Gefährdungsarten

Bedrohungen verstehen: Der erste Schritt zur Sicherheit

In der Informationssicherheit ist es entscheidend, die Vielfalt möglicher Gefahren zu kennen und zu ordnen. Stell dir ein großes Warenlager vor: Die Sicherheitsverantwortlichen müssen Risiken wie Feuer, Einbruch, aber auch interne Fehler wie eine falsche Lagerung berücksichtigen. Genauso müssen wir in der IT Bedrohungen kategorisieren, um wirksame Schutzmaßnahmen zu entwickeln. Diese Kategorisierung hilft uns, Schwachstellen gezielt zu analysieren und passende Abwehrstrategien zu planen. Die vier grundlegenden Gefährdungskategorien sind:

• Höhere Gewalt (unvorhersehbare externe Ereignisse)
• Organisatorische Mängel (Fehler in Prozessen und Strukturen)
• Technisches Versagen (Probleme mit Hardware oder Software)
• Menschliches Fehlverhalten (absichtliche oder unabsichtliche Handlungen)

Jede dieser Kategorien kann die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit von Informationen auf unterschiedliche Weise gefährden.

Höhere Gewalt: Unkontrollierbare Ereignisse

Unter der Kategorie Höhere Gewalt (engl. Force Majeure) fassen wir Ereignisse zusammen, die außerhalb der direkten Kontrolle eines Unternehmens liegen und oft unvorhersehbar oder unabwendbar sind.

• Typische Beispiele: Dazu gehören Naturkatastrophen wie Überschwemmungen, Brände, Stürme oder Erdbeben, aber auch weitreichende Ereignisse wie langanhaltende Stromausfälle (Blackouts) oder Pandemien.
• Auswirkungen auf die IT-Sicherheit:
  • Verfügbarkeit: Ein Brand im Rechenzentrum führt zum sofortigen Ausfall aller Server und macht Unternehmensdienste unerreichbar.
  • Integrität: Eine Überschwemmung kann physische Schäden an Festplatten verursachen, was zu Datenverlust oder -beschädigung führt.
• Praxisnahes Beispiel: Ein Unternehmen hat sein einziges Rechenzentrum im Keller eines Gebäudes in einer hochwassergefährdeten Region. Ein unerwartetes Hochwasser flutet die Räume und zerstört die gesamte IT-Hardware. Der Betrieb steht still, da die Verfügbarkeit der Systeme nicht mehr gegeben ist. Ohne externe Backups sind zudem die Daten der letzten Stunden oder Tage unwiederbringlich verloren, was die Integrität der Geschäftsdaten verletzt.

Organisatorische Mängel: Wenn Prozesse und Strukturen versagen

Organisatorische Mängel entstehen, wenn Prozesse, Richtlinien oder Strukturen innerhalb eines Unternehmens unzureichend sind, um die Informationssicherheit zu gewährleisten. Solche Mängel sind oft die Wurzel für technisches Versagen oder begünstigen menschliches Fehlverhalten.

• Typische Beispiele:
  • Fehlende oder unklare Prozesse (z. B. kein standardisierter Prozess für Software-Updates oder die Datensicherung).
  • Ungenügende Schulungen der Mitarbeitenden (z. B. keine Awareness-Trainings zu Phishing).
  • Unzureichende Ressourcen (z. B. kein Budget für moderne Sicherheitssoftware).
  • Fehlende Kontrollen (z. B. keine Überprüfung von Zugriffsrechten).
• Auswirkungen auf die IT-Sicherheit:
  • Vertraulichkeit: Wenn es keinen Prozess für die sichere Entsorgung alter Laptops gibt, könnten Festplatten mit sensiblen Daten in falsche Hände geraten.
  • Integrität und Verfügbarkeit: Ein fehlender Patch-Management-Prozess führt dazu, dass kritische Sicherheitslücken nicht geschlossen werden. Dies öffnet die Tür für Angriffe, die Daten verändern oder Systeme lahmlegen können.
• Praxisnahes Beispiel: Ein Unternehmen hat keine klare Passwortrichtlinie. Mitarbeitende verwenden daher einfache, leicht zu erratende Passwörter wie "Firma2024!" für wichtige Systeme. Dieser organisatorische Mangel gefährdet die Vertraulichkeit aller Unternehmensdaten, da Angreifende durch einfaches Ausprobieren (Brute-Force-Angriff) leicht unbefugten Zugriff erhalten können.