Informationssicherheit einfach erklärt

Begriff

Informationssicherheit hat das Ziel, Informationen jeder Art und Herkunft zu schützen. Das BSI betont in seinen Standards, dass dabei nicht nur elektronisch gespeicherte Daten gemeint sind, sondern auch Informationen auf Papier, in Gesprächen oder im Wissen einzelner Personen. IT-Sicherheit ist der Teil, der sich auf elektronisch verarbeitete Informationen und die dafür genutzten Systeme bezieht. Cyber-Sicherheit erweitert den Blick auf den gesamten vernetzten Raum.

Im Mittelpunkt stehen die drei Grundwerte oder Schutzziele:

• Vertraulichkeit: Informationen sind nur Befugten zugänglich.
• Integrität: Informationen und Systeme sind korrekt und unverändert, Änderungen sind nachvollziehbar.
• Verfügbarkeit: Informationen und Funktionen stehen zur Verfügung, wenn sie gebraucht werden.

Weitere Ziele wie Authentizität oder Verbindlichkeit lassen sich daraus ableiten.

Vier Dimensionen

Informationssicherheit ist nach IT-Grundschutz ganzheitlich. Das Kompendium betont, dass sie stark von infrastrukturellen, organisatorischen und personellen Rahmenbedingungen abhängt. Entsprechend verteilen sich Maßnahmen auf vier Felder:

• Organisatorisch: Verantwortlichkeiten, Richtlinien, Berechtigungsvergabe, Umgang mit Dienstleistern, Notfallvorsorge.
• Personell: Sensibilisierung, Schulung, Regelungen bei Ein- und Austritt, Vertretungen.
• Infrastrukturell: Zutritt, Brandschutz, Stromversorgung, Serverraum, Büro und Homeoffice.
• Technisch: Härtung, Updates, Schutz vor Schadprogrammen, Netzsegmentierung, Verschlüsselung, Datensicherung, Protokollierung.

Eine starke Technik nützt wenig, wenn Administrator-Passwörter auf Zetteln liegen oder ehemalige Mitarbeitende noch Zugang haben.

Informationssicherheit als Managementaufgabe

Dauerhafte Informationssicherheit entsteht nicht durch ein Projekt, sondern durch einen Prozess. Dafür steht das Managementsystem für Informationssicherheit (ISMS). Nach BSI-Standard 200-1 gehören dazu:

• die Übernahme der Gesamtverantwortung durch die Leitung,
• eine Leitlinie mit Zielen und Geltungsbereich,
• eine Sicherheitsorganisation mit Informationssicherheitsbeauftragtem (ISB),
• ein Sicherheitskonzept mit Maßnahmen,
• regelmäßige Überprüfung und Verbesserung im PDCA-Zyklus.

ISO 27001 beschreibt dieselbe Grundidee als internationale Norm. Der IT-Grundschutz ergänzt sie um konkrete Anforderungen für typische Systeme und Abläufe.

Angemessenheit statt Maximalschutz

Absolute Sicherheit gibt es nicht. Ziel ist ein angemessenes Sicherheitsniveau: Der Aufwand für Maßnahmen soll im Verhältnis zum möglichen Schaden stehen. Im IT-Grundschutz übernimmt diese Abwägung die Schutzbedarfsfeststellung mit den Kategorien normal, hoch und sehr hoch. Für normalen Schutzbedarf reichen die Basis- und Standard-Anforderungen der Bausteine; bei höherem Schutzbedarf kommt eine Risikoanalyse hinzu. Was danach an Risiko bleibt, ist das Restrisiko, das die Leitung bewusst trägt.

Typische Bedrohungen für kleine Betriebe

Das BSI fasst Gefährdungen im Kompendium als 47 elementare Gefährdungen zusammen. Für kleine Betriebe besonders relevant sind unter anderem:

• Schadprogramme, insbesondere Ransomware, die Daten verschlüsselt und Betriebe tagelang lahmlegen kann,
• Social Engineering und Phishing, also Täuschung von Mitarbeitenden,
• Software-Schwachstellen, die durch fehlende Updates ausgenutzt werden,
• Missbrauch von Berechtigungen und unberechtigte Nutzung, etwa über alte Konten,
• Ausfall von Geräten, Dienstleistern oder Kommunikationsnetzen,
• Datenverlust durch fehlende oder ungetestete Datensicherung,
• Diebstahl oder Verlust von Laptops und Smartphones.

Aktuelle Einschätzungen zur Gefährdungslage veröffentlicht das BSI jährlich in seinem Lagebericht.

Rechtlicher Rahmen

Für die meisten kleinen Betriebe gibt es kein Gesetz, das ein ISMS vorschreibt. Mittelbar ergeben sich aber Pflichten: Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen für personenbezogene Daten, Verträge mit Kunden enthalten oft Sicherheitsklauseln, und Cyber-Versicherer fragen den Stand der Sicherheit ab. Für größere oder besonders wichtige Einrichtungen kommen Pflichten aus der NIS-2-Umsetzung hinzu; ob ein Betrieb betroffen ist, sollte im Einzelfall geprüft werden.

Einstieg nach IT-Grundschutz

Der IT-Grundschutz bietet abgestufte Einstiege:

• WiBA: Checklisten des BSI für kleine Organisationen,
• Basis-Absicherung: die Basis-Anforderungen aller relevanten Bausteine,
• Kern-Absicherung: vorrangiger Schutz der Kronjuwelen,
• Standard-Absicherung: das vollständige Vorgehen.

Unabhängig vom Weg sind die ersten Schritte immer ähnlich: Verantwortung klären, Bestand erfassen, Grundlagen wie Updates, Datensicherung, Zwei-Faktor-Authentifizierung und Schulung umsetzen, Notfallvorsorge treffen und den Stand regelmäßig überprüfen.

Häufige Irrtümer

• «Wir sind zu klein, um interessant zu sein.» Viele Angriffe laufen automatisiert und breit gestreut. Sie treffen, wer verwundbar ist, nicht wer bekannt ist.
• «Unser IT-Dienstleister kümmert sich darum.» Ein Dienstleister kann Technik betreiben, aber nicht entscheiden, welche Informationen wie wichtig sind, wer worauf zugreifen darf und wie der Betrieb im Notfall weiterarbeitet. Diese Entscheidungen bleiben im Betrieb.
• «Wir haben ein Backup.» Ein Backup, das nie testweise zurückgespielt wurde oder dauerhaft mit dem Netz verbunden ist, schützt im Ernstfall oft nicht.
• «Sicherheit ist ein Projekt.» Technik, Personal und Bedrohungen ändern sich laufend. Ohne regelmäßige Überprüfung veralten auch gute Maßnahmen.

Woran man Fortschritt erkennt

• Es gibt eine benannte verantwortliche Person und eine kurze Leitlinie.
• Ein aktuelles Verzeichnis von Geräten, Anwendungen und Dienstleistern existiert.
• Datensicherungen werden regelmäßig getestet.
• Updates werden zeitnah eingespielt, und es ist dokumentiert, wer das tut.
• Mitarbeitende werden regelmäßig sensibilisiert.
• Ein Notfallplan liegt auch ausgedruckt vor.