Informationssicherheit im Unternehmen: Schutzziele und Maßnahmen

Informationssicherheit schützt Informationen vor unbefugtem Zugriff, unerwünschten Veränderungen und Ausfällen. Dabei geht es nicht nur um Daten auf Servern oder um den Schutz vor Cyberangriffen. Auch Dokumente, Geschäftsprozesse, Zugriffsrechte, Mitarbeitende und externe Dienstleister spielen eine Rolle. Entscheidend ist, dass Informationen vertraulich, vollständig und verfügbar bleiben.

Für Unternehmen und öffentliche Verwaltungen ist Informationssicherheit deshalb weit mehr als eine technische Aufgabe der IT-Abteilung. Finanzdaten, Verträge, Rechnungen, personenbezogene Daten, Geschäftsgeheimnisse oder Verwaltungsinformationen bilden die Grundlage zahlreicher Prozesse. Werden diese Informationen manipuliert, offengelegt oder stehen sie nicht rechtzeitig zur Verfügung, können finanzielle Schäden, Betriebsunterbrechungen und Compliance-Probleme entstehen.

Eine wirksame Informationssicherheit verbindet daher technische Schutzmaßnahmen mit klaren Prozessen, Verantwortlichkeiten und einem systematischen Risikomanagement.

Was ist Informationssicherheit?

Eine einfache Informationssicherheit Definition lautet: Informationen sollen so geschützt werden, dass ihre Vertraulichkeit, Integrität und Verfügbarkeit entsprechend ihrem Schutzbedarf gewährleistet sind.

Diese drei Eigenschaften bilden die klassischen Schutzziele der Informationssicherheit. Sie werden häufig als CIA-Triade bezeichnet. Die Abkürzung stammt aus dem Englischen und steht für Confidentiality, Integrity und Availability.

Informationssicherheit bedeutet also nicht, jedes denkbare Risiko vollständig auszuschließen. Ziel ist vielmehr, Risiken zu erkennen, zu bewerten und durch angemessene Maßnahmen auf ein vertretbares Niveau zu reduzieren.

Dabei ist der Begriff bewusst breit gefasst. Geschützt werden nicht nur digitale Informationen. Auch Papierdokumente, ausgedruckte Rechnungen, mündlich übermittelte Informationen oder Unterlagen in physischen Archiven können einen hohen Schutzbedarf besitzen.

Ein Beispiel aus dem Rechnungswesen macht das deutlich: Die Bankverbindung eines Lieferanten kann im ERP-System gespeichert sein, auf einer Rechnung stehen, per E-Mail übermittelt oder telefonisch bestätigt werden. Für den Zahlungsprozess ist entscheidend, dass nur berechtigte Personen darauf zugreifen können, Änderungen korrekt erfolgen und die benötigten Informationen zum richtigen Zeitpunkt verfügbar sind.

Informationssicherheit betrachtet deshalb den gesamten Lebenszyklus einer Information: von ihrer Entstehung über Verarbeitung und Speicherung bis zur Übertragung, Archivierung und Löschung.

Welche Ziele hat Informationssicherheit?

Die zentralen Ziele der Informationssicherheit lassen sich zunächst auf drei Grundwerte zurückführen:

• Vertraulichkeit: Informationen sind nur für berechtigte Personen und Systeme zugänglich.
• Integrität: Informationen bleiben korrekt, vollständig und vor unbefugten Veränderungen geschützt.
• Verfügbarkeit: Informationen und Systeme stehen dann zur Verfügung, wenn sie benötigt werden.

Aus diesen Grundwerten lassen sich konkrete Anforderungen für Geschäftsprozesse, IT-Systeme und organisatorische Abläufe ableiten. Die Gewichtung ist jedoch nicht immer gleich. Bei einer Gehaltsabrechnung besitzt beispielsweise die Vertraulichkeit einen besonders hohen Stellenwert. Bei einer Zahlungsdatei ist zusätzlich die Integrität entscheidend. Für ein ERP-System, das für den Monatsabschluss benötigt wird, spielt wiederum die Verfügbarkeit eine zentrale Rolle.

Informationssicherheit funktioniert daher nicht nach einem einheitlichen Schema. Der notwendige Schutz hängt davon ab, welche Informationen verarbeitet werden, welche Risiken bestehen und welche Auswirkungen ein Sicherheitsvorfall hätte.

Die Schutzziele der Informationssicherheit

Vertraulichkeit

Vertraulichkeit bedeutet, dass Informationen ausschließlich Personen oder Systemen zugänglich sind, die dafür eine entsprechende Berechtigung besitzen.

Typische Beispiele für vertrauliche Informationen sind:

• Gehalts- und Personaldaten
• Bank- und Zahlungsinformationen
• Geschäftsgeheimnisse
• Verträge und Konditionen
• interne Strategien und Kalkulationen
• personenbezogene Verwaltungsinformationen
• Zugangsdaten und Authentifizierungsinformationen

Geeignete Schutzmaßnahmen sind unter anderem Rollen- und Berechtigungskonzepte, Verschlüsselung, Zugriffskontrollen und Multi-Faktor-Authentifizierung.

Integrität

Integrität bei der Informationssicherheit bedeutet, dass Informationen korrekt und vollständig bleiben. Unberechtigte oder unbeabsichtigte Änderungen müssen verhindert oder zumindest nachvollziehbar werden.

Für Finanzprozesse ist dieses Schutzziel besonders relevant. Wird beispielsweise die Bankverbindung eines Lieferanten manipuliert, kann der technische Zahlungsprozess weiterhin vollkommen korrekt funktionieren. Das Geld wird jedoch an das falsche Konto überwiesen. Das Problem liegt in diesem Fall nicht in der Verfügbarkeit des Systems, sondern in der fehlenden Integrität der zugrunde liegenden Information.

Geeignete Maßnahmen können sein:

• Vier-Augen-Freigaben
• Protokollierung von Änderungen
• Versionskontrollen
• klar definierte Rollen
• Plausibilitätsprüfungen
• Freigabeprozesse bei Stammdatenänderungen
• digitale Signaturen oder vergleichbare Verfahren zur Echtheitsprüfung

Verfügbarkeit

Informationen und Systeme müssen verfügbar sein, wenn autorisierte Personen sie benötigen.

Ein Ausfall kann deshalb ebenso ein Problem der Informationssicherheit darstellen wie ein Datenleck oder eine Manipulation. Ist beispielsweise während des Monatsabschlusses das zentrale Finanzsystem nicht erreichbar, können Buchungen, Zahlungsfreigaben und Berichte möglicherweise nicht rechtzeitig durchgeführt werden.

Zur Absicherung der Verfügbarkeit gehören beispielsweise:

• regelmäßige Backups
• getestete Wiederherstellungsverfahren
• redundante Systeme
• Notfall- und Wiederanlaufkonzepte
• Monitoring kritischer Systeme
• klar definierte Eskalationswege

Eine vertiefende Betrachtung der klassischen Schutzziele finden Sie auch im Bonpago-Beitrag CIA Informationssicherheit: Schutzziele für Finance-Prozesse.

Weitere Grundwerte der Informationssicherheit

Vertraulichkeit, Integrität und Verfügbarkeit bilden den Kern der Informationssicherheit. Je nach Anwendungsfall kommen weitere Grundwerte hinzu.

Authentizität beschreibt, ob die Identität einer Person, eines Systems oder die Herkunft einer Information tatsächlich echt ist. Gerade bei digitalen Geschäftsprozessen ist das wichtig. Eine scheinbar korrekte E-Mail mit geänderten Zahlungsinformationen kann beispielsweise von einem manipulierten Absender stammen.

Zurechenbarkeit stellt sicher, dass Handlungen einer bestimmten Person, Rolle oder einem System zugeordnet werden können. In digitalen Freigabeprozessen muss beispielsweise nachvollziehbar sein, wer eine Änderung vorgenommen oder eine Zahlung genehmigt hat.

Nichtabstreitbarkeit bedeutet, dass eine nachweislich durchgeführte Handlung später nicht ohne Weiteres bestritten werden kann. Das kann insbesondere bei digitalen Freigaben, Vertragsprozessen und revisionsrelevanten Vorgängen wichtig sein.

Informationssicherheit vs. IT-Sicherheit: Was ist der Unterschied?

Informationssicherheit und IT-Sicherheit werden im Alltag häufig gleichgesetzt. Inhaltlich unterscheiden sich die Begriffe jedoch.

IT-Sicherheit konzentriert sich auf den Schutz von IT-Systemen, Anwendungen, Netzwerken und digital verarbeiteten Daten. Informationssicherheit geht weiter. Sie schützt Informationen unabhängig davon, in welcher Form sie vorliegen oder über welchen Kanal sie verarbeitet werden.

IT-Sicherheit ist damit ein wichtiger Bestandteil der Informationssicherheit, aber nicht mit ihr gleichzusetzen.

Eine Firewall kann beispielsweise Zugriffe auf ein Unternehmensnetzwerk absichern. Sie verhindert jedoch nicht, dass vertrauliche Unterlagen offen in einem Besprechungsraum liegen oder eine Änderung von Lieferantenstammdaten ohne ausreichende Kontrolle vorgenommen wird.

Unterschied zwischen Datenschutz und Informationssicherheit

Auch Datenschutz und Informationssicherheit überschneiden sich, verfolgen aber unterschiedliche Ziele.

Der Datenschutz konzentriert sich auf personenbezogene Daten und die Rechte der betroffenen Personen. Informationssicherheit schützt dagegen Informationen jeder Art. Dazu gehören personenbezogene Daten ebenso wie Finanzdaten, Verträge, Geschäftsgeheimnisse, technische Dokumentationen oder interne Prozessinformationen.

Eine interne Preiskalkulation kann beispielsweise keinerlei personenbezogene Daten enthalten. Datenschutzrechtlich steht sie deshalb nicht im Mittelpunkt. Für ein Unternehmen kann sie trotzdem hochgradig vertraulich sein und einen entsprechend hohen Schutzbedarf besitzen.

Personenbezogene Kundendaten liegen dagegen im Überschneidungsbereich beider Disziplinen. Hier greifen Datenschutz und Informationssicherheit ineinander.

Die DSGVO verlangt für die Verarbeitung personenbezogener Daten geeignete technische und organisatorische Maßnahmen. Artikel 32 nennt dabei unter anderem Anforderungen an Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Systemen und Diensten. Die Informationssicherheit schafft damit wichtige Voraussetzungen für einen wirksamen Datenschutz.

Eine ausführlichere Einordnung finden Sie im Beitrag Unterschied zwischen Datenschutz und Informationssicherheit.

Warum ist Informationssicherheit im Unternehmen wichtig?

Die Bedeutung der Informationssicherheit im Unternehmen wächst mit der Digitalisierung von Geschäftsprozessen. Finanzwesen, Einkauf, Vertrieb, Personal, Produktion und Verwaltung arbeiten heute häufig über miteinander verbundene Systeme und gemeinsame Datenbestände.

ERP-Systeme tauschen Informationen mit Dokumentenmanagementsystemen, Finanzbuchhaltung, Banken, Lieferantenportalen, Cloud-Diensten und weiteren Anwendungen aus. Externe Dienstleister greifen auf Systeme zu oder verarbeiten Daten im Auftrag des Unternehmens.

Diese Vernetzung steigert die Effizienz, vergrößert aber auch die möglichen Auswirkungen eines Sicherheitsvorfalls.

Ein kompromittiertes Benutzerkonto kann beispielsweise Zugriff auf mehrere Anwendungen ermöglichen. Eine fehlerhafte Berechtigung kann vertrauliche Daten für Personen sichtbar machen, die sie nicht benötigen. Eine manipulierte Schnittstelle kann falsche Informationen automatisiert in nachgelagerte Systeme übertragen.

Mögliche Folgen mangelnder Informationssicherheit sind:

• finanzielle Schäden
• Betriebs- und Prozessausfälle
• Verlust vertraulicher Informationen
• Manipulation von Daten
• Fehlentscheidungen auf Basis falscher Informationen
• zusätzlicher manueller Aufwand
• Compliance-Verstöße
• Reputationsschäden
• Verlust von Kunden- und Geschäftspartnervertrauen

Für CFOs und Leiter Rechnungswesen stehen häufig finanzielle Risiken, verlässliche Kontrollen und nachvollziehbare Freigabeprozesse im Mittelpunkt. IT-Verantwortliche müssen zusätzlich Systemarchitektur, Schnittstellen, Berechtigungen und technische Schutzmaßnahmen berücksichtigen. In der öffentlichen Verwaltung kommen Anforderungen an Datenschutz, Nachvollziehbarkeit, Verfügbarkeit und sichere digitale Verwaltungsleistungen hinzu.

Management der Informationssicherheit: Warum die IT allein nicht ausreicht

Informationssicherheit ausschließlich an die IT-Abteilung zu delegieren greift zu kurz. Viele relevante Risiken entstehen direkt innerhalb von Geschäftsprozessen.

Typische Fragen sind:

• Wer darf Lieferantenstammdaten verändern?
• Wie werden neue Bankverbindungen kontrolliert?
• Wer darf Zahlungen freigeben?
• Wie werden Berechtigungen vergeben und regelmäßig überprüft?
• Was passiert mit Benutzerkonten ausgeschiedener Mitarbeitender?
• Welche Zugriffe erhalten externe Dienstleister?
• Wer entscheidet bei einem Sicherheitsvorfall?
• Welche Prozesse müssen auch bei einem Systemausfall weiterlaufen?

Diese Fragen können nicht allein technisch beantwortet werden. Das Management der Informationssicherheit verbindet deshalb Verantwortlichkeiten, Prozesse, technische Maßnahmen und Risikobewertungen.

Was ist ein Informationssicherheitsmanagementsystem?

Ein Informationssicherheitsmanagementsystem, kurz ISMS, schafft einen systematischen Rahmen für die Informationssicherheit einer Organisation.

Ein ISMS legt unter anderem fest:

• welche Informationen und Geschäftsprozesse geschützt werden müssen,
• welche Rollen und Verantwortlichkeiten bestehen,
• wie Informationssicherheitsrisiken ermittelt und bewertet werden,
• welche Sicherheitsmaßnahmen notwendig sind,
• wie deren Wirksamkeit kontrolliert wird,
• wie Sicherheitsvorfälle behandelt werden,
• wie das Sicherheitsniveau kontinuierlich überprüft und verbessert wird.

Das ISMS macht Informationssicherheit damit zu einem strukturierten Managementprozess. Einzelne Maßnahmen werden nicht isoliert eingeführt, sondern aus Risiken, Anforderungen und dem tatsächlichen Schutzbedarf abgeleitet.

Informationssicherheit und ISO 27001

Die ISO/IEC 27001 gehört zu den wichtigsten internationalen Standards für das Management der Informationssicherheit. Die derzeit maßgebliche Ausgabe ISO/IEC 27001:2022 definiert Anforderungen an ein Informationssicherheitsmanagementsystem.

Der Standard verfolgt einen risikobasierten Ansatz. Organisationen sollen ihre Informationssicherheitsrisiken systematisch identifizieren, bewerten und behandeln. Dabei werden nicht nur technische Systeme betrachtet. Auch Menschen, Richtlinien, Prozesse und organisatorische Strukturen gehören zum Sicherheitsmanagement.

Die ISO/IEC 27001 schreibt deshalb nicht einfach eine feste Liste bestimmter Sicherheitsprodukte vor. Welche Kontrollen und Maßnahmen notwendig sind, hängt vom jeweiligen Unternehmen, seinen Prozessen, Informationen, Risiken und Anforderungen ab.

Die ISO/IEC 27002 ergänzt diesen Ansatz durch Leitlinien zu Informationssicherheitsmaßnahmen, etwa zu Zugriffskontrollen, Kryptografie, personeller Sicherheit oder dem Umgang mit Sicherheitsvorfällen.

Eine Zertifizierung nach ISO/IEC 27001 kann gegenüber Kunden, Partnern oder Auftraggebern als Nachweis eines strukturierten Informationssicherheitsmanagements dienen. Unternehmen können sich jedoch auch ohne Zertifizierungsabsicht methodisch an den Anforderungen der Norm orientieren.

Weitere Informationen bietet die International Organization for Standardization zur ISO/IEC 27001.

Informationssicherheit und BSI IT-Grundschutz

Für Organisationen in Deutschland ist der BSI IT-Grundschutz ein weiterer wichtiger Rahmen für Informationssicherheit. Das Bundesamt für Sicherheit in der Informationstechnik stellt mit den BSI-Standards und dem IT-Grundschutz-Kompendium eine strukturierte Methodik bereit.

Der BSI-Standard 200-1 beschreibt grundlegende Anforderungen an ein Managementsystem für Informationssicherheit. Der BSI-Standard 200-2 behandelt die praktische IT-Grundschutz-Methodik. Der BSI-Standard 200-3 bündelt die risikobezogenen Arbeitsschritte.

Damit unterstützt der IT-Grundschutz Organisationen dabei, Informationssicherheit schrittweise von einer allgemeinen Zielsetzung in konkrete Strukturen, Prozesse und Maßnahmen zu übertragen.

Gerade für Behörden und andere öffentliche Organisationen bietet der IT-Grundschutz einen etablierten Bezugsrahmen für Sicherheitskonzepte und Informationssicherheitsmanagement.

Weitere Informationen zu Methodik und Standards stellt das Bundesamt für Sicherheit in der Informationstechnik zum IT-Grundschutz bereit.

Eine detailliertere Betrachtung finden Sie außerdem im Bonpago-Beitrag Schutzziele Informationssicherheit BSI.

Risikomanagement in der Informationssicherheit

Vollständige Sicherheit lässt sich praktisch nicht erreichen. Unternehmen und Verwaltungen müssen deshalb entscheiden, welche Risiken akzeptabel sind und wo zusätzliche Maßnahmen erforderlich werden.

Risikomanagement in der Informationssicherheit schafft dafür eine strukturierte Grundlage.

Eine Risikoanalyse der Informationssicherheit beschäftigt sich im Kern mit vier Fragen:

1. Welche Informationen, Systeme und Prozesse sind für die Organisation wichtig?
2. Welche Bedrohungen und Schwachstellen bestehen?
3. Welche Auswirkungen hätte ein Sicherheitsvorfall?
4. Mit welchen Maßnahmen lässt sich das Risiko angemessen reduzieren?

Die Bewertung sollte sich dabei nicht auf technische Schwachstellen beschränken. Auch organisatorische Abhängigkeiten, menschliche Fehler, fehlende Kontrollen, unklare Verantwortlichkeiten und externe Dienstleister können relevante Risiken verursachen.

Beispiel für eine Risikoanalyse der Informationssicherheit

Ein typisches Beispiel ist die Änderung einer Lieferantenbankverbindung.

Schützenswerte Information:
Bankverbindung und Zahlungsinformationen des Lieferanten.

Mögliches Risiko:
Eine Bankverbindung wird aufgrund eines kompromittierten Benutzerkontos, einer gefälschten Nachricht oder eines internen Fehlers verändert.

Mögliche Auswirkung:
Zahlungen werden auf ein falsches Konto überwiesen.

Mögliche Maßnahmen:

• Änderungen nur durch definierte Rollen
• unabhängige Freigabe nach dem Vier-Augen-Prinzip
• Verifikation über einen bereits bekannten Kommunikationskanal
• vollständige Protokollierung der Änderung
• automatische Benachrichtigungen bei kritischen Stammdatenänderungen

Das Beispiel zeigt, wie aus dem abstrakten Ziel Informationssicherheit konkrete und überprüfbare Prozesskontrollen entstehen.

Informationssicherheit im Unternehmen praktisch umsetzen

Wirksame Informationssicherheit entsteht nicht durch eine einzelne Software oder Richtlinie. Entscheidend ist das Zusammenspiel von Organisation, Menschen, Prozessen und Technik.

1. Kritische Informationen und Prozesse identifizieren

Am Anfang steht die Frage, welche Informationen für die Organisation tatsächlich relevant sind und wo diese verarbeitet werden.

Dazu können gehören:

• Finanz- und Zahlungsdaten
• Vertragsinformationen
• Kunden- und Lieferantendaten
• Personaldaten
• Geschäftsgeheimnisse
• technische Dokumentationen
• Zugangsdaten
• Verwaltungs- und Verfahrensdaten

Anschließend sollte nachvollzogen werden, in welchen Geschäftsprozessen diese Informationen entstehen, verändert, weitergegeben und gespeichert werden.

2. Schutzbedarf bestimmen

Nicht jede Information benötigt dasselbe Sicherheitsniveau.

Ein öffentlich zugänglicher Geschäftsbericht stellt andere Anforderungen an die Vertraulichkeit als eine Gehaltsliste. Bei Zahlungsinformationen kann dagegen die Integrität besonders kritisch sein.

Der Schutzbedarf sollte deshalb für die jeweiligen Informationen und Prozesse anhand der relevanten Schutzziele bewertet werden.

3. Rollen und Verantwortlichkeiten festlegen

Unklare Zuständigkeiten erhöhen das Risiko für Fehler und Sicherheitslücken.

Für sensible Prozesse muss eindeutig definiert sein, wer Informationen bearbeiten darf, wer Änderungen genehmigt, wer Berechtigungen vergibt und wer im Fall eines Sicherheitsvorfalls Entscheidungen trifft.

4. Technische und organisatorische Maßnahmen verbinden

Technische Maßnahmen können beispielsweise umfassen:

• Multi-Faktor-Authentifizierung
• Verschlüsselung
• Patch- und Update-Management
• Backup-Systeme
• Protokollierung
• Netzwerksegmentierung
• Monitoring
• Endpoint-Schutz

Organisatorische Maßnahmen sind unter anderem:

• Sicherheitsrichtlinien
• Rollen- und Berechtigungskonzepte
• Vier-Augen-Prinzipien
• geregeltes Onboarding und Offboarding
• Notfallprozesse
• Vorgaben für externe Dienstleister
• regelmäßige Schulungen

Welche Maßnahmen tatsächlich sinnvoll sind, sollte aus dem Schutzbedarf und der Risikoanalyse hervorgehen.

5. Mitarbeitende gezielt einbeziehen

Mitarbeitende müssen Informationssicherheit in ihrem konkreten Arbeitsumfeld verstehen. Allgemeine Schulungen allein reichen dafür häufig nicht aus.

Für Mitarbeitende im Rechnungswesen sind beispielsweise gefälschte Rechnungen, manipulierte Bankverbindungen, Social Engineering oder unzureichende Zahlungsfreigaben relevant. Administrierende Personen benötigen dagegen tieferes Wissen über Berechtigungen, sichere Konfigurationen oder technische Schwachstellen.

Schulungen sollten sich deshalb an tatsächlichen Rollen und Arbeitssituationen orientieren.

6. Externe Dienstleister einbeziehen

Cloud-Anbieter, Softwareunternehmen, Beratungen und andere externe Partner können Zugriff auf sensible Informationen oder Systeme erhalten. Die Informationssicherheit endet deshalb nicht an der eigenen Unternehmensgrenze.

Vor und während einer Zusammenarbeit sollten unter anderem Zugriffsrechte, Verantwortlichkeiten, Anforderungen an die Informationssicherheit und Meldewege bei Sicherheitsvorfällen geklärt werden.

7. Notfallfähigkeit praktisch testen

Ein vorhandenes Backup bedeutet noch nicht automatisch, dass Daten im Ernstfall rechtzeitig wiederhergestellt werden können.

Unternehmen sollten deshalb Wiederherstellungen, Notfallprozesse und Eskalationswege regelmäßig testen. Für besonders kritische Geschäftsprozesse sollte bekannt sein, wie lange ein Ausfall toleriert werden kann und welche Übergangslösungen zur Verfügung stehen.

8. Informationssicherheit regelmäßig überprüfen

Geschäftsprozesse, Anwendungen und Dienstleister verändern sich laufend. Damit ändern sich auch die Risiken.

Informationssicherheit ist deshalb keine einmalige Maßnahme. Sicherheitskonzepte, Berechtigungen, Risiken und technische Schutzmaßnahmen müssen regelmäßig überprüft und angepasst werden.

Informationssicherheit und DSGVO

Die Verbindung zwischen Informationssicherheit und DSGVO wird besonders deutlich, sobald personenbezogene Daten verarbeitet werden.

Artikel 32 der Datenschutz-Grundverordnung verlangt ein dem Risiko angemessenes Schutzniveau. Dabei werden unter anderem Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste genannt.

Informationssicherheit kann damit wesentlich dazu beitragen, Datenschutzanforderungen technisch und organisatorisch umzusetzen. Beide Bereiche sollten dennoch nicht gleichgesetzt werden. Die Informationssicherheit geht über personenbezogene Daten hinaus und umfasst auch Informationen, die für Geschäftsprozesse oder Organisationen relevant sind, ohne einen Personenbezug zu besitzen.

Welche Standards für Informationssicherheit sind wichtig?

Für den Aufbau und das Management der Informationssicherheit stehen verschiedene Standards und Methoden zur Verfügung.

Welcher Ansatz geeignet ist, hängt von der Organisation, ihrer Branche, regulatorischen Anforderungen, bestehenden Strukturen und dem gewünschten Nachweisniveau ab.

Entscheidend ist nicht allein, welcher Standard gewählt wird. Die Informationssicherheit muss im Tagesgeschäft tatsächlich funktionieren.

Informationssicherheit bei der Digitalisierung von Geschäftsprozessen

Digitalisierung verändert die Art, wie Informationen erzeugt, übertragen und verarbeitet werden. Papierbasierte Freigaben werden durch digitale Workflows ersetzt, Anwendungen über Schnittstellen miteinander verbunden und Informationen zentral in ERP-, DMS- oder Cloud-Systemen gespeichert.

Das bietet Chancen für die Informationssicherheit. Digitale Prozesse können Zugriffe automatisch beschränken, Änderungen protokollieren, Freigabegrenzen kontrollieren und Abläufe nachvollziehbarer machen.

Voraussetzung ist jedoch, dass Informationssicherheit bereits bei der Prozessgestaltung berücksichtigt wird.

Ein unsicherer manueller Prozess wird nicht automatisch sicher, nur weil er digitalisiert wird. Werden bestehende Schwächen lediglich in einer Software nachgebaut, bestehen die Risiken weiter.

Bei einer Prozessoptimierung sollten deshalb unter anderem folgende Fragen berücksichtigt werden:

• Welche Informationen werden im Prozess verarbeitet?
• Wer benötigt Zugriff auf diese Informationen?
• Welche Änderungen müssen nachvollziehbar sein?
• Wo bestehen Medienbrüche?
• Welche Systeme sind für den Prozess kritisch?
• Welche Freigaben und Kontrollen sind notwendig?
• Was geschieht bei einem Systemausfall?
• Welche externen Parteien sind beteiligt?

Informationssicherheit sollte deshalb Bestandteil einer digitalen Transformation sein und nicht erst nachträglich betrachtet werden.

Informationssicherheit in der öffentlichen Verwaltung

Für öffentliche Verwaltungen besitzt Informationssicherheit eine besondere Bedeutung. Bürgerinnen, Bürger und Unternehmen müssen darauf vertrauen können, dass digitale Verwaltungsleistungen zuverlässig funktionieren und sensible Informationen geschützt werden.

Behörden verarbeiten zahlreiche Daten und Dokumente mit hohem Schutzbedarf. Gleichzeitig bestehen häufig komplexe organisatorische Strukturen mit verschiedenen Fachverfahren, IT-Dienstleistern und Zuständigkeiten.

Informationssicherheit erfordert deshalb auch in der öffentlichen Verwaltung klar geregelte Verantwortlichkeiten, belastbare Sicherheitskonzepte und nachvollziehbare Prozesse.

Ein strukturiertes Informationssicherheitsmanagement kann dabei helfen, gesetzliche und organisatorische Anforderungen bereits bei der Planung neuer digitaler Verwaltungsprozesse zu berücksichtigen.

Beispiele für Informationssicherheit aus der Praxis

Beispiel 1: Rechnungsfreigabe
Eine Rechnung darf nur von definierten Personen freigegeben werden. Berechtigungen, Freigabegrenzen und Änderungen werden nachvollziehbar dokumentiert. Damit werden Vertraulichkeit, Integrität und Zurechenbarkeit unterstützt.

Beispiel 2: Lieferantenstammdaten
Änderungen von Bankverbindungen benötigen eine zusätzliche Prüfung und Freigabe. Dadurch sinkt das Risiko manipulierter Zahlungsinformationen.

Beispiel 3: Systemausfall
Ein Unternehmen definiert Wiederanlaufzeiten für sein ERP-System und testet regelmäßig die Wiederherstellung aus Backups. Damit wird die Verfügbarkeit kritischer Finanzprozesse abgesichert.

Beispiel 4: Mitarbeiteraustritt
Beim Ausscheiden einer Person werden Benutzerkonten und Zugriffsrechte über einen verbindlichen Offboarding-Prozess deaktiviert. So wird verhindert, dass ehemalige Mitarbeitende weiterhin auf Unternehmensinformationen zugreifen können.

Beispiel 5: Öffentliche Verwaltung
Für ein digitales Fachverfahren werden Berechtigungen nach Rollen vergeben, Zugriffe protokolliert und Notfallprozesse definiert. Sensible Verwaltungsinformationen bleiben dadurch kontrollierbar und nachvollziehbar.

Häufige Fragen zur Informationssicherheit

Was ist Informationssicherheit einfach erklärt?

Informationssicherheit bedeutet, Informationen vor unberechtigtem Zugriff, Manipulation und Ausfällen zu schützen. Sie umfasst digitale und nicht digitale Informationen sowie die beteiligten Menschen, Prozesse und technischen Systeme.

Was sind die drei Schutzziele der Informationssicherheit?

Die drei klassischen Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit. Sie werden auch als CIA-Triade bezeichnet. Je nach Anwendungsfall kommen weitere Ziele wie Authentizität, Zurechenbarkeit und Nichtabstreitbarkeit hinzu.

Was ist der Unterschied zwischen Informationssicherheit und IT-Sicherheit?

IT-Sicherheit konzentriert sich vor allem auf IT-Systeme, Netzwerke, Anwendungen und digitale Daten. Informationssicherheit ist umfassender und schützt Informationen unabhängig davon, ob sie digital, auf Papier oder in anderer Form verarbeitet werden.

Was ist der Unterschied zwischen Datenschutz und Informationssicherheit?

Datenschutz schützt personenbezogene Daten und die Rechte der betroffenen Personen. Informationssicherheit schützt Informationen jeder Art. Personenbezogene Daten gehören deshalb zum Überschneidungsbereich beider Disziplinen.

Was bedeutet ISO 27001 für die Informationssicherheit?

Die ISO/IEC 27001 definiert Anforderungen an ein Informationssicherheitsmanagementsystem. Organisationen können damit Informationssicherheitsrisiken systematisch identifizieren, bewerten und behandeln sowie ihre Maßnahmen kontinuierlich verbessern.

Was bedeutet BSI IT-Grundschutz?

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik stellt Standards, Methoden und Bausteine für den systematischen Aufbau und die Umsetzung von Informationssicherheit bereit.

Wer ist für Informationssicherheit im Unternehmen verantwortlich?

Informationssicherheit ist keine reine Aufgabe der IT. Die Gesamtverantwortung liegt auf Organisationsebene. In der praktischen Umsetzung sind Geschäftsführung, Fachbereiche, IT, Informationssicherheitsverantwortliche und Mitarbeitende beteiligt. Zuständigkeiten sollten klar definiert und dokumentiert sein.

Warum ist eine Risikoanalyse für Informationssicherheit wichtig?

Eine Risikoanalyse hilft zu erkennen, welche Informationen und Prozesse besonders schützenswert sind, welche Bedrohungen bestehen und welche Maßnahmen wirtschaftlich und organisatorisch sinnvoll sind. Ohne Risikobewertung besteht die Gefahr, entweder zu wenig oder an den falschen Stellen zu investieren.

Fazit: Informationssicherheit dauerhaft in der Organisation verankern

Informationssicherheit schützt die Informationen, auf denen Geschäftsprozesse, Entscheidungen und digitale Dienstleistungen beruhen. Die drei zentralen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit schaffen dafür einen grundlegenden Orientierungsrahmen.

In der Praxis reicht es jedoch nicht, einzelne Sicherheitsmaßnahmen einzuführen. Unternehmen und öffentliche Verwaltungen müssen wissen, welche Informationen kritisch sind, welche Risiken bestehen, wer Verantwortung trägt und wie Schutzmaßnahmen in bestehende Prozesse integriert werden.

Standards wie ISO/IEC 27001 und der BSI IT-Grundschutz bieten dafür strukturierte Ansätze. Ein Informationssicherheitsmanagementsystem schafft zusätzlich den organisatorischen Rahmen, um Risiken nicht nur punktuell zu behandeln, sondern Informationssicherheit kontinuierlich zu steuern und weiterzuentwickeln.

Besonders bei der Digitalisierung von Geschäftsprozessen lohnt es sich, Informationssicherheit frühzeitig einzubeziehen. Berechtigungen, Freigaben, Kontrollmechanismen und Notfallprozesse können dann direkt im Soll-Prozess berücksichtigt werden, statt bestehende Abläufe später aufwendig nachzubessern.

Bonpago unterstützt Unternehmen und öffentliche Organisationen dabei, Informationssicherheit strukturiert zu bewerten und mit bestehenden Prozessen, technischen Rahmenbedingungen und Compliance-Anforderungen zusammenzuführen. Weitere Informationen finden Sie im Bereich Informationssicherheit und Compliance.