Die Schutzziele der Informationssicherheit sind das Fundament jedes ISMS. Sie beschreiben nicht wie etwas geschützt wird, sondern was geschützt werden muss. Aus den Schutzzielen leiten sich Risikoanalyse, technische und organisatorische Maßnahmen (TOMs), Policies und Audit-Kriterien ab.

Die klassische CIA-Triade

Die international etablierten drei Schutzziele bilden die [CIA-Triade]:

Vertraulichkeit (Confidentiality): Nur berechtigte Personen oder Systeme greifen auf Informationen zu. Verletzt etwa durch eine ungeschützte E-Mail oder ein Datenleck.
Integrität (Integrity): Daten bleiben korrekt, vollständig und unverfälscht. Verletzt etwa durch heimliche Manipulation eines Vertrags oder eines Logs.
Verfügbarkeit (Availability): Daten und Systeme sind dann da, wenn sie gebraucht werden. Verletzt etwa durch DDoS, Hardware-Ausfall oder Ransomware.

Erweiterte Schutzziele nach BSI

Das BSI ergänzt im IT-Grundschutz drei weitere Ziele, die in modernen Bedrohungslagen relevant geworden sind:

Authentizität: Der angegebene Absender oder Urheber stimmt nachweislich mit dem tatsächlichen überein (relevant bei Phishing, gefälschten Identitäten).
Verbindlichkeit (Nichtabstreitbarkeit): Eine durchgeführte Aktion ist später nicht abstreitbar (relevant bei elektronischen Signaturen, [Audit-Trails]).
Belastbarkeit (Resilienz): Systeme funktionieren auch unter Last oder Angriffsbedingungen weiter (zentral bei NIS2 Art. 21).

Warum Schutzziele in Audits zentral sind

Auditoren prüfen nicht primär einzelne Maßnahmen, sondern ob die Maßnahmen die richtigen Schutzziele für das jeweilige Asset adressieren. Eine Verschlüsselung schützt Vertraulichkeit, aber nicht Verfügbarkeit. Ein Backup schützt Verfügbarkeit, aber nicht Integrität (gegen heimliche Manipulation). Erst die saubere Zuordnung von Maßnahme zu Schutzziel macht ein ISMS verteidigungsfähig.

In Kopexa ordnest du jedes Asset Schutzbedarfen pro Schutzziel zu (z. B. "Kundendaten: Vertraulichkeit hoch, Integrität sehr hoch, Verfügbarkeit normal"). Daraus leitet das System automatisch die nötigen Kontrollen aus den hinterlegten Frameworks ab.