Was ist die CIA-Triade?
Die CIA-Triade zerlegt die Frage, ob eine Information sicher ist, in drei getrennt prüfbare Fragen: Wer darf sie sehen? Ist sie richtig und unverändert? Ist sie da, wenn sie gebraucht wird?
Das Glossar des IT-Grundschutz-Kompendiums (Edition 2023) hält fest: „Die Schutzziele oder auch Grundwerte der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit.“ ISO/IEC 27001 verlangt, Risiken als Verlust dieser drei Eigenschaften für die Informationen im Anwendungsbereich zu identifizieren.
Nicht zu verwechseln sind die Schutzziele mit den Informationssicherheitszielen nach Abschnitt 6.2 der ISO/IEC 27001:2022, also messbaren Zielen des ISMS.
| Schutzziel | Leitfrage | Beispiel für eine Verletzung | Maßnahmen, die es stützen |
|---|---|---|---|
| Vertraulichkeit | Wer darf die Information sehen? | Kundendaten liegen auf einem Laufwerk, das alle Beschäftigten lesen können | Zugriffskontrolle nach dem Need-to-know-Prinzip, Verschlüsselung, Datenklassifizierung |
| Integrität | Ist die Information richtig und unverändert? | Die Bankverbindung eines Lieferanten wird unbemerkt geändert | Vier-Augen-Prinzip, Protokollierung, Prüfsummen und Signaturen, eng gefasste Änderungsrechte |
| Verfügbarkeit | Ist die Information da, wenn sie gebraucht wird? | Ransomware verschlüsselt das ERP-System während des Monatsabschlusses | Datensicherung, Redundanz, Notfallmanagement, Patch-Management |
Das BSI-Glossar bezieht Integrität ausdrücklich auch auf Angaben wie Verfasser oder Erstellungszeitpunkt; ein abgebrochener Batchlauf verletzt sie ebenso wie ein Angreifer. Verfügbarkeit bemisst sich am fachlichen Bedarf, nicht an der Betriebszeit: Ein System mit hoher Jahresverfügbarkeit verfehlt das Schutzziel, wenn der Ausfall in den Monatsabschluss fällt. Wie lange ein Prozess einen Ausfall verträgt, ermittelt die Business Impact Analyse.
Gibt es 4 oder 5 Schutzziele der Informationssicherheit?
Eine feste Zahl gibt es nicht. Der BSI-Standard 200-1 nennt neben den drei Grundwerten Authentizität, Verbindlichkeit, Zuverlässigkeit, Resilienz und Nichtabstreitbarkeit als weitere Grundwerte, die im Einzelfall hilfreich sein können. Verbindlichkeit fasst nach dem BSI-Glossar Authentizität und Nichtabstreitbarkeit zusammen. Ob eine Quelle von vier, fünf oder sechs Schutzzielen spricht, hängt davon ab, welche Ergänzungen sie aufnimmt.
Die Ergänzungen präzisieren die Triade. Authentizität zählt, wo die Herkunft entscheidet, etwa bei Software-Updates oder Zahlungsanweisungen per E-Mail; Nichtabstreitbarkeit, wo eine Freigabe oder Bestellung später gegenüber Dritten belegt werden muss. Führen Sie nur die Ziele, die Sie für jedes Asset auch bewerten.
Getrennt bewerten: ein Beispiel mit drei Informationen
Nach BSI-Standard 200-2 wird für jede Anwendung und die verarbeiteten Informationen betrachtet, welche Schäden eine Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit verursachen kann; eingeteilt wird in die Kategorien normal, hoch und sehr hoch. Den Ablauf beschreibt der Eintrag Schutzbedarfsfeststellung.
Beispiel (fiktiv): Ein Handelsunternehmen bewertet drei Informationen. Die Einstufungen sind frei gewählt und dienen der Veranschaulichung.
| Information | Vertraulichkeit | Integrität | Verfügbarkeit | Was daraus folgt |
|---|---|---|---|---|
| Produktkatalog im Webshop | normal | hoch | hoch | Freigabe für Preisänderungen und schnelle Wiederherstellung; Verschlüsselung aus Vertraulichkeitsgründen ist nicht nötig |
| Personalakten | sehr hoch | hoch | normal | eng gefasste Leserechte und Verschlüsselung; ein Ausfall von zwei Tagen ist tragbar |
| Bankverbindungen der Lieferanten | hoch | sehr hoch | hoch | Vier-Augen-Prinzip bei jeder Änderung, protokollierte Änderungen, Rückruf beim Lieferanten vor der ersten Zahlung |
Mit einer Gesamtnote „hoch“ für alle drei ließe sich nicht mehr begründen, warum der Katalog keine Verschlüsselung braucht und die Personalakten keinen Notbetrieb. Prüfen Sie Ihre Einstufungen deshalb so: Jede Einstufung nennt ein Schadensszenario, und jede Maßnahme lässt sich auf mindestens eine Einstufung zurückführen. Wie sich Schadensszenarien und Schwellen begründen lassen, zeigt der Beitrag Schutzbedarf statt Bauchgefühl. Die Einordnung in den Aufbau eines ISMS beschreibt der Leitfaden ISMS einführen.
Wo stehen die Schutzziele im Gesetz?
Die drei Schutzziele stecken in mehreren Rechtsbegriffen des deutschen und europäischen Rechts; den Begriff „Triade“ verwendet keine der Fundstellen.
| Quelle | Fundstelle | Wie die Schutzziele vorkommen |
|---|---|---|
| BSIG | § 2 Nr. 39 | „Sicherheit in der Informationstechnik“ ist die Einhaltung von Sicherheitsstandards, die die Verfügbarkeit, Integrität oder Vertraulichkeit von Informationen betreffen |
| BSIG | § 2 Nr. 40 | Ein Sicherheitsvorfall ist ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt |
| BSIG | § 30 Abs. 1 Satz 1 | Besonders wichtige und wichtige Einrichtungen ergreifen Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer Systeme zu vermeiden |
| DSGVO | Art. 5 Abs. 1 Buchst. f | Grundsatz „Integrität und Vertraulichkeit“ bei der Verarbeitung personenbezogener Daten |
| DSGVO | Art. 32 Abs. 1 Buchst. b | Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherzustellen |
Ob ein Ereignis ein Sicherheitsvorfall ist, entscheidet sich damit an den Schutzzielen. Für besonders wichtige und wichtige Einrichtungen ist das der Einstieg in die Meldepflicht nach § 32 BSIG, die an einen erheblichen Sicherheitsvorfall anknüpft. §§ 30 und 32 gelten nach § 28 Abs. 5 und 6 BSIG grundsätzlich nicht für Betreiber öffentlicher Telekommunikationsnetze, bestimmte Energieunternehmen und Finanzunternehmen nach DORA. In der DSGVO (Verordnung (EU) 2016/679) kommt in Art. 32 die Belastbarkeit der Systeme hinzu.
Zielkonflikte: Die drei Schutzziele lassen sich nicht gleichzeitig maximieren
Eine Maßnahme, die ein Schutzziel stärkt, kann ein anderes schwächen:
- Verschlüsselung erhöht die Vertraulichkeit. Geht das Schlüsselmaterial verloren, sind die Daten nicht mehr verfügbar.
- Ein strenges Vier-Augen-Prinzip stärkt die Integrität und verlangsamt jeden Vorgang, der schnell gehen muss.
- Zusätzliche Datensicherungen verbessern die Verfügbarkeit und schaffen weitere Kopien, deren Vertraulichkeit geschützt werden muss.
- Strenge Zugriffsbeschränkungen dienen der Vertraulichkeit und können im Störungsfall die Wiederherstellung verzögern, wenn Notfallzugänge fehlen.
Entschieden werden solche Konflikte über den Schutzbedarf. Wo die Verfügbarkeit sehr hoch und die Vertraulichkeit normal bewertet ist, fällt die Abwägung anders aus als im umgekehrten Fall.
Wie Rizzqo die Schutzziele am Asset führt
Rizzqo führt die Schutzziele dort, wo der Schutzbedarf entsteht: am primären Asset. Primäre Assets vom Typ Prozess oder Dienstleistung werden nach Vertraulichkeit, Integrität und Verfügbarkeit eingestuft, primäre Assets vom Typ Information nur nach Vertraulichkeit; dazu kommt das Merkmal Personenbezug.
Unterstützende Assets wie Server, Anwendungen und bezogene Dienste erben von den primären Assets, die sie tragen, ausschließlich die Vertraulichkeitseinstufung und das Merkmal Personenbezug. Ein Dateiserver zeigt damit an, dass er hoch vertrauliche Informationen trägt.