Schutzbedarfsfeststellung: Vertraulichkeit, Integrität, Verfügbarkeit bewerten

Kurz: Bei der Schutzbedarfsfeststellung wird je Datenbestand oder System bewertet, wie hoch der Schutz in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit sein muss.

Genauer: Nicht alles muss gleich stark geschützt werden. Die Schutzbedarfsfeststellung hilft, Aufwand und Nutzen abzuwägen. Sie kommt aus dem BSI IT-Grundschutz und taucht in IT-Projekten und IHK-Prüfungen häufig auf.

Im Detail

Die drei Schutzziele

• Vertraulichkeit: Nur Berechtigte sehen die Daten.
• Integrität: Daten sind korrekt und unverändert.
• Verfügbarkeit: Daten und Systeme sind bei Bedarf nutzbar. Oft kommen Authentizität, Nachweisbarkeit und Datenschutzziele hinzu.

Schutzbedarfskategorien

Üblich sind drei Stufen: normal, hoch, sehr hoch. Maßstab ist der mögliche Schaden, wenn das Schutzziel verletzt wird: Verstoß gegen Gesetze, Beeinträchtigung von Personen, finanzielle Folgen, Imageverlust, Ausfall von Aufgaben. Beispiele:

• Öffentliche Webseite: Vertraulichkeit normal, Integrität hoch (keine gefälschten Inhalte), Verfügbarkeit mittel.
• Personalakten: Vertraulichkeit sehr hoch.
• Online-Shop: Verfügbarkeit hoch, weil Ausfall Umsatz kostet.

Vorgehen

1. Objekte erfassen (Systeme, Anwendungen, Daten, Räume).
2. Je Schutzziel Schaden szenarienbasiert abschätzen.
3. Kategorie festlegen und begründen.
4. Vererbung beachten: Abhängige Systeme übernehmen oft den höchsten Schutzbedarf („Maximumprinzip“).
5. Daraus Maßnahmen ableiten (Verschlüsselung, Zugriffsrechte, Backup, Redundanz) und dokumentieren. Bei personenbezogenen Daten ergänzt die Datenschutz-Folgenabschätzung die Betrachtung.

Praxis und Dokumentation

Nutze eine Tabelle: Objekt | Vertraulichkeit | Integrität | Verfügbarkeit | Begründung | Maßnahme. Halte die Begründung kurz und konkret. So zeigst du in der Projektdokumentation, dass du Sicherheit systematisch betrachtest statt pauschal.

Siehe auch: Schutzziele der Informationssicherheit, ISO 27001 und BSI-Grundschutz, Risikoanalyse und SWOT, Threat Modeling