Die Schutzziele der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit. Jede Maßnahme eines Informationssicherheits-Managementsystems lässt sich auf mindestens eines dieser drei Ziele zurückführen. Wer eine Maßnahme keinem Ziel zuordnen kann, hat entweder das Ziel nicht verstanden oder braucht die Maßnahme nicht.
Im englischen Sprachgebrauch heißt die Gruppe CIA — confidentiality, integrity, availability. Die Abkürzung hat mit dem Nachrichtendienst nichts zu tun und taucht in Beratungsunterlagen trotzdem regelmäßig als Stolperstein auf.
Was die drei Ziele jeweils bedeuten
Vertraulichkeit heißt: Information ist nur für die zugänglich, die dafür berechtigt sind. Verletzt wird sie durch den falschen Verteiler, das offene Netzlaufwerk, den mitgehörten Telefonanruf im Zug.
Integrität heißt: Information ist vollständig und unverändert, und Änderungen sind nachvollziehbar. Verletzt wird sie durch die überschriebene Preisliste, den stillen Übertragungsfehler, die manipulierte Buchung.
Verfügbarkeit heißt: Information ist dann nutzbar, wenn sie gebraucht wird. Verletzt wird sie durch den Serverausfall, die verlorene Schlüsselkarte, den einzigen Mitarbeiter mit dem Passwort, der im Urlaub ist.
Die Ziele stehen im Konflikt
Das wird in Konzepten selten geschrieben und ist der eigentliche Grund, warum Sicherheitsentscheidungen schwer sind. Wer die Vertraulichkeit maximiert, senkt fast immer die Verfügbarkeit: Mehr Berechtigungsstufen bedeuten mehr Anträge, längere Wartezeiten und mehr Arbeitsschritte, die im Notfall im Weg stehen. Wer die Verfügbarkeit maximiert, verteilt Kopien — und vervielfacht damit die Orte, an denen Vertraulichkeit brechen kann.
Deshalb ist die zentrale Frage nie „wie sicher”, sondern „welches Ziel hat bei diesem Informationswert Vorrang”. Erst diese Gewichtung macht aus einer Wunschliste eine Entscheidung.
Woran es in der Praxis scheitert
Der häufigste Fehler ist die pauschale Einstufung. Alle Werte bekommen bei allen drei Zielen einen hohen Schutzbedarf, weil niemand sich traut, „normal” anzukreuzen. Das Ergebnis ist eine Schutzbedarfsfeststellung ohne Aussage: Wenn alles kritisch ist, ist nichts priorisiert, und das Budget verteilt sich nach Lautstärke statt nach Risiko.
Der zweite Fehler ist die Verwechslung von Informationssicherheit und Datenschutz. Datenschutz betrifft personenbezogene Daten und fragt nach Rechtmäßigkeit, Zweckbindung und Betroffenenrechten. Informationssicherheit betrifft alle Informationen, auch Konstruktionszeichnungen und Kalkulationen, an denen kein Datenschutzrecht hängt. Die Schnittmenge ist groß, die Ziele sind es nicht — die technischen und organisatorischen Maßnahmen sind der Punkt, an dem beide Welten dieselben Werkzeuge nutzen.
Der dritte Fehler betrifft die Prüfung: Schutzziele werden formuliert, aber nie gemessen. Ein Ziel ohne Kennzahl und ohne Überprüfung im internen Audit bleibt eine Absichtserklärung. Brauchbar sind Größen, die ohnehin anfallen — Wiederanlaufzeiten nach Störungen, Anteil der überfälligen Berechtigungsprüfungen, Zahl der falsch adressierten Versendungen.
Für den Einstieg genügt eine einfache Übung: Nehmen Sie die drei Anwendungen, ohne die Ihr Kerngeschäft am selben Tag stillsteht, und beantworten Sie für jede drei Fragen. Was passiert, wenn die Daten nach außen gelangen? Was passiert, wenn sie unbemerkt falsch sind? Was passiert, wenn sie für einen Tag nicht erreichbar sind? Die Antworten unterscheiden sich fast immer deutlich — und genau diese Unterschiede sind die Grundlage jeder sinnvollen Priorisierung.