Informationssicherheit: Schutzziele, Standards und ein Plan, der passt
Informationssicherheit klingt nach Serverraum. Dabei geht es um jede Information, die deinem Unternehmen etwas wert ist: die Kundenliste im CRM, die Kalkulation in der Tabelle, der Ordner im Schrank. Hier steht, wie du sie schützt, ohne ein Konzern zu werden.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.
Was ist Informationssicherheit?
Informationssicherheit ist der Schutz von Informationen vor Verlust, Manipulation und unbefugter Kenntnis, unabhängig davon, ob sie in einer Datenbank, in einer Mail, auf einem Laptop oder in einem Aktenordner liegen. Gemessen wird sie an drei Schutzzielen:
- Vertraulichkeit: Nur Berechtigte sehen die Information.
- Integrität: Die Information ist vollständig und unverändert, Änderungen sind nachvollziehbar.
- Verfügbarkeit: Die Information ist da, wenn sie gebraucht wird.
Jede Maßnahme lässt sich einem dieser Ziele zuordnen. Ein Backup dient der Verfügbarkeit, eine Verschlüsselung der Vertraulichkeit, eine Versionsgeschichte der Integrität. Wer so denkt, sieht schnell, wo Lücken sind: Viele Betriebe haben gute Passwörter, aber kein getestetes Backup.
Informationssicherheit, IT-Sicherheit, Datenschutz, Cybersicherheit
Vier Begriffe, die gern vermischt werden. Sie überlappen, aber sie meinen nicht dasselbe.
| Begriff | Was geschützt wird | Typische Maßnahme | Rahmen |
|---|---|---|---|
| Informationssicherheit | alle Informationen, digital und analog | Schutzbedarf festlegen, Zuständigkeiten, Notfallplan | ISMS nach IT-Grundschutz oder ISO 27001 |
| IT-Sicherheit | IT-Systeme und darin verarbeitete Daten | Updates, Firewall, Zugriffskontrolle, Backups | Teil der Informationssicherheit |
| Cybersicherheit | Systeme und Daten gegen Angriffe aus dem Netz | Erkennung, Abwehr, Reaktion auf Vorfälle | NIS2, BSIG, Cyber Resilience Act |
| Datenschutz | Menschen, deren Daten verarbeitet werden | Rechtsgrundlage, Zweckbindung, Löschfristen | DSGVO, verlangt in Art. 32 auch Sicherheit der Verarbeitung |
Welcher Standard passt zu dir?
Für den Aufbau gibt es bewährte Rahmen. Welcher passt, hängt an Größe, Pflichten und daran, ob du ein Zertifikat brauchst.
- CyberRisikoCheck nach DIN SPEC 27076: für kleine und Kleinstunternehmen. Ein IT-Dienstleister prüft im Interview 27 Anforderungen aus sechs Themenbereichen und gibt priorisierte Empfehlungen. Kein Zertifikat, aber ein guter Startpunkt.
- BSI-IT-Grundschutz: die Methode des BSI mit den Standards 200-1 bis 200-4 und dem Kompendium. Drei Wege: Basis-Absicherung für einen schnellen, breiten Einstieg, Kern-Absicherung für die wichtigsten Werte, Standard-Absicherung für den vollen Schutz.
- ISO/IEC 27001: die internationale Norm für ein ISMS, zertifizierbar. Sinnvoll, wenn Kundschaft oder Branche einen Nachweis verlangt. Details unter ISO 27001.
Für Einrichtungen unter NIS2 ist ein Managementsystem praktisch Pflicht, weil § 30 BSIG Risikoanalyse, Konzepte und die Bewertung der Wirksamkeit verlangt.
Vorlage: Schutzbedarf in einer Tabelle
Der wichtigste Schritt am Anfang: Welche Informationen hast du, und wie schlimm wäre es, wenn sie weg, falsch oder öffentlich wären? Die Kategorien „normal, hoch, sehr hoch“ stammen aus der IT-Grundschutz-Methodik.
SCHUTZBEDARF · [UNTERNEHMEN] · Stand [DATUM] · erstellt von [NAME]
Information / System Wo liegt es? V I Vf Begründung
Kundendaten (CRM) [System] hoch hoch normal [Datenschutz, Ruf]
Angebote, Kalkulation [Ablage] hoch hoch normal [Wettbewerb]
Buchhaltung [Software] hoch sehr hoch hoch [Steuer, Fristen]
Website [Hosting] normal hoch hoch [Anfragen, Ruf]
Mail [Anbieter] hoch normal sehr hoch [Kommunikation]
Personalakten [Ordner/System] sehr hoch hoch normal [Personendaten]
V = Vertraulichkeit · I = Integrität · Vf = Verfügbarkeit
normal = begrenzte Schäden · hoch = beträchtliche Schäden ·
sehr hoch = existenzbedrohende Schäden
Nächster Schritt: Für alles mit „hoch“ oder „sehr hoch“ je eine
Maßnahme und eine verantwortliche Person eintragen.So füllst du die Tabelle
- Von der Information her denken: Nicht „Server 2“, sondern „Angebote und Kalkulationen“. Das System folgt danach.
- Schaden konkret machen: Was passiert, wenn die Buchhaltung eine Woche fehlt? Fristen, Mahnungen, Bank? So entsteht die Einstufung.
- Maximalprinzip: Ein System, auf dem Daten mit „sehr hoch“ liegen, erbt diesen Schutzbedarf.
- Mit Fachleuten aus dem Haus: Buchhaltung, Vertrieb, Personal wissen besser als die IT, was weh tut.
- Jährlich prüfen: Neue Systeme, neue Daten, neue Dienstleister ändern das Bild.
Informationssicherheit aufbauen in sechs Schritten
Ein schlankes ISMS für den Mittelstand. Nicht perfekt am ersten Tag, aber jedes Quartal besser.
Leitlinie und Verantwortung
Die Geschäftsführung legt Ziele fest und benennt eine verantwortliche Person, oft als Informationssicherheitsbeauftragte oder -beauftragter (ISB).
Bestand aufnehmen
Informationen, Systeme, Räume, Dienstleister. Eine Liste reicht, wenn sie vollständig ist.
Schutzbedarf festlegen
Mit der Vorlage oben. Ergebnis: Wo ist „hoch“ oder „sehr hoch“?
Maßnahmen planen
Für die kritischen Stellen zuerst: Zugriff, Backup, Updates, Verschlüsselung, Notfallplan. Mit Termin und Person.
Umsetzen und schulen
Technik einrichten, Regeln aufschreiben, Mitarbeitende sensibilisieren, etwa mit einer Security-Awareness-Schulung.
Prüfen und verbessern
Einmal im Jahr: Was ist passiert, was hat gewirkt, was fehlt? Planen, umsetzen, prüfen, verbessern, im Kreis.
Wann du uns nicht brauchst
Wenn dein Systemhaus die IT betreut, eine Person im Haus für Informationssicherheit zuständig ist und ihr den Schutzbedarf kennt, seid ihr auf einem guten Weg. Für eine ISO-Zertifizierung brauchst du eine zugelassene Zertifizierungsstelle, nicht uns. Wir helfen beim pragmatischen Aufbau, bei Websites, Software und Hosting als Teil des Bestands und bei der Frage, was NIS2 konkret von dir will.
Häufige Fragen zur Informationssicherheit
Was ist der Unterschied zwischen Informationssicherheit und IT-Sicherheit?
Informationssicherheit schützt alle Informationen eines Unternehmens, auch auf Papier und in Köpfen, und umfasst Organisation, Prozesse und Technik. IT-Sicherheit ist der Teil, der sich um IT-Systeme und die darin verarbeiteten Daten kümmert. Jede IT-Sicherheitsmaßnahme dient der Informationssicherheit, aber nicht umgekehrt.
Was sind die drei Schutzziele der Informationssicherheit?
Vertraulichkeit (nur Berechtigte haben Zugriff), Integrität (Informationen sind vollständig und unverändert) und Verfügbarkeit (Informationen sind nutzbar, wenn sie gebraucht werden). Manche Modelle ergänzen weitere Ziele wie Authentizität oder Nachvollziehbarkeit.
Was ist ein ISMS?
Ein Informationssicherheits-Managementsystem ist die Gesamtheit aus Regeln, Zuständigkeiten, Prozessen und Maßnahmen, mit denen ein Unternehmen Informationssicherheit plant, umsetzt, prüft und verbessert. Bekannte Rahmen dafür sind BSI-IT-Grundschutz und ISO/IEC 27001.
Braucht ein kleines Unternehmen ein ISMS?
Ein formales, zertifiziertes ISMS meist nicht, die Grundidee aber schon: wissen, was schützenswert ist, wer zuständig ist und was im Notfall passiert. Für kleine Betriebe sind die Basis-Absicherung nach IT-Grundschutz oder der CyberRisikoCheck nach DIN SPEC 27076 gute Einstiege. Für NIS2-Einrichtungen gelten weitergehende Pflichten.
Wer ist für Informationssicherheit verantwortlich?
Letztlich die Geschäftsführung. Sie legt Ziele fest, stellt Mittel bereit und benennt Verantwortliche. Bei NIS2-Einrichtungen verpflichtet § 38 BSIG die Geschäftsleitung ausdrücklich, Maßnahmen umzusetzen, die Umsetzung zu überwachen und an Schulungen teilzunehmen.
Quellen
- BSI: BSI-Standards 200-1 bis 200-4, abgerufen am 14.11.2026.
- BSI-Standard 200-2: IT-Grundschutz-Methodik, abgerufen am 14.11.2026.
- BSI: CyberRisikoCheck nach DIN SPEC 27076, abgerufen am 14.11.2026.
- Verordnung (EU) 2016/679 (DSGVO), Art. 32, abgerufen am 14.11.2026.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.