Vertraulichkeit ist das Schutzziel, nach dem Informationen nur denjenigen zugänglich sind, die dafür eine Berechtigung haben. Sie ist von den drei Schutzzielen der Informationssicherheit dasjenige, das am häufigsten gemeint ist, wenn jemand umgangssprachlich von Sicherheit spricht — und dasjenige, dessen Verletzung sich am schlechtesten rückgängig machen lässt. Ein Serverausfall endet, eine falsch versendete Kalkulation nicht.
Berechtigung ist eine Entscheidung, kein Zustand
Vertraulichkeit entsteht nicht durch Technik, sondern durch eine Festlegung: Wer darf was, und warum. Diese Festlegung heißt Berechtigungskonzept. Sie ordnet Rollen Rechte zu, nicht Personen — sonst muss bei jeder Neueinstellung neu nachgedacht werden.
Zum Konzept gehören vier Vorgänge, die getrennt geregelt sein müssen: Vergabe, Änderung, Entzug und Überprüfung. Der Entzug ist der schwächste Punkt in fast jeder Organisation. Er hat keinen natürlichen Auslöser, denn niemand meldet sich, weil er ein Recht zu viel hat.
Warum Rechte anwachsen
Der klassische Befund heißt Rechteakkumulation. Eine Mitarbeiterin wechselt aus dem Vertrieb in den Einkauf, bekommt die Einkaufsrechte, behält aber die Vertriebsrechte, weil das Altsystem nichts entzieht und niemand fragt. Nach drei Wechseln hat sie mehr Zugriff als jede Leitungskraft.
Auditoren finden das mit einer einfachen Stichprobe: Sie lassen sich die Liste der Personalveränderungen der letzten zwölf Monate geben und vergleichen für drei Fälle den heutigen Rechtestand mit der heutigen Rolle. Diese Prüfung dauert zwanzig Minuten und führt regelmäßig zu einer Nebenabweichung. Ebenso beliebt: Konten von Personen, die das Unternehmen verlassen haben, und geteilte Sammelkonten ohne persönliche Zuordnung.
Vertraulichkeit außerhalb der IT
Die Fixierung auf Systeme verdeckt die analogen Wege. Vertraulichkeit bricht an ausgedruckten Unterlagen am Drucker, an Besprechungsräumen mit unverschlossener Flipchart, an Bildschirmen im Großraum mit Blick zum Gang, an Gesprächen im Zug, an Altgeräten, die ohne Löschnachweis entsorgt werden.
Ein Rundgang durch die Büros nach Feierabend ist die ehrlichste Prüfung, die eine Organisation sich selbst zumuten kann. Was dabei offen liegt, liegt auch offen, wenn ein Auditor dieselbe Runde dreht — und dieser Rundgang gehört zum Standardrepertoire im Zertifizierungsaudit.
Die häufigste Verwechslung
Vertraulichkeit und Datenschutz werden gleichgesetzt. Vertraulichkeit gilt für alle Informationen, auch für Angebotskalkulationen, Rezepturen und Verhandlungsstände, an denen kein personenbezogenes Datum hängt. Umgekehrt verlangt der Datenschutz Dinge, die mit Vertraulichkeit nichts zu tun haben: Löschfristen, Zweckbindung, Auskunft an Betroffene. Wer beides in einem Dokument vermischt, bekommt ein Konzept, das für keine der beiden Prüfungen taugt.
Praktisch trennen lässt sich das über die Frage nach dem Anlass: Der Datenschutz fragt, ob die Verarbeitung überhaupt erlaubt ist. Die Vertraulichkeit fragt, wer an die Information herankommt, wenn sie erlaubt ist. Die gemeinsamen Werkzeuge — Rollen, Rechte, Verschlüsselung, Schulung — sind dieselben, die Begründung und die Nachweispflichten sind es nicht. Wer diese Trennung sauber hält, kann dieselbe Maßnahme in beiden Kontexten belegen, ohne sie zweimal zu erfinden.