstörung. Anders als häufig angenommen, beschränkt sich die Informationssicherheit nicht ausschließlich auf digitale Daten — sie umfasst sämtliche Informationen eines Unternehmens, unabhängig davon, ob diese elektronisch gespeichert, auf Papier dokumentiert oder mündlich weitergegeben werden.

Die Informationssicherheit Definition nach dem Bundesamt für Sicherheit in der Informationstechnik (BSI) lautet: Informationssicherheit hat den Schutz von Informationen als Ziel. Dabei können Informationen sowohl auf Papier, in Rechnern oder auch in Köpfen gespeichert sein. Die Schutzziele oder auch Grundwerte der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit.

Für Unternehmen in Sachsen und ganz Deutschland ist Informationssicherheit längst kein optionales Thema mehr. Angesichts steigender Cyberangriffe, verschärfter gesetzlicher Anforderungen wie der NIS2-Richtlinie und zunehmender Abhängigkeit von digitalen Geschäftsprozessen gehört ein strukturiertes Informationssicherheitskonzept zur unternehmerischen Pflicht.

Die internationale Norm ISO 27001 definiert Informationssicherheit als die Aufrechterhaltung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Diese drei Begriffe bilden die sogenannten Schutzziele der Informationssicherheit und sind das Fundament jeder Sicherheitsstrategie.

Die 3 Schutzziele der Informationssicherheit

Die Schutzziele der Informationssicherheit — oft als CIA-Triade bezeichnet (Confidentiality, Integrity, Availability) — bilden das Herzstück jedes Sicherheitskonzepts. Jedes Unternehmen muss diese drei Grundwerte kennen, verstehen und aktiv schützen.

Vertraulichkeit (Confidentiality)

Vertraulichkeit stellt sicher, dass Informationen nur autorisierten Personen zugänglich sind. Unbefugte dürfen keinen Zugriff auf sensible Daten erhalten — weder aktiv durch Angriffe noch passiv durch mangelnde Schutzmaßnahmen.

Typische Maßnahmen zur Gewährleistung der Vertraulichkeit:

• Verschlüsselung von Daten bei Speicherung und Übertragung (AES-256, TLS 1.3)
• Rollenbasierte Zugriffskontrollen (RBAC) und Need-to-know-Prinzip
• Multi-Faktor-Authentifizierung (MFA) für alle kritischen Systeme
• Physische Zugangskontrollen zu Serverräumen und Archiven
• Vertraulichkeitsvereinbarungen (NDAs) mit Mitarbeitern und Dienstleistern

Ein Verstoß gegen die Vertraulichkeit liegt beispielsweise vor, wenn Patientendaten eines Krankenhauses durch eine Sicherheitslücke öffentlich zugänglich werden oder wenn ein Mitarbeiter vertrauliche Geschäftsstrategien an Dritte weitergibt.

Integrität (Integrity)

Integrität bedeutet, dass Informationen korrekt, vollständig und unverändert bleiben. Jede unautorisierte Modifikation — ob absichtlich durch Angreifer oder versehentlich durch Systemfehler — muss verhindert oder zumindest erkannt werden.

Maßnahmen zum Schutz der Integrität:

• Prüfsummen und Hash-Werte zur Erkennung von Datenmanipulationen
• Digitale Signaturen für Dokumente und Softwarepakete
• Versionskontrolle und Änderungsprotokolle (Audit-Trails)
• Regelmäßige Backups mit Integritätsprüfung
• Schreibschutz für kritische Systemdateien und Datenbanken

Verfügbarkeit (Availability)

Verfügbarkeit garantiert, dass Informationen und IT-Systeme zum benötigten Zeitpunkt funktionsfähig und nutzbar sind. Ausfallzeiten können für Unternehmen existenzbedrohend sein — besonders bei zeitkritischen Geschäftsprozessen.

Maßnahmen zur Sicherstellung der Verfügbarkeit:

• Redundante Systeme und Hochverfügbarkeitscluster
• Disaster-Recovery-Pläne und Business-Continuity-Management (BCM)
• Regelmäßige Backups nach der 3-2-1-Regel
• Unterbrechungsfreie Stromversorgung (USV) und Notstromgeneratoren
• DDoS-Schutz und Lastverteilung (Load Balancing)
• Service-Level-Agreements (SLAs) mit definierten Verfügbarkeitsgarantien

Neben diesen drei Kernzielen werden in der Praxis häufig weitere Schutzziele ergänzt: Authentizität (Echtheit der Identität), Nichtabstreitbarkeit (Verbindlichkeit von Handlungen) und Zurechenbarkeit (Nachverfolgbarkeit von Aktionen).

Informationssicherheit vs. IT-Sicherheit vs. Datenschutz — Die Unterschiede

Die Begriffe Informationssicherheit, IT-Sicherheit und Datenschutz werden im Alltag häufig synonym verwendet. Tatsächlich handelt es sich jedoch um unterschiedliche Konzepte mit eigenen Schwerpunkten. Für Informationssicherheit im Unternehmen ist es wichtig, alle drei Bereiche zu verstehen und voneinander abzugrenzen.

Informationssicherheit — der vollständige Rahmen

Informationssicherheit ist der weiteste Begriff der drei Konzepte. Sie schützt alle Informationen eines Unternehmens — unabhängig vom Medium. Das schließt Papierdokumente in Aktenschränken ebenso ein wie mündlich weitergegebenes Wissen, Whiteboards in Besprechungsräumen und natürlich digitale Daten.

IT-Sicherheit — Teilmenge der Informationssicherheit

IT-Sicherheit (auch Cyber-Sicherheit) konzentriert sich auf den Schutz elektronisch gespeicherter und verarbeiteter Informationen sowie der zugehörigen IT-Infrastruktur. Sie ist damit eine Teilmenge der Informationssicherheit. Typische Themen sind Firewall-Konfiguration, Endpoint-Protection, Netzwerksicherheit und Patch-Management. Ein IT-Sicherheitsbeauftragter kümmert sich primär um diese technischen Aspekte.

Datenschutz — Schutz personenbezogener Daten

Datenschutz betrifft ausschließlich den Schutz personenbezogener Daten natürlicher Personen. Die Rechtsgrundlage bildet in Europa die DSGVO (Datenschutz-Grundverordnung). Während die Informationssicherheit alle Informationen schützt, fokussiert sich der Datenschutz auf die Rechte und Freiheiten betroffener Personen.

Kriterium	Informationssicherheit	IT-Sicherheit	Datenschutz
Schutzobjekt	Alle Informationen	Digitale Daten und IT-Systeme	Personenbezogene Daten
Medium	Analog + digital	Nur digital	Analog + digital
Rechtsgrundlage	ISO 27001, BSI-Grundschutz	IT-SiG 2.0, NIS2	DSGVO, BDSG
Verantwortlich	ISB / CISO	IT-Sicherheitsbeauftragter	Datenschutzbeauftragter
Fokus	CIA-Triade	Technische Maßnahmen	Betroffenenrechte

In der Praxis überschneiden sich die drei Bereiche erheblich. Ein vollständiges Sicherheitskonzept muss alle drei Perspektiven integrieren.

Warum ist Informationssicherheit für Unternehmen wichtig?

Informationssicherheit im Unternehmen ist heute ein geschäftskritischer Erfolgsfaktor. Die Gründe dafür sind verschieden und betreffen Unternehmen jeder Größe — vom mittelständischen Betrieb in Sachsen bis zum internationalen Konzern.

Steigende Bedrohungslage

Das BSI stuft die Bedrohungslage für Deutschland als angespannt bis kritisch ein. Ransomware-Angriffe, Supply-Chain-Attacken und Social Engineering nehmen stetig zu. Laut Bitkom-Studie entstehen der deutschen Wirtschaft jährlich Schäden von über 200 Milliarden Euro durch Cyberangriffe, Datendiebstahl und Sabotage.

Finanzielle Risiken minimieren

• Direkte Kosten: Lösegeldforderungen, Wiederherstellung von Systemen, forensische Analysen
• Indirekte Kosten: Betriebsunterbrechungen, Produktivitätsverluste, Vertragsstrafen
• Langfristige Kosten: Reputationsschäden, Kundenverlust, Kurseinbrüche bei börsennotierten Unternehmen
• Bußgelder: Bis zu 20 Mio. Euro oder 4 Prozent des Jahresumsatzes bei DSGVO-Verstößen, bis zu 10 Mio. Euro bei NIS2-Verstößen

Wettbewerbsvorteil und Vertrauen

Unternehmen mit nachweislich hohem Sicherheitsniveau — etwa durch eine ISO-27001-Zertifizierung — genießen deutlich mehr Vertrauen bei Kunden, Partnern und Investoren. In vielen Branchen ist ein funktionierendes ISMS bereits Voraussetzung für die Teilnahme an Ausschreibungen.

Geschäftskontinuität sichern

Ein durchdachtes Informationssicherheitskonzept stellt sicher, dass Geschäftsprozesse auch bei Störungen oder Angriffen aufrechterhalten werden können. Business Continuity Management (BCM) und Notfallpläne sind integrale Bestandteile einer vollständigen Sicherheitsstrategie.

Gesetzliche Anforderungen an die Informationssicherheit

Die regulatorischen Anforderungen an die Informationssicherheit haben in den vergangenen Jahren erheblich zugenommen. Unternehmen müssen eine Vielzahl von Gesetzen, Normen und Richtlinien beachten.

NIS2-Richtlinie

Die NIS2-Richtlinie der Europäischen Union erweitert den Kreis der betroffenen Unternehmen massiv. Schätzungsweise 30.000 Unternehmen in Deutschland fallen nun unter die verschärften Anforderungen. Die Richtlinie verlangt unter anderem:

• Risikomanagement und technisch-organisatorische Maßnahmen
• Meldepflichten bei Sicherheitsvorfällen (24 Stunden Erstmeldung)
• Supply-Chain-Sicherheit und Lieferantenmanagement
• Persönliche Haftung der Geschäftsführung
• Regelmäßige Schulungen und Sensibilisierung

KRITIS-Regulierung

Betreiber kritischer Infrastrukturen (KRITIS) — Energie, Wasser, Gesundheit, Transport, Finanzen — unterliegen besonders strengen Anforderungen nach dem BSI-Gesetz. Sie müssen dem BSI nachweisen, dass ihre IT-Sicherheit dem Stand der Technik entspricht.

ISO/IEC 27001

Die internationale Norm ISO 27001 ist der weltweit anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Die aktuelle Version ISO 27001:2022 definiert Anforderungen an Aufbau, Implementierung, Betrieb, Überwachung und kontinuierliche Verbesserung eines ISMS. Die Zertifizierung ist freiwillig, wird jedoch in vielen Branchen de facto vorausgesetzt.

BSI IT-Grundschutz

Das BSI IT-Grundschutz-Kompendium bietet einen praxisorientierten Rahmen zur Umsetzung von Informationssicherheit in Behörden und Unternehmen. Es beschreibt Standard-Sicherheitsmaßnahmen für typische IT-Umgebungen und ist vollständig kompatibel mit der ISO 27001. Die BSI-Grundschutz-Zertifizierung (ISO 27001 auf Basis von IT-Grundschutz) ist besonders im öffentlichen Sektor verbreitet.

Weitere relevante Regelwerke

• DSGVO: Verpflichtet zur Umsetzung technisch-organisatorischer Maßnahmen (TOMs) zum Schutz personenbezogener Daten
• IT-Sicherheitsgesetz 2.0: Erweiterte Pflichten für KRITIS-Betreiber und Unternehmen im besonderen öffentlichen Interesse
• TISAX: Branchenspezifischer Standard der Automobilindustrie auf Basis der ISO 27001
• DORA: Digital Operational Resilience Act für den Finanzsektor

Der Informationssicherheitsbeauftragte — Rolle und Aufgaben

Der Informationssicherheitsbeauftragte (ISB) ist die zentrale Ansprechperson für alle Belange der Informationssicherheit im Unternehmen. In größeren Organisationen wird diese Rolle auch als CISO (Chief Information Security Officer) bezeichnet.

Kernaufgaben des ISB

• ISMS aufbauen und pflegen: Konzeption, Implementierung und Weiterentwicklung des Informationssicherheitsmanagementsystems
• Risikoanalyse und -bewertung: Systematische Identifikation und Bewertung von Bedrohungen und Schwachstellen
• Sicherheitsrichtlinien entwickeln: Erstellung und Aktualisierung von Policies, Standards und Verfahrensanweisungen
• Mitarbeiterschulungen durchführen: Awareness-Programme und Sicherheitstrainings
• Incident Response koordinieren: Vorfallmanagement und forensische Aufarbeitung
• Audits begleiten: Vorbereitung und Begleitung interner und externer Audits
• Geschäftsführung beraten: Regelmäßiges Reporting an die Unternehmensleitung

Wann braucht ein Unternehmen einen ISB?

Die Pflicht zur Bestellung eines Informationssicherheitsbeauftragten ergibt sich aus verschiedenen Regelwerken. KRITIS-Betreiber, NIS2-betroffene Unternehmen und Organisationen mit ISO-27001-Zertifizierung benötigen zwingend einen ISB. Doch auch freiwillig ist die Benennung eines ISB für jedes Unternehmen mit schützenswerten Informationen sinnvoll.

Gerade kleine und mittlere Unternehmen (KMU) profitieren von einem externen Informationssicherheitsbeauftragten. Dieser bringt branchenübergreifende Erfahrung mit, ist sofort einsatzbereit und verursacht deutlich geringere Kosten als eine interne Vollzeitstelle.

ISMS — Informationssicherheitsmanagementsystem aufbauen

Ein Informationssicherheitsmanagementsystem (ISMS) ist ein systematischer Ansatz zur Steuerung und kontinuierlichen Verbesserung der Informationssicherheit. Es umfasst Richtlinien, Prozesse, Verfahren und technische Maßnahmen — eingebettet in einen fortlaufenden Verbesserungszyklus.

Die Phasen des ISMS-Aufbaus

Der Aufbau eines ISMS folgt typischerweise dem PDCA-Zyklus (Plan-Do-Check-Act):

Phase 1: Planung (Plan)

• Festlegung des Anwendungsbereichs (Scope) des ISMS
• Bestandsaufnahme aller Informationswerte (Asset-Inventar)
• Durchführung einer vollständigen Risikoanalyse
• Erstellung der Informationssicherheitsleitlinie
• Definition von Sicherheitszielen und Verantwortlichkeiten

Phase 2: Umsetzung (Do)

• Implementierung der ausgewählten Sicherheitsmaßnahmen
• Schulung und Sensibilisierung aller Mitarbeiter
• Dokumentation aller Prozesse und Verfahren
• Einführung von Monitoring und Logging

Phase 3: Überprüfung (Check)

• Durchführung interner Audits
• Überwachung der Wirksamkeit von Maßnahmen
• Analyse von Sicherheitsvorfällen und Beinahe-Vorfällen
• Management-Review durch die Geschäftsführung

Phase 4: Verbesserung (Act)

• Umsetzung von Korrekturmaßnahmen
• Anpassung des ISMS an veränderte Bedrohungslagen
• Integration neuer Anforderungen und Best Practices
• Kontinuierliche Optimierung der Sicherheitsprozesse

Erfolgsfaktoren für das ISMS

Der Erfolg eines ISMS hängt maßgeblich von folgenden Faktoren ab:

• Unterstützung der Geschäftsführung: Das Management muss die Informationssicherheit aktiv fördern und vorleben (Tone from the Top)
• Angemessenheit: Die Maßnahmen müssen zum Unternehmen passen — weder überdimensioniert noch zu gering
• Einbindung aller Mitarbeiter: Informationssicherheit ist nicht nur Sache der IT-Abteilung, sondern betrifft alle Unternehmensbereiche
• Dokumentation: Nachvollziehbare Dokumentation aller Entscheidungen, Risiken und Maßnahmen
• Regelmäßige Überprüfung: Ein ISMS ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess

Maßnahmen zur Verbesserung der Informationssicherheit

Effektive Informationssicherheit erfordert ein Zusammenspiel aus technischen, organisatorischen und personellen Maßnahmen. Hier finden Sie die wichtigsten Handlungsfelder für Unternehmen.

Technische Maßnahmen

• Netzwerksicherheit: Firewalls, Intrusion Detection/Prevention Systems (IDS/IPS), Netzwerksegmentierung, VPN für Remote-Zugriffe
• Endpoint Security: Aktuelle Antivirus-Software, Endpoint Detection and Response (EDR), Festplattenverschlüsselung
• Patch-Management: Zeitnahe Aktualisierung aller Software und Betriebssysteme — Schwachstellen werden häufig innerhalb weniger Stunden nach Bekanntwerden ausgenutzt
• Zugriffsmanagement: Multi-Faktor-Authentifizierung, Privileged Access Management (PAM), Single Sign-On (SSO)
• Datensicherung: Automatisierte Backups nach der 3-2-1-Regel (3 Kopien, 2 Medien, 1 extern), regelmäßige Wiederherstellungstests
• Monitoring und Logging: SIEM-Systeme (Security Information and Event Management) zur Echtzeitüberwachung

Organisatorische Maßnahmen

• Sicherheitsrichtlinien: Klare, verständliche Policies für alle Mitarbeiter (Passwortrichtlinie, Clean-Desk-Policy, BYOD-Regelung)
• Risikomanagement: Regelmäßige Risikoanalysen und -bewertungen als Grundlage für Investitionsentscheidungen
• Notfallmanagement: Dokumentierte Notfallpläne, regelmäßige Notfallübungen, definierte Eskalationswege
• Lieferantenmanagement: Sicherheitsanforderungen in Verträgen, regelmäßige Überprüfung von Dienstleistern
• Klassifizierung von Informationen: Einstufung nach Schutzbedarf (öffentlich, intern, vertraulich, streng vertraulich)

Personelle Maßnahmen

• Security Awareness: Regelmäßige Schulungen und Sensibilisierungskampagnen für alle Mitarbeiter
• Phishing-Simulationen: Praxisnahe Tests zur Überprüfung der Mitarbeiter-Wachsamkeit
• Onboarding und Offboarding: Strukturierte Prozesse bei Eintritt und Austritt von Mitarbeitern
• Verantwortlichkeiten: Klare Zuordnung von Rollen und Verantwortlichkeiten für die Informationssicherheit

Die Wahl der richtigen Maßnahmen hängt stets vom individuellen Risikoprofil des Unternehmens ab. Eine professionelle Risikoanalyse ist daher der erste und wichtigste Schritt auf dem Weg zu mehr Informationssicherheit.

Häufig gestellte Fragen zur Informationssicherheit

Verwandte Themen

• Aufgaben des Informationssicherheitsbeauftragten
• IT-Grundschutz
• ISO 27000 Normenreihe
• ISO 27002 Maßnahmen
• ISMS-Tools
• TISAX-Anforderungen
• Cyber-Versicherung
• Datensicherheit
• SIEM
• Phishing-Schutz