IT-Sicherheit Grundlagen: Schutzziele, Bedrohungen und Maßnahmen

Ein Notebook bleibt im Zug liegen. Ein Mitarbeiter öffnet einen Anhang, der nicht hätte geöffnet werden sollen. Ein Server läuft seit zwei Jahren ohne Updates. Drei Vorfälle, die auf den ersten Blick wenig miteinander zu tun haben. Und doch gehören sie alle zum selben Thema: IT-Sicherheit.

In den bisherigen Beiträgen hast du schon viele Sicherheitsthemen gestreift: Firewall-Regeln, WLAN-Verschlüsselung, Backup, VLANs. Dieser Beitrag ordnet sie in ein Gesamtbild ein. Er zeigt dir, was Schutz eigentlich bedeutet, wogegen man sich schützt und nach welchen Prinzipien man vorgeht.

Die drei Schutzziele

Alles, was in der IT-Sicherheit getan wird, dient einem von drei Zielen. Man nennt sie die CIA-Triade nach den englischen Anfangsbuchstaben, ohne Bezug zu irgendeinem Geheimdienst:

Schutzziel	Bedeutung	Wird verletzt, wenn …	Typische Maßnahmen
Vertraulichkeit (Confidentiality)	Nur Berechtigte dürfen Daten lesen	Jemand Unbefugtes Kundendaten einsieht	Zugriffsrechte, Verschlüsselung, starke Anmeldung
Integrität (Integrity)	Daten und Systeme bleiben unverändert und korrekt	Ein Rechnungsbetrag heimlich geändert wird	Rechtekonzept, digitale Signaturen, Prüfsummen, Protokollierung
Verfügbarkeit (Availability)	Systeme und Daten stehen bereit, wenn man sie braucht	Ein Server ausfällt oder Ransomware die Daten verschlüsselt	Redundanz, Backup, Monitoring, USV

Ergänzend nennt man oft noch Authentizität (ist der Absender wirklich der, der er vorgibt zu sein?) und Nachweisbarkeit (lässt sich später belegen, wer was getan hat?). Die Ziele können sich widersprechen: Sehr hohe Vertraulichkeit erschwert die Verfügbarkeit, und umgekehrt. Sicherheit ist daher immer eine Abwägung.

Aus den Beiträgen zu Servern erkennst du viele Maßnahmen wieder: RAID und die 3-2-1-Backup-Regel dienen der Verfügbarkeit, das Monitoring hilft allen drei Zielen, weil es Abweichungen früh zeigt.

Bedrohung, Schwachstelle, Risiko

Drei Begriffe werden im Alltag oft vermischt, bedeuten aber etwas anderes:

• Eine Bedrohung ist ein mögliches schädigendes Ereignis oder ein Akteur, der es auslösen kann: Schadsoftware, ein Angreifer, ein Feuer, ein Fehler eines Mitarbeiters.
• Eine Schwachstelle ist eine Lücke, durch die eine Bedrohung wirken kann: eine fehlende Aktualisierung, ein schwaches Passwort, ein offener Port, ein ungesicherter Serverraum.
• Das Risiko beschreibt, wie wahrscheinlich es ist, dass eine Bedrohung eine Schwachstelle ausnutzt, und wie groß der Schaden dann ausfiele.

Man kann das Risiko als Rechnung ausdrücken:

Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe

Ein Rechenbeispiel

Im Beitrag RAID ist kein Backup haben wir einen zweitägigen Ausfall mit 51.200 Euro Schaden berechnet. Angenommen, die Wahrscheinlichkeit für einen Ransomware-Befall liegt bei 5 Prozent im Jahr:

Risiko vorher:  0,05 × 51.200 € = 2.560 € pro Jahr

Nun führt die Firma ein getrenntes Backup und eine bessere Schulung ein. Das senkt die Wahrscheinlichkeit auf 1 Prozent und, weil schnelle Wiederherstellung möglich wird, den Schaden auf 10.000 Euro:

Risiko nachher: 0,01 × 10.000 € = 100 € pro Jahr
Nutzen der Maßnahmen: 2.560 € − 100 € = 2.460 € pro Jahr

Jetzt lässt sich vergleichen: Kosten die Maßnahmen weniger als rund 2.460 Euro im Jahr, lohnen sie sich rein rechnerisch. Die Werte sind Annahmen, aber das Vorgehen zeigt, wie man Sicherheitsausgaben begründet. Das Risiko bleibt übrigens nie bei null. Man senkt es auf ein Maß, das man tragen kann.

Typische Bedrohungen

Bedrohung	Was passiert?	Wichtigste Gegenmaßnahmen
Schadsoftware (Viren, Trojaner, Ransomware)	Programme, die Daten stehlen, zerstören oder verschlüsseln	Updates, Virenschutz, getrennte Backups, Rechte begrenzen
Phishing und Social Engineering	Menschen werden durch Täuschung zu Handlungen verleitet	Schulung, Mehr-Faktor-Anmeldung, Mailfilter
Angriffe auf Passwörter	Erraten, Durchprobieren oder Wiederverwenden gestohlener Zugangsdaten	Lange, einmalige Passwörter, Passwortmanager, MFA
Ausnutzen von Schwachstellen	Bekannte Lücken in ungepatchter Software	Regelmäßige Updates, Inventar, Schwachstellenscans
Netzwerkangriffe	Überlastung (DoS), Mitlesen oder Umleiten von Verkehr	Firewall, Verschlüsselung, Segmentierung
Innentäter und menschliche Fehler	Versehentliches oder absichtliches Löschen, Weitergeben von Daten	Minimale Rechte, Protokollierung, Backup
Physische Bedrohungen	Diebstahl, Brand, Wasser, Stromausfall	Zutrittsschutz, Verschlüsselung der Geräte, USV, Offsite-Backup

Phishing und der Umgang mit Passwörtern bekommen eigene Beiträge: Phishing erkennen und Authentifizierung und Autorisierung.

Drei Arten von Maßnahmen

Technik allein reicht nicht. Gute Sicherheit besteht aus drei Bausteinen, die sich ergänzen:

Art	Beispiele
Technisch	Firewall, Verschlüsselung, Virenschutz, Updates, MFA, Segmentierung, Backup
Organisatorisch	Richtlinien, Rechtevergabe, Notfallplan, Meldewege, regelmäßige Prüfungen, Zuständigkeiten
Personell und physisch	Schulungen, Sensibilisierung, Zutrittskontrolle zum Serverraum, abschließbare Schränke

Die beste Firewall hilft nicht, wenn ein Mitarbeiter sein Passwort auf einen Zettel am Monitor klebt oder niemand weiß, wen er bei einem Verdacht anrufen soll.

Grundprinzipien

Defense in Depth: Mehrere Schichten

Kein Schutz ist perfekt. Deshalb baut man mehrere Schichten, sodass ein Angreifer nach dem Überwinden einer Schicht auf die nächste trifft. Das Bild dafür ist eine Zwiebel oder eine Burg mit Mauer, Graben und Wachen:

• Mensch: Schulung, Aufmerksamkeit.
• Endgerät: Updates, Virenschutz, Festplattenverschlüsselung.
• Netzwerk: Firewall, Segmentierung, VLANs.
• Anwendungen und Server: Minimale Dienste, gehärtete Konfiguration.
• Daten: Rechte, Verschlüsselung, Backup.
• Physisch: Zutritt, Brand- und Stromschutz.

Weitere Prinzipien

• Least Privilege (geringste Rechte): Jeder bekommt nur die Rechte, die er für seine Aufgabe braucht, und nicht mehr. Ein Mitarbeiter in der Buchhaltung braucht keinen Administrator-Zugriff auf den Server.
• Need-to-know: Informationen erhält nur, wer sie braucht.
• Funktionstrennung: Kritische Aufgaben werden auf mehrere Personen verteilt, sodass nicht einer allein alles kontrolliert.
• Sichere Voreinstellung: Geräte und Systeme starten im sicheren Zustand. Nicht benötigte Dienste sind aus, Standardpasswörter werden geändert.
• Möglichst wenige Dienste: Was nicht läuft, kann nicht angegriffen werden.
• Keine Sicherheit durch Geheimhaltung: Ein System ist nicht sicher, nur weil niemand weiß, wie es aufgebaut ist. Wie im Beitrag WLAN-Sicherheit bei der versteckten SSID gesehen, hält das Verstecken allein keinen Angreifer ab.

Die Basis-Checkliste

Die meisten erfolgreichen Angriffe nutzen keine Raffinesse, sondern fehlende Grundlagen aus. Mit diesen Punkten deckst du einen großen Teil des Risikos ab:

• Inventar: Du kannst nur schützen, was du kennst. Welche Geräte, Server, Programme und Konten gibt es?
• Updates: Betriebssysteme, Programme und Firmware zeitnah einspielen.
• Starke Anmeldung: Lange, einmalige Passwörter, wo möglich zusätzlich Mehr-Faktor-Anmeldung.
• Geringste Rechte: Normale Arbeit mit normalen Konten, Administratorrechte nur bei Bedarf.
• Backup: Nach der 3-2-1-Regel, getrennt und getestet.
• Verschlüsselung: Mobile Geräte und Datenträger verschlüsseln, Verbindungen absichern.
• Netzwerk schützen: Firewall, Segmentierung, sichere WLANs.
• Überwachen: Monitoring und Protokolle auswerten.
• Menschen schulen: Regelmäßig und praxisnah.
• Notfallplan: Wer macht was, wenn etwas passiert? Ohne Plan geht im Ernstfall Zeit verloren.

Regeln, Normen und Hilfen

Für die Umsetzung gibt es Rahmenwerke, die dir Arbeit abnehmen:

• Das BSI IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik beschreibt in Bausteinen, welche Maßnahmen für typische Systeme sinnvoll sind.
• ISO/IEC 27001 ist ein internationaler Standard für ein Managementsystem der Informationssicherheit, nach dem sich Unternehmen zertifizieren lassen können.
• Die Datenschutz-Grundverordnung verlangt technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Wie sie konkret für dein Unternehmen gilt, klärst du im Zweifel mit der oder dem Datenschutzbeauftragten.

Praxisbeispiel: Die Sicherheit der kleinen Firma

Der Administrator macht eine Bestandsaufnahme, die schutzbedürftige Dinge den Schutzzielen und den bereits vorhandenen Maßnahmen zuordnet:

Wert	Wichtigstes Schutzziel	Bereits vorhanden	Noch offen
Dateiserver mit Kundenunterlagen	Vertraulichkeit, Verfügbarkeit	Server-VLAN, RAID 6, getrenntes Backup, Monitoring	Rechte nach Abteilung überprüfen
Mitarbeiter-Notebooks	Vertraulichkeit	Aktuelle Updates	Festplattenverschlüsselung, Regel für Verlust
WLAN	Vertraulichkeit	Enterprise-Anmeldung, getrenntes Gäste-WLAN	Regelmäßige Passwortwechsel im Gäste-WLAN
Benutzerkonten	Vertraulichkeit, Integrität	Individuelle Konten	Mehr-Faktor-Anmeldung für Fernzugriff und E-Mail
Mailverkehr	Integrität, Vertraulichkeit	Spamfilter	Phishing-Schulung
Serverraum	Verfügbarkeit	USV, Kühlung	Zutritt protokollieren

Die rechte Spalte wird zur Aufgabenliste für die nächsten Monate, sortiert nach Risiko. So entsteht aus dem Wunsch „mehr Sicherheit“ ein überschaubarer Plan.

Den Sicherheitsstand am Rechner prüfen

Einige Grundfragen kannst du mit einfachen Befehlen beantworten. Unter Windows zeigt die PowerShell (mit Administratorrechten), ob Laufwerke per BitLocker verschlüsselt sind:

Get-BitLockerVolume

In der Ausgabe stehen der Schutzstatus und der Verschlüsselungsgrad je Laufwerk. Unter Linux erkennst du verschlüsselte Laufwerke (LUKS) an diesem Befehl:

lsblk -f

Beim Dateisystemtyp steht dann crypto_LUKS. Ob auf einem Debian- oder Ubuntu-System noch Updates ausstehen, zeigt:

apt list --upgradable

Unter Windows listet Get-HotFix die installierten Updates auf. Welche Dienste von außen erreichbar sind, siehst du mit ss -tuln (Linux), wie im Beitrag TCP/IP-Modell erklärt. Jede offene Verbindung, die du nicht kennst, ist eine Frage wert.

Typische Fehler und Missverständnisse

• „Sicherheit kauft man als Produkt.“ Eine Firewall oder ein Virenscanner ist ein Baustein. Sicherheit ist ein laufender Prozess.
• Nur Technik beachten. Menschen und Abläufe sind genauso wichtig.
• „Uns passiert nichts, wir sind zu klein.“ Viele Angriffe sind automatisiert und suchen wahllos nach Schwachstellen.
• Einmal einrichten und vergessen. Bedrohungen und Systeme ändern sich, Sicherheit muss mitgehen.
• Zu komplizierte Regeln. Wenn Schutzmaßnahmen den Alltag unmöglich machen, werden sie umgangen.
• Alle als Administrator arbeiten lassen. Das ist bequem und öffnet Schadsoftware jede Tür.
• Standardpasswörter und unnötige Dienste. Die einfachste Angriffsfläche überhaupt.
• Kein Notfallplan. Im Ernstfall entscheiden die ersten Stunden, und ohne Plan geht Zeit verloren.
• Absolute Sicherheit erwarten. Ziel ist ein tragbares Restrisiko, nicht null.

Zum Üben

1. Nenne die drei Schutzziele und je eine Maßnahme.
2. Ordne zu, welches Schutzziel überwiegend gemeint ist: Festplattenverschlüsselung, RAID, digitale Signatur, USV.
3. Berechne das Risiko bei einer Eintrittswahrscheinlichkeit von 3 Prozent im Jahr und einem Schaden von 40.000 Euro.
4. Erkläre den Unterschied zwischen Bedrohung, Schwachstelle und Risiko an einem Beispiel.
5. Was bedeutet Defense in Depth?
6. Was besagt das Prinzip der geringsten Rechte? Nenne ein Beispiel.
7. Nenne die drei Arten von Sicherheitsmaßnahmen mit je einem Beispiel.

Lösungen: (1) Vertraulichkeit (zum Beispiel Verschlüsselung), Integrität (zum Beispiel digitale Signatur oder Rechtekonzept), Verfügbarkeit (zum Beispiel Backup oder Redundanz). (2) Festplattenverschlüsselung: Vertraulichkeit. RAID: Verfügbarkeit. Digitale Signatur: Integrität (und Authentizität). USV: Verfügbarkeit. (3) 0,03 × 40.000 € = 1.200 € pro Jahr. (4) Beispiel: Die Bedrohung ist Ransomware, die Schwachstelle ein nicht aktualisierter Server. Das Risiko ergibt sich aus der Wahrscheinlichkeit, dass das geschieht, und der Schadenshöhe. (5) Mehrere Schutzschichten, sodass ein überwundener Schutz nicht zum Totalverlust führt. (6) Jeder bekommt nur die Rechte, die er braucht. Zum Beispiel arbeitet ein Mitarbeiter in der Buchhaltung mit einem normalen Konto und nicht als Administrator. (7) Technisch (Firewall), organisatorisch (Notfallplan), personell oder physisch (Schulung, Zutrittskontrolle).

Das solltest du dir merken

• Die Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit. Sie lassen sich um Authentizität und Nachweisbarkeit ergänzen.
• Eine Bedrohung nutzt eine Schwachstelle aus. Das Risiko ist Eintrittswahrscheinlichkeit mal Schadenshöhe.
• Maßnahmen sind technisch, organisatorisch und personell oder physisch. Alle drei sind nötig.
• Defense in Depth: Mehrere Schichten statt einer einzigen Mauer.
• Geringste Rechte, sichere Voreinstellung und möglichst wenige Dienste verkleinern die Angriffsfläche.
• Updates, starke Anmeldung, Backup, Verschlüsselung, Netzschutz, Monitoring, Schulung und ein Notfallplan bilden die Basis.
• Ziel ist ein tragbares Restrisiko, nicht absolute Sicherheit.

Fast jeder Angriff beginnt mit einer Frage: Wer darf hier eigentlich rein? Wie Systeme Benutzer erkennen und ihnen Rechte geben, zeigt der nächste Beitrag: Authentifizierung und Autorisierung.