Was ist die CIA-Triade (Vertraulichkeit, Integrität, Verfügbarkeit)?

Überblick

Die CIA-Triade – Confidentiality (Vertraulichkeit), Integrity (Integrität) und Availability (Verfügbarkeit) – repräsentiert die drei grundlegenden Ziele der Informationssicherheit. Diese Kernprinzipien leiten die Auswahl von Sicherheitsmaßnahmen, die Risikobewertung und die Evaluierung von Vorfallsauswirkungen in der ISO 27001 sowie in allen Frameworks zur Informationssicherheit.

Bedeutung in der Praxis

Jede Sicherheitsmaßnahme, die Sie implementieren, schützt einen oder mehrere Aspekte der CIA-Triade. Bei der Risikobewertung evaluieren Sie potenzielle Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Treten Vorfälle auf, messen Sie den Schaden in CIA-Begriffen.

Vertraulichkeit (Confidentiality)

Definition

Vertraulichkeit stellt sicher, dass Informationen nicht gegenüber unbefugten Personen, Einheiten oder Prozessen offengelegt werden. Nur diejenigen mit einem berechtigten Bedarf und ordnungsgemäßer Autorisierung dürfen auf sensible Informationen zugreifen.

Was Vertraulichkeit schützt

• Personenbezogene Daten: Kundeninformationen, Mitarbeiterakten, Gesundheitsdaten

• Geschäftsgeheimnisse: Betriebsgeheimnisse, strategische Pläne, Preismodelle

• Finanzinformationen: Bankdaten, Zahlungskartendaten, Abschlüsse

• Geistiges Eigentum: Quellcode, Patente, proprietäre Forschung

• Vertrauliche Kommunikation: Private E-Mails, juristische Korrespondenz

Bedrohungen der Vertraulichkeit

• Datenschutzverletzungen und unbefugter Zugriff

• Insider-Bedrohungen (böswillige oder versehentliche Weitergabe)

• Social Engineering und Phishing-Angriffe

• Schwache Zugriffskontrollen oder Authentifizierung

• Unverschlüsselte Datenübertragung oder -speicherung

• Unsachgemäße Entsorgung physischer Dokumente oder Medien

• Fehlverhalten Dritter beim Datenumgang

ISO 27001-Maßnahmen zum Schutz der Vertraulichkeit

• A.5.12 - Klassifizierung von Informationen: Kennzeichnung von Daten nach Sensibilität

• A.5.15 - Zugangskontrolle: Zugriff auf autorisierte Benutzer beschränken

• A.5.17 - Authentifizierungsinformationen: Passwörter und Anmeldedaten sichern

• A.8.5 - Sichere Authentifizierung: Multi-Faktor-Authentifizierung

• A.8.24 - Verwendung von Kryptographie: Sensible Daten verschlüsseln

• A.6.6 - Vertraulichkeitsvereinbarungen: Rechtsschutz durch Geheimhaltungsverträge (NDAs)

• A.5.14 - Informationsübertragung: Sichere Übertragungsmethoden

Messung der Auswirkungen auf die Vertraulichkeit

Berücksichtigen Sie bei der Bewertung der Risikoauswirkungen auf die Vertraulichkeit:

• Rechtlich/Regulatorisch: DSGVO-Bußgelder, aufsichtsrechtliche Strafen

• Reputation: Verlust von Kundenvertrauen, Markenschaden

• Wettbewerb: Offenlegung von Geschäftsgeheimnissen gegenüber Mitbewerbern

• Finanziell: Identitätsdiebstahl, Betrugsverluste, Benachrichtigungskosten

Integrität (Integrity)

Definition

Integrität stellt sicher, dass Informationen korrekt, vollständig und unverändert bleiben, sofern sie nicht durch autorisierte Prozesse bearbeitet werden. Sie schützt vor unbefugter Änderung, Löschung oder Verfälschung von Daten.

Was Integrität schützt

• Datengenauigkeit: Finanzberichte, Transaktionsprotokolle, Kundendatenbanken

• Systemkonfigurationen: Sicherheitseinstellungen, Zugriffsregeln, Netzwerkkonfigurationen

• Quellcode: Softwareanwendungen, Skripte, Automatisierungscode

• Audit-Trails: Protokolle, die für die Compliance manipulationssicher bleiben müssen

• Rechtliche Dokumente: Verträge, Vereinbarungen, behördliche Einreichungen

Bedrohungen der Integrität

• Malware, die Dateien modifiziert oder beschädigt

• Unbefugte Änderungen durch Insider oder Angreifer

• Softwarefehler, die Irrtümer verursachen

• Hardware-Fehler, die zu Datenkorruption führen

• Menschliches Versagen (versehentliches Löschen oder Ändern)

• Man-in-the-Middle-Angriffe, die Daten während der Übertragung verändern

• Datenbank-Injection-Angriffe

ISO 27001-Maßnahmen zum Schutz der Integrität

• A.8.13 - Informations-Backup: Daten im bekannten guten Zustand wiederherstellen

• A.8.16 - Überwachungsaktivitäten: Unbefugte Änderungen erkennen

• A.8.24 - Verwendung von Kryptographie: Hash-Funktionen prüfen, ob Daten unverändert sind

• A.5.3 - Aufgabentrennung: Unbefugte Änderungen durch Mehr-Augen-Prinzip verhindern

• A.8.32 - Änderungsmanagement: Systemmodifikationen kontrollieren

• A.8.29 - Sicherheitstests bei der Entwicklung: Integritätsprobleme im Code verhindern

• A.5.33 - Schutz von Aufzeichnungen: Integrität von Dokumentationen wahren

Messung der Auswirkungen auf die Integrität

Berücksichtigen Sie bei der Bewertung der Risikoauswirkungen auf die Integrität:

• Operativ: Falsche Daten führen zu Fehlentscheidungen im Unternehmen

• Finanziell: Betrügerische Transaktionen, Buchhaltungsfehler

• Rechtlich: Verträge oder Protokolle verändert, Audit-Trail kompromittiert

• Sicherheit: Kritische Systemkonfigurationen geändert (Gesundheitswesen, industrielle Steuerung)

Verfügbarkeit (Availability)

Definition

Verfügbarkeit stellt sicher, dass Informationen und Informationssysteme für autorisierte Benutzer zugänglich und nutzbar sind, wenn sie benötigt werden. Systeme müssen zuverlässig, belastbar und wiederherstellbar sein.

Was Verfügbarkeit schützt

• Geschäftsbetrieb: Kritische Anwendungen, kundenorientierte Dienste

• Umsatzgenerierung: E-Commerce-Plattformen, Zahlungsabwicklung

• Kommunikationssysteme: E-Mail, Collaboration-Tools, Telefonsysteme

• Datenzugriff: Datenbanken, Dateiserver, Cloud-Speicher

• Infrastruktur: Netzwerke, Server, Arbeitsstationen

Bedrohungen der Verfügbarkeit

• Distributed Denial of Service (DDoS)-Angriffe

• Ransomware, die kritische Daten verschlüsselt

• Hardwarefehler und Kapazitätserschöpfung

• Stromausfälle und Naturkatastrophen

• Netzwerkausfälle und Bandbreitensättigung

• Softwareabstürze und Fehlkonfigurationen

• Böswilliges Löschen von Daten oder Systemen

ISO 27001-Maßnahmen zum Schutz der Verfügbarkeit

• A.8.13 - Informations-Backup: Wiederherstellung nach Datenverlust

• A.5.29 - Informationssicherheit bei Unterbrechungen: Den Betrieb während Vorfällen aufrechterhalten

• A.5.30 - IKT-Bereitschaft für die Business Continuity: Disaster-Recovery-Planung

• A.8.6 - Kapazitätsmanagement: Ausreichende Systemressourcen sicherstellen

• A.8.14 - Redundanz von informationsverarbeitenden Einrichtungen: Single Points of Failure eliminieren

• A.7.12 - Wartung von Geräten: Vorbeugende Wartung zur Vermeidung von Ausfällen

• A.8.7 - Schutz vor Malware: Unterbrechungen durch Ransomware verhindern

Messung der Auswirkungen auf die Verfügbarkeit

Berücksichtigen Sie bei der Bewertung der Risikoauswirkungen auf die Verfügbarkeit:

• Finanziell: Umsatzverlust während der Ausfallzeit, SLA-Strafen

• Operativ: Produktivitätsverlust, verpasste Termine

• Reputation: Kundenunzufriedenheit, Versagen beim Servicelevel

• Rechtlich/Regulatorisch: Compliance-Verstöße, Vertragsverletzungen

Kennzahlen der Verfügbarkeit

• Recovery Time Objective (RTO): Maximal akzeptable Ausfallzeit

• Recovery Point Objective (RPO): Maximal akzeptabler Datenverlust

• Mean Time Between Failures (MTBF): Maß für die Systemzuverlässigkeit

• Mean Time To Repair (MTTR): Wie schnell der Dienst wiederhergestellt wird

• Verfügbarkeit in Prozent: 99,9 % (8,76 Std./Jahr Ausfall), 99,99 % (52,6 Min./Jahr)

Ausbalancieren der CIA-Triade

Abwägungen zwischen den Prinzipien

Sicherheitsmaßnahmen erfordern oft ein Abwägen der CIA-Prinzipien:

• Vertraulichkeit vs. Verfügbarkeit: Starke Verschlüsselung schützt die Vertraulichkeit, kann aber die Systemleistung verlangsamen oder die Wiederherstellung erschweren, wenn Verschlüsselungsschlüssel verloren gehen.

• Integrität vs. Verfügbarkeit: Umfassende Änderungskontroll- und Genehmigungsprozesse schützen die Integrität, können aber dringende Systemaktualisierungen verzögern, die für die Verfügbarkeit erforderlich sind.

• Verfügbarkeit vs. Vertraulichkeit: Hohe Verfügbarkeit erfordert oft die Replikation von Daten an mehreren Standorten, was das Vertraulichkeitsrisiko durch mehrere Speicherpunkte erhöht.

Kontextspezifische Priorisierung

Verschiedene Organisationen und Informationstypen priorisieren CIA unterschiedlich:

• Gesundheitswesen: Verfügbarkeit ist kritisch (Patientenversorgung hängt vom Systemzugriff ab), aber Vertraulichkeit ist gesetzlich vorgeschrieben (z. B. DSGVO/HIPAA).

• Finanzdienstleistungen: Integrität steht an erster Stelle (Transaktionsgenauigkeit), zusammen mit starker Vertraulichkeit und hoher Verfügbarkeit.

• Öffentliche Websites: Verfügbarkeit ist kritisch (Reputationswirkung), Integrität wichtig (Verunstaltung verhindern), Vertraulichkeit für öffentliche Daten weniger relevant.

• Forschungsdaten: Integrität ist essenziell (Datengenauigkeit), Vertraulichkeit variiert je nach Sensibilität, Verfügbarkeit verträgt gewisse Verzögerungen.

CIA-Triade in ISO 27001-Prozessen

Informationsklassifizierung

Berücksichtigen Sie bei der Klassifizierung von Werten (A.5.12), welche CIA-Prinzipien Schutz benötigen:

• Öffentlich: Niedrige CIA-Anforderungen

• Intern: Mittlere Vertraulichkeit, mittlere Integrität, mittlere Verfügbarkeit

• Vertraulich: Hohe Vertraulichkeit, hohe Integrität, variable Verfügbarkeit

• Kritisch: Hohe Anforderungen in allen drei CIA-Dimensionen

Auswirkungsbewertung in der Risikoanalyse

ISO 27001-Risikobewertungen evaluieren Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit separat und kombinieren oder priorisieren sie basierend auf dem organisatorischen Kontext.

Auswahl von Maßnahmen

Ordnen Sie Maßnahmentypen den CIA-Bedrohungen zu:

• Präventive Maßnahmen: CIA-Verletzungen verhindern, bevor sie geschehen (Zugriffskontrollen, Verschlüsselung)

• Detektive Maßnahmen: CIA-Verletzungen identifizieren, wenn sie passieren (Monitoring, Logging)

• Korrektive Maßnahmen: CIA nach Verletzungen wiederherstellen (Backups, Incident Response)

Über die CIA-Triade hinaus

Erweiterte Modelle

Einige Frameworks fügen zusätzliche Sicherheitsprinzipien hinzu:

• Authentizität: Überprüfung, ob Daten oder Benutzer echt sind (abgedeckt durch Authentifizierungsmaßnahmen)

• Nicht-Abstreitbarkeit (Non-repudiation): Nachweis, dass Handlungen nicht geleugnet werden können (Audit-Trails, digitale Signaturen)

• Zurechenbarkeit: Rückverfolgbarkeit von Handlungen auf Einzelpersonen (Logging, Zugriffskontrollen)

ISO 27001 adressiert diese implizit durch Kontrollen, konzentriert sich jedoch primär auf die CIA-Grundwerte.

CIA-Triade in der Reaktion auf Vorfälle

Klassifizierung von Vorfällen

Kategorisieren Sie Sicherheitsvorfälle danach, welches CIA-Prinzip verletzt wurde:

• Vertraulichkeitsvorfälle: Datenpannen, unbefugter Zugriff, Informationslecks

• Integritätsvorfälle: Unbefugte Änderungen, Datenkorruption, Defacement

• Verfügbarkeitsvorfälle: DDoS-Angriffe, Ransomware, Systemausfälle

Priorisierung der Reaktion

Der Schweregrad hängt davon ab, welches CIA-Prinzip betroffen ist und welche Bedeutung es für Ihr Unternehmen hat. Eine Verletzung der Vertraulichkeit von Kundendaten kann schwerwiegender sein als die vorübergehende Nichtverfügbarkeit eines internen Tools.

Verwandte Konzepte

• Risikobewertung – Bewertet Bedrohungen für CIA

• Asset – Werte, die CIA-Schutz benötigen

• Maßnahme – Schutzmaßnahmen für CIA

• Informationsklassifizierung – Kategorisierung von Daten nach CIA-Anforderungen

• Incident Response – Umgang mit CIA-Verletzungen

Hilfe erhalten

Nutzen Sie den ISMS Copilot, um zu bewerten, welche CIA-Prinzipien für Ihre Assets am kritischsten sind, Maßnahmen angemessen auszuwählen und CIA-Auswirkungen in Ihren Risikobewertungen zu dokumentieren.