Warum Informationssicherheit mehr als Technik braucht
Informationssicherheit lässt sich nicht auf Firewalls, Passwörter und aktuelle Software reduzieren. Technik ist unverzichtbar, aber sie wirkt immer in einem größeren Zusammenhang: Menschen bedienen Systeme, Prozesse verbinden Anwendungen, Dienstleister erhalten Zugriffe und Entscheidungen bestimmen, welche Risiken akzeptiert werden. Wer nur auf einzelne Schutzmaßnahmen schaut, erkennt deshalb häufig nicht, wie ein Vorfall tatsächlich entstehen und sich im Unternehmen ausbreiten kann.
Die zentrale Frage lautet für mich nicht zuerst: Welches Sicherheitsprodukt fehlt uns? Mich interessiert, warum ein Unternehmen verwundbar ist, welche Folgen daraus entstehen können und wodurch es auch unter schwierigen Bedingungen handlungsfähig bleibt. Angeregt hat mich dabei die systematische Betrachtungsweise des BSI, Bedrohungen, Gefährdungen, Auswirkungen und Schutzmaßnahmen miteinander zu verbinden. Aus diesem Gedanken und meinen Erfahrungen in der Praxis habe ich mein eigenes Orientierungsmodell mit fünf Dimensionen entwickelt: Bedrohung, Angriffsfläche, Gefährdung, Schadwirkung und Resilienz.
Die fünf Dimensionen der Informationssicherheit
Die erste Dimension ist die Bedrohung. Sie beschreibt, wer oder was einem Unternehmen schaden könnte. Dazu gehören gezielte Angriffe ebenso wie menschliche Fehler, technische Ausfälle, Feuer, Wasser oder der Ausfall eines wichtigen Dienstleisters. Eine Bedrohung ist zunächst nur eine mögliche Ursache. Sie sagt noch nicht, ob daraus tatsächlich ein Schaden entsteht.
Die zweite Dimension ist die Angriffsfläche. Gemeint sind alle Stellen, an denen eine Bedrohung auf das Unternehmen treffen kann: öffentlich erreichbare Systeme, Benutzerkonten, mobile Geräte, Schnittstellen, Gebäude oder Abhängigkeiten von Partnern. Mit jeder neuen Anwendung und jeder zusätzlichen Verbindung kann diese Fläche wachsen. Das ist nicht automatisch schlecht, denn ohne Verbindungen wäre Digitalisierung eine recht überschaubare Veranstaltung. Man sollte nur wissen, welche Verbindungen vorhanden sind.
Die dritte Dimension nenne ich Gefährdung. Sie beschreibt, wie wahrscheinlich und wie konkret es ist, dass eine Bedrohung eine vorhandene Angriffsfläche erfolgreich nutzt. Eine Schwachstelle allein ist noch kein Vorfall. Erst der Zusammenhang aus Bedrohung, Erreichbarkeit, vorhandenen Schutzmaßnahmen und tatsächlicher Bedeutung macht daraus eine Gefährdung, die bewertet werden kann.
Die vierte Dimension ist die Schadwirkung. Sie betrachtet, was ein erfolgreicher Angriff oder Ausfall für den Betrieb bedeuten würde. Können Mitarbeiter weiterarbeiten? Sind vertrauliche Informationen betroffen? Fallen Produktion, Kommunikation oder Zahlungsverkehr aus? Derselbe technische Fehler kann in zwei Unternehmen völlig unterschiedliche Folgen haben.
Die fünfte Dimension ist die Resilienz. Sie beschreibt die Fähigkeit, einen Vorfall zu erkennen, angemessen darauf zu reagieren und den Betrieb wiederherzustellen. Vollständige Sicherheit gibt es nicht. Umso wichtiger ist die Frage, wie gut ein Unternehmen mit einer Störung umgehen kann, wenn eine Schutzmaßnahme nicht greift.
Warum die Dimensionen zusammen betrachtet werden müssen
Keine dieser Dimensionen funktioniert für sich allein. Eine ernsthafte Bedrohung bleibt möglicherweise beherrschbar, wenn die Angriffsfläche klein und gut geschützt ist. Eine große Angriffsfläche führt nicht zwangsläufig zu einem hohen Risiko, wenn Systeme sauber getrennt, Zugriffe begrenzt und Schwachstellen konsequent behandelt werden. Selbst ein erfolgreicher Angriff muss nicht zum Unternehmensstillstand führen, wenn Wiederanlauf, Kommunikation und Entscheidungen vorbereitet sind.
Gerade diese Abhängigkeiten gehen in Sicherheitsdiskussionen leicht verloren. Ein Team betrachtet technische Schwachstellen, ein anderes Geschäftsprozesse und ein drittes Notfallpläne. Jede Sicht kann für sich richtig sein und trotzdem ein unvollständiges Gesamtbild ergeben. Alles hängt mit allem zusammen. Das ist gelegentlich unpraktisch, aber durch Ignorieren wird es erfahrungsgemäß nicht übersichtlicher.
Das Modell schafft deshalb keine neue Checkliste, die nur vollständig abgehakt werden muss. Es ordnet Fragen: Welche Bedrohung betrachten wir? Wo könnte sie wirksam werden? Wie konkret ist die Gefährdung? Welcher Schaden wäre möglich? Und wie handlungsfähig bleiben wir? Diese Reihenfolge verhindert, dass Maßnahmen nur deshalb Priorität erhalten, weil sie gerade sichtbar, modern oder besonders laut beworben werden.
Ein Beispiel aus einem mittelständischen Unternehmen
Nehmen wir ein fiktives mittelständisches Unternehmen, dessen Auftragsbearbeitung von einem zentralen System abhängt. Als Bedrohung wird ein Angriff mit Schadsoftware betrachtet. Zur Angriffsfläche gehören unter anderem E-Mail-Konten, externe Zugänge, Arbeitsplatzrechner und die Verbindung zu einem IT-Dienstleister. Eine veraltete Anwendung und zu weit gefasste Berechtigungen erhöhen die Gefährdung.
Die mögliche Schadwirkung besteht nicht nur im Verlust einzelner Dateien. Aufträge könnten nicht bearbeitet, Kunden nicht zuverlässig informiert und Rechnungen nicht erstellt werden. Wenn zudem Sicherungen erreichbar und damit ebenfalls betroffen sind, verlängert sich der Ausfall erheblich. Erst an dieser Stelle wird aus einem abstrakten IT-Risiko eine betriebliche Frage.
Die Resilienz zeigt sich daran, ob der Angriff erkannt wird, Verantwortliche erreichbar sind, Systeme kontrolliert getrennt werden können und eine Wiederherstellung praktisch erprobt wurde. Ein Notfallordner mit einem beeindruckenden Umfang hilft dabei nur, wenn im entscheidenden Moment jemand weiß, wo er liegt und was darin steht.
Aus dem Gesamtbild ergeben sich nachvollziehbare Prioritäten: Berechtigungen begrenzen, die veraltete Anwendung behandeln, Sicherungen technisch trennen, Wiederherstellung testen und Zuständigkeiten klären. Das Modell schreibt nicht vor, welches Produkt gekauft werden soll. Es macht sichtbar, warum eine Maßnahme notwendig ist und welchen Teil des Risikos sie beeinflusst.
Wie das Orientierungsmodell praktisch eingesetzt wird
Der Einstieg kann bewusst einfach bleiben. Für einen wichtigen Geschäftsprozess wird zunächst beschrieben, wovon er technisch und organisatorisch abhängt. Danach werden die fünf Dimensionen gemeinsam betrachtet. Dabei sollten Fachbereich, IT und verantwortliche Führungskräfte dieselben Begriffe verwenden. Unterschiedliche Perspektiven sind hilfreich; unterschiedliche Vorstellungen davon, worüber gerade gesprochen wird, eher weniger.
- Die relevanten Bedrohungen benennen, ohne jede theoretisch denkbare Gefahr gleich zu gewichten.
- Die tatsächliche Angriffsfläche einschließlich Menschen, Technik, Standorten und Dienstleistern erfassen.
- Die Gefährdung anhand vorhandener Schwachstellen und Schutzmaßnahmen realistisch beurteilen.
- Die betriebliche Schadwirkung aus Sicht der Organisation beschreiben.
- Prüfen, wie gut Erkennung, Reaktion, Kommunikation und Wiederherstellung funktionieren.
Die Antworten müssen nicht beim ersten Durchgang vollständig sein. Unbekanntes ist ein zulässiges Ergebnis, solange es als unbekannt erkennbar bleibt. So entsteht Schritt für Schritt ein gemeinsames Lagebild. Das ist für Entscheidungen meist nützlicher als eine scheinbar exakte Kennzahl, deren Herleitung niemand mehr erklären kann.
Kurz gesagt
Mein Modell der fünf Dimensionen verbindet Bedrohung, Angriffsfläche, Gefährdung, Schadwirkung und Resilienz zu einem verständlichen Gesamtbild. Es ersetzt keine Norm und keine fachliche Detailanalyse. Es hilft aber dabei, Informationssicherheit vom tatsächlichen Geschäft her zu denken, Zusammenhänge sichtbar zu machen und begründete Prioritäten zu setzen. Die folgenden Beiträge betrachten jede Dimension einzeln – ohne dabei so zu tun, als könnte sie allein bestehen.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: