Schutzziele, Schwachstellen und Sicherheitsrisiken

Schutzziele, Schwachstellen und Sicherheitsrisiken

https://bildung.social/@oerinformatik/

https://oer-informatik.de/schutzziele-sicherheitsrisiken

Informationssicherheit, Schutzziele, Vertraulichkeit, Integrität, Verfügbarkeit, Schwachstelle, Risikomatrix, IT-Grundschutz, Schutzbedarf, Technische und organisatorische Maßnahmen

tl/dr; (ca. 39 min Lesezeit): Vertraulichkeit, Integrität und Verfügbarkeit sind die Grundwerte der Informationssicherheit, ergänzt um Authentizität und Verbindlichkeit. Der Artikel zeigt, wie Du aus einer Situation das betroffene Schutzziel erkennst, Schwachstellen, Bedrohungen und Risiken auseinanderhältst, Schwachstellen in Infrastruktur, Software und Abläufen beschreibst, sicherheitstechnische Anforderungen formulierst, technische und organisatorische Maßnahmen von der Zutritts- bis zur Zugriffskontrolle ordnest und den Schutzbedarf nach IT-Grundschutz feststellst. Hinzu kommen Art. 32 DSGVO, der Stand der Technik, ESD-Schutz und die sichere Entsorgung von Datenträgern. Die Grundlagen des Datenschutzrechts behandelt ein eigener Artikel [AI-Assisted]. (Zuletzt geändert am 28.10.2026)

Zu diesem Artikel gibt es Übungsaufgaben zu Schutzzielen, Sicherheitsrisiken und Datenschutz. Die Werkzeuge, mit denen Schutzziele technisch umgesetzt werden, stellt der Artikel Kryptografie: symmetrisch, asymmetrisch, hybrid – mit Hash, Signatur und Zertifikat vor. Wie personenbezogene Daten rechtlich geschützt sind, erklärt der Artikel Datenschutz nach DSGVO.

Schon fit in diesem Thema? Nutze die Kann-Liste und die Leitfragen unter dem Artikel als Checkliste, ob Du die relevanten Kompetenzen bereits hast. Hier klicken, um Kann-Liste ein- oder auszublenden

Als IT-Sicherheits-Grundlagen kann ich nach Durchlesen des Artikels…

• … die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit sowie Authentizität und Verbindlichkeit erläutern und einem Vorfall oder einer Maßnahme begründet zuordnen.

• … die Begriffe Schwachstelle, Bedrohung und Risiko unterscheiden und an einem Beispiel erklären.

• … Schwachstellen einer IT-Infrastruktur, einer Software oder eines Ablaufs beschreiben – mit möglicher Bedrohung und Folge für ein Schutzziel.

• … typische Gefährdungen wie Schadsoftware, Phishing, Social Engineering, DDoS und höhere Gewalt nennen und je eine Abwehrmaßnahme angeben.

• … das Sicherheitsrisiko von Office-Dokumenten als E-Mail-Anhang beschreiben und eine sicherere Alternative erläutern.

• … sicherheitstechnische Anforderungen an ein System beschreiben und technische und organisatorische Maßnahmen vorschlagen.

• … den Schutzbedarf eines Objekts in die Kategorien normal, hoch und sehr hoch einordnen und begründen.

• … Datenschutz und Datensicherheit unterscheiden und Sachverhalte zuordnen.

• … Zutritts-, Zugangs- und Zugriffskontrolle unterscheiden und technische und organisatorische Maßnahmen nach ihrer Art ordnen und mit ihrem Nutzen erläutern.

• … ESD erklären, Schutzmaßnahmen beim Arbeiten an Hardware nennen und begründen, warum Löschen oder Formatieren für die Entsorgung von Datenträgern nicht genügt.

• … Aufgaben des BSI nennen und erklären, was die Härtung eines Systems bedeutet.

Darüber hinaus kann ich als IT-Sicherheits-Expertenwissen…

• … Maximumprinzip, Kumulations- und Verteilungseffekt bei der Schutzbedarfsfeststellung anwenden.

• … die vier Strategien der Risikobehandlung unterscheiden und für ein Restrisiko begründet auswählen.

• … typische Schwachstellen von Webanwendungen anhand der OWASP Top 10 erkennen.

• … Zugriffsmodelle (DAC, MAC, RBAC) unterscheiden, den Begriff „Stand der Technik“ erläutern und Anforderungen aus Art. 32 DSGVO auf ein System übertragen.

• … Risiken verschiedener Betriebsmodelle und eines unbemerkten Datenabflusses beurteilen und passende Gegenmaßnahmen vorschlagen.

Ein Onlineshop ist am umsatzstärksten Abend des Jahres nicht erreichbar. In einer App ändert jemand unbemerkt die Treffpunkte von Verabredungen. Eine Mitarbeiterin öffnet eine Rechnung im Word-Format – und kurz darauf sind alle Dateien verschlüsselt. Drei sehr verschiedene Vorfälle, aber hinter allen steckt dieselbe Frage: Welche Eigenschaft unserer Informationen ist verletzt worden, wo war die Lücke, und wie hätten wir das verhindern können? Genau dieses Handwerkszeug brauchst Du in jedem IT-Projekt – und in vielen Aufgabenstellungen, oft als Einstieg in eine größere Aufgabe.

Drei Begriffe, die oft verwechselt werden

Bevor es um Schutzziele geht, lohnt sich ein Blick auf drei Begriffe, die im Alltag gern durcheinandergehen:

Der wichtigste Unterschied: Datensicherheit schützt Daten, Datenschutz schützt Personen. Ein Konstruktionsplan ohne Personenbezug ist ein Thema für die Datensicherheit, aber nicht für den Datenschutz. Umgekehrt kann eine perfekt gesicherte Kundendatenbank ein Datenschutzproblem sein – wenn die Daten ohne Rechtsgrundlage an einen Werbepartner verkauft werden. Viele Vorfälle betreffen beides: Gelangen Kundendaten durch eine Sicherheitslücke an Unbefugte, ist die Datensicherheit verletzt und der Datenschutz.

Noch ein vierter Begriff: Die Datensicherung (Backup) ist nur eine Maßnahme der Datensicherheit – sie schützt vor allem die Verfügbarkeit (siehe Backup-Übungsaufgaben).

In manchen Aufgaben tauchen außerdem die Begriffe IT-Sicherheit bzw. Computersicherheit auf: Gemeint ist der Schutz der IT-Systeme selbst – Hardware, Software, Netze – vor Ausfall, Manipulation und Missbrauch. Sie ist ein Teil der Informationssicherheit, die auch Informationen auf Papier und in Köpfen einschließt.

Die Schutzziele: Was soll eigentlich sicher sein?

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) kennt drei Grundwerte der Informationssicherheit. Meist heißen sie Schutzziele (englisch zusammengefasst als CIA-Triade: confidentiality, integrity, availability). Die Grafik fasst die drei Grundwerte mit je einer Leitfrage und die erweiterten Schutzziele zusammen; die folgenden Abschnitte erklären sie im Einzelnen.

Vertraulichkeit (confidentiality)

Vertrauliche Informationen dürfen nur Befugten zugänglich sein. Vertraulichkeit ist verletzt, wenn Unbefugte Informationen lesen oder erfahren können – egal, ob sie sie verändern.

• Beispiel für eine Verletzung: Eine Person aus dem Support liest ohne Anlass private Chatnachrichten; eine Kundenliste landet unverschlüsselt in einem öffentlichen Cloudordner.

• Typische Maßnahmen: Verschlüsselung bei Übertragung und Speicherung, Zugriffsrechte nach dem Prinzip der minimalen Rechte, Bildschirmsperre, Zutrittskontrolle zum Serverraum.

Integrität (integrity)

Integrität bedeutet, dass Daten vollständig und unverändert (korrekt) sind und Systeme korrekt funktionieren. Integrität ist verletzt, wenn Daten unbefugt oder unbemerkt verändert, gelöscht oder eingefügt werden – auch durch einen Programmfehler oder einen Übertragungsfehler.

• Beispiel für eine Verletzung: Jemand ändert in einer per E-Mail weitergeleiteten Lieferliste unbemerkt die Bestellmengen; ein Fehler im Import setzt bei allen Artikeln den Preis auf 0 €.

• Typische Maßnahmen: digitale Signaturen oder Nachrichtenauthentifizierungscodes, Prüfsummen und Hashwerte, Prüfziffern, Eingabeprüfung, Rechtekonzept (nur Berechtigte dürfen schreiben), Protokollierung von Änderungen, Vier-Augen-Prinzip.

Achtung, häufige Verwechslung: Wer verhindern will, dass Daten unbemerkt verändert werden, braucht Integrität – nicht Vertraulichkeit. Eine Verschlüsselung allein verhindert das nicht zuverlässig (Details im Artikel Kryptografie).

Verfügbarkeit (availability)

Informationen, Funktionen und Dienste stehen den Berechtigten zum geforderten Zeitpunkt im geforderten Umfang zur Verfügung. Verfügbarkeit wird oft in Prozent pro Jahr vereinbart (99,5 % entsprechen rund 43,8 Stunden Ausfall pro Jahr).

• Beispiel für eine Verletzung: Der Onlineshop ist wegen einer Überlastungsattacke (DDoS) nicht erreichbar; nach einem Festplattendefekt sind die Bestellungen der letzten Woche verloren; eine Ransomware verschlüsselt alle Dateien.

• Typische Maßnahmen: Datensicherung nach der 3-2-1-Regel, redundante Systeme (RAID, Cluster, zweite Internetleitung), unterbrechungsfreie Stromversorgung, Notfallplan, Monitoring, DDoS-Schutz.

Erweiterte Schutzziele: Authentizität und Verbindlichkeit

Viele Lehrbücher und Aufgaben ergänzen weitere Schutzziele. Sie lassen sich als Sonderfälle der Integrität verstehen, werden aber oft eigenständig abgefragt:

• Authentizität (Echtheit): Eine Information oder eine Person ist echt – sie stammt wirklich von der angegebenen Quelle bzw. ist die, für die sie sich ausgibt. Verletzt durch gefälschte Absender, Fake-Profile oder gefälschte Webseiten. Maßnahmen: sichere Authentifizierung (Mehr-Faktor), Zertifikate, digitale Signaturen.

• Verbindlichkeit (Nichtabstreitbarkeit, non-repudiation): Eine Handlung kann ihrem Urheber nachweisbar zugeordnet werden; er kann sie später nicht abstreiten. Eng verwandt ist die Zurechenbarkeit (accountability): Jede Aktion lässt sich einer Person zuordnen. Maßnahmen: persönliche Konten statt Sammelkonten, manipulationssichere Protokollierung, qualifizierte elektronische Signatur.

Weitere Begriffe, die in Aufgaben im Umfeld der Schutzziele vorkommen:

• Datenintegrität und Systemintegrität: Datenintegrität bedeutet, dass Daten vollständig, korrekt und unverfälscht sind. Systemintegrität bedeutet, dass ein IT-System selbst unverändert und unmanipuliert arbeitet – keine Schadsoftware, keine unbefugt geänderte Konfiguration. Sie wird z. B. durch Secure Boot, Härtung, signierte Updates und Integritätsprüfungen von Systemdateien geschützt.

• Zuverlässigkeit: Ein System erfüllt seine Funktion über einen langen Zeitraum fehlerfrei wie spezifiziert (z. B. gemessen als mittlere Zeit zwischen Ausfällen, MTBF). Sie ist eine Voraussetzung für hohe Verfügbarkeit: Verfügbarkeit beschreibt, wie viel der Zeit ein System nutzbar ist, Zuverlässigkeit, wie selten es überhaupt ausfällt.

• Belastbarkeit (Resilienz): Systeme halten auch Lastspitzen, Angriffen und Teilausfällen stand und erholen sich schnell (in Art. 32 DSGVO ausdrücklich genannt).

• Kritikalität: wie wichtig eine Information oder ein System für die Geschäftsprozesse ist. Je höher die Kritikalität, desto höher der gerechtfertigte Aufwand für den Schutz – und desto leistungsfähiger und ausfallsicherer (Verfügbarkeit) bzw. strenger abgeschottet (Vertraulichkeit) müssen Systeme ausgelegt sein.

Der Datenschutz kennt eigene Gewährleistungsziele (Standard-Datenschutzmodell der Aufsichtsbehörden): Neben Vertraulichkeit, Integrität und Verfügbarkeit sind das Datenminimierung, Nichtverkettung, Transparenz und Intervenierbarkeit (Betroffene können eingreifen).

Das richtige Schutzziel erkennen

In Aufgaben wird oft eine Situation beschrieben, und Du sollst das betroffene Schutzziel nennen oder erläutern. Diese Fragen helfen:

Leitfragen zum Erkennen des Schutzziels

Leitfrage zur Situation	Schutzziel
Können Unbefugte etwas lesen oder erfahren?	Vertraulichkeit
Kann etwas unbemerkt verändert, gelöscht oder falsch werden?	Integrität
Ist etwas nicht erreichbar, zu langsam oder verloren?	Verfügbarkeit
Stammt etwas wirklich von dem, der es zu sein vorgibt?	Authentizität
Lässt sich nachweisen, wer etwas getan hat?	Verbindlichkeit / Zurechenbarkeit

Eine vollständige Erläuterung besteht aus drei Teilen: Name des Schutzziels, Definition in eigenen Worten und Bezug zur Situation. Beispiel: „Die Werkstattleitung sorgt sich um die Integrität. Integrität bedeutet, dass Daten vollständig und unverändert sind und Veränderungen durch Unbefugte erkannt bzw. verhindert werden. Hier dürfen die eingetragenen Ersatzteile und Arbeitsstunden eines Reparaturauftrags nicht nachträglich unbemerkt geändert werden, sonst stimmen Rechnung und Garantienachweis nicht mehr.“

Bei Maßnahmen gilt: Ordne das Schutzziel zu, das die Maßnahme hauptsächlich sichert, und begründe es. Eine unterbrechungsfreie Stromversorgung dient der Verfügbarkeit (der Server läuft bei kurzen Stromausfällen weiter), eine Blickschutzfolie am Empfangsrechner der Vertraulichkeit, eine digitale Signatur unter einem Vertrag der Integrität (und der Verbindlichkeit). Andere Zuordnungen sind richtig, wenn die Begründung trägt.

Schwachstelle, Bedrohung, Risiko

Wenn über Sicherheit gesprochen wird, fallen diese Begriffe ständig. Sie bauen aufeinander auf:

• Eine Schwachstelle (vulnerability) ist ein Mangel in einem System, einer Software, einem Gebäude oder einem Ablauf, der ausgenutzt werden kann – zum Beispiel ein Server ohne Sicherheitsupdates oder eine Sicherungsfestplatte, die im selben Raum wie der Server steht.

• Eine Bedrohung (das BSI spricht von Gefährdung, wenn sie auf ein konkretes Objekt trifft) ist ein Umstand oder Ereignis, das Schaden anrichten kann – zum Beispiel Ransomware, ein Brand oder ein Mensch, der sich verklickt. Eine Bedrohung wird erst gefährlich, wenn sie auf eine passende Schwachstelle trifft.

• Ein Risiko beschreibt, wie wahrscheinlich ein Schaden eintritt und wie groß er wäre: Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe (oft in Stufen wie gering, mittel, hoch, sehr hoch bewertet).

• Ein Angriff ist der vorsätzliche Versuch, eine Schwachstelle auszunutzen; ein Sicherheitsvorfall ist ein Ereignis, bei dem ein Schutzziel tatsächlich verletzt wurde oder werden konnte.

Ein Beispiel verbindet alle Begriffe: Die Sicherungsfestplatte steht neben dem Server (Schwachstelle). Ein Brand oder Wasserschaden im Serverraum (Bedrohung) würde Server und Sicherung gleichzeitig zerstören. Ein Brand ist selten, der Schaden aber existenzbedrohend – das Risiko ist deshalb hoch (Risiko). Die Maßnahme setzt an der Schwachstelle an: eine zweite Sicherung an einem anderen Ort.

Risiken bewerten: die Risikomatrix

Risiken werden oft in einer Matrix aus Eintrittswahrscheinlichkeit und Schadenshöhe eingeordnet. So erkennst Du, welche Risiken zuerst behandelt werden müssen.

Wie geht man mit einem Risiko um?

Für jedes bewertete Risiko gibt es vier Strategien (BSI-Standard 200-3 und ISO/IEC 27005):

Ein Restrisiko bleibt immer. Wichtig ist, dass die Leitung es bewusst und schriftlich akzeptiert.

Gefährdungen und typische Angriffe

Das BSI fasst im IT-Grundschutz 47 elementare Gefährdungen zusammen – von Feuer über Abhören bis Schadprogramme. Für den Überblick reicht eine Einteilung in fünf Gruppen:

Gruppen von Gefährdungen mit Beispielen

Gruppe	Beispiele
höhere Gewalt und Umwelt	Brand, Wasserschaden, Blitzschlag, Hitze, Stromausfall
technisches Versagen	Festplattendefekt, Ausfall eines Netzteils, fehlerhaftes Update
menschliche Fehlhandlung	versehentliches Löschen, falsche Konfiguration, Klick auf einen Phishing-Link
organisatorische Mängel	fehlende Zuständigkeiten, kein Notfallplan, Sammelkonten, fehlende Schulung
vorsätzliche Handlungen	Hacking, Schadsoftware, Diebstahl, Sabotage, Innentäter*innen

Die wichtigsten Angriffsarten solltest Du kurz beschreiben können:

• Schadsoftware (Malware): Programme, die unerwünschte Funktionen ausführen. Viren hängen sich an Dateien (auch als Makro in Office-Dokumenten), Würmer verbreiten sich selbstständig über das Netz, Trojaner tarnen sich als nützliches Programm. Ransomware verschlüsselt Daten und erpresst Lösegeld – sie trifft vor allem die Verfügbarkeit, oft auch die Vertraulichkeit, wenn vorher Daten abgezogen werden.

• Phishing: gefälschte E-Mails, SMS oder Webseiten, die zur Eingabe von Zugangsdaten oder zum Öffnen eines Anhangs verleiten. Spear-Phishing richtet sich gezielt an eine Person und wirkt dadurch besonders glaubwürdig.

• Social Engineering: Angreifende manipulieren Menschen statt Technik, etwa durch einen Anruf „vom IT-Support“, der nach dem Passwort fragt, oder durch Zeitdruck („Die Überweisung muss heute raus!“).

• Denial of Service (DoS) bzw. Distributed Denial of Service (DDoS): Ein Dienst wird mit so vielen Anfragen überflutet – bei DDoS aus vielen gekaperten Geräten (Botnetz) gleichzeitig –, dass er für echte Nutzende nicht mehr erreichbar ist. Betroffen ist die Verfügbarkeit.

• Man-in-the-Middle: Jemand schaltet sich unbemerkt zwischen zwei Kommunikationspartner, liest mit oder verändert Daten. Schutz: Transportverschlüsselung mit geprüften Zertifikaten.

• Passwortangriffe: Durchprobieren (Brute Force), Wörterbuchangriffe oder das Ausprobieren geleakter Zugangsdaten bei anderen Diensten (Credential Stuffing). Schutz: lange Passwörter, Mehr-Faktor-Authentifizierung, Sperre nach Fehlversuchen.

• Angriffe auf Webanwendungen wie SQL-Injection oder Cross-Site-Scripting nutzen fehlende Eingabeprüfung aus (siehe unten).

Risiken je Betriebsmodell

Wo Daten verarbeitet werden, bestimmt mit, welche Risiken im Vordergrund stehen:

Verantwortung, typische Risiken und Gegenmaßnahmen je Betriebsmodell

Betriebsmodell	Wofür bist Du selbst verantwortlich?	typische Risiken	mögliche Gegenmaßnahmen
eigener Server im Haus (On-Premises)	alles: Raum, Strom, Hardware, Betriebssystem, Anwendung, Daten	Brand oder Wasser im Serverraum, Updates bleiben liegen, weil niemand zuständig ist, Unbefugte kommen an die Geräte	geschützter Raum mit Zutrittskontrolle, Rauch- und Wassermelder, feste Zuständigkeit mit Vertretung, Sicherung außer Haus
gemieteter (virtueller) Server im Rechenzentrum (IaaS)	Betriebssystem, Anwendung, Daten und deren Konfiguration	Verwaltungszugang offen aus dem Internet, falsch freigegebener Speicher, vergessene Testsysteme	Härtung, Zugang nur per VPN bzw. Schlüssel, regelmäßige Prüfung der Konfiguration, Inventar aller Systeme
fertige Anwendung als Dienst (SaaS)	Konten, Rechte und die eingegebenen Daten	Übernahme eines Kontos durch Phishing, Bindung an den Anbieter (Lock-in), Datenstandort außerhalb der EU	Mehr-Faktor-Anmeldung, Exportmöglichkeit vertraglich sichern, Anbieter mit EU-Rechenzentren und Vertrag zur Auftragsverarbeitung

Schwachstellen erkennen und beschreiben

Oft liegt eine Ist-Aufnahme vor – etwa eine Liste der Geräte, ein Netzwerkplan oder eine Schilderung der Arbeitsabläufe –, und Du sollst daraus Schwachstellen beschreiben. Eine bloße Stichwortliste reicht dafür nicht. Nutze ein einfaches Schema:

Schwachstelle (was ist mangelhaft?) → mögliche Bedrohung (was kann passieren?) → Folge (welches Schutzziel wird verletzt, welcher Schaden entsteht?)

Beispiel: „Shop, Datenbank und Mailserver laufen auf einem einzigen physischen Server (Schwachstelle). Fällt dessen Netzteil aus (Bedrohung), sind alle drei Dienste gleichzeitig nicht erreichbar, Bestellungen gehen verloren (Verfügbarkeit).“

Schwachstellen in der IT-Infrastruktur

Typische Schwachstellen einer IT-Infrastruktur

Schwachstelle	was passieren kann	vor allem betroffen
Betriebssystem oder Firmware ohne Sicherheitsupdates (End of Life)	bekannte Lücken werden ausgenutzt, Schadsoftware nistet sich ein	Vertraulichkeit, Integrität
Einzelkomponente ohne Ersatz (Single Point of Failure): ein Server, ein Switch, eine Internetleitung, eine Administratorin	ein Defekt oder eine Krankheit legt alles lahm	Verfügbarkeit
keine Netztrennung (Gäste, Büro, Produktion, Server im selben Netz)	Schadsoftware oder Angreifende gelangen von einem Gerät zu allen anderen	alle
Datensicherung am selben Ort wie die Originaldaten, ungetestete Wiederherstellung	Brand, Diebstahl oder Ransomware zerstören Original und Sicherung	Verfügbarkeit
Fernwartungszugang (z. B. Remotedesktop) direkt aus dem Internet erreichbar, nur mit Passwort	Passwörter werden durchprobiert, Angreifende arbeiten wie Administrator*innen	Vertraulichkeit, Integrität
keine Überwachung (kein Monitoring, Protokolle werden nicht ausgewertet)	Ausfälle und Angriffe fallen erst auf, wenn der Schaden da ist	alle
Standard- oder Sammelpasswörter, keine Mehr-Faktor-Anmeldung	Zugänge werden erraten oder weitergegeben, Handlungen sind nicht zurechenbar	Vertraulichkeit, Verbindlichkeit
fehlende Dokumentation von Netz, Konten und Abläufen	im Notfall weiß niemand, was wie wiederherzustellen ist	Verfügbarkeit

Schwachstellen in Software

Für Webanwendungen und APIs sammelt das Open Worldwide Application Security Project (OWASP) die häufigsten Schwachstellenkategorien in den OWASP Top 10 (aktuell Ausgabe 2025). Drei davon begegnen Dir in Projekten besonders oft:

• Fehlerhafte Zugriffskontrolle (Broken Access Control, Platz 1): Das System prüft nicht, ob die angemeldete Person das angeforderte Objekt wirklich sehen darf. Beispiel: Wer in der Adresse /bestellung/4711 die Nummer ändert, sieht fremde Bestellungen. Abhilfe: bei jedem Zugriff serverseitig prüfen, ob das Objekt zur angemeldeten Person gehört.

• Sicherheitsrelevante Fehlkonfiguration (Security Misconfiguration): Standardpasswörter, offene Verwaltungsoberflächen, ausführliche Fehlermeldungen mit Versionsnummern und Programmpfaden. Abhilfe: Härtung, im Betrieb allgemeine Fehlerseiten, Details nur ins Protokoll.

• Injection: Eingaben werden ungeprüft in SQL-Befehle, Shell-Befehle oder HTML eingebaut. Abhilfe: vorbereitete Anweisungen (Prepared Statements), Ausgaben maskieren, Eingaben prüfen.

Weitere Kategorien sind unter anderem kryptografische Fehler, Schwächen in der Authentifizierung, unsichere Abhängigkeiten in der Software-Lieferkette und fehlende Protokollierung.

Schwachstellen in Abläufen: das Beispiel E-Mail-Anhang

Viele Schwachstellen stecken nicht in der Technik, sondern in Gewohnheiten. Ein Klassiker: Ein Unternehmen verschickt Formulare, Kalkulationshilfen oder Bestelllisten als Office-Datei mit Makros im E-Mail-Anhang. Daraus ergeben sich gleich mehrere Risiken:

• Office-Dokumente können aktive Inhalte (Makros) oder Exploits für Sicherheitslücken des Office-Programms enthalten. Wer daran gewöhnt ist, solche Anhänge zu öffnen, öffnet auch eine gefälschte E-Mail mit Schadsoftware – der Absendername einer E-Mail lässt sich leicht fälschen. Phishing-Mails ahmen genau solche gewohnten Nachrichten nach.

• Muss eine Datei mit Makros funktionieren, bitten Unternehmen ihre Kundschaft womöglich sogar, Makros zu aktivieren – damit wird eine wichtige Schutzfunktion abgeschaltet.

• Der Anhang ist in der Regel nicht Ende-zu-Ende-verschlüsselt und liegt anschließend in vielen Postfächern. Enthält er personenbezogene Daten, sind Vertraulichkeit und Datenschutz betroffen; außerdem kann die Datei unterwegs oder nach dem Weiterleiten verändert werden.

Sicherere Alternativen:

• Das Dokument wird im Kundenportal bereitgestellt; die E-Mail enthält nur einen Hinweis ohne Anhang („Ein neues Dokument liegt in Deinem Kundenkonto“). Nutzende melden sich über die bekannte Adresse an, die Verbindung ist per TLS-Zertifikat als echt prüfbar, und es gibt keinen Anhang, den Angreifende nachahmen könnten. Gute Praxis: In der Benachrichtigung keinen Anmeldelink anbieten, sondern auf den gewohnten Weg (App, Lesezeichen) verweisen.

• Wenn ein Anhang nötig ist: PDF ohne aktive Inhalte statt Office-Datei, möglichst mit digitaler Signatur (Herkunft und Unverändertheit prüfbar), bei vertraulichem Inhalt Ende-zu-Ende-verschlüsselt (S/MIME, OpenPGP).

Auch das Zurücksetzen von Passwörtern per E-Mail-Link oder die zentrale Anmeldung (Single Sign-on) sind Abläufe mit typischen Schwachstellen – sie werden im Artikel Authentifizierung und Autorisierung behandelt.

Sicherheitstechnische Anforderungen formulieren

Bei der Planung eines Systems werden Sicherheitsanforderungen festgelegt, meist als nicht funktionale Anforderungen (im Qualitätsmodell ISO/IEC 25010 ist „Sicherheit“ ein eigenes Qualitätsmerkmal). Eine gute Anforderung sagt, was gefordert ist, wofür und – wenn möglich – woran man die Erfüllung erkennt.

Sicherheitstechnische Anforderungen mit Beispielen

Anforderung	Beschreibung (Beispiel)	Schutzziel
sichere Datenübertragung	Alle Verbindungen zwischen App, Webbrowser und Server sind mit TLS 1.2 oder höher verschlüsselt; unverschlüsselte Verbindungen werden abgewiesen.	Vertraulichkeit, Integrität
sichere Speicherung	Personenbezogene Daten werden verschlüsselt gespeichert, Passwörter nur als gesalzener Hashwert (bcrypt, Argon2id).	Vertraulichkeit
sichere Authentifizierung	Anmeldung mit persönlichem Konto, für Verwaltungszugänge mit zweitem Faktor; Sperre nach mehreren Fehlversuchen.	Vertraulichkeit, Authentizität
Sitzungsbegrenzung	Eine Sitzung endet nach 15 Minuten Inaktivität automatisch und nach einem Verbindungsabbruch.	Vertraulichkeit
Rechtekonzept	Jede Rolle erhält nur die Rechte, die sie für ihre Aufgabe braucht (least privilege); Prüfung serverseitig bei jedem Zugriff.	Vertraulichkeit, Integrität
Protokollierung	Anmeldungen und Änderungen an wichtigen Daten werden mit Zeit und Konto protokolliert, Protokolle sind gegen Veränderung geschützt.	Verbindlichkeit, Integrität
Eingabeprüfung	Alle Eingaben werden serverseitig auf Typ, Länge und Format geprüft; Datenbankzugriffe nur mit Prepared Statements.	Integrität, Vertraulichkeit
Datensicherung und Wiederanlauf	tägliche Sicherung an einem zweiten Standort, Wiederherstellung innerhalb von 4 Stunden, regelmäßig getestet	Verfügbarkeit
Aktualität	Sicherheitsupdates werden innerhalb einer festgelegten Frist eingespielt, eingesetzte Bibliotheken werden auf bekannte Lücken geprüft.	alle

Neben technischen Maßnahmen gehören organisatorische Maßnahmen dazu: Zuständigkeiten (Informationssicherheitsbeauftragte*r), Schulungen gegen Phishing und Social Engineering, Notfallplan, Vier-Augen-Prinzip, Regeln für Passwörter und mobile Geräte. Die DSGVO spricht zusammenfassend von technischen und organisatorischen Maßnahmen (TOM) (Art. 32 DSGVO). Zwei Grundprinzipien helfen bei der Auswahl: Security by Design (Sicherheit von Anfang an mitplanen) und Defense in Depth (mehrere Schutzschichten, damit eine einzelne Lücke nicht genügt).

Technische und organisatorische Maßnahmen ordnen

Maßnahmen lassen sich auf mehrere Arten ordnen. In Aufgaben begegnen Dir vor allem drei Sichtweisen: nach der Kontrollart (Zutritt, Zugang, Zugriff), nach der Art der Maßnahme (baulich, technisch, organisatorisch …) und nach dem Schutzziel, das sie unterstützt.

Zutritt, Zugang, Zugriff

Die drei Begriffe klingen ähnlich, bezeichnen aber drei aufeinander aufbauende Schutzschichten:

Eine Merkhilfe: Man tritt in einen Raum, man geht an einen Rechner heran und meldet sich an, man greift auf Daten zu. Ältere Datenschutzregelungen nannten noch weitere Kontrollarten, die als Gliederung von TOM weiterhin verbreitet sind: Weitergabekontrolle (sichere Übertragung und Transport), Eingabekontrolle (nachvollziehen, wer was eingegeben oder geändert hat), Auftragskontrolle, Verfügbarkeitskontrolle (Backup, USV) und Trennungskontrolle (Daten verschiedener Zwecke getrennt verarbeiten). Für Fremdfirmen und Besuchende gelten dieselben Schichten: angemeldeter Besuch mit Ausweis und Begleitung, Zutritt nur zu den nötigen Bereichen und Zeiten, eigene befristete Konten statt Weitergabe von Passwörtern, Protokollierung von Arbeiten an Systemen.

Maßnahmen nach ihrer Art

Maßnahmen der Informationssicherheit nach ihrer Art

Art	Beispiele
baulich/physikalisch	abschließbarer Serverraum, Einbruchschutz, Brandschutz, Klimatisierung, Schutz vor Wasser, Kabel in Kabelkanälen
elektrisch	unterbrechungsfreie Stromversorgung (USV), Überspannungsschutz, getrennte Stromkreise, Notstromaggregat
logisch/technisch	Firewall, Virenschutz, Verschlüsselung, Zugangs- und Rechtekonzept, Updates, Backup, Protokollierung, Netzsegmentierung (VLAN)
organisatorisch	Zuständigkeiten, Richtlinien (Passwörter, mobile Geräte, Clean Desk), Notfallplan, Vier-Augen-Prinzip, Wartungs- und Updateplan, regelmäßige Überprüfung
personell	Schulung und Sensibilisierung, Verpflichtung auf Vertraulichkeit, Vertretungsregeln, geordneter Ein- und Austritt (Konten und Schlüssel zurück)

Gute Antworten nennen zur Maßnahme immer, wogegen sie schützt bzw. welchen Nutzen sie hat: „USV – überbrückt kurze Stromausfälle und ermöglicht ein geordnetes Herunterfahren, schützt also die Verfügbarkeit und vor Datenverlust.“

Wer vergibt die Rechte? Zugriffsmodelle

Wie Rechte zugeteilt werden, beschreiben Zugriffsmodelle:

• Benutzerbestimmbare Zugriffskontrolle (Discretionary Access Control, DAC): Die Eigentümerin bzw. der Eigentümer eines Objekts (z. B. einer Datei) legt selbst fest, wer darauf zugreifen darf, und kann Rechte weitergeben. Typisch für Dateisysteme von Windows und Linux. Flexibel, aber fehleranfällig, weil jede Person Rechte großzügig weitergeben kann.

• Systembestimmte Zugriffskontrolle (Mandatory Access Control, MAC): Das System entscheidet anhand fester Regeln, etwa nach Sicherheitsstufen von Personen und Objekten („vertraulich“, „geheim“). Benutzer*innen können die Regeln nicht ändern, auch nicht für eigene Dateien. Eingesetzt bei sehr hohem Schutzbedarf, z. B. in Behörden; unter Linux z. B. mit SELinux.

• Rollenbasierte Zugriffskontrolle (Role Based Access Control, RBAC): Rechte werden Rollen zugeordnet (Buchhaltung, Werkstatt, Administration), Personen erhalten Rollen. In Unternehmen am verbreitetsten; erleichtert das Prinzip der minimalen Rechte (least privilege).

Schutzziele beim Datenaustausch

Werden Daten übertragen – per E-Mail, Download, Dateiaustausch mit Partnern oder über ein VPN –, lassen sich die Schutzziele konkret mit Verfahren verbinden (Einzelheiten im Artikel zur Verschlüsselung):

Schutzziele und Verfahren beim Datenaustausch

Schutzziel	Was heißt das beim Datenaustausch?	Typische Verfahren
Vertraulichkeit	Unterwegs kann niemand mitlesen.	Transportverschlüsselung (TLS, VPN), Ende-zu-Ende-Verschlüsselung (S/MIME, OpenPGP), verschlüsselte Archive
Integrität	Die Daten kommen unverändert an; Veränderungen fallen auf.	Prüfsummen und Hashwerte (z. B. SHA-256 beim Download), digitale Signatur, Message Authentication Codes im VPN
Authentizität	Die Gegenstelle bzw. der Absender ist wirklich der, für den er sich ausgibt.	Zertifikate (Server, VPN), digitale Signatur, Anmeldung mit zweitem Faktor
Verfügbarkeit	Der Austausch funktioniert, wenn er gebraucht wird.	redundante Leitungen, ausreichende Bandbreite, Überwachung

Sicherheit der Verarbeitung nach Artikel 32 DSGVO und „Stand der Technik“

Die DSGVO verlangt in Art. 32 geeignete technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Zu berücksichtigen sind dabei der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos. Die Risiken betreffen hier vor allem die betroffenen Personen: Daten können vernichtet werden, verloren gehen, verändert werden oder unbefugt offengelegt bzw. zugänglich werden. Ausdrücklich genannt werden:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten,

• die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (Resilienz) der Systeme und Dienste auf Dauer sicherzustellen,

• die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen,

• ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.

Stand der Technik meint fortschrittliche, am Markt verfügbare Verfahren und Produkte, deren praktische Eignung gesichert ist und die nach Ansicht von Fachleuten das Schutzziel zuverlässig erreichen. Er ist anspruchsvoller als die „allgemein anerkannten Regeln der Technik“ (in der Praxis lange bewährt), aber nicht der „Stand von Wissenschaft und Forschung“ – also nicht das Neueste aus dem Labor, aber auch nichts Veraltetes. Was Stand der Technik ist, ändert sich: Ein Webserver, der noch TLS 1.0 anbietet, eine Datenbank, die Passwörter als ungesalzenen MD5-Hash speichert, oder ein Dateiserver, der nur das alte Protokoll SMBv1 spricht, genügt ihm heute nicht mehr. Orientierung geben die Technischen Richtlinien des BSI und die Handreichung „Stand der Technik“ des Bundesverbands IT-Sicherheit (TeleTrusT).

Datenabfluss verhindern und erkennen

Besonders schwer wiegt, wenn vertrauliche Daten das Unternehmen unbemerkt verlassen (data leakage). Vorbeugend helfen ein restriktives Rechtekonzept, Verschlüsselung, gesperrte oder kontrollierte USB-Anschlüsse, Firewall-Regeln auch für ausgehenden Verkehr (egress filtering) und Werkzeuge zur Data Loss Prevention (DLP), die vertrauliche Inhalte beim Versand erkennen und blockieren. Erkennen lässt sich ein Abfluss durch Protokollierung und deren Auswertung – etwa auffällig große Datenmengen zu unbekannten Zielen in den Firewall- oder Proxy-Protokollen oder ungewöhnliche Zugriffe außerhalb der Arbeitszeit.

Hardware und Datenträger: ESD-Schutz und sichere Entsorgung

Elektrostatische Entladung (ESD)

ESD steht für Electrostatic Discharge, deutsch elektrostatische Entladung. Menschen laden sich beim Gehen auf Teppich oder durch Kleidung auf mehrere Tausend Volt auf – spürbar ist ein Funke erst ab etwa 3.000 V, Halbleiter können aber schon bei deutlich geringeren Spannungen beschädigt werden. Die Schäden sind oft nicht sofort sichtbar, sondern führen später zu Ausfällen. Schutzmaßnahmen beim Arbeiten an Hardware:

• Erdungsarmband (über einen Schutzwiderstand mit dem Erdpotenzial verbunden) tragen,

• auf einer ableitfähigen ESD-Matte bzw. an einem ESD-Arbeitsplatz arbeiten,

• Bauteile nur in ESD-Schutzbeuteln transportieren und lagern, an den Rändern anfassen,

• sich vorher am geerdeten Metallgehäuse entladen; ESD-Schuhe und -Kleidung in Werkstätten.

ESD-Schutz dient vor allem der Verfügbarkeit (Hardware fällt nicht aus) und gehört zu den Qualitäts- und Arbeitsplatzregeln jeder IT-Werkstatt (Normenreihe DIN EN 61340); geschützt werden die Bauteile, nicht die Menschen.

Datenträger sicher löschen und entsorgen

Beim Löschen einer Datei oder beim (Schnell-)Formatieren entfernt das Betriebssystem meist nur die Verweise im Dateisystem; die Daten selbst bleiben auf dem Datenträger und lassen sich mit Wiederherstellungsprogrammen oft zurückholen. Vor Weitergabe, Verkauf oder Entsorgung müssen Datenträger deshalb sicher gelöscht oder zerstört werden:

• Überschreiben des gesamten Datenträgers mit Zufallsdaten (bei Festplatten mit Magnetscheiben, HDD),

• bei SSD und Flash-Speicher die in die Firmware eingebaute, genormte Löschfunktion (Secure Erase, Sanitize) bzw. kryptografisches Löschen (war der Datenträger vollständig verschlüsselt, genügt das sichere Vernichten des Schlüssels); einfaches Überschreiben erreicht wegen der internen Speicherverwaltung nicht alle Speicherzellen,

• Entmagnetisieren (Degausser) für HDD und Magnetbänder – danach ist die Festplatte unbrauchbar,

• physische Vernichtung (Schreddern, Lochen, Zerkleinern) durch einen zertifizierten Entsorgungsdienstleister mit Vernichtungsnachweis.

Die Norm DIN 66399 legt fest, wie klein Datenträger zerkleinert werden müssen: Sie unterscheidet drei Schutzklassen (nach Schutzbedarf), sieben Sicherheitsstufen und Materialklassen, z. B. H für Festplatten, E für elektronische Datenträger wie SSD und USB-Sticks. Je höher die Sicherheitsstufe, desto kleiner die Partikel. Personenbezogene Daten fallen je nach Schutzbedarf in Schutzklasse 1 bis 3; in der Praxis wird für sie meist mindestens Schutzklasse 2 (hoher Schutzbedarf) gewählt, für besonders sensible Daten Schutzklasse 3. Die Entsorgung wird dokumentiert (welcher Datenträger, wann, wie, von wem) – das gehört zu den TOM nach Art. 32 DSGVO.

Schutzbedarf feststellen nach IT-Grundschutz

Nicht alles muss gleich stark geschützt werden. Der BSI-Standard 200-2 (IT-Grundschutz-Methodik) beschreibt, wie man für jedes Objekt – Geschäftsprozess, Anwendung, Server, Raum – und für jedes Schutzziel einzeln den Schutzbedarf feststellt. Dazu überlegst Du, welcher Schaden entstehen könnte, wenn das Schutzziel verletzt wird. Typische Schadensszenarien sind Verstöße gegen Gesetze und Verträge, Beeinträchtigung der informationellen Selbstbestimmung, Beeinträchtigung der persönlichen Unversehrtheit, Beeinträchtigung der Aufgabenerfüllung, negative Außenwirkung und finanzielle Auswirkungen.

Die Begründung ist der wichtigste Teil: Sie nennt einen konkreten möglichen Schaden. Beispiel: „Vertraulichkeit der Chatnachrichten: hoch – werden private Nachrichten bekannt, kann das die Betroffenen erheblich beeinträchtigen und das Vertrauen in die App beschädigen.“

Für Systeme, auf denen mehrere Anwendungen laufen, gelten drei Regeln:

• Maximumprinzip: Ein Server erbt den höchsten Schutzbedarf der Anwendungen, die auf ihm laufen.

• Kumulationseffekt: Viele Anwendungen mit normalem Schutzbedarf auf einem System können zusammen einen höheren Schutzbedarf ergeben – fällt der Server aus, fallen alle gleichzeitig aus.

• Verteilungseffekt: Ist eine Anwendung auf mehrere redundante Systeme verteilt, kann der Schutzbedarf des einzelnen Systems (meist bei der Verfügbarkeit) niedriger sein.

Die Grafik zeigt die drei Regeln an je einem Beispiel:

Was bietet der IT-Grundschutz noch?

Das IT-Grundschutz-Kompendium des BSI (jüngste Edition 2023) enthält Bausteine für typische Objekte – etwa Clients, Webanwendungen, Rechenzentren oder Sensibilisierung und Schulung. Jeder Baustein beschreibt die Gefährdungslage und Anforderungen in drei Stufen: Basis-Anforderungen (müssen zuerst erfüllt werden), Standard-Anforderungen (Stand der Technik bei normalem Schutzbedarf) und Anforderungen bei erhöhtem Schutzbedarf. Beispiel aus dem Baustein ORP.4 (Identitäts- und Berechtigungsmanagement): Berechtigungen werden geregelt vergeben und wieder entzogen – umgesetzt etwa dadurch, dass beim Austritt einer Person ihre Konten am letzten Arbeitstag gesperrt und ihre Rechte entfernt werden. Für kleine Unternehmen gibt es Einstiegshilfen wie die Basis-Absicherung.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Cybersicherheitsbehörde des Bundes. Zu seinen Aufgaben gehören u. a. der Schutz der IT-Systeme des Bundes, das Erkennen und Abwehren von Angriffen und Warnungen vor Sicherheitslücken (z. B. über CERT-Bund), die Erarbeitung von Standards und Technischen Richtlinien wie dem IT-Grundschutz, die Prüfung und Zertifizierung von Produkten, die Aufsicht über Betreiber kritischer Infrastrukturen und – seit der Umsetzung der europäischen NIS-2-Richtlinie – über weitere wichtige und besonders wichtige Einrichtungen sowie die Beratung von Wirtschaft, Verwaltung, Bürgerinnen und Bürgern. Für Betriebssysteme veröffentlicht das BSI u. a. Empfehlungen zur Härtung: Ein System wird gehärtet, indem man seine Angriffsfläche verkleinert – nicht benötigte Dienste und Programme deaktivieren oder entfernen, unnötige Ports schließen, Standardkonten und -passwörter ändern, sichere Voreinstellungen per Gruppenrichtlinie setzen und Updates zeitnah einspielen.

Das BSI modernisiert den Grundschutz derzeit zu Grundschutz++ (anfangs auch „IT-Grundschutz++“ genannt) mit maschinenlesbaren Anforderungen; die Methodik wurde im April 2026 veröffentlicht, Zertifizierungen nach Grundschutz++ sind ab dem 1. Januar 2027 möglich, der bisherige IT-Grundschutz gilt in einer Übergangszeit bis Ende 2028 weiter. Die Grundideen – Schutzziele, Schutzbedarf, Anforderungen je Objekt – bleiben gleich.

Und der Datenschutz?

Sobald personenbezogene Daten betroffen sind – Angaben über eine identifizierte oder identifizierbare Person –, kommt zur Informationssicherheit das Datenschutzrecht hinzu, vor allem die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG). Es fragt nicht nur, ob Daten sicher sind, sondern ob sie überhaupt verarbeitet werden dürfen: Gibt es eine Rechtsgrundlage, wurde der Zweck festgelegt, werden nur nötige Daten gespeichert und rechtzeitig gelöscht, wissen die Betroffenen Bescheid? Die Sicherheit ist dabei nur einer von sieben Grundsätzen („Integrität und Vertraulichkeit“); umgesetzt wird sie mit den technischen und organisatorischen Maßnahmen aus diesem Artikel (Art. 32 DSGVO). Kommt es zu einer Datenpanne, muss sie in der Regel binnen 72 Stunden der Aufsichtsbehörde gemeldet werden.

Begriffe, Grundsätze, Rechtsgrundlagen, Einwilligung, Betroffenenrechte und die Pflichten der Unternehmen erklärt ausführlich der Artikel Datenschutz nach DSGVO.

Typische Fehler und Fallen

• Integrität mit Vertraulichkeit verwechseln: „Die Daten dürfen nicht manipuliert werden“ ist Integrität, nicht Vertraulichkeit.

• Schutzziel nur nennen statt erläutern: Beim Operator „erläutern“ gehören Definition und Bezug zur Situation dazu.

• Stichworte statt Beschreibung: „Backup im Serverraum“ ist noch keine beschriebene Schwachstelle – erst mit Folge („… ein Brand oder eine Ransomware trifft Original und Sicherung gleichzeitig, die Daten sind unwiederbringlich verloren“).

• Schwachstelle und Bedrohung vertauschen: Ransomware ist eine Bedrohung, das ungepatchte System die Schwachstelle.

• Datenschutz und Datensicherheit gleichsetzen: Ein Festplattendefekt bei Artikeldaten ist kein Datenschutzproblem; der Verkauf von Kundendaten ist kein Sicherheitsproblem im technischen Sinn.

• Schutzbedarf ohne Begründung: Die Kategorie allein überzeugt nicht; entscheidend ist der konkrete mögliche Schaden.

• Kryptografie als Allheilmittel: Verschlüsselung schützt die Vertraulichkeit, aber nicht die Verfügbarkeit und ohne Zusatz auch nicht die Integrität.

Schritt für Schritt: Sicherheitsfragen in Aufgaben beantworten

1. Objekt bestimmen: Um welche Daten, welches System oder welchen Ablauf geht es?

2. Schutzziel erkennen: Mit den Leitfragen (lesen? verändern? erreichbar? echt? nachweisbar?).

3. Schwachstelle und Bedrohung trennen: Was ist mangelhaft, was könnte passieren?

4. Folge beschreiben: Welcher Schaden entsteht für wen? (Bei Schutzbedarf: Kategorie mit Begründung.)

5. Maßnahme ableiten: An der Schwachstelle ansetzen, technisch und organisatorisch denken.

6. Personenbezug prüfen: Sind personenbezogene Daten betroffen? Dann zusätzlich Datenschutz (Rechtsgrundlage, Information, Rechte, ggf. Meldepflicht; siehe Datenschutz nach DSGVO).

Leitfragen

1. Was bedeuten Vertraulichkeit, Integrität und Verfügbarkeit, und welches Schutzziel ist betroffen, wenn jemand die Bestellmengen in einer weitergeleiteten Lieferliste unbemerkt ändert? Antwort

Vertraulichkeit heißt, dass nur Befugte Informationen lesen können, Integrität, dass Daten vollständig und unverändert sind und Systeme korrekt funktionieren, und Verfügbarkeit, dass Dienste und Daten zum geforderten Zeitpunkt nutzbar sind. Werden Bestellmengen unterwegs unbemerkt verändert, ist die Integrität verletzt – nicht die Vertraulichkeit; siehe Abschnitt „Integrität (integrity)“ und Abschnitt „Das richtige Schutzziel erkennen“.

2. Wie unterscheiden sich Authentizität und Verbindlichkeit? Nenne je eine passende Maßnahme. Antwort

Authentizität bedeutet, dass eine Information oder Person echt ist, also wirklich von der angegebenen Quelle stammt – Maßnahmen sind etwa Mehr-Faktor-Authentifizierung, Zertifikate oder digitale Signaturen. Verbindlichkeit (Nichtabstreitbarkeit) heißt, dass eine Handlung ihrem Urheber nachweisbar zugeordnet werden kann – etwa durch persönliche statt Sammelkonten, manipulationssichere Protokollierung oder eine qualifizierte elektronische Signatur; siehe Abschnitt „Erweiterte Schutzziele: Authentizität und Verbindlichkeit“.

3. Was ist der Unterschied zwischen einer Schwachstelle, einer Bedrohung und einem Risiko? Antwort

Eine Schwachstelle ist ein ausnutzbarer Mangel (z. B. ein ungepatchter Server), eine Bedrohung ein Umstand oder Ereignis, das Schaden anrichten kann (z. B. Ransomware oder Brand), und erst trifft sie auf eine passende Schwachstelle, wird sie gefährlich. Das Risiko bewertet, wie wahrscheinlich und wie groß der Schaden ist: Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe; siehe Abschnitt „Schwachstelle, Bedrohung, Risiko“.

4. Wie beschreibst Du eine Schwachstelle einer IT-Infrastruktur vollständig? Antwort

Eine Stichwortliste reicht nicht: Beschreibe nach dem Schema Schwachstelle (was ist mangelhaft?) → mögliche Bedrohung (was kann passieren?) → Folge (welches Schutzziel wird verletzt, welcher Schaden entsteht?). Beispiel: Alle Dienste laufen auf einem Server; fällt dessen Netzteil aus, sind alle gleichzeitig nicht erreichbar (Verfügbarkeit). Die Tabelle der typischen Schwachstellen nennt jeweils mit, welches Schutzziel vor allem betroffen ist; siehe Abschnitt „Schwachstellen erkennen und beschreiben“ und Abschnitt „Schwachstellen in der IT-Infrastruktur“.

5. Warum ist es riskant, wenn ein Unternehmen seine Kundschaft daran gewöhnt, Office-Dateien mit Makros aus E-Mails zu öffnen, und wie lassen sich Dokumente sicherer bereitstellen? Antwort

Office-Dateien können Makros oder Exploits enthalten, Empfänger*innen gewöhnen sich ans Öffnen solcher Anhänge und fallen so leichter auf gefälschte Mails herein, werden teils sogar zum Aktivieren von Makros aufgefordert, und der unverschlüsselte Anhang gefährdet Vertraulichkeit und Integrität. Sicherer ist es, das Dokument im Kundenportal bereitzustellen und nur einen Hinweis ohne Anhang (und ohne Anmeldelink) zu verschicken; wenn ein Anhang nötig ist, dann ein signiertes PDF ohne aktive Inhalte, bei Vertraulichem Ende-zu-Ende-verschlüsselt; siehe Abschnitt „Schwachstellen in Abläufen: das Beispiel E-Mail-Anhang“.

6. Woran erkennst Du eine gut formulierte Sicherheitsanforderung, und welche Anforderungen gehören typischerweise zu einer Plattform mit Kundenkonten? Antwort

Eine gute Anforderung sagt, was gefordert ist, wofür, und woran man die Erfüllung prüfen kann. Typische Anforderungen sind TLS-verschlüsselte Übertragung, verschlüsselte Speicherung und Passwörter nur als gesalzener Hash (bcrypt, Argon2id), Anmeldung mit persönlichem Konto, zweitem Faktor und Sperre nach Fehlversuchen, Sitzungsbegrenzung, ein serverseitig geprüftes Rechtekonzept nach least privilege, geschützte Protokollierung, serverseitige Eingabeprüfung mit Prepared Statements, getestete Datensicherung sowie zeitnahe Updates. Dazu kommen organisatorische Maßnahmen wie Schulungen und ein Notfallplan; siehe Abschnitt „Sicherheitstechnische Anforderungen formulieren“.

7. Wie stellst Du den Schutzbedarf nach IT-Grundschutz fest, und was besagt das Maximumprinzip? Antwort

Nach BSI-Standard 200-2 überlegst Du für jedes Objekt und jedes Schutzziel einzeln, welcher Schaden bei einer Verletzung entstehen kann, ordnest ihn den Kategorien normal, hoch oder sehr hoch zu und begründest das mit einem konkreten möglichen Schaden. Das Maximumprinzip besagt, dass ein System den höchsten Schutzbedarf der Anwendungen erbt, die darauf laufen; siehe Abschnitt „Schutzbedarf feststellen nach IT-Grundschutz“.

8. Worin unterscheiden sich Datenschutz und Datensicherheit? Antwort

Datensicherheit schützt Daten (egal ob personenbezogen) vor Verlust, Verfälschung und unbefugtem Zugriff, Datenschutz schützt Menschen und ihr Recht auf informationelle Selbstbestimmung vor unrechtmäßiger Verarbeitung personenbezogener Daten. Ein Festplattendefekt bei Artikeldaten ist also nur ein Datensicherheitsthema, der Verkauf von Kundendaten ohne Rechtsgrundlage ein Datenschutzproblem; siehe Abschnitt „Drei Begriffe, die oft verwechselt werden“.

9. Wodurch unterscheiden sich Zutritts-, Zugangs- und Zugriffskontrolle? Antwort

Die Zutrittskontrolle fragt, wer einen Raum oder ein Gelände betreten darf (Schlüssel, Chipkarte), die Zugangskontrolle, wer ein IT-System benutzen darf (Anmeldung mit Passwort und zweitem Faktor), und die Zugriffskontrolle, wer innerhalb des Systems welche Daten sehen oder ändern darf (Rollen- und Berechtigungskonzept); siehe Abschnitt „Zutritt, Zugang, Zugriff“.

10. Was bedeutet „Stand der Technik“, und was verlangt Art. 32 DSGVO von den Maßnahmen? Antwort

Stand der Technik sind fortschrittliche, am Markt verfügbare Verfahren mit gesicherter praktischer Eignung, die das Schutzziel nach Ansicht von Fachleuten zuverlässig erreichen; veraltete Verfahren wie TLS 1.0 oder ungesalzene MD5-Hashes genügen ihm nicht. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau, u. a. Verschlüsselung und Pseudonymisierung, dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, schnelle Wiederherstellung und eine regelmäßige Überprüfung der Maßnahmen; siehe Abschnitt „Sicherheit der Verarbeitung nach Artikel 32 DSGVO und Stand der Technik“.

11. Warum reicht Formatieren vor der Entsorgung einer Festplatte nicht, und wie schützt Du Bauteile vor ESD? Antwort

Löschen und Formatieren entfernen meist nur die Verweise im Dateisystem, die Daten lassen sich wiederherstellen. Datenträger werden deshalb vollständig überschrieben, per Secure Erase bzw. kryptografisch gelöscht, entmagnetisiert oder nach DIN 66399 mit Nachweis vernichtet. Vor ESD schützen Erdungsarmband, ESD-Matte, ESD-Beutel und das Entladen am geerdeten Gehäuse; siehe Abschnitt „Hardware und Datenträger: ESD-Schutz und sichere Entsorgung“.

Links und weitere Informationen

• Übungsaufgaben zu Schutzzielen, Sicherheitsrisiken und Datenschutz

• Kryptografie: symmetrisch, asymmetrisch, hybrid – mit Hash, Signatur und Zertifikat

• Übungsaufgaben zum IT-Grundschutz, Übungsaufgaben zum Datenschutz und Übungsaufgaben zur Datensicherung

• als Nachschlagewerk: BSI: IT-Grundschutz mit BSI-Standard 200-2 und IT-Grundschutz-Kompendium

• für den Einstieg: BSI für Bürgerinnen und Bürger: Cyber-Sicherheitsempfehlungen

• Datenschutz nach DSGVO: Begriffe, Grundsätze, Rechtsgrundlagen und Betroffenenrechte

• für Entwickler*innen: OWASP Top 10

---

Hinweis zur Nachnutzung als Open Educational Resource (OER)

Dieser Artikel und seine Texte, Bilder, Grafiken, Code und sonstiger Inhalt sind - sofern nicht anders angegeben - lizenziert unter CC BY 4.0. Nennung gemäß TULLU-Regel bitte wie folgt: “Schutzziele, Schwachstellen und Sicherheitsrisiken” von oer-informatik.de (H. Stein), Lizenz: CC BY 4.0. Der Artikel wurde unter https://oer-informatik.de/schutzziele-sicherheitsrisiken veröffentlicht, die Quelltexte sind in weiterverarbeitbarer Form verfügbar im Repository unter https://gitlab.com/oer-informatik/it-sicherheit/schutzmassnahmen. Erstellt mit KI-Assistenz; von mir umfassend redaktionell überarbeitet, geprüft und freigegeben. Stand: 28.10.2026.

[Kommentare zum Artikel lesen, schreiben] / [Artikel teilen] / [gitlab-Issue zum Artikel schreiben]