Mit Google fortfahren
Datensicherheit: Schutzziele und Maßnahmen
Datensicherheit schützt digitale Informationen vor unbefugtem Zugriff, unerlaubter Veränderung, Verlust und Beschädigung. Dafür reicht eine einzelne Maßnahme nicht aus: Gute Datensicherheit verbindet technische Schutzmittel, klare Regeln und aufmerksames Verhalten.
Auf dieser Seite lernst du, Risiken mithilfe der drei Schutzziele zu untersuchen und passende Schutzmaßnahmen begründet zu kombinieren.
Hake ab, was du schon kannst — und komm am Ende hierher zurück!
Drei Schutzziele geben dir Orientierung
Ob Daten ausreichend geschützt sind, kannst du mit drei Fragen untersuchen:
Vertraulichkeit
Dürfen nur berechtigte Personen die Daten lesen oder nutzen? Dann ist ihre Vertraulichkeit geschützt.
Integrität
Sind die Daten korrekt und vor unerlaubter Veränderung geschützt? Dann ist ihre Integrität gewahrt.
Verfügbarkeit
Können berechtigte Personen auf die Daten zugreifen, wenn sie diese benötigen? Dann sind die Daten verfügbar.
In einer Schule werden Zeugnisdaten gespeichert.
- Erhält eine fremde Person Einblick, ist die Vertraulichkeit verletzt.
- Verändert jemand heimlich eine Note, ist die Integrität verletzt.
- Sind die Daten nach einem Rechnerausfall nicht erreichbar, ist die Verfügbarkeit beeinträchtigt.
Dasselbe Datensystem kann also durch unterschiedliche Vorfälle an unterschiedlichen Schutzzielen getroffen werden.
Frage bei einem Vorfall: Wer darf die Daten sehen? Sind sie noch richtig? Sind sie bei Bedarf erreichbar?
Datensicherheit ist nicht dasselbe wie Datenschutz
Datensicherheit beschreibt, wie Daten technisch und organisatorisch geschützt werden. Dazu gehören beispielsweise Verschlüsselung, Zugriffsrechte, Backups und Sicherheitsregeln.
Datenschutz regelt den Umgang mit personenbezogenen Daten: also mit Informationen, die sich auf Menschen beziehen. Er betrifft unter anderem deren Erhebung, Speicherung, Verarbeitung und Weitergabe.
Eine verschlüsselte Liste mit Namen und Adressen ist gegen unbefugtes Lesen geschützt. Das ist eine Maßnahme der Datensicherheit.
Ob die Namen und Adressen überhaupt erhoben und für einen bestimmten Zweck verwendet werden dürfen, ist eine Frage des Datenschutzes.
Datensicherheit schützt Daten. Datenschutz regelt besonders den Umgang mit personenbezogenen Daten. Beide Bereiche hängen zusammen, sind aber nicht identisch.
Vom Risiko zur passenden Maßnahme
Um einen Sicherheitsfall klar zu untersuchen, trennst du vier Dinge:
- Eine Bedrohung ist etwas, das einen Schaden verursachen kann, etwa Malware, Phishing, ein Stromausfall oder ein menschlicher Fehler.
- Eine Schwachstelle ist eine ausnutzbare Schwäche, etwa ein leicht zu erratendes Passwort, veraltete Software oder zu weit gefasste Zugriffsrechte.
- Der Schaden ist die mögliche Folge, etwa Datenverlust, unerlaubte Einsicht, falsche Daten oder ein Betriebsausfall.
- Eine Schutzmaßnahme verringert die Wahrscheinlichkeit oder die Folgen des Schadens.
Eine Person erhält eine gefälschte Nachricht und gibt auf der darin genannten Anmeldeseite ihr Passwort ein.
- Bedrohung: Phishing durch eine täuschend echt wirkende Nachricht
- Schwachstelle: Die Anmeldung hängt nur von einem preisgegebenen Passwort ab.
- Möglicher Schaden: Eine fremde Person kann auf vertrauliche Daten zugreifen.
- Passende Maßnahmen: Schulung zum Erkennen von Phishing und ein zweiter, unabhängiger Anmeldefaktor
Die Schulung verringert die Gefahr, auf die Täuschung hereinzufallen. Der zweite Faktor erschwert den Zugang, selbst wenn das Passwort bekannt geworden ist.
Eine Bedrohung und eine Schwachstelle sind nicht dasselbe. Die Bedrohung kann einen Schaden auslösen; die Schwachstelle bietet ihr eine Angriffsmöglichkeit.
Mehrere Schutzschichten wirken zusammen
Datensicherheit folgt einem mehrschichtigen Ansatz. Eine Maßnahme kann versagen oder nur einen Teil des Risikos abdecken. Deshalb werden verschiedene Schutzarten kombiniert.
| Maßnahme | Hauptwirkung | Beispiel für ein verbleibendes Risiko |
|---|---|---|
| Verschlüsselung | Macht Daten ohne passenden Schlüssel unlesbar | Berechtigte Konten können die entschlüsselten Daten weiterhin missbrauchen. |
| Mehrfaktor-Anmeldung | Verlangt mehrere unabhängige Nachweise | Eine bereits angemeldete Person kann weiterhin einen Fehler machen. |
| Begrenzte Zugriffsrechte | Erlaubt nur benötigte Daten und Aktionen | Falsch vergebene Rollen können zu viele Rechte enthalten. |
| Softwareupdates | Schließen bekannte Schwachstellen | Noch unbekannte oder andersartige Schwachstellen bleiben möglich. |
| Backup | Ermöglicht die Wiederherstellung verlorener Daten | Ein ungetestetes oder ebenfalls beschädigtes Backup hilft möglicherweise nicht. |
| Firewall oder Netzwerkfilter | Kontrolliert Netzwerkverbindungen | Er verhindert nicht jeden Angriff und keinen versehentlichen Datenverlust. |
| Schulung | Verringert menschliche Fehlentscheidungen | Menschen können sich trotzdem irren. |
Eine Schutzmaßnahme senkt ein Risiko, beseitigt aber nicht automatisch jedes Risiko. Kombiniere Maßnahmen, die verschiedene Ursachen und Folgen abdecken.
Zutritt, Zugang und Zugriff sind drei Stufen
Ein geschützter Raum, eine Anmeldung und eine Berechtigung erfüllen unterschiedliche Aufgaben:
- Zutrittskontrolle regelt, wer einen Raum oder ein Gebäude betreten darf.
- Zugangskontrolle regelt, wer ein Computersystem oder Netzwerk benutzen darf. Dazu wird die behauptete Identität geprüft, etwa mit Passwort und zusätzlichem Faktor.
- Zugriffskontrolle regelt, welche Daten und Funktionen eine bereits angemeldete Person verwenden darf. Diese Vergabe von Rechten heißt Autorisierung.
In einem Krankenhaus befindet sich ein Computer in einem gesicherten Medikamentenraum.
- Eine Zugangskarte erlaubt nur bestimmten Beschäftigten den Zutritt zum Raum.
- Eine Anmeldung prüft den Zugang zum Computer.
- Rollen bestimmen den Zugriff auf Daten und Funktionen: Eine Ärztin darf eine Medikamentenhistorie ansehen, aber keine Bestände bestellen. Ein Apotheker darf Bestände verwalten, aber nicht automatisch alle Patientendaten einsehen.
Wer den Raum betreten darf, besitzt deshalb noch nicht automatisch Zugang zum System oder Zugriff auf sämtliche Daten.
So kannst du die drei Stufen auseinanderhalten: Wo hinein? – Zutritt. Welches System benutzen? – Zugang. Was darin tun? – Zugriff.
Einen Sicherheitsfall selbst analysieren
Eine Lerngruppe speichert gemeinsame Projektdateien in einem Cloud-Speicher. Alle verwenden dasselbe kurze Passwort. Bearbeitungsrechte sind nicht begrenzt, Softwareupdates werden oft verschoben und es gibt keine getrennte Sicherungskopie.
Deine Aufgabe
- Ordne jedem Schutzziel mindestens einen möglichen Schaden zu.
- Nenne mindestens drei Schwachstellen.
- Entwirf eine Kombination aus mindestens vier Schutzmaßnahmen.
- Begründe bei jeder Maßnahme, welches Risiko sie verringert.
Musterlösung:
- Vertraulichkeit: Das gemeinsame schwache Passwort kann unbefugten Personen den Einblick in Dateien erleichtern.
- Integrität: Unbegrenzte Bearbeitungsrechte ermöglichen versehentliche oder unerlaubte Änderungen.
- Verfügbarkeit: Ohne getrennte Sicherungskopie können gelöschte, beschädigte oder durch Schadsoftware unzugänglich gewordene Dateien verloren sein.
Erkennbare Schwachstellen sind das gemeinsame kurze Passwort, fehlende Rollen und Rechte, verschobene Updates sowie die fehlende Sicherungskopie.
Eine passende Maßnahmenkombination wäre:
- Persönliche, starke Anmeldedaten und ein zusätzlicher Faktor erschweren unbefugten Zugang.
- Rollen mit möglichst wenigen benötigten Rechten begrenzen Einsicht, Änderungen und Löschungen.
- Zeitnahe Updates schließen bekannte Schwachstellen.
- Eine getrennte Sicherungskopie ermöglicht die Wiederherstellung nach Verlust oder Beschädigung.
- Eine Schulung zu Phishing und sicherem Umgang mit Anmeldedaten verringert vermeidbare Fehlentscheidungen.
Trotzdem bleibt ein Restrisiko: Konten können falsch verwendet, Rechte fehlerhaft vergeben oder Sicherungen unbrauchbar sein. Deshalb müssen Schutzmaßnahmen regelmäßig geprüft werden.
Karteikasten
Überlege zuerst selbst und drehe die Karte anschließend zum Prüfen um.
Alles auf einen Blick
- Datensicherheit
- Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit
- Risikoanalyse: Bedrohung, Schwachstelle und Schaden
- Schutzschichten: Verschlüsselung, Zugangsschutz, Zugriffsrechte, Updates, Backups und Schulung
- Kontrollstufen: Zutritt zum Raum, Zugang zum System und Zugriff auf Daten