Schutzziele der Informationssicherheit: CIA-Triade und erweiterte Ziele

Die Informationssicherheit verfolgt drei zentrale Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit. Diese drei Ziele bilden die sogenannte CIA-Triade und sind der Maßstab, an dem sich jede Sicherheitsmaßnahme messen lässt. Je nach Anforderung kommen erweiterte Schutzziele wie Authentizität, Nichtabstreitbarkeit und Zurechenbarkeit hinzu.

Wer die Schutzziele versteht, versteht den Kern jeder Sicherheitsstrategie. Sie sind nicht nur ein theoretisches Modell, sondern die Grundlage, auf der Normen wie ISO 27001 und das BSI ihre Anforderungen aufbauen. Dieser Artikel erklärt jedes Schutzziel, ordnet die erweiterten Ziele ein und zeigt, wie sich die Schutzziele in der Praxis über ein Managementsystem umsetzen lassen.

Die drei Schutzziele der Informationssicherheit (CIA-Triade)

Die klassischen Schutzziele der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit. Im Englischen heißen sie Confidentiality, Integrity und Availability, woraus sich das Akronym CIA und der Begriff CIA-Triade ableiten. Jede Information, jedes System und jeder Prozess wird daran gemessen, ob diese drei Eigenschaften gewahrt bleiben. Fällt eines der Ziele aus, entsteht ein Sicherheitsvorfall.

Die CIA-Triade: drei gleichrangige Schutzziele, die sich gegenseitig bedingen.

Vertraulichkeit (Confidentiality)

Vertraulichkeit bedeutet, dass Informationen nur denjenigen zugänglich sind, die dazu berechtigt sind. Ein unbefugter Zugriff verletzt dieses Schutzziel, unabhängig davon, ob die Daten verändert werden oder nicht. Schon das Mitlesen genügt. Typische Maßnahmen sind Zugriffsrechte nach dem Need-to-know-Prinzip, Verschlüsselung von Daten bei der Übertragung und Speicherung sowie eine saubere Klassifizierung von Informationen nach Schutzbedarf. Ein offengelegter Kundendatensatz kann eine Meldepflicht nach DSGVO auslösen und das Vertrauen dauerhaft beschädigen.

Integrität (Integrity)

Integrität stellt sicher, dass Informationen vollständig und unverändert bleiben. Eine Information ist integer, wenn sie nicht unbemerkt manipuliert wurde, weder absichtlich noch durch einen technischen Fehler. Prüfsummen, digitale Signaturen, Versionierung und ein konsequentes Änderungsmanagement schützen die Integrität. In der Praxis ist die größte Gefahr selten der spektakuläre Angriff, sondern die unbemerkte Änderung, die erst Wochen später auffällt. Eine manipulierte Überweisungssumme oder ein verfälschter Messwert führt zu Entscheidungen auf falscher Grundlage, ohne dass jemand den Eingriff sofort bemerkt.

Verfügbarkeit (Availability)

Verfügbarkeit heißt, dass Informationen und Systeme dann nutzbar sind, wenn sie gebraucht werden. Ein Ausfall durch einen Hardwaredefekt, einen Stromausfall oder einen Ransomware-Angriff verletzt dieses Ziel genauso wie eine überlastete Anwendung. Maßnahmen sind Redundanzen, regelmäßige Backups, ein getestetes Notfallmanagement und eine realistische Einschätzung, wie lange ein System ausfallen darf, ohne dass der Geschäftsbetrieb kippt. Die zentrale Frage lautet: Wie lange darf ein System ausfallen, bevor der Schaden den Aufwand für Redundanz übersteigt? Diese Toleranz unterscheidet sich von Prozess zu Prozess.

Die drei Ziele sind gleichrangig, stehen aber manchmal im Konflikt. Eine strenge Verschlüsselung erhöht die Vertraulichkeit, kann aber die Verfügbarkeit senken, wenn ein Schlüssel verloren geht. Sicherheitsarbeit besteht zu großen Teilen darin, diese Zielkonflikte bewusst auszubalancieren, statt ein einzelnes Ziel blind zu maximieren. Welches Ziel im Zweifel Vorrang hat, ergibt sich aus dem Schutzbedarf der jeweiligen Information.

Erweiterte Schutzziele: Authentizität, Nichtabstreitbarkeit, Zurechenbarkeit

Die CIA-Triade deckt die Grundlagen ab, reicht aber nicht für jede Anforderung aus. Sobald es um Nachweisbarkeit, Rechtssicherheit oder die eindeutige Zuordnung von Handlungen geht, kommen erweiterte Schutzziele ins Spiel. Das BSI nennt diese ergänzenden Ziele in seinen Grundlagen zur Informationssicherheit. Wer nach den vier oder fünf Schutzzielen sucht, meint in der Regel die CIA-Triade plus eines oder mehrere dieser erweiterten Ziele.

Wie viele Schutzziele es gibt, hängt davon ab, wie weit man die erweiterten Ziele fasst. Wer von drei Schutzzielen spricht, meint die CIA-Triade. Bei vier Zielen kommt meist die Authentizität hinzu, bei fünf zusätzlich die Nichtabstreitbarkeit. Die folgende Übersicht zeigt die gängige Zuordnung und wann das jeweilige Ziel relevant wird.

Schutzziele in der Praxis umsetzen

Schutzziele sind kein Selbstzweck. In der Praxis stellt sich für jede Information die Frage, wie hoch der Schutzbedarf bei jedem einzelnen Ziel ist. Eine öffentlich einsehbare Preisliste braucht keine Vertraulichkeit, aber hohe Integrität. Ein Bewerberdatensatz braucht beides. Diese Einordnung ist der Ausgangspunkt jeder sinnvollen Maßnahme.

Welche Maßnahme wie viel Schutz bringt, hängt von den konkreten Risiken ab. Die strukturierte Bewertung dieser Risiken ist ein eigenes Thema, das wir im Detail unter ISMS-Risikomanagement umsetzen behandeln. An dieser Stelle genügt das Prinzip: Schutzbedarf zuerst, Maßnahme danach.

Ein Punkt wird in der Praxis oft unterschätzt: Schutzziele zu erreichen genügt nicht, man muss es auch nachweisen können. Ohne dokumentierte Schutzbedarfsfeststellung, ohne protokollierte Maßnahmen und ohne regelmäßige Prüfberichte lässt sich gegenüber Auditoren, Kunden oder Aufsichtsbehörden nicht belegen, dass die Ziele tatsächlich gewahrt sind. Der Nachweis ist kein bürokratischer Anhang, sondern Teil des Schutzes selbst.

Schutzziele im ISMS: Wie ISO 27001 sie adressiert

Einzelne Maßnahmen schützen einzelne Informationen. Ein Informationssicherheitsmanagementsystem, kurz ISMS, sorgt dafür, dass die Schutzziele über die gesamte Organisation hinweg systematisch und wiederholbar erreicht werden. Statt punktueller Absicherung entsteht ein Kreislauf aus Bewerten, Umsetzen, Prüfen und Verbessern. Wie ein solches System aufgebaut wird, beschreiben wir unter ISMS aufbauen.

ISO 27001 ist der etablierte Standard für ein ISMS. Die Norm übersetzt die Schutzziele in konkrete Anforderungen und einen Katalog von Controls im Anhang A. Vertraulichkeit, Integrität und Verfügbarkeit sind dort nicht nur genannt, sondern in Maßnahmen zu Zugriffssteuerung, Kryptografie, Betriebssicherheit und Kontinuität ausbuchstabiert. Das macht die Norm zum praktischen Werkzeug, nicht zur reinen Theorie.

Der eigentliche Hebel liegt im Kreislauf, den die Norm vorschreibt. Schutzziele werden bewertet, Maßnahmen umgesetzt, ihre Wirksamkeit geprüft und bei Lücken nachgebessert. Dieser Plan-Do-Check-Act-Zyklus sorgt dafür, dass die Schutzziele nicht einmalig erreicht, sondern dauerhaft gehalten werden, auch wenn sich Systeme, Bedrohungen und Geschäftsprozesse verändern.

"Schutzziele scheitern in der Praxis selten an fehlendem Wissen, sondern an fehlender Systematik. Wer Vertraulichkeit, Integrität und Verfügbarkeit nur projektweise absichert, verliert den Überblick. Ein ISMS macht aus einzelnen Maßnahmen einen nachweisbaren Zustand."

Amin Abbaszadeh, Informationssicherheitsexperte bei SECJUR

Der Aufbau eines ISMS bindet erfahrungsgemäß viel interne Kapazität, vor allem in der Dokumentation und im Mapping von Maßnahmen auf Controls. Eine ISMS-Plattform wie das SECJUR Digital Compliance Office senkt diesen internen Aufwand um bis zu 50 Prozent, weil sie Vorlagen, Workflows und fertige Control-Zuordnungen mitbringt. Die Schutzziele bleiben dieselben, der Weg dorthin wird kürzer.

Schutzziele systematisch managen

Die Schutzziele der Informationssicherheit sind der gemeinsame Nenner aller Sicherheitsarbeit. Vertraulichkeit, Integrität und Verfügbarkeit bilden das Fundament, die erweiterten Ziele kommen dort hinzu, wo Nachweisbarkeit und Rechtssicherheit zählen. Wer die Ziele nur kennt, ohne sie konsequent auf die eigenen Werte anzuwenden, gewinnt keine Sicherheit.

Derselbe Satz an Schutzzielen trägt auch andere Anforderungen. Ob NIS2, TISAX oder branchenspezifische Vorgaben: Im Kern verlangen sie alle, dass Vertraulichkeit, Integrität und Verfügbarkeit nachweisbar gewährleistet sind. Wer die Schutzziele einmal sauber in einem Managementsystem verankert hat, erfüllt mehrere Regelwerke auf derselben Grundlage, statt für jedes Regelwerk ein eigenes Silo aufzubauen.

Genau das leistet ein Managementsystem: Es ordnet jedem Schutzziel Maßnahmen, Verantwortliche und eine regelmäßige Kontrolle zu. Mit einer Plattform wie SECJUR lässt sich dieser Rahmen schneller etablieren und dauerhaft pflegen, sodass aus einem abstrakten Modell ein belastbarer Sicherheitszustand wird. Wer hier sauber aufsetzt, erfüllt nicht nur Normanforderungen, sondern reduziert reale Risiken.