> Informationssicherheit erklärt: drei Schutzziele, Abgrenzung zu IT-Sicherheit und Datenschutz, Standards, Schutzbedarfs-Vorlage, ISMS in sechs Schritten. # Informationssicherheit: Schutzziele, Standards und ein Plan, der passt Informationssicherheit klingt nach Serverraum. Dabei geht es um jede Information, die deinem Unternehmen etwas wert ist: die Kundenliste im CRM, die Kalkulation in der Tabelle, der Ordner im Schrank. Hier steht, wie du sie schützt, ohne ein Konzern zu werden. [Informationssicherheit aufbauen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Zur Schutzbedarfs-Vorlage](https://mediabrandcast.com/leistungen/cybersecurity/informationssicherheit/#schutzbedarf) Kurz gesagt Informationssicherheit schützt Informationen eines Unternehmens, digital und auf Papier, nach drei Schutzzielen: Vertraulichkeit, Integrität und Verfügbarkeit. Sie ist breiter als IT-Sicherheit (Schutz der Technik) und etwas anderes als Datenschutz (Schutz von Personen). Organisiert wird sie in einem Informationssicherheits-Managementsystem (ISMS), etwa nach BSI-IT-Grundschutz oder ISO 27001. mediabrandcast gibt hier eine Vorlage für die Schutzbedarfsfeststellung und einen Plan in sechs Schritten. ## Was ist Informationssicherheit? Informationssicherheit ist der Schutz von Informationen vor Verlust, Manipulation und unbefugter Kenntnis, unabhängig davon, ob sie in einer Datenbank, in einer Mail, auf einem Laptop oder in einem Aktenordner liegen. Gemessen wird sie an drei Schutzzielen: - Vertraulichkeit: Nur Berechtigte sehen die Information. - Integrität: Die Information ist vollständig und unverändert, Änderungen sind nachvollziehbar. - Verfügbarkeit: Die Information ist da, wenn sie gebraucht wird. Jede Maßnahme lässt sich einem dieser Ziele zuordnen. Ein Backup dient der Verfügbarkeit, eine Verschlüsselung der Vertraulichkeit, eine Versionsgeschichte der Integrität. Wer so denkt, sieht schnell, wo Lücken sind: Viele Betriebe haben gute Passwörter, aber kein getestetes Backup. ## Informationssicherheit, IT-Sicherheit, Datenschutz, Cybersicherheit Vier Begriffe, die gern vermischt werden. Sie überlappen, aber sie meinen nicht dasselbe. Abgrenzung von mediabrandcast, Stand 14.11.2026 | Begriff | Was geschützt wird | Typische Maßnahme | Rahmen | |---|---|---|---| | Informationssicherheit | alle Informationen, digital und analog | Schutzbedarf festlegen, Zuständigkeiten, Notfallplan | ISMS nach IT-Grundschutz oder ISO 27001 | | IT-Sicherheit | IT-Systeme und darin verarbeitete Daten | Updates, Firewall, Zugriffskontrolle, Backups | Teil der Informationssicherheit | | Cybersicherheit | Systeme und Daten gegen Angriffe aus dem Netz | Erkennung, Abwehr, Reaktion auf Vorfälle | NIS2, BSIG, Cyber Resilience Act | | Datenschutz | Menschen, deren Daten verarbeitet werden | Rechtsgrundlage, Zweckbindung, Löschfristen | DSGVO, verlangt in Art. 32 auch Sicherheit der Verarbeitung | ## Welcher Standard passt zu dir? Für den Aufbau gibt es bewährte Rahmen. Welcher passt, hängt an Größe, Pflichten und daran, ob du ein Zertifikat brauchst. - CyberRisikoCheck nach DIN SPEC 27076: für kleine und Kleinstunternehmen. Ein IT-Dienstleister prüft im Interview 27 Anforderungen aus sechs Themenbereichen und gibt priorisierte Empfehlungen. Kein Zertifikat, aber ein guter Startpunkt. - BSI-IT-Grundschutz: die Methode des BSI mit den Standards 200-1 bis 200-4 und dem Kompendium. Drei Wege: Basis-Absicherung für einen schnellen, breiten Einstieg, Kern-Absicherung für die wichtigsten Werte, Standard-Absicherung für den vollen Schutz. - ISO/IEC 27001: die internationale Norm für ein ISMS, zertifizierbar. Sinnvoll, wenn Kundschaft oder Branche einen Nachweis verlangt. Details unter [ISO 27001](https://mediabrandcast.com/wissen/security/iso-27001/). Für Einrichtungen unter [NIS2](https://mediabrandcast.com/leistungen/cybersecurity/nis2/) ist ein Managementsystem praktisch Pflicht, weil § 30 BSIG Risikoanalyse, Konzepte und die Bewertung der Wirksamkeit verlangt. Fakten - BSI-Standards 200-1 (ISMS), 200-2 (Methodik), 200-3 (Risikomanagement), 200-4 (Business Continuity). 200-1 ist kompatibel zu ISO 27001. Quelle: [BSI](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/bsi-standards_node.html), abgerufen am 14.11.2026 - Methodik mit Basis-, Kern- und Standard-Absicherung. Quelle: [BSI-Standard 200-2](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-2-IT-Grundschutz-Methodik/bsi-standard-200-2-it-grundschutz-methodik_node.html) - CyberRisikoCheck: 27 Anforderungen aus sechs Themenbereichen, Interview von ein bis zwei Stunden. Quelle: [BSI](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/CyberRisikoCheck/CyberRisikoCheck.html), abgerufen am 14.11.2026 - Verantwortliche müssen ein dem Risiko angemessenes Schutzniveau gewährleisten. Quelle: [Art. 32 DSGVO](https://eur-lex.europa.eu/eli/reg/2016/679/oj) ## Vorlage: Schutzbedarf in einer Tabelle Der wichtigste Schritt am Anfang: Welche Informationen hast du, und wie schlimm wäre es, wenn sie weg, falsch oder öffentlich wären? Die Kategorien „normal, hoch, sehr hoch“ stammen aus der IT-Grundschutz-Methodik. ``` SCHUTZBEDARF · [UNTERNEHMEN] · Stand [DATUM] · erstellt von [NAME] Information / System Wo liegt es? V I Vf Begründung Kundendaten (CRM) [System] hoch hoch normal [Datenschutz, Ruf] Angebote, Kalkulation [Ablage] hoch hoch normal [Wettbewerb] Buchhaltung [Software] hoch sehr hoch hoch [Steuer, Fristen] Website [Hosting] normal hoch hoch [Anfragen, Ruf] Mail [Anbieter] hoch normal sehr hoch [Kommunikation] Personalakten [Ordner/System] sehr hoch hoch normal [Personendaten] V = Vertraulichkeit · I = Integrität · Vf = Verfügbarkeit normal = begrenzte Schäden · hoch = beträchtliche Schäden · sehr hoch = existenzbedrohende Schäden Nächster Schritt: Für alles mit „hoch“ oder „sehr hoch“ je eine Maßnahme und eine verantwortliche Person eintragen. ``` ### So füllst du die Tabelle - Von der Information her denken: Nicht „Server 2“, sondern „Angebote und Kalkulationen“. Das System folgt danach. - Schaden konkret machen: Was passiert, wenn die Buchhaltung eine Woche fehlt? Fristen, Mahnungen, Bank? So entsteht die Einstufung. - Maximalprinzip: Ein System, auf dem Daten mit „sehr hoch“ liegen, erbt diesen Schutzbedarf. - Mit Fachleuten aus dem Haus: Buchhaltung, Vertrieb, Personal wissen besser als die IT, was weh tut. - Jährlich prüfen: Neue Systeme, neue Daten, neue Dienstleister ändern das Bild. ## Informationssicherheit aufbauen in sechs Schritten Ein schlankes ISMS für den Mittelstand. Nicht perfekt am ersten Tag, aber jedes Quartal besser. ### Leitlinie und Verantwortung Die Geschäftsführung legt Ziele fest und benennt eine verantwortliche Person, oft als Informationssicherheitsbeauftragte oder -beauftragter (ISB). ### Bestand aufnehmen Informationen, Systeme, Räume, Dienstleister. Eine Liste reicht, wenn sie vollständig ist. ### Schutzbedarf festlegen Mit der Vorlage oben. Ergebnis: Wo ist „hoch“ oder „sehr hoch“? ### Maßnahmen planen Für die kritischen Stellen zuerst: Zugriff, Backup, Updates, Verschlüsselung, Notfallplan. Mit Termin und Person. ### Umsetzen und schulen Technik einrichten, Regeln aufschreiben, Mitarbeitende sensibilisieren, etwa mit einer [Security-Awareness-Schulung](https://mediabrandcast.com/leistungen/cybersecurity/security-awareness-schulung/). ### Prüfen und verbessern Einmal im Jahr: Was ist passiert, was hat gewirkt, was fehlt? Planen, umsetzen, prüfen, verbessern, im Kreis. ## Wann du uns nicht brauchst Wenn dein Systemhaus die IT betreut, eine Person im Haus für Informationssicherheit zuständig ist und ihr den Schutzbedarf kennt, seid ihr auf einem guten Weg. Für eine ISO-Zertifizierung brauchst du eine zugelassene Zertifizierungsstelle, nicht uns. Wir helfen beim pragmatischen Aufbau, bei Websites, Software und Hosting als Teil des Bestands und bei der Frage, was NIS2 konkret von dir will. ## Häufige Fragen zur Informationssicherheit ### Was ist der Unterschied zwischen Informationssicherheit und IT-Sicherheit? Informationssicherheit schützt alle Informationen eines Unternehmens, auch auf Papier und in Köpfen, und umfasst Organisation, Prozesse und Technik. IT-Sicherheit ist der Teil, der sich um IT-Systeme und die darin verarbeiteten Daten kümmert. Jede IT-Sicherheitsmaßnahme dient der Informationssicherheit, aber nicht umgekehrt. ### Was sind die drei Schutzziele der Informationssicherheit? Vertraulichkeit (nur Berechtigte haben Zugriff), Integrität (Informationen sind vollständig und unverändert) und Verfügbarkeit (Informationen sind nutzbar, wenn sie gebraucht werden). Manche Modelle ergänzen weitere Ziele wie Authentizität oder Nachvollziehbarkeit. ### Was ist ein ISMS? Ein Informationssicherheits-Managementsystem ist die Gesamtheit aus Regeln, Zuständigkeiten, Prozessen und Maßnahmen, mit denen ein Unternehmen Informationssicherheit plant, umsetzt, prüft und verbessert. Bekannte Rahmen dafür sind BSI-IT-Grundschutz und ISO/IEC 27001. ### Braucht ein kleines Unternehmen ein ISMS? Ein formales, zertifiziertes ISMS meist nicht, die Grundidee aber schon: wissen, was schützenswert ist, wer zuständig ist und was im Notfall passiert. Für kleine Betriebe sind die Basis-Absicherung nach IT-Grundschutz oder der CyberRisikoCheck nach DIN SPEC 27076 gute Einstiege. Für NIS2-Einrichtungen gelten weitergehende Pflichten. ### Wer ist für Informationssicherheit verantwortlich? Letztlich die Geschäftsführung. Sie legt Ziele fest, stellt Mittel bereit und benennt Verantwortliche. Bei NIS2-Einrichtungen verpflichtet § 38 BSIG die Geschäftsleitung ausdrücklich, Maßnahmen umzusetzen, die Umsetzung zu überwachen und an Schulungen teilzunehmen. ## Quellen 1. [BSI: BSI-Standards 200-1 bis 200-4](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/bsi-standards_node.html), abgerufen am 14.11.2026. 2. [BSI-Standard 200-2: IT-Grundschutz-Methodik](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-2-IT-Grundschutz-Methodik/bsi-standard-200-2-it-grundschutz-methodik_node.html), abgerufen am 14.11.2026. 3. [BSI: CyberRisikoCheck nach DIN SPEC 27076](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/CyberRisikoCheck/CyberRisikoCheck.html), abgerufen am 14.11.2026. 4. [Verordnung (EU) 2016/679 (DSGVO)](https://eur-lex.europa.eu/eli/reg/2016/679/oj), Art. 32, abgerufen am 14.11.2026. Geschrieben von [Alexander Scharff](https://mediabrandcast.com/team/alexander-scharff/) Mitgründer von Juice 9, Marketing, IT und KI Marketing-Master (KI-Studie, Note 1,0), IT-Ausbildung, KI-Manager. Baut Websites, Software und KI-Automatisierungen, die im Live-Betrieb laufen. [Alexander Scharff auf LinkedIn](https://www.linkedin.com/in/alexander-scharff-de/) [Informationssicherheit besprechen](https://mediabrandcast.com/kontakt/?anliegen=security) 150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt. - [Cybersecurity](https://mediabrandcast.com/leistungen/cybersecurity/)