Stand: März 2026 — Dieser Artikel wurde zuletzt im März 2026 fachlich geprüft und aktualisiert.
Die vier Schutzziele der Informationssicherheit sind Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität. Gemeinsam bilden sie das Fundament jeder Sicherheitsstrategie — ob im Mittelstand, in Konzernen oder in öffentlichen Einrichtungen. Die ersten drei Ziele sind international als CIA-Triade bekannt (Confidentiality, Integrity, Availability). Das vierte Ziel, Authentizität, wird vom BSI und von Aufsichtsbehörden wie der BaFin explizit ergänzt und gewinnt durch Cloud-Dienste, Remote Work und KI-gestützte Angriffe weiter an Bedeutung. In der Praxis greifen alle vier Ziele ineinander: Wer eines vernachlässigt, gefährdet die anderen. Dieser Artikel erklärt jedes Schutzziel im Detail, zeigt typische Bedrohungen und konkrete Maßnahmen — und ordnet die Ziele in den Rahmen von ISO 27001, BSI IT-Grundschutz und DSGVO ein.
Informationssicherheit ist kein IT-Problem. Sie ist ein Geschäftsrisiko. Der BSI-Lagebericht 2025 macht das unmissverständlich klar: Rund 80 % aller gemeldeten Cybervorfälle betreffen kleine und mittlere Unternehmen. Der wirtschaftliche Schaden durch Spionage, Sabotage und Datendiebstahl lag in Deutschland 2025 bei rund 289 Milliarden Euro.
Schutzziele machen Sicherheit greifbar. Statt abstrakter Risiken definieren sie konkrete Anforderungen: Welche Daten dürfen nur bestimmte Personen sehen? Welche Systeme müssen rund um die Uhr laufen? Wo muss nachweisbar sein, wer eine Information erstellt hat? Erst wenn diese Fragen beantwortet sind, lassen sich sinnvolle technische und organisatorische Maßnahmen planen.
Regulatorisch gibt es keinen Spielraum. Die DSGVO fordert in Artikel 32 die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. ISO 27001:2022 verlangt ein systematisches Management aller Schutzziele über den gesamten Informationslebenszyklus. Und die seit Oktober 2024 geltende NIS2-Richtlinie verschärft die Anforderungen für Betreiber kritischer und wichtiger Einrichtungen erheblich — inklusive persönlicher Haftung der Geschäftsführung.
Viele Geschäftsführer denken bei Informationssicherheit nur an Firewalls. Aber die Schutzziele zeigen: Es geht um viel mehr — um Ihre Geschäftsprozesse, Ihre Verträge und das Vertrauen Ihrer Kunden.
Nils OehmichenDatenschutzberater bei frag.hugo
Die drei klassischen Schutzziele — Vertraulichkeit, Integrität und Verfügbarkeit — bilden die sogenannte CIA-Triade. Der Name leitet sich von den englischen Begriffen Confidentiality, Integrity und Availability ab. Dieses Modell stammt aus den 1970er-Jahren und ist bis heute der internationale Standard in der Informationssicherheit.
Die Stärke der CIA-Triade liegt in ihrer Universalität. Sie gilt für jede Art von Information: digitale Daten, physische Dokumente, mündlich weitergegebenes Wissen. Sie gilt für jede Branche, jede Unternehmensgröße und jede Technologie. Gleichzeitig bildet sie nur das Minimum ab. Für moderne IT-Umgebungen reicht die klassische Triade nicht aus — deshalb ergänzen Fachleute und Standards seit Jahren die Authentizität als viertes Schutzziel.
Im deutschsprachigen Raum wird das erweiterte Modell manchmal als VIVA-Prinzip bezeichnet: Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität.
Definition: Vertraulichkeit bezeichnet den Schutz von Informationen vor unbefugtem Zugriff. Nur autorisierte Personen, Prozesse oder Systeme dürfen auf bestimmte Daten zugreifen. Das BSI definiert Vertraulichkeit als "Schutz vor Verrat von Informationen oder vertraulichen Daten".
Vertraulichkeit betrifft jede Information, die nicht für die Öffentlichkeit bestimmt ist. Kundendaten, Gehaltsabrechnungen, Konstruktionszeichnungen, Rezepturen, Quellcode, Strategiepapiere, Gesundheitsdaten — die Liste ist lang. Vertraulichkeit heißt nicht, dass alle Daten gleich schützenswert sind. Es heißt, dass der Zugang zu Daten dem Prinzip der geringsten Berechtigung (Least Privilege) folgt: Jeder bekommt nur den Zugriff, den er für seine Aufgabe braucht. Nicht mehr.
Das Konzept erstreckt sich über den gesamten Lebenszyklus einer Information. Daten müssen bei der Speicherung (Data at Rest), bei der Übertragung (Data in Transit) und bei der Verarbeitung (Data in Use) geschützt sein. Eine verschlüsselte Festplatte nützt wenig, wenn die Daten unverschlüsselt über ein offenes WLAN übertragen werden.
Praxisbeispiel: Vertraulichkeit
Ein mittelständischer Maschinenbauer speichert seine Konstruktionsdaten in einem Cloud-CAD-System. Ein Praktikant erhält bei der Einstellung denselben Vollzugriff wie die Ingenieure — niemand passt die Berechtigungen an. Als der Praktikant das Unternehmen verlässt, bleibt sein Konto aktiv. Drei Monate später tauchen detaillierte Konstruktionszeichnungen bei einem Wettbewerber auf.
Was hier fehlte: Ein Berechtigungskonzept nach dem Least-Privilege-Prinzip, ein Offboarding-Prozess mit automatischer Kontendeaktivierung und eine regelmäßige Überprüfung der Zugriffsrechte.
Definition: Integrität umfasst die Korrektheit und Vollständigkeit von Daten sowie die korrekte Funktionsweise von Systemen. Das BSI unterscheidet ausdrücklich zwischen Datenintegrität (Daten sind unverändert und vollständig) und Systemintegrität (Systeme arbeiten wie vorgesehen und sind frei von unbefugten Manipulationen).
Integrität geht über die Frage "Wurde etwas verändert?" hinaus. Sie umfasst drei Dimensionen:
In einer Welt, in der Deepfakes und KI-generierte Inhalte alltäglich werden, gewinnt die Integrität von Informationen eine neue Dimension. Es geht nicht mehr nur um technische Manipulation von Datenbanken — es geht darum, ob man dem Inhalt einer E-Mail, eines Dokuments oder einer Sprachnachricht überhaupt noch trauen kann.
Praxisbeispiel: Integrität
Ein Onlineshop wird Opfer einer SQL-Injection-Attacke. Die Angreifer ändern Preise im Produktkatalog — hochwertige Elektronik wird für wenige Cent angezeigt. Bevor der Fehler auffällt, gehen hunderte Bestellungen zu manipulierten Preisen ein. Der Schaden beläuft sich auf über 200.000 Euro. Zusätzlich ist unklar, ob auch Kundendaten manipuliert oder abgezogen wurden.
Was hier fehlte: Input-Validierung, parametrisierte Datenbankabfragen, eine Web Application Firewall (WAF) und ein Integritätsmonitoring, das ungewöhnliche Preisänderungen sofort gemeldet hätte.
Definition: Verfügbarkeit bedeutet, dass IT-Systeme, Anwendungen und Informationen zum vorgesehenen Zeitpunkt für autorisierte Nutzer funktionsfähig und zugänglich sind. Das BSI formuliert es so: "Dienste, Funktionen eines IT-Systems sowie Informationen müssen zum vorgesehenen Zeitpunkt zur Verfügung stehen."
Verfügbarkeit wird in Prozent der Betriebszeit gemessen. Eine Verfügbarkeit von 99,9 % klingt beeindruckend — bedeutet aber immer noch fast neun Stunden Ausfallzeit pro Jahr. Für einen Onlineshop kann eine Stunde Ausfall während des Black Friday einen sechsstelligen Umsatzverlust bedeuten. Für ein Krankenhaus kann der Ausfall eines Patientenmanagementsystems Menschenleben gefährden.
Verfügbarkeit ist kein absolutes Ziel. Nicht jedes System braucht 99,99 % Uptime. Ein internes Wiki kann gelegentlich offline sein — das Produktionssystem einer Fabrik oder das Leitsystem eines Energieversorgers nicht. Die Kunst liegt darin, den Schutzbedarf realistisch einzuschätzen und die Maßnahmen entsprechend zu dimensionieren.
Die DSGVO ergänzt die klassische Verfügbarkeit um den Begriff der Belastbarkeit (Resilience). Systeme müssen nicht nur verfügbar sein — sie müssen auch unter erhöhter Last oder bei Teilausfällen stabil bleiben. Das betrifft insbesondere Cloud-Architekturen und verteilte Systeme.
Praxisbeispiel: Verfügbarkeit
Ein bedeutender Softwaredienstleister für Flughafensysteme wird 2025 Opfer einer Ransomware-Attacke. Am Berliner Flughafen wird die Passagierabfertigung lahmgelegt. Passagiere müssen manuell eingecheckt werden, Flüge verspäten sich um Stunden. Der finanzielle und reputationsbezogene Schaden ist enorm — und betrifft nicht nur den Dienstleister, sondern die gesamte Lieferkette.
Was hier fehlte: Eine belastbare Notfallplanung mit manuellen Rückfallprozessen, segmentierte Netzwerke und ein getesteter Wiederanlaufplan, der den Betrieb auch bei einem Totalausfall des Primärdienstleisters sicherstellt.
Definition: Authentizität bedeutet die nachweisbare Echtheit und Vertrauenswürdigkeit einer Information oder einer Identität. Sie garantiert, dass ein Kommunikationspartner tatsächlich derjenige ist, der er vorgibt zu sein — und dass eine Information tatsächlich aus der angegebenen Quelle stammt.
Die CIA-Triade allein reicht nicht aus. Vertraulichkeit schützt vor unbefugtem Zugriff, Integrität vor Manipulation, Verfügbarkeit vor Ausfall. Doch keine dieser drei Eigenschaften beantwortet die Frage: "Kommt diese Information wirklich von dem, der behauptet, sie geschickt zu haben?"
In einer Welt voller Deepfakes, KI-generierter E-Mails und kompromittierter Identitäten ist genau das die entscheidende Frage. CEO-Fraud — also die Vortäuschung einer gefälschten Identität, um Überweisungen auszulösen — ist einer der kostspieligsten Angriffstypen. Ohne Authentizitätsprüfung sind Vertraulichkeit und Integrität wertlos: Was nützt ein vertraulicher, unveränderter Brief, wenn der angebliche Absender gefälscht ist?
Das BSI führt Authentizität als eigenständiges Schutzziel. Die BaFin verlangt in ihren Aufsichtlichen Anforderungen (BAIT, VAIT, KAIT) eine Schutzbedarfsanalyse für die drei klassischen Schutzziele und für die Authentizität. ISO 27001:2022 adressiert Authentizität über mehrere Controls hinweg, insbesondere im Bereich Zugangssteuerung und Kryptographie.
Identitätsauthentizität: Die Überprüfung, ob eine Person oder ein System tatsächlich diejenige Entität ist, die sie vorgibt zu sein. Methoden: Passwörter, biometrische Verfahren, Hardware-Token, Zertifikate.
Datenauthentizität: Die Überprüfung, ob eine Information tatsächlich von der angegebenen Quelle stammt und auf dem Weg nicht verändert wurde. Methoden: Digitale Signaturen, Message Authentication Codes (MAC), Zertifikatsketten.
Praxisbeispiel: Authentizität
Die Buchhaltung eines Hamburger Handelsunternehmens erhält eine E-Mail vom Geschäftsführer: "Bitte überweisen Sie 87.000 Euro an folgenden Lieferanten. Es ist dringend, bitte heute noch." Die E-Mail sieht echt aus — Absendername, Signatur, Schreibstil stimmen. Die Buchhalterin überweist. Erst zwei Tage später stellt sich heraus: Die E-Mail stammte von einem Angreifer, der den Schreibstil des Geschäftsführers studiert und die Absenderadresse gefälscht hatte.
Was hier fehlte: DMARC-Konfiguration auf der Unternehmens-Domain, eine interne Richtlinie für Zahlungsfreigaben ab einem bestimmten Betrag (Vier-Augen-Prinzip), und ein verpflichtendes Rückruf-Verfahren bei ungewöhnlichen Überweisungsanweisungen.
| Vertraulichkeit | Integrität | Verfügbarkeit | Authentizität | |
|---|---|---|---|---|
| Kernfrage | Wer darf auf diese Daten zugreifen? | Sind die Daten korrekt und unverändert? | Sind Systeme und Daten zugänglich? | Ist die Quelle echt und vertrauenswürdig? |
| Englisch | Confidentiality | Integrity | Availability | Authenticity |
| Bedrohungen | Phishing, Datenlecks, Insider-Angriffe | Ransomware, SQL-Injection, Manipulation | DDoS, Hardwareausfälle, Naturkatastrophen | CEO-Fraud, Deepfakes, Man-in-the-Middle |
| Technische Maßnahmen | Verschlüsselung, DLP, Netzwerksegmentierung | Hashing, digitale Signaturen, IDS | Redundanz, Backup, DDoS-Schutz | MFA, PKI, Zero Trust |
| Organisatorische Maßnahmen | Berechtigungskonzept, Schulungen, Clean Desk | Vier-Augen-Prinzip, Change Management | Notfallpläne, BCM, SLA-Management | Rückruf-Verfahren, Identitätsmanagement |
| ISO 27001 Controls | A.5.10, A.8.3, A.8.24 | A.8.5, A.8.9, A.8.15 | A.5.29, A.5.30, A.8.13, A.8.14 | A.5.16, A.5.17, A.8.5 |
| DSGVO-Bezug | Art. 32 Abs. 1 lit. b | Art. 32 Abs. 1 lit. b | Art. 32 Abs. 1 lit. b, c | Art. 32 Abs. 1 (implizit) |
Die vier Schutzziele sind keine isolierten Anforderungen. Sie bilden ein System, in dem jedes Ziel die anderen stützt — und schwächt, wenn es fehlt.
Authentizität als Voraussetzung für Vertraulichkeit: Nur wenn die Identität eines Nutzers zweifelsfrei feststeht, kann ein System korrekt entscheiden, welche Daten dieser Nutzer sehen darf. Schwache Authentifizierung untergräbt jedes noch so ausgefeilte Berechtigungskonzept.
Integrität als Voraussetzung für Verfügbarkeit: Ein System, dessen Konfiguration manipuliert wurde, kann technisch verfügbar sein — aber es arbeitet nicht mehr korrekt. Ein manipuliertes Backup ist wertlos: Es ist verfügbar, aber nicht integer.
Verfügbarkeit als Voraussetzung für Integrität und Vertraulichkeit: Wenn Logging-Systeme nicht verfügbar sind, können Integritätsverletzungen nicht erkannt werden. Wenn Authentifizierungssysteme ausfallen, greifen Notfallzugänge — oft mit reduzierten Sicherheitskontrollen.
Vertraulichkeit und Authentizität als Verbündete: Verschlüsselung schützt vor dem Mitlesen (Vertraulichkeit), digitale Signaturen schützen vor Fälschung (Authentizität). Protokolle wie TLS kombinieren beides in einem einzigen Handshake.
Viele Unternehmen investieren stark in Verfügbarkeit (Redundanz, Backup, DDoS-Schutz), vernachlässigen aber die Integrität der Backups. Ergebnis: Die Datensicherung ist zuverlässig verfügbar — enthält aber seit Monaten von Ransomware verschlüsselte Daten. Ein gutes Sicherheitskonzept betrachtet immer alle vier Ziele gemeinsam und identifiziert Wechselwirkungen.
Neben den vier Hauptschutzzielen existieren weitere, spezialisierte Ziele. Die wichtigsten:
Nichtabstreitbarkeit (Non-Repudiation): Stellt sicher, dass eine durchgeführte Handlung — etwa eine Vertragsunterschrift oder eine Datenbankänderung — im Nachhinein nicht abgestritten werden kann. Zentral für rechtssichere digitale Prozesse. Wir haben diesem Thema einen eigenen, ausführlichen Artikel gewidmet: Nichtabstreitbarkeit in der Informationssicherheit.
Nachvollziehbarkeit (Accountability / Traceability): Ermöglicht die Zuordnung jeder sicherheitsrelevanten Aktion zu einem bestimmten Akteur, Zeitpunkt und Kontext. Grundlage für Audits, forensische Analysen und Compliance-Nachweise. Auch hierzu finden Sie einen spezialisierten Artikel: Nachvollziehbarkeit in der Informationssicherheit.
Verbindlichkeit (Commitment / Non-Repudiation of Communication): Eng verwandt mit Nichtabstreitbarkeit, aber spezifischer: Verbindlichkeit bezieht sich auf die Unwiderruflichkeit von Kommunikation — ein Absender kann nicht leugnen, eine bestimmte Nachricht gesendet zu haben, und ein Empfänger kann den Erhalt nicht abstreiten.
Zurechenbarkeit (Accountability): Ermöglicht die eindeutige Zuordnung von Handlungen zu einer konkreten Person oder einem System. Relevant für die Abrechnung von Diensten und die Zuweisung von Verantwortlichkeiten.
Diese erweiterten Schutzziele leiten sich aus den vier Hauptzielen ab und ergänzen sie für spezifische Anforderungen — insbesondere in regulierten Branchen wie Finanzwesen, Gesundheitswesen und öffentliche Verwaltung.
Die Datenschutz-Grundverordnung nennt in Artikel 32 Absatz 1 explizit die Fähigkeit, "die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen." Hinzu kommt die Fähigkeit zur raschen Wiederherstellung nach einem Zwischenfall. Die DSGVO verwendet den Begriff "Belastbarkeit" (Resilience) statt "Authentizität" — in der Praxis überschneiden sich die Anforderungen jedoch erheblich.
Verantwortliche und Auftragsverarbeiter müssen technische und organisatorische Maßnahmen (TOM) treffen, die dem Risiko angemessen sind. Dabei sind der Stand der Technik, die Implementierungskosten und die Art der Verarbeitung zu berücksichtigen. Was passiert, wenn man gegen den Datenschutz verstößt, zeigt, wie hoch die Bußgelder bei unzureichenden Schutzmaßnahmen ausfallen können.
Die internationale Norm ISO/IEC 27001:2022 bildet den Rahmen für ein Informationssicherheits-Managementsystem (ISMS). Unternehmen, die eine ISO 27001-Zertifizierung anstreben, müssen die Schutzziele systematisch in ihr ISMS integrieren. Die Schutzziele sind in die gesamte Norm eingewoben: von der Risikoanalyse über die Maßnahmenauswahl bis zur kontinuierlichen Verbesserung. Der Anhang A enthält 93 Controls, die alle vier Schutzziele adressieren — von Zugangssteuerung (A.5.15) über kryptographische Maßnahmen (A.8.24) bis zu Incident Management (A.5.24–A.5.28).
Der BSI IT-Grundschutz definiert die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit als Grundwerte und ergänzt bei Bedarf die Authentizität. Das IT-Grundschutz-Kompendium enthält für jeden Baustein konkrete Anforderungen und Umsetzungshinweise, zugeordnet zu den jeweiligen Schutzzielen.
Ab 1. Januar 2026 modernisiert das BSI den Grundschutz unter dem Projektnamen Grundschutz++. Das neue Rahmenwerk löst das bisherige PDF-basierte Kompendium durch ein maschinenlesbares JSON-Format ab, reduziert die Dokumentationslast und setzt stärker auf Automatisierung. Die Schutzziele bleiben unverändert — die Art, wie sie umgesetzt und nachgewiesen werden, wird jedoch grundlegend modernisiert.
Die seit Oktober 2024 geltende NIS2-Richtlinie der EU verschärft die Anforderungen an die Cybersicherheit erheblich. Betreiber wesentlicher und wichtiger Einrichtungen müssen technische, operative und organisatorische Maßnahmen umsetzen, die sich direkt auf alle vier Schutzziele beziehen. Besonders relevant: die persönliche Haftung der Geschäftsleitung und die Meldepflicht für Sicherheitsvorfälle innerhalb von 24 Stunden. Mehr dazu erfahren Sie in unserer NIS2-Beratung.
Viele Unternehmen delegieren Informationssicherheit vollständig an die IT-Abteilung. Doch die Schutzziele betreffen die gesamte Organisation. Ein Berechtigungskonzept (Vertraulichkeit) muss von den Fachabteilungen definiert werden. Notfallpläne (Verfügbarkeit) müssen von der Geschäftsführung freigegeben und geübt werden. Freigabeprozesse (Authentizität, Integrität) müssen in den Geschäftsprozessen verankert sein. Ohne die Einbindung aller Ebenen bleiben Sicherheitsmaßnahmen Papiertiger.
Die Kenntnis der vier Schutzziele ist der erste Schritt. Die Umsetzung erfordert einen systematischen Ansatz:
Identifizieren Sie alle informationsverarbeitenden Assets: Systeme, Anwendungen, Datenbestände, Kommunikationskanäle. Klassifizieren Sie diese nach ihrem Schutzbedarf — getrennt für jedes der vier Schutzziele. Ein ERP-System hat typischerweise hohen Schutzbedarf bei allen vier Zielen. Ein öffentlich zugängliches Produktdatenblatt hat keinen Vertraulichkeitsbedarf, aber hohen Integritätsbedarf.
Bewerten Sie für jedes Asset und jedes Schutzziel: Welche Bedrohungen sind realistisch? Wie wahrscheinlich ist ein Vorfall? Wie groß wäre der Schaden? Die Risikoanalyse ist der Kern von ISO 27001 und BSI Grundschutz — und sie muss regelmäßig wiederholt werden, da sich Bedrohungslagen ändern.
Wählen Sie technische und organisatorische Maßnahmen, die den identifizierten Risiken angemessen sind. Berücksichtigen Sie den Stand der Technik, die Implementierungskosten und die Verhältnismäßigkeit. Nicht jedes Risiko muss mit maximaler Technik behandelt werden — manchmal ist eine Organisationsanweisung wirksamer als eine neue Software.
Sicherheit ist kein Zustand, sondern ein Prozess. Überwachen Sie die Wirksamkeit Ihrer Maßnahmen durch regelmäßige Audits, Penetrationstests und die Auswertung von Sicherheitsvorfällen. Key Performance Indikatoren (KPIs) wie die Anzahl der Sicherheitsvorfälle, die durchschnittliche Erkennungszeit und die Systemverfügbarkeit machen den Fortschritt messbar.
Technische Maßnahmen allein reichen nicht aus. Mitarbeitende müssen verstehen, warum Informationssicherheit wichtig ist und welche Rolle sie persönlich spielen. Regelmäßige Schulungen, Phishing-Simulationen und klare Richtlinien sind das Rückgrat jeder Sicherheitskultur. Ein externer Datenschutzbeauftragter kann KMU dabei unterstützen, Schulungskonzepte und Awareness-Programme professionell aufzusetzen.
1. Fokus nur auf Verfügbarkeit: Unternehmen investieren in Hochverfügbarkeit und Backup, vergessen aber Verschlüsselung und Zugriffskontrollen. Ein hochverfügbares System, auf das jeder zugreifen kann, ist kein sicheres System.
2. Authentizität wird ignoriert: Kein MFA, keine E-Mail-Authentifizierung, keine Prüfung der Identität bei kritischen Anweisungen. Die Tür steht für CEO-Fraud und Identitätsdiebstahl weit offen.
3. Integrität von Backups wird nicht geprüft: Backups laufen automatisiert — aber niemand testet, ob die gesicherten Daten tatsächlich wiederherstellbar und unverändert sind. Im Ernstfall stellt sich heraus: Die Backups sind seit Wochen unbrauchbar.
4. Schutzbedarf wird pauschal statt individuell bewertet: Alle Systeme bekommen die gleiche Schutzklasse. Das führt entweder zu Überinvestition bei unkritischen Systemen oder zu Unterinvestition bei kritischen.
5. Sicherheit als einmaliges Projekt: Das ISMS wird aufgebaut, die Zertifizierung bestanden — und dann passiert nichts mehr bis zum nächsten Audit. Ohne kontinuierliche Pflege veralten Maßnahmen, neue Risiken bleiben unentdeckt.
Gesundheitswesen: Patientendaten erfordern höchste Vertraulichkeit (Schweigepflicht, DSGVO Art. 9). Gleichzeitig muss ein Krankenhausinformationssystem rund um die Uhr verfügbar sein — Ausfälle können Menschenleben kosten. Die Integrität von Patientendaten ist lebenswichtig: Falsche Medikamentendosierungen durch manipulierte Daten sind ein reales Risiko. Authentizität sichert, dass nur befugtes Fachpersonal Behandlungsentscheidungen dokumentiert.
Finanzwesen: Banken und Versicherungen unterliegen den strengen Anforderungen der BaFin (BAIT, VAIT, KAIT), die alle vier Schutzziele explizit adressieren. Transaktionen müssen authentisch, integer und nachvollziehbar sein. Die Verfügbarkeit von Zahlungssystemen ist für den Wirtschaftskreislauf systemrelevant.
Produzierendes Gewerbe: Industrie 4.0 und vernetzte Produktionsanlagen bringen neue Herausforderungen. Die Integrität von Steuerungsdaten in einer CNC-Maschine oder einer SPS ist genauso sicherheitskritisch wie die Verfügbarkeit der Produktionslinie. Vertraulichkeit schützt Konstruktionsdaten und Betriebsgeheimnisse vor Industriespionage.
E-Commerce: Onlineshops müssen rund um die Uhr verfügbar sein, Kundendaten vertraulich behandeln, Bestellungen und Zahlungen integer verarbeiten und die Identität von Kunden und Partnern authentisch verifizieren. Jedes Schutzziel hat hier direkte wirtschaftliche Auswirkungen.
Wir beraten KMU zu Informationssicherheit, ISO 27001 und ISMS – persönlich und praxisnah.
Kostenlose Erstberatung buchenWie lauten die vier Schutzziele der Informationssicherheit?
Die vier Schutzziele sind Vertraulichkeit (Confidentiality), Integrität (Integrity), Verfügbarkeit (Availability) und Authentizität (Authenticity). Die ersten drei bilden die international anerkannte CIA-Triade. Das vierte Ziel, Authentizität, wird vom BSI, von der ISO 27001 und von Aufsichtsbehörden wie der BaFin ergänzend gefordert.
Was ist der Unterschied zwischen IT-Sicherheit und Informationssicherheit?
IT-Sicherheit bezieht sich auf den Schutz von IT-Systemen und digitalen Daten. Informationssicherheit ist umfassender: Sie schließt alle Formen von Informationen ein — auch analoge Dokumente, mündliche Kommunikation und das Wissen in den Köpfen der Mitarbeitenden. Die vier Schutzziele gelten für beide Bereiche, aber Informationssicherheit betrachtet den gesamten Kontext, in dem Informationen verarbeitet werden.
Was fordert die DSGVO in Bezug auf die Schutzziele?
Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherstellen. Zusätzlich muss die rasche Wiederherstellung nach einem Zwischenfall gewährleistet sein. Die Maßnahmen müssen dem Risiko angemessen und nach dem Stand der Technik gestaltet sein.
Gibt es drei oder vier Schutzziele?
Beide Aussagen sind korrekt — je nach Betrachtungsebene. Die klassische CIA-Triade umfasst drei Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit. In der modernen Informationssicherheit wird die Authentizität als viertes Schutzziel ergänzt. Das BSI, die ISO/IEC 27000-Reihe und Branchenstandards wie die BAIT führen Authentizität als eigenständiges Ziel. Darüber hinaus gibt es erweiterte Schutzziele wie Nichtabstreitbarkeit, Nachvollziehbarkeit und Verbindlichkeit.
Welches Schutzziel ist das wichtigste?
Keines. Die Priorisierung hängt vom Kontext ab. Für ein Krankenhaus hat Verfügbarkeit höchste Priorität — ein ausgefallenes System kann Menschenleben kosten. Für ein Forschungsunternehmen steht Vertraulichkeit an erster Stelle — das geistige Eigentum ist der entscheidende Wettbewerbsvorteil. Für eine Bank sind Integrität und Authentizität kritisch — manipulierte Transaktionen gefährden das gesamte Geschäftsmodell. Die Schutzbedarfsanalyse bestimmt die individuelle Gewichtung.
Wie hängen die Schutzziele mit ISO 27001 und BSI Grundschutz zusammen?
Beide Rahmenwerke basieren auf den Schutzzielen. ISO 27001 verlangt ein risikobasiertes ISMS, das alle Schutzziele systematisch adressiert. Der BSI IT-Grundschutz ordnet jedem Baustein konkrete Anforderungen zu, gegliedert nach Vertraulichkeit, Integrität und Verfügbarkeit. Ab 2026 modernisiert das BSI den Grundschutz unter dem Namen Grundschutz++ — mit maschinenlesbaren Anforderungen und stärkerer Verzahnung mit ISO 27001.
Die vier Schutzziele — Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität — sind kein akademisches Konstrukt. Sie sind das Handwerkszeug, mit dem Unternehmen ihre Informationssicherheit strukturiert aufbauen, bewerten und verbessern. Sie finden sich in jedem relevanten Standard, in jeder regulatorischen Anforderung und in jeder professionellen Risikoanalyse.
Die Bedrohungslage entwickelt sich weiter: KI-gestützte Angriffe, Supply-Chain-Attacken, Deepfakes und immer raffiniertere Ransomware fordern Unternehmen auf allen vier Ebenen heraus. Gleichzeitig steigen die regulatorischen Anforderungen durch NIS2, DORA und die fortlaufende Verschärfung der DSGVO-Durchsetzung.
Entscheidend ist nicht die perfekte Umsetzung aller Maßnahmen von Tag eins. Entscheidend ist ein systematischer Ansatz: Risiken identifizieren, Maßnahmen priorisieren, umsetzen, überwachen und kontinuierlich verbessern. Die vier Schutzziele geben dabei die Richtung vor.
Ob Schutzbedarfsanalyse, ISMS-Aufbau nach ISO 27001 oder NIS2-Vorbereitung — wir unterstützen Hamburger Unternehmen und den Mittelstand bundesweit.
Unverbindliches Erstgespräch buchenInhaltsverzeichnis
Verbindlichkeit als erweitertes Schutzziel: Definition, Abgrenzung zu Nichtabstreitbarkeit, Maßnahmen und Pflichten für Geschäftsführer – praxisnah erklärt.
WeiterlesenBSI Grundschutz klingt nach Behördendeutsch? Wir erklären, was hinter dem IT-Grundschutz-Kompendium steckt, wie es sich von ISO 27001 unterscheidet und wie KMU pragmatisch einsteigen.
WeiterlesenInformationssicherheit und Datenschutz werden oft verwechselt. Erfahren Sie die zentralen Unterschiede, Gemeinsamkeiten und warum Ihr Unternehmen beides braucht.
Weiterlesen Über den Autor
Datenschutzberater & Geschäftsführer
Nils ist zertifizierter Datenschutzbeauftragter und Geschäftsführer der frag.hugo Informationssicherheit GmbH. Er berät mittelständische Unternehmen zu DSGVO, NIS2 und IT-Sicherheit – praxisnah und verständlich.
Vereinbaren Sie ein unverbindliches Erstgespräch mit unseren Experten. Wir beraten Sie persönlich zu Datenschutz, NIS2 und IT-Sicherheit.
