Die Schutzziele der Informationssicherheit, nach dem IT-Grundschutz-Kompendium des BSI auch Grundwerte genannt, sind die drei Werte Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, deren angemessener Schutz nach dem BSI-Gesetz Informationssicherheit ist.
Auf einen Blick
Das BSI-Gesetz definiert Informationssicherheit als angemessenen Schutz von Vertraulichkeit, Integrität und Verfügbarkeit.
Der BSI-Standard 200-2 behandelt Authentizität und Nichtabstreitbarkeit als Spezialfälle der Integrität.
Die NIS-2-Richtlinie nennt bei der Sicherheit von Netz- und Informationssystemen zusätzlich die Authentizität.
Was sind die Schutzziele der Informationssicherheit?
Als Schutzziele benennt das IT-Grundschutz-Kompendium des BSI drei Werte: Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit ist nach dem Kompendium des BSI der Schutz vor unbefugter Preisgabe von Informationen. Informationssicherheit selbst hat nach dem Kompendium den Schutz von Informationen als Ziel. Der BSI-Standard 200-2 führt Geheimhaltung (Vertraulichkeit), Korrektheit und Unverfälschtheit (Integrität) sowie Verfügbarkeit nebeneinander auf. Außerdem schließt er Authentizität und Nichtabstreitbarkeit als Spezialfälle der Integrität ein, und je nach Anwendungsfall kann es hilfreich sein, weitere Grundwerte in die Betrachtungen einzubeziehen.
Prüft ein Versicherer ein neues Kundenportal, misst er es an den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit, die das BSI-Gesetz in der Definition der Informationssicherheit nennt; die NIS-2-Richtlinie nennt für die Sicherheit von Netz- und Informationssystemen zusätzlich die Authentizität. Im Bereich Datenschutz werden nach dem BSI-Standard 200-2 im Rahmen des Standard-Datenschutzmodells weitere Schutzziele herangezogen, sodass die drei Werte nicht für jeden Bereich die vollständige Liste sind. Das im staatlichen Geheimschutz benutzte Klassifikationsschema (VS – NUR FÜR DEN DIENSTGEBRAUCH bis STRENG GEHEIM) bezieht sich nach dem BSI-Standard 200-2 auf den kleinen Bereich der Verschlusssachen; für die Vielzahl weiterer Informationen in Unternehmen und Behörden, die ebenfalls geschützt werden müssen, lässt es große Lücken.
Wie hängen die Schutzziele der Informationssicherheit zusammen?
Das BSI-Gesetz nennt Vertraulichkeit, Integrität und Verfügbarkeit gemeinsam als Gegenstand des angemessenen Schutzes, den es Informationssicherheit nennt. Es beschreibt diesen Schutz im Wortlaut der Definition als angemessen; was als angemessen gilt, nennt die Definition nicht. Das IT-Grundschutz-Kompendium des BSI führt dieselben drei Werte als Schutzziele oder Grundwerte auf. Auch die Definition der Sicherheit in der Informationstechnik im BSI-Gesetz beschreibt die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen in informationstechnischen Systemen, Komponenten oder Prozessen oder bei der Anwendung informationstechnischer Systeme, Komponenten oder Prozesse.
Die NIS-2-Richtlinie beschreibt in Artikel 6 Nummer 2 die Sicherheit von Netz- und Informationssystemen als Fähigkeit, auf einem bestimmten Vertrauensniveau alle Ereignisse abzuwehren, die die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der über diese Systeme angebotenen Dienste beeinträchtigen können. Authentizität steht in der Richtlinie damit als eigener Begriff neben den drei Zielen, im BSI-Standard 200-2 dagegen als Spezialfall der Integrität.
Schutzziele der Informationssicherheit im Vergleich
Im BSI-Standard 200-2 sind die Schutzziele der Informationssicherheit drei Grundwerte: Vertraulichkeit, Integrität und Verfügbarkeit. Die Geheimhaltung steht dort als „Geheimhaltung (Vertraulichkeit)“ neben Korrektheit und Unverfälschtheit (Integrität) und Verfügbarkeit. Die Schutzziele gelten für Informationen jeglicher Art und Herkunft (BSI-Standard 200-1); im Bereich Datenschutz werden im Rahmen des Standard-Datenschutzmodells weitere Schutzziele herangezogen (BSI-Standard 200-2). Das Schema der Verschlusssachen bezieht sich nach dem BSI-Standard 200-2 auf den kleinen Bereich der im öffentlichen Interesse geheimhaltungsbedürftigen Informationen oder Gegenstände.
Schutzziele der Informationssicherheit: Woran erkenne ich, welches Schutzziel verletzt ist?
| Merkmal | Worauf es ankommt |
|---|---|
| Vertraulichkeit | Vertraulichkeit ist der Schutz vor unbefugter Preisgabe von Informationen (IT-Grundschutz-Kompendium des BSI); verletzt ist sie, wenn Informationen unbefugt preisgegeben werden. |
| Integrität | Schutz vor unzulässiger Veränderung oder Zerstörung von Informationen, einschließlich der Sicherstellung von Nichtabstreitbarkeit und Authentizität (NIST). |
| Verfügbarkeit | Rechtzeitiger und zuverlässiger Zugang zu Informationen und deren Nutzung (NIST). |
Beispiele aus der Praxis
- Ein Angreifer liest über eine Schwachstelle in einem Webshop unverschlüsselte Kundendaten aus der Datenbank aus; damit ist das Schutzziel Vertraulichkeit berührt.
- Werden unverschlüsselte Anmeldedaten in einem ungesicherten WLAN abgefangen, ist die Vertraulichkeit der Kommunikation betroffen.
- Sendet ein Mitarbeiter versehentlich eine vertrauliche Preisliste an einen externen Verteiler, wird die Vertraulichkeit durch eine organisatorische Schwachstelle verletzt.
- Ein Versicherer misst ein neues Kundenportal an Vertraulichkeit, Integrität und Verfügbarkeit; für die Sicherheit von Netz- und Informationssystemen nennt die NIS-2-Richtlinie zusätzlich die Authentizität.
