Der Monatsabschluss steht bevor. Zahlungsfreigaben laufen wie gewohnt per E-Mail und Excel-Liste. Parallel dazu erreicht Sie eine Warnmeldung: verdächtige Login-Versuche auf das ERP-System. Ein Branchenkollege meldet einen Ransomware-Vorfall, der den Zahlungsverkehr für drei Tage lahmlegte. Solche Szenarien sind heute keine Seltenheit mehr. Sie werfen eine zentrale Frage auf: Welche Schutzziele der Informationssicherheit definiert das BSI – und wie übersetzen Sie diese Ziele in wirksame, messbare Maßnahmen in Ihren Finance- und Verwaltungsprozessen?
Cyberkriminalität verursacht jährlich Schäden in Milliardenhöhe. Zahlungsbetrug, Erpressung durch Ransomware, Betriebsunterbrechungen und Datenabfluss sind reale Risiken mit direkten und indirekten Kosten. Direkte Kosten entstehen durch Fehlzahlungen, Stillstandzeiten, Incident Response, externe Dienstleister und Sonderprüfungen. Indirekte Kosten zeigen sich in Reputationsverlusten, verlorenem Vertrauen bei Lieferanten und Kunden sowie erhöhter Prüfungsintensität.
Treiber dieser Entwicklung sind standortunabhängiges Arbeiten, die zunehmende Nutzung von Cloud-Diensten und externen Dienstleistern, mehr Schnittstellen und APIs sowie wachsende Datenmengen. Hinzu kommen schnelle Systemwechsel im Zuge von ERP-Transformationen. Für Entscheiderinnen und Entscheider in Finance und IT bedeutet dies: Informationssicherheit ist kein reines IT-Thema mehr, sondern ein Business-Enabler. Sie sichert Betriebsfähigkeit, Steuerbarkeit und Prüfungsfestigkeit.
Bevor wir in die Schutzziele einsteigen, ist es wichtig, die Begriffe klar zu trennen. Informationssicherheit bezeichnet den Schutz von Informationen unabhängig vom Trägermedium – ob auf Papier, in IT-Systemen oder in den Köpfen Ihrer Mitarbeiterinnen und Mitarbeiter. IT-Sicherheit ist eine Teilmenge und fokussiert sich auf den Schutz von IT-Systemen und Netzwerken. Datenschutz und Datensicherheit beziehen sich auf personenbezogene Daten im Sinne der DSGVO, während Informationssicherheit auch Unternehmensinformationen wie Preislisten, Bankdaten oder Abschlusszahlen umfasst.
Zwei weitere Begriffe sind zentral: Authentifizierung meint die Prüfung der Identität einer Person oder eines Systems. Autorisierung hingegen regelt die Vergabe von Rechten, also was eine authentifizierte Person tun darf. Integrität bedeutet nicht nur Schutz vor unbemerkter oder unerlaubter Änderung, sondern auch Nachvollziehbarkeit von Änderungen. Verfügbarkeit umfasst nicht nur, dass ein System läuft, sondern auch die Fähigkeit zur Wiederherstellung mit definierten RTO- und RPO-Werten. (Wenn Sie die Abgrenzung im Detail vertiefen möchten, hilft der Beitrag zum Unterschied zwischen Datenschutz und Informationssicherheit.)
Das Bundesamt für Sicherheit in der Informationstechnik definiert im IT-Grundschutz klare Schutzziele als Zielbilder für die Informationssicherheit. Diese Schutzziele dienen als Grundlage, um Maßnahmen abzuleiten – basierend auf dem Schutzbedarf und der Risikoanalyse. Der IT-Grundschutz ist eng verzahnt mit der internationalen Norm ISO 27001, die ein Informationssicherheits-Managementsystem als Umsetzungsrahmen bereitstellt. Ein solches System ist rollenbasiert, risikoorientiert und messbar.
Für Entscheiderinnen und Entscheider bietet diese Logik einen klaren Vorteil: Sie können Risiken priorisieren, Investitionen begründen, Audits vorbereiten und belastbare Nachweise liefern. Die Schutzziele Informationssicherheit schaffen ein gemeinsames Vokabular zwischen CFO, IT-Leitung, Revision, Compliance und den Fachbereichen. Sie machen Risiken bewertbar, stärken das Interne Kontrollsystem, helfen bei der Priorisierung von Investitionen und senken langfristig Prüfungsaufwände.
Das BSI definiert vier zentrale Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität. Jedes dieser Ziele adressiert eine spezifische Dimension der Informationssicherheit und ist direkt mit Finance-Prozessen verknüpft.
Vertraulichkeit stellt sicher, dass nur autorisierte Personen Zugang zu Informationen erhalten. Typische Verletzungen entstehen durch fehlerhafte Berechtigungen, unverschlüsselte Datenübertragungen, Datenabfluss über E-Mail oder unsichere Cloud-Links sowie Schatten-IT. In Finance-Prozessen betrifft dies unter anderem Zahlungsdateien, Bankverbindungen, Konditionslisten, Personaldaten, Vergabeunterlagen und interne Reports.
Ein Beispiel: Wird eine SEPA-Datei unverschlüsselt per E-Mail versendet, kann sie abgefangen und missbraucht werden. Die Kontrolle liegt in der Implementierung klarer Rollen- und Rechtekonzepte, der Verschlüsselung sensibler Datenströme und der regelmäßigen Rezertifizierung von Zugriffsrechten.
Integrität bedeutet, dass Informationen vollständig, korrekt und nicht unbemerkt verändert sind. Änderungen müssen nachvollziehbar sein – inklusive Metadaten wie Zeitstempel und Bearbeiterin. Typische Verletzungen sind manipulierte Bankverbindungen im Kreditorenstamm, unkontrollierte Excel-Versionen, fehlende Protokollierung und fehlerhafte Schnittstellen.
In Finance-Prozessen ist Integrität entscheidend für korrekte Buchungen, saubere Stammdaten, verlässliche Reporting-Zahlen und Fraud-Prävention. Ein Beispiel: Wird die IBAN eines Lieferanten ohne Dual Control und Verifikation geändert, können Zahlungen auf ein falsches Konto fließen. Kontrollen umfassen Workflows mit Vier-Augen-Prinzip, Audit-Trails und Master-Data-Governance mit klaren Data Ownern.
Verfügbarkeit sichert, dass Systeme und Informationen nutzbar sind, wenn sie benötigt werden – inklusive schneller Wiederherstellung nach Ausfällen. Typische Verletzungen entstehen durch Ransomware, Systemausfälle, DDoS-Attacken, fehlende Redundanzen und ungeprüfte Backups. Für Finance bedeutet dies: Zahlungsfähigkeit, fristgerechte Abschlüsse, Einhaltung von Service-Levels und kontinuierliche Verwaltungsleistungen.
Ein Beispiel: Ein Ransomware-Angriff legt den Fileserver lahm, auf dem Zahlungsdateien gespeichert sind. Ohne getestete Backups und klare Notfallpläne kann die Zahlungsfähigkeit für Tage unterbrochen sein. Kontrollen umfassen definierte RTO/RPO, regelmäßige Restore-Tests, Segmentierung, Monitoring und Incident-Response-Playbooks.
Authentizität garantiert, dass Identität und Quelle einer Information echt sind. Dies betrifft Personen, Absender und Urheber. In der Praxis ist dies besonders relevant für CEO-Fraud, Lieferantenbetrug, Account Takeover und gefälschte Rechnungsanhänge.
Ein Beispiel: Eine E-Mail, die vorgibt, von der Geschäftsführung zu stammen, fordert eine dringende Überweisung auf ein unbekanntes Konto. Ohne starke Authentifizierung wie Multi-Faktor-Authentifizierung und Out-of-band-Verifikation ist das Risiko hoch. Kontrollen umfassen MFA für alle kritischen Zugänge, Absenderprüfungen und definierte Verifikationsprozesse bei sensiblen Änderungen.
Zusätzlich zu den vier Hauptzielen spielen Zurechenbarkeit und Nichtabstreitbarkeit eine wichtige Rolle für die Prüfungsfestigkeit. Zurechenbarkeit bedeutet, dass Handlungen eindeutig einem Konto oder einer Person zuordenbar sind. Nichtabstreitbarkeit stellt sicher, dass diese Handlungen nicht plausibel abgestritten werden können.
In der Praxis heißt das: eindeutige Benutzerkonten, keine Shared Accounts, revisionssichere Protokollierung und digitale Freigabe-Workflows mit manipulationsarmen Logs. Dies ist insbesondere für IKS-Nachweise und Wirtschaftsprüfungen entscheidend.
Die Schutzziele sind nicht abstrakt, sondern betreffen konkrete Informationswerte und Prozessstellen in Finance und Verwaltung. Kritische Informationen sind unter anderem Zahlungsdaten und SEPA-XML-Dateien, EBICS- und Bankzugänge, SWIFT- und Provider-Zugänge, Kreditoren- und Debitorenstammdaten, Bankverbindungen, Mandate, Rechnungen, Gutschriften, Zahlungsavise, Kontoauszüge, Verträge, Preis- und Konditionslisten, Budget- und Forecast-Daten sowie Rollen- und Berechtigungskonzepte, Freigabeprotokolle und Audit-Trails.
Typische Prozessstellen mit hohem Risiko sind Medienbrüche, Ausnahmen und manuelle Notfreigaben, Stammdatenänderungen ohne gesicherte Identität oder Out-of-band-Check, intransparenter Dateiverkehr, fehlende Checks, fehlendes Monitoring sowie unklare Ownership zwischen Fachbereich, IT und Shared Services und fehlende Kontrollnachweise.
Bedrohungen und Fehlerquellen sind vielfältig. Externe Bedrohungen umfassen Phishing, Social Engineering, Ransomware, Malware, Credential Stuffing und Account Takeover. Interne Risiken entstehen durch Fehlbedienung, Berechtigungswildwuchs, Schatten-IT und Umgehung von Kontrollen. Technische Schwachstellen sind ungepatchte Systeme, fehlerhafte Schnittstellen, fehlende Segmentierung und unzureichendes Monitoring. Organisatorische Lücken zeigen sich in unklaren Policies, fehlenden Schulungen, fehlender Rezertifizierung und fehlender Vendor-Steuerung.
Welche konkreten Folgen haben Verletzungen der Schutzziele? Bei der Vertraulichkeit führt Datenabfluss zu Verhandlungs- und Wettbewerbsschäden, unter Umständen auch zu Konsequenzen nach DSGVO. Bei der Integrität resultieren falsche Zahlungen oder Abschlüsse in Fraud, Fehlentscheidungen und IKS-Findings. Bei der Verfügbarkeit verursachen Zahlungsstopps oder Abschlussverzug Liquiditäts- und Lieferketteneffekte. Bei der Authentizität führen Identitäts- oder Absenderfälschungen zu umgeleiteten Zahlungen, Fake-Invoices und unautorisierte Freigaben.
Um Investitionen zu priorisieren, hilft ein klarer Vergleich zwischen Baseline und Zielzustand. Die Baseline umfasst oft E-Mail-Freigaben, unklare Rollen, keine Rezertifizierung, schwer auswertbare Logs und Backups ohne Restore-Test. Der Zielzustand beinhaltet workflow-basierte Freigaben, Dual Control, saubere Rollen, zentrale Logs mit Alerts, getestete Wiederherstellung und klare Ownership.
Für die Quantifizierung genügt eine pragmatische Logik: Schadensklassen definieren, Erwartungswert-Logik nutzen und Investitionen nach Risikoreduktion plus Audit- und IKS-Relevanz priorisieren. Eine Fehlzahlung von 50.000 Euro ist ein mittlerer Schaden. Ein Stillstand von drei Tagen kann ein großer Schaden sein. Eine Revisionsfeststellung mit Maßnahmenpaket ist ein mittlerer indirekter Schaden.
Die Schutzziele sind eng verbunden mit typischen Prüfungs- und Compliance-Anforderungen. Das Interne Kontrollsystem verlangt Vier-Augen-Prinzip, Berechtigungsmanagement, Änderungsprotokolle und Prozessdokumentation. Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff fordern Nachvollziehbarkeit, Vollständigkeit und Unveränderbarkeit in relevanten Prozessketten.
Die IDW-Prüfungsstandards bieten weitere Orientierung. IDW PS 951 verlangt Nachweise zu Kontrollen, Zugriffen, Logs sowie Change-, Incident- und Business-Continuity-Management. IDW PS 982 fordert risikoorientierte Steuerung, Monitoring und Wirksamkeitsprüfung. Die Quintessenz: Schutzziele führen zu Kontrollen, Kontrollen erzeugen belastbare Nachweise – und diese reduzieren Prüfungsaufwand und Findings.
Welche Kontrollen bieten das beste Verhältnis von Aufwand zu Wirkung? Hier sind die Top 10:
Für komplexe Landschaften benötigen Sie eine durchdachte Zielarchitektur. Typische Bausteine sind: ERP-System, Banking-Anbindung, Payment-Provider, Treasury-System, DMS/ECM für Rechnungen und Verträge, Workflow- und Approval-Engine, IAM/SSO/MFA wie zentraler Identity Provider, PAM für privilegierte Konten sowie SIEM/Logplattform und SOAR/Alerting oder ein pragmatischer Start mit zentralem Log-Hub. Für den Dokumenten- und Vertragsbereich lohnt zudem ein Blick auf passende DMS-Anbieter, um Ablage, Zugriff und Nachvollziehbarkeit sauber zu unterstützen.
Betriebs- und Wartbarkeit sind Sicherheitsfaktoren. Definieren Sie Logging-Standards, Alert-Schwellen, Runbooks, Ownership und SLAs. Das Prinzip Detect & Respond ist entscheidend: Sie können nicht alle Angriffe verhindern, aber Sie müssen sie erkennen und sauber reagieren können.
Der Zahlungsverkehr ist besonders kritisch. Achten Sie auf diese Maßnahmen:
Externe Dienstleister stellen ein erhebliches Risiko dar. Typische Risiken sind externe Buchhaltungs- oder Payroll-Dienstleister, IT-Betriebspartner, Payment-Provider und Beratungen mit Admin-Zugriff. Mindestkontrollen umfassen:
Ein strukturiertes Risikomanagement ist Voraussetzung für ein wirksames ISMS oder IKS. Der Prozess ist iterativ: Risiken identifizieren, bewerten, priorisieren, Maßnahmen umsetzen, Wirksamkeit prüfen und nachsteuern. Priorisieren Sie nach Schutzbedarf und Business-Kritikalität. Zahlungsverkehr und Stammdaten stehen typischerweise ganz oben. Wählen Sie Maßnahmen so, dass sie Risiko senken und prüfbar sind – denken Sie Nachweise von Anfang an mit.
Ohne Messbarkeit keine Steuerung. Definieren Sie operative KPIs und strategische Indikatoren.
Zwei Maßnahmen stechen heraus:
| Schutzziel | Typische Kontrollen | Typische Nachweise |
|---|---|---|
| Vertraulichkeit | Rollenmodell, Verschlüsselung | Berechtigungslisten, Rezertifizierungsprotokolle, Konfigurationsnachweise |
| Integrität | Workflows, Änderungsprotokolle | Audit-Logs, Freigabeprotokolle, Änderungsreports, Datenqualitäts-KPIs |
| Verfügbarkeit | Backup/Restore, Notfalltests | Restore-Testprotokolle, Notfallübungsberichte, Monitoring-Reports |
| Authentizität | MFA/IAM, Verifikation | MFA-Reports, IAM-Prozessnachweise, Verifikationsdokumentation |
| Zurechenbarkeit/Nichtabstreitbarkeit | Eindeutige Accounts, Logging | Account-Policies, PAM-/Login-Protokolle, Session-/Audit-Logs |
Vorher: Änderungen per E-Mail und Excel, keine Protokollierung, Freigabe unklar. Ein Lieferant meldet, eine Zahlung sei nicht angekommen. Recherche ergibt: Die IBAN wurde vor zwei Wochen geändert – aber von wem und warum, ist nicht nachvollziehbar.
Nachher: Workflow mit Dual Control, Out-of-band-Verifikation über Rückruf, Protokollierung, Rollenmodell, KPI für Rezertifizierung und abgewiesene Änderungen. Änderungen sind nachvollziehbar, Fraud-Versuche werden erkannt.
Zuordnung: Integrität, Authentizität, Zurechenbarkeit
Vorher: Backups vorhanden, Restore nie getestet; Patch-Backlog; keine Runbooks. Nach einem Angriff dauert die Wiederherstellung drei Tage.
Nachher: Patch-SLA, Segmentierung, regelmäßige Restore-Tests, Notfallplan, Runbooks, klare Ownership. Wiederherstellung innerhalb von vier Stunden.
Zuordnung: Verfügbarkeit, Integrität
Vorher: SEPA-Datei per Mail/Shares, keine Signatur/Checks, kein Monitoring. Eine Datei geht verloren, Zahlungen verzögern sich.
Nachher: SFTP/TLS, Schema- und Plausibilitätschecks, Freigabe im Workflow, Monitoring/Alerting, Nachweislogs. Transfer ist nachvollziehbar, Fehler werden sofort erkannt.
Zuordnung: Vertraulichkeit, Integrität, Zurechenbarkeit
Die Schutzziele Informationssicherheit sind in zahlreiche Standards und Regularien eingebettet. Der BSI IT-Grundschutz definiert Schutzziele, Schutzbedarf und Maßnahmenkataloge. ISO 27001/ISMS bietet einen risikobasierten Umsetzungsrahmen mit kontinuierlicher Verbesserung. Die DSGVO Artikel 32 dient als Orientierung für Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Branchen- und Prüfungslogik wie IKS, Auslagerung und Audit Trails folgen ähnlichen Schutzziel- und Nachweis-Mechaniken.
Neben den klassischen Schutzzielen spielt Belastbarkeit/Resilienz eine wachsende Rolle. Ziel ist, Störungen zu überstehen, schnell in den Normalbetrieb zurückzukehren und kritische Prozesse priorisiert wiederanlaufen zu lassen. Praktisch bedeutet dies: Notfallübungen, Redundanzen, Wiederanlaufpläne und klare Verantwortlichkeiten.
Sicherheit entsteht durch saubere, digitale Prozesse mit klaren Rollen, Freigaben und nachvollziehbaren Datenflüssen. Prozessoptimierungen, die Sicherheitsziele stützen, umfassen standardisierte Workflows statt E-Mail-Freigaben, automatisierte Schnittstellen mit Monitoring statt manueller Exporte, zentrale Stammdatenpflege mit Governance statt verteilter Listen und Protokollierung by design statt nachträglicher Rekonstruktion. In der Praxis greift das oft direkt in Purchase-to-Pay-Ketten ein – vom Bedarf bis zur Zahlung – wie sie im Kontext von Purchase to Pay beschrieben werden.
Nutzen Sie diese Checkfragen als Take-away:
Die Schutzziele Informationssicherheit BSI – Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität – sind kein abstraktes IT-Thema. Sie sind die Grundlage für robuste, steuerbare und prüfungsfeste Finance- und Verwaltungsprozesse. Die Übersetzung in konkrete Kontrollen und messbare KPIs macht Risiken bewertbar, Investitionen begründbar und Prüfungen planbarer.
Starten Sie mit den Quick Wins: MFA, Dual Control, Out-of-band-Verifikation, Logging und Awareness. Stabilisieren Sie danach durch Rollen-/Rechtebereinigung, Patch-Management und getestete Backups. Skalieren Sie schließlich durch Standards für Schnittstellen, Runbooks und Third-Party-Management. Ein risikobasiertes Vorgehen – orientiert an ISO 27001 oder BSI IT-Grundschutz – stellt sicher, dass Sie Ressourcen dort einsetzen, wo sie den größten Nutzen bringen.
Informationssicherheit ist ein kontinuierlicher Prozess. Beginnen Sie pragmatisch, messen Sie Fortschritt und reifen Sie systematisch. So schaffen Sie nicht nur Schutz, sondern auch Vertrauen – intern bei Revision und Management, extern bei Kunden, Lieferanten und Aufsicht.