Schutzziele und Schutzbedarf

Informationssicherheit verfolgt drei Grundwerte. Vertraulichkeit heißt, nur Berechtigte sehen die Daten. Integrität heißt, Daten und Systeme sind vollständig und unverändert. Verfügbarkeit heißt, Daten und Dienste stehen bereit, wenn sie gebraucht werden. Dazu kommen erweiterte Ziele wie Authentizität (Echtheit des Absenders) und Verbindlichkeit (eine Handlung lässt sich nicht abstreiten). Ein verschlüsselnder Erpressungstrojaner trifft vor allem die Verfügbarkeit, eine unbemerkt geänderte Kontonummer die Integrität.

Den Schutzbedarf bestimmst du nach BSI-Standard 200-2 in den Kategorien normal, hoch und sehr hoch. Grundlage sind Schadensszenarien: Verstöße gegen Gesetze oder Verträge, Beeinträchtigung der informationellen Selbstbestimmung, der persönlichen Unversehrtheit oder der Aufgabenerfüllung, negative Innen- oder Außenwirkung und finanzielle Folgen. Der Schutzbedarf vererbt sich vom Geschäftsprozess über die Anwendung auf das IT-System und den Raum. Dabei gilt das Maximumprinzip: Das System übernimmt den höchsten Schutzbedarf seiner Anwendungen. Viele kleine Schäden können sich zu einem höheren Bedarf aufsummieren (Kumulationseffekt), verteilte Anwendungen können ihn senken (Verteilungseffekt).

Für Objekte mit hohem Schutzbedarf folgt eine Risikoanalyse nach BSI-Standard 200-3. Das Risiko ergibt sich aus Eintrittshäufigkeit und Schadenshöhe. Ein Risiko kannst du vermeiden, reduzieren, übertragen (etwa durch eine Versicherung) oder bewusst akzeptieren. Eine Schutzmaßnahme lohnt sich wirtschaftlich, wenn sie weniger kostet als der erwartete Schaden, den sie verhindert.