Vertraulichkeit, Integrität, Verfügbarkeit (CIA-Triade): Vertraulichkeit, Integrität und Verfügbarkeit sind die drei klassischen Schutzziele der Informationssicherheit, auch CIA-Triade genannt: Informationen sollen nur Befugten zugänglich (Vertraulichkeit), inhaltlich korrekt und unverändert (Integrität) sowie bei Bedarf nutzbar sein (Verfügbarkeit).
ISO 27001 definiert Informationssicherheit in Kapitel 3 unmittelbar über diese drei Begriffe und nutzt sie als durchgängigen Bewertungsmaßstab: Jeder identifizierte Informationswert wird in der Risikobewertung nach Kapitel 6.1.2 gegen alle drei Ziele einzeln geprüft, nicht nur gegen eines davon. Diese konsequente Dreiteilung unterscheidet eine strukturierte ISMS-Risikobewertung von einer rein technischen IT-Sicherheitsbetrachtung, die häufig nur auf Angriffsabwehr und damit vorrangig auf Vertraulichkeit fokussiert bleibt.
| Schutzziel | Typische Maßnahme |
|---|---|
| Vertraulichkeit | Zugriffskontrolle, Verschlüsselung |
| Integrität | Prüfsummen, Versionierung, Berechtigungskonzept |
| Verfügbarkeit | Backup-Konzept, Redundanz, Notfallplan |
Die drei Begriffe tauchen nicht nur in ISO 27001 auf: Auch Artikel 32 Absatz 1 der DSGVO verlangt technische und organisatorische Maßnahmen, die „die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste" auf Dauer sicherstellen. Unternehmen, die ohnehin ein ISMS betreiben, können ihre Risikobewertung deshalb oft direkt für die datenschutzrechtliche Dokumentation der TOM nach Artikel 32 DSGVO weiterverwenden, statt beide Betrachtungen getrennt zu führen.
Wie die drei Schutzziele in der praktischen Risikoanalyse nach ISO 27001 angewendet werden — inklusive Einstufung und Priorisierung je Informationswert — beschreibt ausführlicher der Glossarbegriff Schutzziele der Informationssicherheit. Manche Rahmenwerke ergänzen die klassische Triade um weitere Ziele wie Authentizität oder Verbindlichkeit, der Kern jeder nachvollziehbaren Bewertung nach ISO 27001 bleibt jedoch weiterhin unverändert Vertraulichkeit, Integrität und Verfügbarkeit.
Relevanz für die Zertifizierung
Im ISO-27001-Zertifizierungsaudit prüft der Auditor, ob die Risikobewertung tatsächlich alle drei Schutzziele konsistent berücksichtigt und nicht nur einseitig auf Vertraulichkeit fokussiert ist — ein verbreiteter Schwachpunkt, wenn ein Unternehmen primär aus Datenschutzgründen mit dem Thema Informationssicherheit gestartet ist. Für Unternehmen mit Bezug zu DSGVO-Dokumentation lohnt sich zudem der Abgleich mit den eigenen TOM nach Artikel 32, um Doppelarbeit zwischen Datenschutz- und Informationssicherheitsdokumentation zu vermeiden.
Häufige Fragen zu Vertraulichkeit, Integrität, Verfügbarkeit (CIA-Triade)
Vertraulichkeit bedeutet, dass nur befugte Personen Zugriff auf Informationen erhalten. Integrität bedeutet, dass Informationen vollständig und unverändert bleiben. Verfügbarkeit bedeutet, dass berechtigte Nutzer bei Bedarf tatsächlich darauf zugreifen können. Alle drei Ziele zusammen bilden die sogenannte CIA-Triade und sind Grundlage jeder Risikobewertung nach ISO 27001.
Auch Artikel 32 Absatz 1 der DSGVO verlangt technische und organisatorische Maßnahmen, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherstellen. Unternehmen mit ISMS können ihre Risikobewertung daher oft direkt für die datenschutzrechtliche TOM-Dokumentation mitverwenden, statt beide Betrachtungen getrennt zu führen.
Nein. Eine Risikobewertung, die nur die Vertraulichkeit betrachtet, deckt Risiken durch Systemausfälle oder unbemerkte Datenmanipulation nicht ab und gilt im ISO-27001-Audit als unvollständig. Integrität und Verfügbarkeit müssen ebenso systematisch bewertet und mit konkreten, nachvollziehbaren Maßnahmen wie Backup-Konzepten oder Berechtigungskonzepten hinterlegt werden.