Schutzziele der Informationssicherheit

Schutzziele der Informationssicherheit – CIA-Triade und erweiterte Ziele im Überblick

Die Schutzziele der Informationssicherheit bilden das Fundament jeder Sicherheitsstrategie. Sie definieren, welche Eigenschaften von Informationen und IT-Systemen im Kontext der Informationssicherheit geschützt werden müssen. Ohne ein klares Verständnis dieser Ziele ist ein wirksames Informationssicherheits-Managementsystem (ISMS) nicht möglich. Auf dieser Seite erklären wir die klassische CIA-Triade, erweiterte Schutzziele und konkrete Maßnahmen für Ihr Unternehmen.

Die CIA-Triade: Drei Kernziele der Informationssicherheit

Die drei grundsätzlichen Schutzziele werden international als CIA-Triade bezeichnet – abgeleitet von den englischen Begriffen Confidentiality, Integrity, Availability. Sie bilden den Kern jeder Sicherheitsbetrachtung nach ISO 27001 und BSI IT-Grundschutz. Jedes einzelne Schutzziel muss bei der Konzeption von Sicherheitsmaßnahmen berücksichtigt werden – eine Lücke in einem Bereich kann die gesamte Sicherheitsarchitektur gefährden.

1. Vertraulichkeit (Confidentiality)

Vertraulichkeit bedeutet, dass Informationen nur für berechtigte Personen zugänglich sind. Unbefugte dürfen keinen Zugang zu sensiblen Daten erhalten – weder aktiv durch gezielten Zugriff noch passiv durch Abhören oder Mitlesen.

Typische Bedrohungen für die Vertraulichkeit:

• Unbefugter Zugriff auf Datenbanken oder Dateisysteme
• Abfangen von Daten bei der Übertragung (Man-in-the-Middle-Angriffe)
• Social Engineering und gezielte Phishing-Angriffe
• Unzureichende Zugriffskontrollen und fehlende Rechtetrennung
• Datendiebstahl durch Innentäter oder ehemalige Mitarbeiter
• Ungeschützte Datenträger (USB-Sticks, Laptops, Smartphones)

Maßnahmen zum Schutz der Vertraulichkeit:

• Verschlüsselung – Daten im Ruhezustand und bei der Übertragung verschlüsseln (AES-256, TLS 1.3)
• Zugriffskontrollen – Rollenbasierte Berechtigungen nach dem Need-to-know-Prinzip und dem Prinzip der minimalen Berechtigung
• Multi-Faktor-Authentifizierung (MFA) – Zusätzliche Sicherheitsebene bei der Anmeldung an kritischen Systemen
• Datenklassifizierung – Systematische Einstufung von Informationen nach Schutzbedarf (normal, hoch, sehr hoch)
• Awareness-Schulungen – Mitarbeiter für Social-Engineering-Angriffe und den sicheren Umgang mit Daten sensibilisieren

Praxisbeispiel: Ein Unternehmen klassifiziert seine Kundendaten als „vertraulich“ und stellt sicher, dass nur Mitarbeiter mit entsprechender Berechtigung darauf zugreifen können. Die Daten werden verschlüsselt gespeichert und bei der Übertragung per TLS geschützt.

2. Integrität (Integrity)

Integrität stellt sicher, dass Daten vollständig, korrekt und unverändert sind. Jede unbefugte oder unbeabsichtigte Änderung muss erkennbar sein. Man unterscheidet zwischen Datenintegrität (Schutz der Daten selbst) und Systemintegrität (korrektes Funktionieren der IT-Systeme).

Typische Bedrohungen für die Integrität:

• Gezielte Manipulation von Daten durch Angreifer
• Fehlerhafte Software-Updates oder unkontrollierte Konfigurationsänderungen
• Übertragungsfehler in Netzwerken
• Malware, die Dateien und Systemkonfigurationen verändert
• Menschliche Fehler bei der Dateneingabe oder Systemadministration

Maßnahmen zum Schutz der Integrität:

• Hash-Funktionen und digitale Signaturen – Kryptographische Prüfsummen zur Erkennung von Veränderungen
• Versionskontrolle – Nachvollziehbare Änderungshistorie für Dokumente, Code und Konfigurationen
• Eingabevalidierung – Plausibilitätsprüfungen und Formatkontrollen bei der Dateneingabe
• Zugriffsprotokollierung – Lückenlose Dokumentation aller Änderungen in Audit-Logs
• Change-Management-Prozesse – Kontrollierte, genehmigte und dokumentierte Änderungen an IT-Systemen

Praxisbeispiel: Eine Buchhaltungssoftware verwendet digitale Signaturen, um sicherzustellen, dass Rechnungsdaten nicht nachträglich verändert werden können. Jede Änderung wird mit Zeitstempel und Benutzerkennung protokolliert.

3. Verfügbarkeit (Availability)

Verfügbarkeit bedeutet, dass IT-Systeme und Informationen für berechtigte Nutzer jederzeit innerhalb vereinbarter Zeiten zugänglich sind. Die geforderte Verfügbarkeit wird häufig in Service Level Agreements (SLAs) definiert – beispielsweise 99,9 % Verfügbarkeit pro Jahr.

Typische Bedrohungen für die Verfügbarkeit:

• DDoS-Angriffe (Distributed Denial of Service)
• Hardware-Ausfälle und Serverprobleme
• Ransomware-Angriffe, die Systeme und Daten verschlüsseln
• Naturkatastrophen (Hochwasser, Brand, Stromausfall)
• Fehlkonfigurationen und menschliche Fehler bei der Systemadministration

Maßnahmen zum Schutz der Verfügbarkeit:

• Redundante Systeme – Ausfallsichere Infrastruktur mit automatischen Failover-Mechanismen
• Backup-Strategien – Regelmäßige, getestete Datensicherungen nach der 3-2-1-Regel
• Notfallplanung – Dokumentierte Business Continuity und Disaster Recovery Pläne
• Monitoring – Proaktive 24/7-Überwachung von Systemen, Netzwerken und Diensten
• DDoS-Schutz – Spezielle Schutzmechanismen und CDN-Lösungen gegen Überlastungsangriffe

Praxisbeispiel: Ein Online-Shop betreibt seine Server in zwei unabhängigen Rechenzentren. Bei Ausfall eines Standorts übernimmt der andere automatisch den Betrieb. Tägliche Backups werden an einem dritten Standort gespeichert und regelmäßig auf Wiederherstellbarkeit getestet.

Erweiterte Schutzziele der Informationssicherheit

Neben der klassischen CIA-Triade definieren internationale Standards wie ISO 27001 und der BSI IT-Grundschutz weitere Schutzziele, die für ein vollständiges Sicherheitskonzept relevant sind:

Authentizität

Authentizität gewährleistet, dass die Identität eines Kommunikationspartners oder die Herkunft von Daten zweifelsfrei nachgewiesen werden kann. Maßnahmen umfassen digitale Zertifikate, biometrische Verfahren, Public-Key-Infrastrukturen (PKI) und starke Authentifizierungsmechanismen. In der Praxis ist Authentizität die Voraussetzung für vertrauenswürdige digitale Kommunikation.

Nicht-Abstreitbarkeit (Non-Repudiation)

Nicht-Abstreitbarkeit stellt sicher, dass eine durchgeführte Aktion nicht nachträglich abgestritten werden kann. Dies wird durch qualifizierte digitale Signaturen, vertrauenswürdige Zeitstempel und revisionssichere Protokollierung erreicht. Besonders wichtig ist dieses Schutzziel bei elektronischen Vertragsabschlüssen, Finanztransaktionen und behördlichen Vorgängen.

Zurechenbarkeit (Accountability)

Zurechenbarkeit ermöglicht die eindeutige Zuordnung einer Aktion zu einer bestimmten Person oder einem System. Voraussetzung sind personalisierte Benutzerkonten (keine Sammelaccounts), lückenlose Audit-Trails, zentrale Log-Management-Systeme (SIEM) und eine konsequente Protokollierung aller sicherheitsrelevanten Aktivitäten.

Schutzziele im Kontext von Normen und Standards

Die Schutzziele werden in verschiedenen internationalen und nationalen Normen unterschiedlich gewichtet und adressiert:

Erfahren Sie mehr über die Anforderungen der ISO 27001 Zertifizierung und den Unterschied zwischen Datenschutz und Informationssicherheit.

Häufig gestellte Fragen zu den Schutzzielen

Was ist der Unterschied zwischen Datenschutz und Informationssicherheit?

Der Datenschutz schützt personenbezogene Daten natürlicher Personen (DSGVO), während die Informationssicherheit sämtliche Informationen und IT-Systeme eines Unternehmens umfasst. Die Schutzziele überlappen sich teilweise, haben aber unterschiedliche Rechtsgrundlagen und Perspektiven. Mehr dazu erfahren Sie auf unserer Seite zum Unterschied Datenschutz und Informationssicherheit.

Welches Schutzziel ist am wichtigsten?

Alle drei Kernschutzziele sind gleich wichtig – die Gewichtung hängt jedoch vom jeweiligen Kontext ab. Für ein Krankenhaus steht die Verfügbarkeit oft im Vordergrund, für eine Anwaltskanzlei die Vertraulichkeit und für eine Buchhaltung die Integrität.

Wie werden Schutzziele in der Praxis umgesetzt?

Die Umsetzung erfolgt durch eine Kombination aus technischen Maßnahmen (Verschlüsselung, Firewalls, Backup), organisatorischen Maßnahmen (Richtlinien, Prozesse, Schulungen) und physischen Maßnahmen (Zutrittskontrollen, Serverraumsicherung).

Schutzziele in der Praxis umsetzen – So unterstützt DATUREX

Die Umsetzung der Schutzziele erfordert einen systematischen Ansatz. Die DATUREX GmbH aus Dresden unterstützt Unternehmen sachsenweit bei der praktischen Implementierung:

• Schutzbedarfsfeststellung – Bewertung aller Informationswerte nach den Schutzzielen
• Risikoanalyse – Identifikation und Bewertung von Bedrohungen für jedes Schutzziel
• Maßnahmenplanung – Auswahl angemessener technischer und organisatorischer Schutzmaßnahmen
• ISMS-Aufbau – Systematisches Management aller Sicherheitsmaßnahmen
• Awareness-Schulungen – Vermittlung der Schutzziele an alle Mitarbeiter
• Regelmäßige Audits – Überprüfung der Wirksamkeit implementierter Maßnahmen

Mehr über unsere Beratungsleistungen erfahren Sie auf der Seite IT-Sicherheit Beratung.

Kontaktieren Sie die DATUREX GmbH für eine kostenlose Erstberatung – Wir helfen Ihnen, die Schutzziele der Informationssicherheit in Ihrem Unternehmen systematisch umzusetzen und nachhaltig zu verankern.