Datensicherheit schützt Daten und die mit ihnen verbundenen Informationen vor unbefugtem Zugriff, unbemerkter Veränderung, Verlust und Ausfall. Sie entsteht nicht allein durch einzelne Werkzeuge. Technik, Organisation, Menschen und Dienstleister müssen als zusammenhängendes System gestaltet und betrieben werden.
Im umfassenderen Begriff Informationssicherheit werden auch Informationen betrachtet, die auf Papier, in Gesprächen oder im Wissen von Personen vorliegen. IT-Sicherheit konzentriert sich auf informationstechnische Systeme. Im Unternehmensalltag überschneiden sich diese Bereiche stark.
Welche Schutzziele gibt es?
Das Bundesamt für Sicherheit in der Informationstechnik nennt Vertraulichkeit, Integrität und Verfügbarkeit als grundlegende Ziele der Informationssicherheit:
Vertraulichkeit
Informationen sind nur den Personen und Systemen zugänglich, die sie für einen zulässigen Zweck benötigen. Schutz betrifft nicht nur Inhalte, sondern auch Metadaten, Sicherungskopien, Protokolle, Exporte und Testdaten.
Integrität
Daten und Systeme sind richtig, vollständig und vor unbemerkter oder unzulässiger Veränderung geschützt. Dazu gehört, erkennen und nachvollziehen zu können, wann und durch wen eine relevante Änderung erfolgt ist.
Verfügbarkeit
Informationen und Funktionen stehen in der benötigten Zeit und Qualität zur Verfügung. Verfügbarkeit umfasst daher nicht nur laufende Server, sondern auch Netzverbindungen, Identitäten, Schlüssel, Personal, Schnittstellen und einen funktionierenden Wiederanlauf.
Je nach Prozess sind weitere Eigenschaften wichtig:
- Authentizität: Herkunft oder Identität sind echt und überprüfbar.
- Nachvollziehbarkeit: Relevante Vorgänge können später rekonstruiert werden.
- Verbindlichkeit: Eine Handlung oder Erklärung kann nicht beliebig abgestritten werden.
- Robustheit: Das System bleibt bei Störungen handlungsfähig oder kehrt kontrolliert in einen sicheren Zustand zurück.
Sicherheit beginnt beim Wert der Information
Nicht jede Information braucht denselben Schutz. Eine angemessene Gestaltung fragt:
- Welche betriebliche Leistung hängt von der Information ab?
- Wer dürfte durch Offenlegung geschädigt werden?
- Welche Entscheidung würde durch falsche Daten beeinflusst?
- Wie viel Datenverlust ist tragbar?
- Wie lange kann der Prozess ohne System weiterarbeiten?
- Welche Abhängigkeiten bestehen zu Personen, Anbietern und Schnittstellen?
Aus diesen Folgen wird der Schutzbedarf abgeleitet. Erst danach werden Maßnahmen ausgewählt. Sonst entstehen entweder gefährliche Lücken oder Kontrollen, die Arbeit unnötig behindern und deshalb umgangen werden.
Welche Risiken werden betrachtet?
Ein Risiko entsteht aus möglichen Ereignissen und deren Auswirkungen. Ursachen können sehr unterschiedlich sein:
- versehentliche Fehlbedienung,
- unklare Berechtigungen,
- technische Defekte oder fehlerhafte Aktualisierungen,
- Ausfall von Strom, Netz oder Dienstleister,
- Verlust eines Geräts,
- schädliche Anhänge oder gestohlene Zugangsdaten,
- vorsätzlicher Missbrauch durch interne oder externe Personen,
- mangelhafte Schnittstellen und unbemerkte Datenfehler,
- fehlende Dokumentation oder Abhängigkeit von Einzelpersonen.
Sicherheit darf deshalb nicht auf „Angriffe von außen“ reduziert werden. Viele relevante Störungen entstehen aus Alltag, Veränderung und unklarer Verantwortung.
Wie entsteht ein wirksames Schutzsystem?
Verantwortungen und Regeln
Es muss erkennbar sein, wer Informationen fachlich verantwortet, wer Systeme betreibt, wer Zugriffe genehmigt und wer bei einer Störung entscheidet. Regeln sollten konkret genug sein, um Handlungen zu leiten, und regelmäßig auf ihre praktische Umsetzbarkeit geprüft werden.
Inventar und Abhängigkeiten
Schützen lässt sich nur, was bekannt ist. Ein brauchbares Inventar verbindet Systeme, Daten, Verantwortliche, Schnittstellen, Dienstleister und betriebliche Kritikalität. Schattenlösungen und vergessene Konten sind dabei ebenso relevant wie zentrale Anwendungen.
Identitäten und Berechtigungen
Zugriffe werden nach Aufgabe und erforderlichem Umfang vergeben. Persönliche Konten, starke Authentisierung, geregelte Rollenwechsel, zeitnahe Sperrung und regelmäßige Rechteprüfung reduzieren sowohl Missbrauch als auch versehentliche Fehler.
Sichere Konfiguration und Änderung
Systeme werden mit einer nachvollziehbaren Grundkonfiguration betrieben. Änderungen, Updates und Erweiterungen brauchen Bewertung, Test, Freigabe und eine Rückfallmöglichkeit. Besonders privilegierte Zugänge, externe Freigaben und angebundene Anwendungen sind sichtbar zu halten.
Schutz und Begrenzung
Je nach Schutzbedarf gehören dazu Verschlüsselung, Trennung von Umgebungen, Segmentierung, Geräteschutz, sichere Übertragung, reduzierte Datenspeicherung und eine kontrollierte Geheimnis- und Schlüsselverwaltung. Keine einzelne Maßnahme ersetzt das Zusammenspiel.
Sicherung und Wiederherstellung
Sicherungen müssen gegen denselben Ausfall oder Angriff geschützt sein wie das Original. Entscheidend ist der getestete Wiederanlauf:
- Sind Daten, Konfigurationen und Schlüssel vollständig?
- Ist die zulässige Verlustspanne eingehalten?
- Funktionieren abhängige Systeme und Schnittstellen danach wieder?
- Wissen Verantwortliche, in welcher Reihenfolge sie handeln müssen?
Erkennen und Reagieren
Protokollierung und Überwachung sollen relevante Abweichungen sichtbar machen. Dazu braucht es Schwellen, Zuständigkeiten und einen Ablauf für Bewertung, Eindämmung, Wiederherstellung und Kommunikation. Ein Alarm ohne verantwortliche Reaktion ist keine wirksame Kontrolle.
Befähigung der Menschen
Beschäftigte benötigen verständliche Regeln und Übung für ihre konkrete Arbeit: verdächtige Vorgänge melden, Informationen richtig teilen, Zugänge schützen und Ausnahmen eskalieren. Eine Sicherheitskultur darf Fehler nicht verstecken, sondern muss frühe Meldungen ermöglichen.
Warum reichen Checklisten nicht?
Eine Maßnahme kann vorhanden und trotzdem unwirksam sein:
- Eine Sicherung läuft, wurde aber nie wiederhergestellt.
- Mehrfaktor-Authentisierung gilt, außer für ein vergessenes Administrationskonto.
- Zugriffe werden protokolliert, aber niemand prüft Auffälligkeiten.
- Ein Notfallplan existiert, enthält jedoch veraltete Ansprechpartner.
- Ein Dienstleister ist zertifiziert, während die eigene Fehlkonfiguration Daten freigibt.
Wirksamkeitsprüfung fragt deshalb nicht nur „Ist die Maßnahme dokumentiert?“, sondern „Erreicht sie unter realistischen Bedingungen das beabsichtigte Schutzziel?“
Datensicherheit und Datenschutz
Datensicherheit schützt alle relevanten Daten, auch Betriebsgeheimnisse, Konstruktionsdaten oder Maschinenparameter ohne Personenbezug. Datenschutz betrifft dagegen den zulässigen Umgang mit personenbezogenen Daten und die Rechte der betroffenen Menschen.
Wo personenbezogene Daten verarbeitet werden, ist Datensicherheit eine wesentliche Voraussetzung des Datenschutzes. Sie beantwortet aber nicht allein, ob eine Verarbeitung zulässig, zweckgebunden und transparent ist.
Sicherheit als fortlaufende Führungsaufgabe
Ein tragfähiger Regelkreis umfasst:
- Werte, Prozesse und Abhängigkeiten kennen.
- Schutzbedarf und Risiken bewerten.
- Verantwortliche Maßnahmen festlegen.
- Umsetzung und Wirkung prüfen.
- Vorfälle und Beinahe-Ereignisse auswerten.
- System, Regeln und Fähigkeiten weiterentwickeln.
Datensicherheit ist erreicht, wenn das Unternehmen nicht nur Schutzmaßnahmen besitzt, sondern seine wesentlichen Informationen auch bei Veränderung, Fehler und Angriff verlässlich beherrschen kann.