Die Schutzziele der IT-Security
In der IT-Security werden häufig vier zentrale Schutzziele unterschieden, die auch als CIA+N bezeichnet werden: Vertraulichkeit (Confidentiality), Integrität (Integrity), Verfügbarkeit (Availability) und Nachweisbarkeit (Accountability/Non-Repudiation). Jedes dieser Ziele schützt einen anderen Aspekt der IT-Systeme und Daten.
| Schutzziel | Erklärung |
|---|---|
| Vertraulichkeit | Verhindert den unbefugten Informationsgewinn. Nur autorisierte Personen oder Systeme dürfen Zugriff auf Daten oder Systeme erhalten. |
| Integrität | Schützt Daten und Funktionen vor unbefugter Modifikation. Die Daten sollen unverändert und in korrektem Zustand bleiben, sodass ihre Zuverlässigkeit sichergestellt ist. |
| Verfügbarkeit | Stellt sicher, dass ein System und seine Funktionen ununterbrochen erreichbar sind. Dies schließt sowohl technische als auch organisatorische Maßnahmen ein, um Ausfälle zu verhindern. |
| Nachweisbarkeit | Auch Nichtabstreitbarkeit genannt. Sie sorgt dafür, dass Aktionen und Ereignisse eindeutig einem Akteur zugeordnet werden können, damit im Nachhinein keine Abstreitung möglich ist (z. B. mithilfe von Protokollen oder Signaturen). |
1. Vertraulichkeit (Confidentiality)
- Ziel: Schutz der Daten vor unbefugtem Zugriff.
- Beispielmaßnahmen:
- Zugriffssteuerung (Access Control)
- Verschlüsselung von Daten (im Ruhezustand und bei der Übertragung)
- Einsatz von Firewalls und Intrusion Detection/Prevention Systemen (IDS/IPS)
2. Integrität (Integrity)
- Ziel: Sicherstellen, dass Daten nicht unberechtigt verfälscht oder manipuliert werden.
- Beispielmaßnahmen:
- Verwendung von Hash-Funktionen zur Erkennung von Änderungen (z. B. MD5, SHA-256)
- Einsatz von digitalen Signaturen zur Authentifizierung der Datenherkunft
- Transaktionsmechanismen in Datenbanken (ACID-Prinzip)
3. Verfügbarkeit (Availability)
- Ziel: Systeme und Dienste sollen jederzeit ohne Unterbrechung nutzbar sein.
- Beispielmaßnahmen:
- Redundante Systeme (Load Balancing, Clustering)
- Regelmäßige Datensicherung (Backups)
- Monitoring- und Alerting-Systeme für eine frühzeitige Fehlererkennung
4. Nachweisbarkeit (Accountability / Non-Repudiation)
- Ziel: Aktionen sollen eindeutig und rückverfolgbar einer Person oder einem System zugeordnet werden können.
- Beispielmaßnahmen:
- Audit- und Log-Dateien, die alle relevanten Aktionen aufzeichnen
- Eindeutige Authentifizierungsverfahren (z. B. Multi-Faktor-Authentifizierung)
- Digitale Signaturen für elektronische Dokumente oder E-Mails