Informationssicherheit

Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung und -speicherung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken.

In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe oder dem US-System der System and Organization Controls (SOC). Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet. Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung.

Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller. Die Umsetzung aus der Cyberresilienz-Verordnung schafft dabei auch Sicherheit auf Hardwareebene und schützt dadurch auch die Betreiber von Anlagen und Maschinen, indirekt auch die Verbraucher.

Begriffsbeschreibungen Informationssicherheit hat das Ziel, Informationen hinsichtlich der drei Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität zu schützen. Je nach Quelle bezieht sich der Begriff ausschließlich auf die Informationstechnik (IT) oder schließt auch nicht-technische Systeme ein. In einem IT-System ist Informationssicherheit die Eigenschaft, nur solche Systemzustände anzunehmen, die nicht zu einer unautorisierten Datenmanipulation oder Datenpreisgabe führen.

Der Begriff Informationssicherheit bezieht sich oft auf eine globale Informationssicherheit, bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist oder der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht. In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss.

Daneben bezieht sich der Begriff auch auf die Sicherheit unter einem bestimmten Szenarium. In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist. Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann.Einfache Darstellung der Informationssicherheit

Die nachfolgenden Begriffe sind Aspekte des umfassenden Begriffs der Informationssicherheit. Je nach Autor und sprachlichem Umfeld werden sie teils unterschiedlich interpretiert. Abzugrenzen ist die Informationssicherheit von der funktionalen Sicherheit: dem Schutz von Personen und Umwelt vor den Gefahren einer technischen Anlage.

Informationssicherheit (information security) umfasst IT-Sicherheit (IT security) ebenso wie Cyber-Sicherheit (cyber-security). Dabei ist Cyber-Sicherheit der Teil der IT-Sicherheit, die v. a. auf Angriffe und Gefahren für Netzwerke sowie Gefahren aus dem Internet ausgerichtet ist.

IT-Sicherheit Unter IT-Sicherheit versteht man Strategien und Maßnahmen, um die Verfügbarkeit von IT-Systemen zu gewährleisten und den unerlaubten Zugriff sowie die unberechtigte Veränderung von Informationen zu vermeiden. Die IT-Sicherheit bedeutet damit Abschottung eingesetzter IT-Systeme gegen Angriffe von außen und Schutz vor drohenden Gefahren von innen.

IT-Systeme sind Teil der soziotechnischen Systeme. Daher kommt der IT-Sicherheit eine Schlüsselrolle für die Sicherheit von soziotechnischen Systemen zu. Zu den Aufgaben der IT-Sicherheit gehört der Schutz von IT-Systemen von Organisationen (zum Beispiel Unternehmen) gegen Bedrohungen. Damit soll unter anderem wirtschaftlicher Schaden verhindert werden.Claudia Eckert: IT-Sicherheit. Konzepte – Verfahren – Protokolle. 7., überarbeitete und erweiterte Auflage. Oldenbourg, 2012, ISBN 978-3-486-70687-1

IT-Sicherheit ist ein Teil der Informationssicherheit. In Abgrenzung zu IT-Sicherheit umfasst Informationssicherheit neben der Sicherheit der IT-Systeme und der darin gespeicherten Daten auch die Sicherheit von nicht elektronisch verarbeiteten Informationen. Beispiel: Die Prinzipien der Informationssicherheit können auch auf per Hand auf Papier notierte Rezepte eines Restaurants angewendet werden, da Vertraulichkeit, Integrität und Verfügbarkeit der Rezepte für das Restaurant extrem wichtig sein können, selbst wenn dieses Restaurant vollkommen ohne Einsatz irgendeines IT-Systems betrieben wird.

Computersicherheit Computersicherheit: die Sicherheit eines Computersystems vor: Ausfall (man spricht von ungeplanter oder geplanter Ausfallzeit, engl. downtime), Manipulation (Datensicherheit) sowie unerlaubtem Zugriff.

Netzwerksicherheit

Netzwerksicherheit bezieht sich auf die Sicherheit von Rechnernetzen und die Absicherung der Computer vor Angriffen, die über ein Rechnernetz durchgeführt werden.

Datensicherheit Datensicherheit ist häufig mit dem Datenschutz verknüpft, die von diesem zu unterscheiden ist: Datensicherheit hat das technische Ziel, Daten jeglicher Art gegen Verlust, Manipulationen und andere Bedrohungen zu sichern. Die Datensicherheit ist eine Voraussetzung für den Datenschutz. Aber das frühere Bundesdatenschutzgesetz nannte den Begriff der Datensicherheit lediglich im damaligen § 9a BDSG im Zusammenhang mit dem ebenfalls nicht näher definierten „Datenschutzaudit“.

Es gibt einen Ansatz namens Datenzentrierte Sicherheit (englisch Data-centric security), bei dem die Sicherheit der Daten selbst im Vordergrund steht und nicht die Sicherheit von Netzwerken, Servern oder Anwendungen.

Datensicherung

Datensicherung ist ein Synonym für das englischsprachige „Backup“ (dt. Sicherung), es war der ursprüngliche gesetzliche Begriff für Datensicherheit.

Datenschutz

Beim Datenschutz geht es nicht um den Schutz von allgemeinen Daten vor Schäden, sondern um den Schutz personenbezogener Daten vor Missbrauch („Datenschutz ist Personenschutz“). Der Schutz personenbezogener Daten stützt sich auf das Prinzip der informationellen Selbstbestimmung. Diese wurde im BVerfG-Urteil zur Volkszählung festgeschrieben. Geschützt werden muss dabei die Privatsphäre, d. h. Persönlichkeitsdaten bzw. Anonymität müssen gewahrt bleiben. Datenschutz verlangt über die Datensicherheit hinaus den Ausschluss des Zugangs zu Daten mit unberechtigtem Lesen durch unbefugte Dritte. Das deutsche Bundesdatenschutzgesetz beschreibt in ausschließlich Anforderungen für den Umgang mit personenbezogenen Daten. Die DSGVO und das BDSG definieren den Unterschied der Begriffe Datenschutz und Datensicherheit nicht. Nur wenn geeignete Schutzmaßnahmen getroffen werden, kann man davon ausgehen, dass vertrauliche bzw. personenbezogene Daten nicht in die Hände von Unbefugten gelangen. Hierbei spricht man in der Regel von technischen und organisatorischen Maßnahmen zum Datenschutz, die insbesondere in DSGVO, dem BDSG und in den Landesdatenschutzgesetzen beschrieben sind.

Motivation und Ziele der Informationssicherheit Informationen (oder Daten) sind schützenswerte Güter. Der Zugriff auf diese sollte beschränkt und kontrolliert sein. Nur autorisierte Benutzer oder Programme dürfen auf die Information zugreifen.

Zum Erreichen und Erhalten der Informationssicherheit und damit zum Schutz der Daten vor beabsichtigten Angriffen von IT-Systemen werden Schutzziele definiert. Die Schutzziele in der Informationssicherheit sind:

Die allgemeinen Schutzziele sind nach ihrer englischen Abkürzung auch als CIA(-Triade) bekannt: Vertraulichkeit (): Daten dürfen lediglich von autorisierten Benutzern gelesen werden, dies gilt sowohl beim Zugriff auf gespeicherte Daten wie auch während der Datenübertragung. Integrität (): Daten dürfen nicht unbemerkt verändert werden. Alle Änderungen müssen nachvollziehbar sein. Verfügbarkeit (): Verhinderung von Systemausfällen; der Zugriff auf Daten muss innerhalb eines vereinbarten Zeitrahmens gewährleistet sein. Weitere Schutzziele der Informationssicherheit: Authentizität () bezeichnet die Eigenschaften der Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit eines Subjekts bzw. Objekts. Verbindlichkeit/Nichtabstreitbarkeit (): Sie erfordert, dass „kein unzulässiges Abstreiten durchgeführter Handlungen“ möglich ist. Sie ist unter anderem wichtig beim elektronischen Abschluss von Verträgen. Erreichbar ist sie beispielsweise durch elektronische Signaturen. Zurechenbarkeit (): „Eine durchgeführte Handlung kann einem Kommunikationspartner eindeutig zugeordnet werden.“ Folie 25. in bestimmtem Kontext (zum Beispiel im Internet) auch Anonymität Besonderes Schutzziel im Zuge der NIS-2-Richtlinie: Resilienz (): Widerstandsfähigkeit/Belastbarkeit gegenüber Ausspähungen, irrtümlichen oder mutwilligen Störungen oder absichtlichen Schädigungen (Sabotagen).

Jedes noch so gut geplante und umgesetzte IT-System kann Schwachstellen besitzen. Sind bestimmte Angriffe zum Umgehen der vorhandenen Sicherheitsvorkehrungen möglich, ist das System verwundbar. Nutzt ein Angreifer eine Schwachstelle oder eine Verwundbarkeit zum Eindringen in ein IT-System, sind die Vertraulichkeit, Datenintegrität und Verfügbarkeit bedroht (). Angriffe auf die Schutzziele bedeuten für Unternehmen Angriffe auf reale Unternehmenswerte, im Regelfall das Abgreifen oder Verändern von unternehmensinternen Informationen. Für betroffene Personen können sie einen Verlust insbesondere der informationellen Selbstbestimmung bedeuten, die z. B. in Deutschland grundrechtlich geschützt ist. Jede mögliche Bedrohung ist ein Risiko () für das Unternehmen. Unternehmen versuchen durch die Verwendung eines Risikomanagements () die Wahrscheinlichkeit des Eintretens eines Schadens und die daraus resultierende Schadenshöhe zu bestimmen.

Nach einer Risikoanalyse und Bewertung der unternehmensspezifischen IT-Systeme können entsprechende Schutzziele definiert werden. Anschließend folgt die Auswahl von IT-Sicherheitsmaßnahmen für die jeweiligen Geschäftsprozesse eines Unternehmens. Dieser Vorgang zählt zu den Tätigkeiten des IT-Sicherheitsmanagements. Eine genormte Vorgehensweise wird durch das Verwenden von IT-Standards ermöglicht.

Im Rahmen des IT-Sicherheitsmanagements findet die Auswahl und Umsetzung entsprechender IT-Sicherheitsstandards statt. Zu diesem Zweck existieren im Bereich IT-Sicherheitsmanagement verschiedene Standards. Mit Hilfe des ISO/IEC 27001- oder des IT-Grundschutz-Standards wird mit anerkannten Regeln versucht, die Komplexität soziotechnischer Systeme für den Bereich des IT-Sicherheitsmanagements zu reduzieren und ein geeignetes Maß an Informationssicherheit zu finden.

Bedeutung der Informationssicherheit In den frühen Anfangszeiten des (Personal-)Computers verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von zum Beispiel Bandlaufwerken oder anderen mechanischen Bauteilen) und Software (richtige Installation und Wartung von Programmen). Mit der Zeit änderten sich die Anforderungen an die Computer (Internet, Speichermedien); die Aufgaben zur Computersicherheit mussten anders gestaltet werden. Somit bleibt der Begriff der Computersicherheit wandelbar.

Private und öffentliche Unternehmen sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen. Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen.