Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit

Die Grundwerte im IT-Grundschutz

Der IT-Grundschutz bezeichnet Vertraulichkeit, Integrität und Verfügbarkeit als Grundwerte oder Schutzziele der Informationssicherheit. International ist die Kurzform CIA (Confidentiality, Integrity, Availability) verbreitet. Die Schutzziele sind die Achsen, entlang derer im IT-Grundschutz Schutzbedarf festgestellt, Risiken bewertet und Anforderungen begründet werden.

Vertraulichkeit

Vertraulichkeit ist der Schutz vor unbefugter Preisgabe von Informationen. Vertrauliche Daten und Informationen dürfen ausschließlich Befugten in der zulässigen Weise zugänglich sein. Typische Maßnahmen:

• Berechtigungskonzept nach dem Prinzip Least Privilege,
• Verschlüsselung von Datenträgern, mobilen Geräten und Übertragungen,
• Zwei-Faktor-Authentifizierung für Fernzugänge und Cloud-Dienste,
• Klassifizierung von Informationen und Regeln für deren Weitergabe,
• sichere Entsorgung und Löschung.

Passende elementare Gefährdungen sind etwa G 0.14 Ausspähen von Informationen, G 0.19 Offenlegung schützenswerter Informationen oder G 0.38 Missbrauch personenbezogener Daten.

Integrität

Integrität bezeichnet die Sicherstellung der Korrektheit (Unversehrtheit) von Daten und der korrekten Funktionsweise von Systemen. Werden Informationen verändert, muss das erkennbar und nachvollziehbar sein. Typische Maßnahmen:

• Rechte so vergeben, dass nur Befugte ändern können,
• Protokollierung von Änderungen an wichtigen Daten und Konfigurationen,
• Vier-Augen-Prinzip bei Zahlungen und Stammdatenänderungen,
• Prüfsummen oder Signaturen für Software und Dokumente,
• Schutz vor Schadprogrammen, die Daten manipulieren.

Passende elementare Gefährdungen sind etwa G 0.22 Manipulation von Informationen, G 0.21 Manipulation von Hard- oder Software oder G 0.46 Integritätsverlust schützenswerter Informationen.

Verfügbarkeit

Verfügbarkeit bedeutet, dass Dienstleistungen, Funktionen von IT-Systemen, Anwendungen oder Netzen und Informationen den Benutzenden stets wie vorgesehen zur Verfügung stehen. Typische Maßnahmen:

• Datensicherung nach der 3-2-1-Regel mit regelmäßigen Wiederherstellungstests,
• Redundanz für kritische Komponenten,
• Wartungs- und Supportverträge mit Reaktionszeiten,
• Notfallplanung mit festgelegten Wiederanlaufzeiten (RTO) und tolerierbarem Datenverlust (RPO),
• Schutz vor Ransomware und Überlastangriffen.

Passende elementare Gefährdungen sind etwa G 0.25 Ausfall von Geräten oder Systemen, G 0.40 Verhinderung von Diensten (Denial of Service) oder G 0.45 Datenverlust.

Weitere Schutzziele

Neben den drei Grundwerten werden weitere Ziele genannt, die sich meist als Spezialfall der Integrität verstehen lassen:

• Authentizität: Echtheit und Überprüfbarkeit einer Information oder eines Kommunikationspartners. Das Kompendium beschreibt den Verlust der Authentizität als Teilbereich der Integrität.
• Nichtabstreitbarkeit: Eine Handlung, etwa das Absenden einer Nachricht, kann gegenüber Dritten nachgewiesen werden.
• Verbindlichkeit: fasst Authentizität und Nichtabstreitbarkeit zusammen.

In Datenschutz und Gesetzgebung taucht zusätzlich die Belastbarkeit von Systemen auf, so in Art. 32 DSGVO.

Schutzziele in der Schutzbedarfsfeststellung

Im IT-Grundschutz wird für jedes Zielobjekt getrennt nach Vertraulichkeit, Integrität und Verfügbarkeit bewertet, wie hoch der Schaden bei einer Verletzung wäre. Die Kategorien sind normal, hoch und sehr hoch. Dafür nutzt BSI-Standard 200-2 Schadensszenarien, unter anderem:

• Verstoß gegen Gesetze, Vorschriften oder Verträge,
• Beeinträchtigung des informationellen Selbstbestimmungsrechts,
• Beeinträchtigung der persönlichen Unversehrtheit,
• Beeinträchtigung der Aufgabenerfüllung,
• negative Innen- oder Außenwirkung,
• finanzielle Auswirkungen.

Ein Zielobjekt kann bei der Verfügbarkeit «normal», bei der Vertraulichkeit aber «hoch» sein. Diese Differenzierung bestimmt, ob die Anforderungen der Bausteine ausreichen oder eine Risikoanalyse nötig ist.

Zielkonflikte

Schutzziele können sich widersprechen. Eine starke Verschlüsselung schützt die Vertraulichkeit, gefährdet aber die Verfügbarkeit, wenn der Schlüssel verloren geht. Viele Kopien einer Datei erhöhen die Verfügbarkeit, erschweren aber die Kontrolle über die Vertraulichkeit. Gute Maßnahmen berücksichtigen beides, etwa durch Schlüsselhinterlegung oder verschlüsselte Backups mit geregeltem Zugriff.

Schutzziele im Alltag erkennen

Viele bekannte Vorfälle lassen sich einem Schutzziel zuordnen, was bei der Wahl der Gegenmaßnahme hilft:

• Gefälschte Zahlungsanweisung per E-Mail: Angriff auf Authentizität und Integrität. Gegenmaßnahmen sind Rückruf über bekannte Nummern, Vier-Augen-Prinzip und Sensibilisierung.
• Verlorener, unverschlüsselter Laptop: Verletzung der Vertraulichkeit. Gegenmaßnahme ist die Festplattenverschlüsselung.
• Ransomware: trifft zuerst die Verfügbarkeit, oft durch vorherigen Datenabfluss auch die Vertraulichkeit. Gegenmaßnahmen sind getrennte Backups, Updates und eingeschränkte Rechte.
• Unbemerkt geänderte Stammdaten: Verletzung der Integrität. Gegenmaßnahmen sind Protokollierung und Freigabeprozesse.

Praxisbeispiel

Ein Ingenieurbüro bewertet seine Projektablage:

Daraus folgt: Berechtigungen, Verschlüsselung und Änderungsnachvollziehbarkeit stehen im Vordergrund, für die Verfügbarkeit genügen die Standardmaßnahmen wie getestete Datensicherung. Die Systeme, auf denen die Ablage liegt, erben den Schutzbedarf nach dem Maximumprinzip: Der Fileserver ist damit bei Vertraulichkeit und Integrität ebenfalls «hoch» einzustufen, und für diese Kombination ist nach IT-Grundschutz eine Risikoanalyse nach BSI-Standard 200-3 vorzusehen. Die Bewertung wird mit Begründung dokumentiert und bei Änderungen, etwa neuen Kundenverträgen mit strengeren Vorgaben, überprüft.