Informationssicherheit

Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung, -speicherung und -lagerung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken.

In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe. Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet. Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung.

Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller.

Viele der nachfolgenden Begriffe werden je nach Autor und sprachlichem Umfeld unterschiedlich interpretiert.

IT ist die Abkürzung für Informationstechnik, synonym zu Informationstechnologie. Bei der IT steht die technische Verarbeitung und Übertragung von Informationen im Vordergrund.

Im Englischen hat der deutsche Begriff der IT-Sicherheit zwei verschiedene Ausprägungen.:

• Die Eigenschaft der Funktionssicherheit (englisch safety) bezeichnet, dass sich ein System entsprechend der zur erwarteten Funktionalität verhält und kann dabei auch weitergehende risikomindernde Maßnahmen umfassen. Diese Maßnahmen werden dann als Funktionale Sicherheit bezeichnet.
• Informationssicherheit (englisch security) bezieht sich auf den Schutz der technischen Verarbeitung von Informationen und ist eine Eigenschaft eines funktionssicheren Systems. Sie soll verhindern, dass nicht-autorisierte Datenmanipulationen möglich sind oder die Preisgabe von Informationen stattfindet.^{[1]:4 f.}

Der Begriff Informationssicherheit bezieht sich oft auf eine globale Informationssicherheit, bei der die Zahl der möglichen schädlichen Szenarien summarisch reduziert ist oder der Aufwand zur Kompromittierung für den Betreiber in einem ungünstigen Verhältnis zum erwarteten Informationsgewinn steht. In dieser Sichtweise ist die Informationssicherheit eine ökonomische Größe, mit der zum Beispiel in Betrieben und Organisationen gerechnet werden muss.

Daneben bezieht sich der Begriff auch auf die Sicherheit unter einem bestimmten Szenarium. In diesem Sinn liegt Informationssicherheit vor, wenn über einen bereits bekannten Weg kein Angriff auf das System mehr möglich ist. Man spricht von einer binären Größe, weil die Information beim Anwenden dieser speziellen Methode entweder sicher oder nicht sicher sein kann.^[2]

Folgende Aspekte sind in dem umfassenden Begriff Informationssicherheit (Schutz der verarbeiteten Informationen) enthalten:

Unter IT-Sicherheit versteht man Strategien und Maßnahmen, um die Verfügbarkeit von IT-Systemen zu gewährleisten und den unerlaubten Zugriff sowie die unberechtigte Veränderung von Informationen zu vermeiden.^[3] Die IT-Sicherheit bedeutet damit Abschottung eingesetzter IT-Systeme gegen Angriffe von außen und Schutz vor drohenden Gefahren von innen.^[4]

IT-Systeme sind Teil der soziotechnischen Systeme. Daher kommt der IT-Sicherheit eine Schlüsselrolle für die Sicherheit von soziotechnischen Systemen zu. Zu den Aufgaben der IT-Sicherheit gehört der Schutz von IT-Systemen von Organisationen (zum Beispiel Unternehmen) gegen Bedrohungen. Damit soll unter anderem wirtschaftlicher Schaden verhindert werden.^[1]:3–7

IT-Sicherheit ist ein Teil der Informationssicherheit. In Abgrenzung zu IT-Sicherheit umfasst Informationssicherheit neben der Sicherheit der IT-Systeme und der darin gespeicherten Daten auch die Sicherheit von nicht elektronisch verarbeiteten Informationen. Beispiel: Die Prinzipien der Informationssicherheit können auch auf per Hand auf Papier notierte Rezepte eines Restaurants angewendet werden, da Vertraulichkeit, Integrität und Verfügbarkeit der Rezepte für das Restaurant extrem wichtig sein können, selbst wenn dieses Restaurant vollkommen ohne Einsatz irgendeines IT-Systems betrieben wird.

Computersicherheit: die Sicherheit eines Computersystems vor:

• Ausfall (man spricht von ungeplanter oder geplanter Ausfallzeit, engl. downtime),
• Manipulation (Datensicherheit) sowie
• unerlaubtem Zugriff.

Datensicherheit ist ein häufig mit dem Datenschutz verknüpfter Begriff, der von diesem zu unterscheiden ist: Datensicherheit hat das technische Ziel, Daten jeglicher Art in ausreichendem Maße gegen Verlust, Manipulationen und andere Bedrohungen zu sichern. Hinreichende Datensicherheit ist eine Voraussetzung für einen effektiven Datenschutz. Das frühere BDSG nannte den Begriff der Datensicherheit lediglich im damaligen § 9a BDSG im Zusammenhang mit dem ebenfalls nicht näher definierten „Datenschutzaudit“.

Es gibt einen Ansatz namens Datenzentrierte Sicherheit (englisch Data-centric security), bei dem die Sicherheit der Daten selbst im Vordergrund steht und nicht die Sicherheit von Netzwerken, Servern oder Anwendungen.

Datensicherung ist ein Synonym für das englischsprachige „Backup“ (dt. Sicherung), es war der ursprüngliche gesetzliche Begriff für Datensicherheit.

Beim Datenschutz geht es nicht um den Schutz von allgemeinen Daten vor Schäden, sondern um den Schutz personenbezogener Daten vor Missbrauch („Datenschutz ist Personenschutz“). Der Schutz personenbezogener Daten stützt sich auf das Prinzip der informationellen Selbstbestimmung. Diese wurde im BVerfG-Urteil zur Volkszählung festgeschrieben. Geschützt werden muss dabei die Privatsphäre, d. h. Persönlichkeitsdaten bzw. Anonymität müssen gewahrt bleiben. Datenschutz verlangt über die Datensicherheit hinaus den Ausschluss des Zugangs zu Daten mit unberechtigtem Lesen durch unbefugte Dritte. Das deutsche Bundesdatenschutzgesetz (BDSG) beschreibt in § 1 ausschließlich Anforderungen für den Umgang mit personenbezogenen Daten. Die DSGVO und das BDSG definieren den Unterschied der Begriffe Datenschutz und Datensicherheit nicht. Nur wenn geeignete Schutzmaßnahmen getroffen werden, kann man davon ausgehen, dass vertrauliche bzw. personenbezogene Daten nicht in die Hände von Unbefugten gelangen. Hierbei spricht man in der Regel von technischen und organisatorischen Maßnahmen zum Datenschutz, die insbesondere in Art. 32 DSGVO, dem BDSG und in den Landesdatenschutzgesetzen beschrieben sind.

Informationen (oder Daten) sind schützenswerte Güter. Der Zugriff auf diese sollte beschränkt und kontrolliert sein. Nur autorisierte Benutzer oder Programme dürfen auf die Information zugreifen.

Zum Erreichen bzw. Einhalten der Informationssicherheit und damit zum Schutz der Daten vor beabsichtigten Angriffen von IT-Systemen werden Schutzziele definiert. Die Schutzziele in der Informationssicherheit sind:^[1]:6–11

• Die Allgemeinen Schutzziele sind nach ihrer englischen Abkürzung auch als CIA(-Triade)^[5] bekannt:
  • Vertraulichkeit (englisch confidentiality): Daten dürfen lediglich von autorisierten Benutzern gelesen werden, dies gilt sowohl beim Zugriff auf gespeicherte Daten wie auch während der Datenübertragung.
  • Integrität (englisch integrity): Daten dürfen nicht unbemerkt verändert werden. Alle Änderungen müssen nachvollziehbar sein.
  • Verfügbarkeit (englisch availability): Verhinderung von Systemausfällen; der Zugriff auf Daten muss innerhalb eines vereinbarten Zeitrahmens gewährleistet sein.^[1]:7–13
• Weitere Schutzziele der Informationssicherheit:^[1]:7–13
  • Authentizität (englisch authenticity) bezeichnet die Eigenschaften der Echtheit, Überprüfbarkeit und Vertrauenswürdigkeit eines Subjekts bzw. Objekts.^{[6][1]:7–13}
  • Verbindlichkeit/Nichtabstreitbarkeit (englisch non repudiation): Sie erfordert, dass „kein unzulässiges Abstreiten durchgeführter Handlungen“ möglich ist.^[7] Sie ist unter anderem wichtig beim elektronischen Abschluss von Verträgen. Erreichbar ist sie beispielsweise durch elektronische Signaturen.^[8]
  • Zurechenbarkeit (englisch accountability): „Eine durchgeführte Handlung kann einem Kommunikationspartner eindeutig zugeordnet werden.“^[7]
  • in bestimmtem Kontext (zum Beispiel im Internet) auch Anonymität
• Besonderes Schutzziel im Zuge der DSGVO:
  • Resilienz (englisch resilience): Widerstandsfähigkeit/Belastbarkeit gegenüber:
    • Ausspähungen,
    • irrtümlichen oder mutwilligen Störungen oder
    • absichtlichen Schädigungen (Sabotagen).

Jedes noch so gut geplante und umgesetzte IT-System kann Schwachstellen besitzen. Sind bestimmte Angriffe zum Umgehen der vorhandenen Sicherheitsvorkehrungen möglich, ist das System verwundbar. Nutzt ein Angreifer eine Schwachstelle oder eine Verwundbarkeit zum Eindringen in ein IT-System, sind die Vertraulichkeit, Datenintegrität und Verfügbarkeit bedroht (englisch threat). Angriffe auf die Schutzziele bedeuten für Unternehmen Angriffe auf reale Unternehmenswerte, im Regelfall das Abgreifen oder Verändern von unternehmensinternen Informationen. Jede mögliche Bedrohung ist ein Risiko (englisch risk) für das Unternehmen. Unternehmen versuchen durch die Verwendung eines Risikomanagements (englisch risk management) die Wahrscheinlichkeit des Eintretens eines Schadens und die daraus resultierende Schadenshöhe zu bestimmen.^[1]:14–17

Nach einer Risikoanalyse und Bewertung der unternehmensspezifischen IT-Systeme können entsprechende Schutzziele definiert werden. Anschließend folgt die Auswahl von IT-Sicherheitsmaßnahmen für die jeweiligen Geschäftsprozesse eines Unternehmens. Dieser Vorgang zählt zu den Tätigkeiten des IT-Sicherheitsmanagements. Eine genormte Vorgehensweise wird durch das Verwenden von IT-Standards ermöglicht.

Im Rahmen des IT-Sicherheitsmanagements findet die Auswahl und Umsetzung entsprechender IT-Sicherheitsstandards statt. Zu diesem Zweck existieren im Bereich IT-Sicherheitsmanagement verschiedene Standards. Mit Hilfe des ISO/IEC 27001- oder des IT-Grundschutz-Standards wird mit anerkannten Regeln versucht, die Komplexität soziotechnischer Systeme für den Bereich des IT-Sicherheitsmanagements zu reduzieren und ein geeignetes Maß an Informationssicherheit zu finden.

In den frühen Anfangszeiten des (Personal-)Computers verstand man unter Computersicherheit die Sicherstellung der korrekten Funktionalität von Hardware (Ausfall von zum Beispiel Bandlaufwerken oder anderen mechanischen Bauteilen) und Software (richtige Installation und Wartung von Programmen). Mit der Zeit änderten sich die Anforderungen an die Computer (Internet, Speichermedien); die Aufgaben zur Computersicherheit mussten anders gestaltet werden. Somit bleibt der Begriff der Computersicherheit wandelbar.

Private und öffentliche Unternehmen sind heute in allen Bereichen ihrer Geschäftstätigkeit, Privatpersonen in den meisten Belangen des täglichen Lebens auf IT-Systeme angewiesen. Da neben der Abhängigkeit auch die Risiken für IT-Systeme in Unternehmen in der Regel größer sind als für Computer und Netzwerke in privaten Haushalten, ist Informationssicherheit überwiegend Aufgabe von Unternehmen.

Entsprechende Verpflichtungen lassen sich im gesamten deutschsprachigen Raum aus den verschiedenen Gesetzen zum Gesellschaftsrecht, Haftungsrecht, Datenschutz, Bankenrecht usw. herleiten. Dort stellt Informationssicherheit einen Baustein des Risikomanagements dar. International spielen Vorschriften wie Basel II und der Sarbanes-Oxley Act eine wichtige Rolle.

Verschiedene Szenarien eines Angriffs lassen sich in der IT-Sicherheit vorstellen. Eine Manipulation der Daten einer Website über eine sogenannte SQL-Injection ist ein Beispiel. Nachfolgend werden einige Angriffe, Ziele sowie Ursachen beschrieben:

Unter einem Angriff auf den Datenschutz oder Datensicherheit (repräsentiert durch zum Beispiel ein Computersystem) versteht man jeden Vorgang, dessen Folge oder Ziel ein Verlust des Datenschutzes oder der Datensicherheit ist. Auch technisches Versagen wird in diesem Sinne als Angriff gewertet.

Statistische Sicherheit: Ein System wird dann als sicher bezeichnet, wenn für den Angreifer der Aufwand für das Eindringen in das System höher ist als der daraus resultierende Nutzen. Deshalb ist es wichtig, die Hürden für einen erfolgreichen Einbruch möglichst hoch zu setzen und damit das Risiko zu reduzieren.

Absolute Sicherheit: Ein System ist dann absolut sicher, wenn es jedem denkbaren Angriff widerstehen kann. Die absolute Sicherheit kann nur unter besonderen Bedingungen erreicht werden, die die Arbeitsfähigkeit des Systems oft erheblich einschränken (isolierte Systeme, wenige und hochqualifizierte Zugriffsberechtigte).

Der Mangel an Computersicherheit ist eine vielschichtige Bedrohung, die nur durch eine anspruchsvolle Abwehr beantwortet werden kann. Der Kauf und die Installation einer Software ist kein Ersatz für eine umsichtige Analyse der Risiken, möglicher Verluste, der Abwehr und von Sicherheitsbestimmungen.

Ist einmal die Sicherheit eines Systems verletzt worden, muss es als kompromittiert betrachtet werden, was Maßnahmen zur Verhinderung weiterer Schäden und ggf. zur Datenrettung erfordert.

Der Begriff Computerkriminalität wird typischerweise als Sammelbegriff für Straftaten verwendet, die unter Einsatz oder gegen digitale Informations- und Kommunikationstechnologien begangen werden. Es existiert keine allgemein gültige Definition, aber im Allgemeinen bezieht sich Computerkriminalität auf Delikte, bei denen Computer oder das Internet als Werkzeuge oder Ziel für kriminelle Handlungen verwendet werden. Dies kann eine Vielzahl von Straftaten umfassen, von Cyberangriffen und Datenmanipulation bis hin zu betrügerischen Aktivitäten im Online-Bereich.

Im Bereich der Strafverfolgung wird zwischen zwei Hauptkategorien von Cyberkriminalität unterschieden: „Cybercrime im engeren Sinne“ und „Cybercrime im weiteren Sinne“. Unter „Cybercrime im engeren Sinne“ fallen Straftaten, die sich gezielt gegen das Internet, Datennetze, informationstechnische Systeme oder deren Daten richten. Diese Art von Cyberkriminalität umfasst hochtechnische Straftaten, die eine ebenso anspruchsvolle Ermittlungsarbeit seitens der Polizei erfordern.

Im Gegensatz dazu bezieht sich „Cybercrime im weiteren Sinne“ auf Straftaten, die mithilfe von Informationstechnik begangen werden. Anders als bei hochtechnischen Angriffen im engeren Sinne können Straftaten im weiteren Sinne auch in der analogen Welt begangen werden. Ein Beispiel hierfür ist der Drogenhandel, der durch den Einsatz von Informationstechnik stattfinden kann.

Die Polizei ist daher vor die Herausforderung gestellt, sowohl hochtechnische Ermittlungsstrategien im Bereich des Cybercrime im engeren Sinne als auch vielschichtige Ansätze im Umgang mit den facettenreichen Formen von Cybercrime im weiteren Sinne zu entwickeln und einzusetzen.^[9]

• Technischer Systemausfall
• Systemmissbrauch z. B. durch illegitime Ressourcennutzung, Veränderung von publizierten Inhalten wie Vandalismus etc.
• Sabotage
• Spionage
• Betrug und Diebstahl
• Erpressung

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) klassifiziert die unterschiedlichen Angriffsmethoden und -mittel in:^[10]

• Schadsoftware bzw. Malware, zu denen unter anderem Computerviren, Trojaner und Würmer gehören,
• Ransomware, eine besondere Form von Schadsoftware, die den Zugriff auf Daten und Systeme einschränkt und dessen Ressourcen erst gegen Zahlung eines Lösegelds wieder freigibt,
• Social Engineering,
• Advanced Persistent Threats (APT), bei denen der Angreifer sein Ziel sorgfältig aussucht,
• Unerwünscht zugesandte E-Mails (Spam), der wiederum in klassischen Spam, Schadprogramm-Spam und Phishing unterteilt werden,
• Botnetze,
• Distributed-Denial-of-Service-(DDoS)-Angriffe,
• Drive-by-Exploits und Exploit-Kits, die Schwachstellen in Browser, Browser-Plug-ins oder Betriebssystemen ausnutzen,
• Identitätsdiebstahl, wie zum Beispiel Spoofing, Phishing, Pharming oder Vishing,
• Seitenkanalangriffe – also solche Angriffe, die Nebeneffekte (Laufzeitverhalten, Energieverbrauch) beobachten und so Rückschlüsse auf die Daten ziehen; dies findet insbesondere bei Schlüsselmaterial Anwendung.

Daneben können die oben genannten Effekte auch durch

• physischen Einbruch zum Stehlen sensibler Daten wie Schlüssel oder zum Platzieren von Malware,
• höhere Gewalt, zum Beispiel in Form von Blitzschlag, Feuer, Vulkanausbruch oder Überschwemmung oder
• Fehlbedienung durch Personal oder zugangsberechtigte Personen verursacht werden.

Malware, kurz für „schädliche Software“, bezeichnet Programme, die mit der Absicht entwickelt und verbreitet werden, um auf fremden Rechnern Schaden anzurichten. Dieser Begriff umfasst verschiedene Formen von schädlichen Programmen, darunter Viren, Würmer, Spyware und Trojaner (trojanische Pferde). Die Bekämpfung von Malware erfordert fortlaufende Anstrengungen im Bereich der Cybersicherheit, um Schutzmechanismen zu entwickeln und die Öffentlichkeit über bewährte Praktiken zur Vermeidung von Infektionen aufzuklären.

Während im Firmenumfeld die ganze Themenbreite der Computersicherheit Beachtung findet, verbinden viele Privatanwender mit diesem Begriff primär den Schutz vor Viren, Würmern, Spyware und Trojanern.

Viren sind selbstreproduzierende ausführbare Programme, die unbemerkt von einem Rechner zum anderen übertragen werden. Sie setzen sich auf dem infizierten System fest und richten in der Regel Schaden an. Viren benötigen ein Gastprogramm, um sich zu verbreiten.^[11] Die ersten Computerviren waren noch recht harmlos und dienten lediglich dem Aufzeigen diverser Schwachstellen von Computersystemen. Doch recht bald erkannte man, dass Viren zu weitaus mehr in der Lage sind. Es begann eine rasante Weiterentwicklung der Schädlinge und der Ausbau ihrer Fähigkeiten – vom simplen Löschen von Dateien über das Ausspionieren von Daten (zum Beispiel von Passwörtern) bis hin zum Öffnen des Rechners für entfernte Benutzer (Backdoor – „Hintertür“).

Im Gegensatz zu Viren verbreiten sich Würmer eigenständig in Netzwerken. Sie nutzen vorhandene Sicherheitslücken aus und breiten sich von einem Computer zum nächsten aus, ohne auf ein Hostprogramm angewiesen zu sein.^[11]

Spyware sind Programme, die darauf abzielen, Informationen über die Aktivitäten des Benutzers zu sammeln und diese Daten anschließend an Dritte weiterzuleiten. Dies kann persönliche Informationen, Surfgewohnheiten oder Passwörter umfassen.^[11]

Trojaner (trojanische Pferde) sind Programme, die keinen eigenen Reproduktionsmechanismus haben. Stattdessen verbergen sie sich oft in scheinbar harmlosen Anwendungen und öffnen dem Angreifer eine „Hintertür“ zum infizierten System. Trojaner werden häufig genutzt, um Systeme auszuspionieren oder für weitere Angriffe vorzubereiten.^[11]

Die Bekämpfung von Malware erfordert fortlaufende Anstrengungen im Bereich der Cybersicherheit, um Schutzmechanismen zu entwickeln und die Öffentlichkeit über bewährte Praktiken zur Vermeidung von Infektionen aufzuklären. Mittlerweile existieren diverse Baukästen im Internet, die neben einer Anleitung auch alle notwendigen Bestandteile für das einfache Programmieren von Viren liefern. Nicht zuletzt schleusen kriminelle Organisationen Viren auf PCs ein, um diese für ihre Zwecke (UBE/UCE, DoS-Angriffe etc.) zu nutzen. So entstanden bereits riesige Bot-Netze, die auch illegal vermietet werden.

Die Maßnahmen müssen im Rahmen der Erstellung eines Sicherheitskonzeptes an den Wert der zu schützenden Unternehmenswerte angepasst werden. Zu viele Maßnahmen bedeuten zu hohe finanzielle, organisatorische oder personelle Aufwände. Akzeptanzprobleme treten auf, wenn die Mitarbeiter nicht genügend in den Prozess der IT-Sicherheit eingebunden werden. Implementiert man zu wenig Maßnahmen, bleiben für Angreifer lohnende Sicherheitslücken offen.

Informationssicherheit stellt keinen statischen Endzustand dar, der einmal erreicht wird und daraufhin unverändert bleibt. Vielmehr handelt es sich um einen fortlaufenden Prozess, der kontinuierlich an aktuelle Anforderungen angepasst werden muss. Veränderungen in den Verfahren und Abläufen einer Institution, Entwicklungen in den gesetzlichen Rahmenbedingungen, Fortschritte in der Technologie sowie die fortwährende Identifikation bislang unbekannter Schwachstellen und daraus resultierender Bedrohungen erfordern eine kontinuierliche Überprüfung und Anpassung der Sicherheitsmaßnahmen. Die nachhaltige Angemessenheit und Wirksamkeit von Maßnahmen zur Informationssicherheit müssen aktiv verwaltet werden, da sie nicht automatisch gewährleistet sind.^[12]

Um Risiken der Informationssicherheit bewerten zu können, haben Gallagher und Blank die Methodik des Risikomanagements der Informationssicherheit erstellt. Diese beschreibt den Prozess der Risikobewertung. Als erstes erfolgt die Vorbereitung der Bewertung. Dabei wird der Kontext für die Risikobewertung festgelegt. Zu den wichtigsten Aufgaben bei der Vorbereitung einer Risikobewertung gehört die Festlegung des Zwecks der Bewertung, des Umfangs der Bewertung, der Annahmen und Einschränkungen, die mit der Bewertung verbunden sind, der Informationsquellen, die als Input für die Bewertung verwendet werden, sowie des Risikomodells und der Analyseansätze, die bei der Bewertung verwendet werden.

Der zweite Schritt ist die eigentliche Bewertung. Das Ergebnis dieses Schrittes ist eine Liste von Sicherheitsrisiken, die durch die entsprechenden Bedrohungen, Verwundbarkeiten, Auswirkungen und Wahrscheinlichkeiten sowie durch die mit dem Bewertungsprozess verbundenen Unsicherheiten bestimmt werden, um die Entscheidungsträger über den Umgang mit Risiken zu informieren. Die Bewertung sollte den gesamten Bedrohungsraum abdecken, wie er in der Vorbereitungsphase definiert wurde. Sie umfasst insbesondere die spezifischen Aufgaben der Identifizierung der für die Organisation relevanten Bedrohungsquellen und die Ereignisse, die durch diese Quellen ausgelöst werden könnten. Außerdem die Identifizierung von Schwachstellen, die ausgenutzt werden könnten, die Bestimmung der Eintrittswahrscheinlichkeit, die Erfolgsrate von Bedrohungsereignissen und die Bestimmung der negativen Auswirkungen, mit denen Unternehmen konfrontiert werden.

Diese Aufgaben werden iterativ durchgeführt, um den gesamten Bedrohungsraum abzudecken. Die in der Bewertungsphase gesammelten Informationen müssen dann im dritten Schritt, der Kommunikation der Ergebnisse, weitergegeben werden, nicht nur, um Entscheidungsträger in der gesamten Organisation über die Bewertungsergebnisse zu informieren, sondern auch, um andere Risikomanagementaktivitäten zu unterstützen. Im letzten Schritt wird die Bewertung erhalten und aktualisiert. Dazu gehört die Bestimmung der Wirksamkeit der Risikoreaktionen als direkte Antwort auf die Risikobewertung, die Ermittlung aller risikorelevanten Änderungen an den Informationssystemen der Organisation sowie die Überprüfung der Einhaltung der Vorschriften.^[13]

Informationssicherheit ist grundsätzlich eine Aufgabe der Leitung einer Organisation oder eines Unternehmens und sollte nach einem Top-Down-Ansatz organisiert sein. Insbesondere die Verabschiedung von Informationsschutz- und Sicherheitsrichtlinien (englisch Security Policy) ist Aufgabe des obersten Managements. Weitere Aufgabe des Managements kann die Einführung und der Betrieb eines Informationssicherheitsmanagement-Systems (ISMS) sein. Dieses ist für die operative Umsetzung und Kontrolle der Security Policy zuständig. Durch diese Maßnahmen sollen geeignete Organisations- und Managementstrukturen für den Schutz der Unternehmenswerte geschaffen werden. Weitere Informationen sind im Artikel IT-Sicherheitsmanagement zu finden.

Maßnahmen sind unter anderem physische beziehungsweise räumliche Sicherung von Daten und weitere Vorkehrungen der Datensicherung, Verschlüsselung, Zugriffskontrollen sowie der Einsatz fehlertoleranter Systeme. Wichtige Voraussetzung ist die Sicherheit der verarbeitenden Systeme. Ein effektives Sicherheitskonzept berücksichtigt neben technischen Maßnahmen auch organisatorische und personelle Maßnahmen.

Zu den Sicherheitsmaßnahmen, die von jedem Verantwortlichen für die Informationssicherheit in Unternehmen, aber vor allem auch von privaten Nutzern von Computern und Netzwerken für die Informationssicherheit getroffen werden können, gehören unter anderem die folgenden Punkte.^[14]

Der berechtigte Zugang zu Computersystemen und Anwendungssoftware muss durch eine zuverlässige und sichere Zugangskontrolle gewährleistet werden. Dies kann mit individuellen Benutzernamen und hinreichend komplexen Kennwörtern und insbesondere mit weiteren Faktoren realisiert werden (siehe auch Zwei-Faktor-Authentifikation), wie zum Beispiel mit Transaktionsnummern oder mit Security-Token.

Der Systemadministrator darf tiefgehende Änderungen an einem Computer durchführen. Dies erfordert entsprechende Kenntnis der Gefahren, und es ist für normale Benutzer alles andere als ratsam, mit den Rechten eines Administrators im Internet zu surfen, Dateien oder E-Mails herunterzuladen. Moderne Betriebssysteme verfügen daher über die Möglichkeit, die Benutzerrechte einzuschränken, so dass zum Beispiel Systemdateien nicht verändert werden können.

Die Verwendung eingeschränkter Benutzerkonten für die tägliche Arbeit verhindert die Kompromittierung des Betriebssystems selbst, der Systemkonfiguration und der (schreibgeschützt) installierten Anwendungs- und System-Programme, bietet aber keinen Schutz gegen Kompromittierung der Benutzerdaten und der Benutzerkonfiguration: unter eingeschränkten Benutzerkonten sind beliebige Programme (dazu zählen auch Shellskripte und Stapelverarbeitungsdateien) ausführbar, obwohl die wenigsten Benutzer diese Möglichkeit überhaupt nutzen.

Da Benutzer typischerweise (nur) die mit dem Betriebssystem gelieferten sowie die von ihrem Administrator installierten Programme verwenden, ist es möglich, Benutzern die Rechte zum Ausführen von Dateien nur dort zu gewähren, wo das Betriebssystem und die installierten Programme abgelegt sind (und sie nicht schreiben können), und überall dort zu entziehen, wo sie selbst schreiben können. Schädliche Programme, die beispielsweise von einer infizierten Webseite heruntergeladen und vom Benutzer unbemerkt als sog. „Drive-by-Download“ im Cache des Browsers abgelegt werden, werden damit unschädlich gemacht.

Aktuelle Versionen von Microsoft Windows erlauben die Umsetzung dieser Restriktion mit den sogenannten „Softwarebeschränkungsrichtlinien“^{[15][16][17][18][19]} alias „SAFER“.

Die Datenausführungsverhinderung^[20] aktueller Betriebssysteme wendet dieselbe Restriktion im virtuellen Speicher an.

Für viele Programme werden (regelmäßig) Aktualisierungen angeboten. Diese bieten nicht immer nur eine veränderte oder verbesserte Funktionalität, sondern beheben häufig auch Sicherheitslücken und Programmfehler. Besonders betroffen sind vor allem Programme, die über Netzwerke mit dem Internet kommunizieren, wie zum Beispiel Betriebssysteme, Browser, Schutzprogramme oder E-Mail-Programme.

Sicherheitsrelevante Software-Aktualisierungen sollten so schnell wie möglich aus überprüfbaren und zuverlässigen Quellen auf den entsprechenden Rechnersystemen installiert werden. Viele Geräte im Internet der Dinge und Programme bieten eine automatische Funktion an, die die Aktualisierung im Hintergrund ohne das Eingreifen des Benutzers bewerkstelligt, indem die aktualisierte Software direkt aus dem Internet geladen wird.

Ein aktives, regelmäßiges Patch-Management verhindert das Ausnutzen von Schwachstellen in installierter Software, was laut BSI vor allem für Angriffsziele innerhalb Staat, Verwaltung und Wirtschaft zu den Top-Bedrohungen der IT-Sicherheit zählt.^[21] Dem entgegen steht, dass lediglich 35,8 % der Unternehmen in Deutschland im Jahr 2021 ein aktives Patch-Management implementiert hatten.

Software, deren Hersteller die Wartung eingestellt hat, sogenannte End of Life (EOL), die unsicher ist oder die nicht mehr benutzt wird, muss deinstalliert werden, um den Schutz zu gewährleisten.

Von jeder Datei, die wichtig ist, muss mindestens eine Sicherungskopie auf einem separaten Speichermedium angefertigt werden. Hierzu gibt es zum Beispiel Backup-Software, die diese Aufgaben regelmäßig und automatisch erledigt. Im Rahmen von wiederkehrenden Wartungsarbeiten müssen angefertigte Sicherungskopien auf Integrität, Vertraulichkeit und Verfügbarkeit geprüft werden.

Im Unternehmensbereich kommen Backup-Lösungen mit örtlicher Distanz wie beispielsweise durch ein zweites Rechenzentrum mit redundanter Spiegelung sowie Cloud-Lösungen infrage. Diese Lösungen sind oftmals kostspielig. Die Verbesserung der Datensicherheit durch Sicherungskopien ist im Privatbereich weniger kostenintensiv. So können je nach Datenmenge auch kleinere Wechseldatenträger wie DVD oder Blu-ray sowie externe (USB-)Festplatten oder NAS-Systeme zur Sicherung genutzt werden.

Grundsätzlich gilt, dass die Relevanz der Daten für unternehmerische oder private Zwecke über Art und Häufigkeit der Sicherung sowie über die Anzahl der Sicherungskopien entscheiden sollte.

Wenn Daten aus dem Internet, von Mailservern heruntergeladen oder von Datenträgern kopiert werden, besteht immer die Möglichkeit, dass sich darunter auch schädliche Dateien befinden. Solche Schadprogramme sind oft auf weitverbreitete Betriebssysteme oder häufig genutzte Browser ausgerichtet.

Antivirenprogramme sollen vor solchen Schadprogrammen schützen, indem sie infizierte Dateien erkennen und blockieren bzw. löschen.

Allerdings können weder Vertrauen noch Antivirenprogramme vor allen schädlichen Dateien schützen. Eine vertrauenswürdige Quelle kann selbst infiziert sein, und Antivirenprogramme können unter Umständen neue sowie unbekannte Schädlinge nicht entdecken. Besonders durch offensive Marketingstrategien der Antivirenanbieter kann somit ein fälschliches Sicherheitsgefühl ausgelöst werden und ein leichtsinnigeres Verhalten des Nutzers verursacht werden.^[22]

Antivirenprogramme können zudem schädliche Nebenwirkungen haben, indem sie unschädliche Dateien irrtümlich als „infiziert“ erkennen und diese beseitigen, wodurch Funktionalität gestört oder Nutzerdaten verloren gehen können.^[23]

Außerdem kann Antivirensoftware selbst schädlich sein^[24][25] oder Sicherheitslücken beinhalten. Durch die hohen Systemberechtigungen und Aushebelung anderer Sicherheitsmechanismen durch die Software kann ein System durch deren Installation dann sogar auch unsicherer werden.^[26]

Aus diesen Gründen wird vor allem in moderneren Betriebssystemen (z. B. Android oder iOS), die über stärkere inhärente Sicherheitskonzepte bereits besser abgesichert sind, von Antivirensoftware abgeraten.^[27]

Gegen Angriffe, die ohne das aktive Zutun des Nutzers drohen, können Firewalls, wie eine Netzwerk-Firewall oder eine Personal Firewall schützen. Sie verhindern unerwünschte Zugriffe auf den Computer oder ein Netzwerk.

Firewalls sind theoretisch für die Sicherheit eines Systems nicht zwingend notwendig, sondern bieten eine zusätzliche Vorsichtsmaßnahme vor Angriffen. Da in der Praxis allerdings auch in weit verbreiteter Software immer wieder Sicherheitslücken gefunden werden, ist der Betrieb einer Firewall durchaus wichtig. Außerdem kann eine Firewall davor schützen, dass durch fehlerhafte Konfiguration des Nutzers induzierte Sicherheitslücken von Außen tatsächlich ausgenutzt werden können.

Allerdings können Firewalls bei falscher Konfiguration auch selbst Sicherheitsprobleme auslösen.^[28]

Eine Sandbox (übertragene Bezeichnung: „Sandkasten“) sperrt ein potenziell schädliches Programm ein. Im schlimmsten Falle kann das Programm im Innern der Sandbox Schaden anrichten. Beispielsweise gibt es keinen Grund, weshalb ein PDF-Reader auf OpenOffice-Dokumente zugreifen muss. Die Sandbox wäre in diesem Fall „alle PDF-Dokumente und sonst nichts“. Techniken wie AppArmor und SELinux ermöglichen den Bau einer Sandbox.

Bei aktiven Inhalten handelt es sich um Funktionalitäten, die die Bedienung eines Computers vereinfachen sollen. Das automatische Öffnen beziehungsweise Ausführen von heruntergeladenen Dateien birgt jedoch die Gefahr, dass diese schädlichen Code ausführen und den Rechner infizieren. Um dies zu vermeiden, sollten aktive Inhalte, wie zum Beispiel JavaScript im Browser oder VBA Makros in Office-Dokumenten, so weit wie möglich deaktiviert werden.

Eine Verschlüsselung bezeichnet den Prozess der Umwandlung einer lesbaren Datei in eine nicht-lesbare Datei mithilfe eines Verschlüsselungsalgorithmus.^[29]

Daten, die nicht in die Hände Dritter geraten sollen, können durch geeignete Maßnahmen, wie zum Beispiel mit der Software GPG oder mit Festplattenverschlüsselung, geschützt werden (siehe auch Kryptographie). Dies betrifft nicht nur Daten, die sich zwischen zwei Rechnern im Transit befinden, sondern auch Daten, die sich stationär auf Massenspeichern befinden. Ein typisches Beispiel ist die Übertragung von Kreditkartennummern während des Online-Einkaufs, welche oft^[30] via HTTPS geschützt werden. Der Zugriff auf den Inhalt ist nur dann möglich, wenn eine Partei über den richtigen Schlüssel verfügt. Besonders gefährdet sind unverschlüsselte, kabellose Netze, wie zum Beispiel offene WLANs. Sollten hier sensible Daten unsicher (z. B. über unverschlüsseltem HTTP) übertragen werden und keine weiteren Schutzmaßnahmen ergriffen worden sein, wie z. B. der Einsatz eines VPNs, erhalten Unbefugte trivial unbemerkten Zugriff auf die übertragenen Daten.

Auch für Behörden und Unternehmen ist die Datensicherheit, vor allem in Bezug auf den Datentransport, ein äußerst sensibles Thema. Immer wieder erfordern Geschäftsprozesse die mobile Verfügbarkeit von Forschungs-, Finanz-, Kunden- oder Kontodaten. Bei der Datenaufbewahrung und dem Datentransport müssen sich Behörden und Unternehmen auf höchste Sicherheit verlassen können. Gelangen sensible Daten in unbefugte Hände, entsteht meist ein irreparabler Schaden, insbesondere wenn die Daten verbreitet oder missbraucht werden. Um dies zu verhindern und höchste Datensicherheit für den mobilen Datentransport zu gewährleisten, müssen neben dem Kriterium der Datenverschlüsselung auch die Kriterien wie Datenintegrität (siehe Authentifizierung) und Lebenszyklus der Schlüssel beachtet werden.

Das angestrebte Niveau an Datensicherheit bestimmt die empfohlenen Verschlüsselungsmethoden und Verschlüsselungsstärken. Für Anwendungen mit symmetrischer Verschlüsselung empfiehlt das BSI (Deutschland) die Verschlüsselungsmethode AES mit einer Schlüssellänge ab 128 Bit.^[31] Als Betriebsart werden CCM, GCM, CBC und CTR empfohlen.

Passwörter, persönliche Identifikationsnummern (PIN) und Transaktionsnummern (TAN) sollten nicht unverschlüsselt gespeichert oder übertragen werden.

In der symmetrischen Verschlüsselung verwenden sowohl der Sender als auch der Empfänger denselben geheimen Schlüssel für die Verschlüsselung und Entschlüsselung von Daten. Dieses Verfahren zeichnet sich durch seine Einfachheit und Schnelligkeit bei der Codierung und Decodierung aus.^[32]

Asymmetrische Verschlüsselungsverfahren verwenden Schlüsselpaare, bestehend aus einem öffentlichen und einem geheimen Schlüssel, für die Ver- und Entschlüsselung von Daten. Die Nachricht wird mit dem öffentlichen Schlüssel verschlüsselt und kann nur mit dem zugehörigen geheimen Schlüssel entschlüsselt werden. Sender und Empfänger verwenden somit unterschiedliche, aber miteinander korrespondierende Schlüssel, wodurch ein sicherer Austausch von verschlüsselten Informationen ermöglicht wird.^[33]

Eine digitale Signatur, auch als digitale Unterschrift bekannt, dient dazu, die Authentizität, Integrität und Verbindlichkeit von elektronisch übermittelten Dateien sicherzustellen. Diese Signatur kann nur korrekt von einer einzigen Stelle erstellt werden, jedoch von allen Empfängern der Nachricht auf Validität überprüft werden.^[34]

Der Absender (A) einer Nachricht erzeugt aus dem Dokument eine Sequenz von 128 oder 512 Bits. Diese wird mithilfe seines privaten Schlüssels verschlüsselt und zusammen mit der Nachricht an den Empfänger (B) geschickt. Dort wird ein Kontrollfingerabdruck des Dokuments erstellt, und die Signatur wird mit dem öffentlichen Schlüssel von A entschlüsselt. B überprüft, ob der gesendete Fingerabdruck und der erzeugte Fingerabdruck übereinstimmen, um die Authentizität der Nachricht zu bestätigen. Dieser Prozess gewährleistet, dass die Nachricht von A stammt und während der Übertragung nicht manipuliert wurde.^[35]

Automatisch erstellte Protokolle oder Logdateien können dabei helfen, zu einem späteren Zeitpunkt zu ermitteln, wie es zu Schäden an einem Rechnersystem gekommen ist.

Für die Generierung und Wartung sicherer Software ist es sehr nützlich, schon bei der Softwareentwicklung strukturiert zu programmieren und leicht überschaubare und erlernbare Werkzeuge zu verwenden, die möglichst enggefasste Sichtbarkeitsregeln und gekapselte Programmmodule mit eindeutig definierten Schnittstellen erlauben.^[36] Durch eingeschränkte Freiheiten bei der Programmierung, wie zum Beispiel die Beschränkung auf einfache Vererbung oder das Verbot von Zirkelbezügen oder kritischen Typumwandlungen, wird in der Regel zugleich das Potenzial von Programmfehlern eingeschränkt. Dabei ist es auch sinnvoll und hilfreich, bereits getestete Software durch geeignete Maßnahmen wiederzuverwenden, wie zum Beispiel durch die Verwendung von Prozeduren oder objektorientierten Datenstrukturen.

Entwickler von Software, die zum sicheren Datenaustausch zwischen Rechnern eingesetzt wird, müssen moderne Entwicklungssysteme und Programmiersprachen einsetzen, da ältere Systeme häufig Sicherheitslücken aufweisen und nicht über die entsprechende Sicherheitsfunktionalität verfügen. Sichere Software ist nur in entsprechenden, modernen und sicheren Laufzeitumgebungen lauffähig und sollte mit Entwicklungswerkzeugen (wie zum Beispiel Compilern) erstellt werden, die ein möglichst hohes Maß an inhärenter Sicherheit bieten, wie zum Beispiel Modulsicherheit, Typsicherheit oder die Vermeidung von Pufferüberläufen.

Auch bei Geräten, die nicht in einem Rechnernetz beziehungsweise im Internet der Dinge betrieben werden, kann die Informationssicherheit durch geeignete Entwicklungssysteme und Laufzeitumgebungen erhöht werden. Datenverlust durch unzuverlässigen Programmcode (Computerabsturz) kann vorbeugend zum Beispiel durch compilergenerierte Überprüfung von Indizes von Datenfeldern, unzulässigen Zeigern oder nach dem Auftreten von Programmfehlern durch Ausnahmebehandlung in der Laufzeitumgebung vermieden werden. Ferner ist es in objektorientierten Laufzeitumgebungen unerlässlich und auch in anderen Systemen sicherer, eine automatische Speicherbereinigung durchzuführen, damit nicht versehentlich Speicherplatz freigegeben wird.

Manche Entwickler vertrauen auf die Verifikation von Programmcode, um die Korrektheit von Software zu verbessern. Ferner ist es möglich, bereits implementierte Software durch bestimmte Verfahren, wie zum Beispiel die Verwendung von Proof-Carrying Code, erst während der Laufzeit zu überprüfen und deren Ausführung bei der Nichteinhaltung von Sicherheitsrichtlinien zu verhindern.

Ein wichtiger Aspekt in der Umsetzung von Sicherheitsrichtlinien ist die Ansprache der eigenen Mitarbeiter, die Bildung von sogenannter IT-Security-Awareness. Hier fordern die ersten Arbeitsrichter den Nachweis der erfolgten Mitarbeitersensibilisierung für den Fall eines etwaigen Verstoßes gegen die Firmenrichtlinien.

Da Industriespionage oder gezielte, wirtschaftlich motivierte Sabotage gegen Unternehmen nicht allein mit technischen Mitteln, sondern beispielsweise durch Social Engineering ausgeführt werden, erhält diese menschliche Seite der Informationssicherheit zusätzliche Bedeutung. Mitarbeiter sollten über mögliche Tricks der Angreifer orientiert sein und gelernt haben, mit potenziellen Angriffen umzugehen. Die Sensibilisierung variiert typischerweise von Unternehmen zu Unternehmen von Präsenzveranstaltungen über webbasierte Seminare bis hin zu Sensibilisierungskampagnen.

Der Fokus verschiebt sich dabei inzwischen von der reinen Sensibilisierung (Awareness) hin zur Befähigung (Empowerment) der Anwender, eigenverantwortlich für mehr Sicherheit im Umgang mit IT-gestützten Informationen zu sorgen.^[37] In Unternehmen kommt dabei dem „Information Security Empowerment“ der Führungskräfte besondere Bedeutung zu, da sie Vorbildfunktion für ihre Abteilungsmitarbeiter haben und dafür verantwortlich sind, dass die Sicherheitsrichtlinien ihres Verantwortungsbereiches zu den Arbeitsabläufen passen – eine wichtige Voraussetzung für die Akzeptanz.^[38]

Biometrie bezeichnet die quantitative Erfassung einzigartiger und konstant bleibender physischer Merkmale eines Individuums zur eindeutigen Identifikation. Diese unverwechselbaren persönlichen Merkmale umfassen Gesichtszüge, Handgeometrie, Stimme, Augenmuster und Fingerabdrücke. Durch die präzise Vermessung und Analyse dieser charakteristischen Eigenschaften ermöglicht die Biometrie eine zuverlässige Identifikation von Personen, wodurch sie in verschiedenen Anwendungsgebieten wie Sicherheitssystemen, Zugangskontrollen und Identitätsverifizierung eingesetzt wird.^[39]

Bei der biometrischen Erfassung von Fingerabdrücken erfolgt die Identifikation anhand der charakteristischen Verzweigungen und Rillenmuster. Diese individuellen Merkmale werden präzise ermittelt, sorgfältig gespeichert und einer Datenreduktion unterzogen, um eine effiziente und sichere Speicherung zu gewährleisten. Dieser Prozess ermöglicht eine zuverlässige und präzise Identifikation von Personen anhand ihrer einzigartigen Fingerabdruckmuster und findet breite Anwendung in Sicherheitssystemen, forensischer Wissenschaft und anderen Bereichen, in denen eine genaue Personenidentifikation von entscheidender Bedeutung ist.^[40]

Zur Bewertung und Zertifizierung der Sicherheit von Computersystemen existieren internationale Normen. Wichtige Normen in diesem Zusammenhang waren die amerikanischen TCSEC und die europäischen ITSEC-Standards. Beide wurden 1996 von dem neueren Common-Criteria-Standard abgelöst. Die Evaluierung und Zertifizierung von IT-Produkten und -systemen erfolgt in Deutschland in der Regel durch das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Die Aufgabe des IT-Sicherheitsmanagements ist die systematische Absicherung eines informationsverarbeitenden IT-Verbundes. Gefahren für die Informationssicherheit oder Bedrohungen des Datenschutzes eines Unternehmens oder einer Organisation sollen verhindert oder abgewehrt werden. Die Auswahl und Umsetzung von IT-Sicherheitsstandards zählt zu den Aufgaben des IT-Sicherheitsmanagements. Standards des IT-Sicherheitsmanagements sind beispielsweise:

• IT-Grundschutz des BSI
  • Die IT-Grundschutz-Kataloge definieren für die verschiedenen Aspekte einer IT-Landschaft konkrete Maßnahmen, die zur Erhaltung der Sicherheit bei niedrigem und mittlerem Schutzbedarf erfüllt werden müssen (Waschzettel). Für Systeme mit hohem Schutzbedarf geben die Grundschutzkataloge ein strukturiertes Vorgehen, um die notwendigen Maßnahmen zu identifizieren. Die Grundschutz-Kataloge sind primär in Deutschland bekannt, liegen allerdings auch englischsprachig vor.
• ISO/IEC 27001: Norm für Informationssicherheitsmanagementsysteme (ISMS)
• ISO/IEC 27002: Leitfaden für das Informationssicherheitsmanagement (vormals ISO/IEC17799:2005)

Weltweit am stärksten verbreitet ist die ISO/IEC 27001-Norm.

Weitere Standards sind zu finden im

Das Fachgebiet Security Engineering stellt Instrumente zur Abwehr und Analyse von Angriffen und Bedrohungen von IT-Systemen bereit.^[41][42]

Neben den Standards zur Informationssicherheit gibt es auch Standards für die Ausbildung von Sicherheitsfachkräften. Als wichtigste sind zu nennen die Zertifizierungen zum Certified Information Security Manager (CISM) und Certified Information Systems Auditor (CISA) der ISACA, die Zertifizierung zum Certified Information Systems Security Professional (CISSP) des International Information Systems Security Certification Consortium (ISC)², die Security+ Zertifizierung von CompTIA, die Zertifizierung zum TeleTrusT Information Security Professional (TISP)^[43] des TeleTrusT – Bundesverband IT-Sicherheit e. V. sowie die GIAC-Zertifizierungen des SANS Institute. Eine erweiterte Übersicht bietet die Liste der IT-Zertifikate.

Um ein gewisses Standardmaß an Informationssicherheit zu gewährleisten, ist die regelmäßige Überprüfung von Maßnahmen zur Risikominimierung und -dezimierung Pflicht. Auch hier rücken wieder organisatorische und technische Aspekte in den Vordergrund.

Technische Sicherheit kann zum Beispiel durch Maßnahmen wie regelmäßige Penetrationstests oder vollständige Sicherheitsaudits erreicht werden, um eventuell bestehende Sicherheitsrisiken im Bereich von informationstechnischen Systemen, Applikationen und/oder in der informationstechnischen Infrastruktur zu erkennen und zu beseitigen.

Organisatorische Sicherheit kann durch Audits der entsprechenden Fachabteilungen einer Organisation erreicht und überprüft werden. Beispielsweise können vordefinierte Testschritte beziehungsweise Kontrollpunkte eines Prozesses während eines Audits getestet werden.

Aus Feststellungen der weitreichenden Überprüfungsmethoden lassen sich Maßnahmen zur weiteren Risikominimierung beziehungsweise -dezimierung ableiten. Eine Methodik, wie in diesem Absatz beschrieben, ist unmittelbar konform zu Normen wie ISO/IEC 27001, BS 7799 oder gesetzlichen Vorschriften. Hier wird meist eine Nachvollziehbarkeit über Vorgänge der Informationssicherheit unmittelbar eingefordert, indem Unternehmen ein Risikomanagement abverlangt wird.

Bei der Arbeit an Maschinen und Anlagen haben Komponenten der funktionalen Sicherheit für den Menschen eine wichtige Schutzfunktion. Damit Sicherheitsfunktionen von Steuerungen zuverlässig funktionieren, muss auch die Steuerung selbst vor Ausfall und Manipulation geschützt werden. Daher werden auch Security-Aspekte der funktionalen Sicherheit von industriellen Automatisierungssystemen geprüft und zertifiziert. Diese Prüfung/Zertifizierung kann nur in Kombination mit einer Zertifizierung der funktionalen Sicherheit durchgeführt werden oder auf einer solchen Zertifizierung aufbauen. Ein Prüfgrundsatz formuliert Anforderungen für das Erreichen eines Security-Levels 1 (SL 1: Schutz gegen gelegentlichen oder zufälligen Verstoß) nach DIN EN 62443-3-3. Weitere Grundlagen dieses Prüfgrundsatzes sind die Normen IEC/TS 62443-1-1, DIN EN IEC 62443-4-1, DIN EN IEC 62443-4-2.^[44] Den organisatorischen Ablauf einer Prüfung/Zertifizierung regelt die DGUV Test Prüf- und Zertifizierungsordnung, Teil 1: Zertifizierung von Produkten, Prozessen und Qualitätsmanagementsystemen (DGUV Grundsatz 300-003).^[45]

Zur Sensibilisierung für die Gefahren im Bereich der IT-Sicherheit und um mögliche Gegenmaßnahmen aufzuzeigen, existieren in Deutschland einige Initiativen. Dazu zählen:

• der Cyber-Sicherheitsrat Deutschland e. V.,
• der Verein Deutschland sicher im Netz,
• die Allianz für Cyber-Sicherheit und
• die Sicherheitskooperation Cybercrime.

Programmierfehler in fast jeder Software machen es quasi unmöglich, Sicherheit vor jeder Art von Angriffen zu erreichen. Durch den Anschluss von Computern mit sensiblen Daten (zum Beispiel Homebanking, Bearbeitung der Dissertation) an das Internet sind diese Schwachstellen auch von außen nutzbar. Der Standard an IT-Sicherheit in Privathaushalten ist geringer, da kaum ausreichende Maßnahmen zur Absicherung der Infrastruktur (zum Beispiel unterbrechungsfreie Stromversorgung, Einbruchsschutz) ergriffen werden.

Aber auch in anderen Bereichen besteht in privaten Haushalten weiterhin ein Defizit.

Viele private Benutzer haben noch nicht verstanden, dass es wichtig ist, die Konfiguration der genutzten Software an die jeweiligen Bedürfnisse anzupassen. So ist es bei vielen an das Internet angeschlossenen Rechnern nicht nötig, dass auf ihnen Server-Programme laufen. Server-Dienste werden von vielen Betriebssystemen in der Standardinstallation geladen; mit deren Deaktivierung schließt man eine Reihe wichtiger Angriffspunkte.

Sicherheitsaspekte wie zum Beispiel die Einrichtung von Zugriffsbeschränkungen sind vielen Benutzern ebenfalls fremd. Außerdem ist es von Bedeutung, sich über Schwachstellen in der eingesetzten Software zu informieren und regelmäßig Aktualisierungen einzuspielen.

Zur Computersicherheit gehört nicht nur der präventive Einsatz technischer Werkzeuge wie beispielsweise Firewalls, Intrusion-Detection-Systeme etc., sondern auch ein organisatorischer Rahmen in Form durchdachter Grundsätze (Policy, Strategie), die den Menschen als Anwender der Werkzeuge in das System einbezieht. Allzu oft gelingt es Hackern, durch Ausnutzung eines zu schwachen Kennworts oder durch sogenanntes Social Engineering Zugang zu sensiblen Daten zu erlangen.

Zur Beschleunigung des Prozesses und Hervorhebung der Wichtigkeit haben unter anderem die Ergebnisse von Basel II, die Vorschriften von BaFin und des KWG sowie der einzelnen Verbandsrevisionen der Sparkassen und Banken beigetragen. Verstärkt werden sowohl externe als auch interne Prüfungen auf dieses Thema ausgelegt. Gleichzeitig entstand ein umfangreiches Dienstleistungsangebot zur Durchführung verschiedener Projekte, die einen IT-Sicherheitsprozess in Unternehmen etablieren sollen. Anbieter sind sowohl innerhalb der jeweiligen Unternehmensgruppe als auch auf dem externen Markt zu finden. Bei anderen Finanzdienstleistungsinstituten, Versicherungsunternehmen und den Unternehmen des Wertpapierhandels wird das Konzept im Allgemeinen identisch sein, wobei hier zum Beispiel auch andere Gesetze eine Rolle spielen können.

Auch wenn die Gesetzgebungen und Prüfungen in anderen Sektoren der Wirtschaft weniger Vorgaben macht, behält die IT-Sicherheit ihren hohen Stellenwert. Hilfestellungen gewähren die kostenfreien IT-Grundschutz-Kataloge des BSI.

Durch die zunehmende Vernetzung verschiedener Niederlassungen z. B. bei Firmenzukäufen gewinnt eine Absicherung der IT-Systeme größere Bedeutung. Durch die Datenübertragung aus einem internen, geschlossenen Netzwerk über eine externe, öffentliche Verbindung zum anderen Standort entstehen risikobehaftete Situationen.

Die Auswirkungen für Unternehmen sind u. a.:

• Verlust von Daten,
• Manipulation von Daten,
• unzuverlässiger Empfang von Daten,
• verspätete Verfügbarkeit von Daten,
• Abkopplung von Systemen für das operative Geschäft,
• unzulässige Verwertung von Daten,
• fehlende Entwicklungsfähigkeit der eingesetzten Systeme.

Die Gefahr liegt nicht nur im firmeninternen Datenaustausch. Zunehmend werden Anwendungen direkt zu den Nutzern übertragen, oder externe Mitarbeiter und outgesourcte Dienstleister können auf interne Daten zugreifen und diese bearbeiten und verwalten. Dies erfordert entsprechende Zugriffsberechtigungen (Authentifizierung) sowie eine Dokumentation der getätigten Aktionen wie Datenabruf oder Datenänderungen.

Dieser Thematik folgend entstehen neue Anforderungen an die bestehenden Sicherheitskonzepte. Hinzu kommen die gesetzlichen Vorgaben, die ebenfalls in das IT-Sicherheitskonzept mit integriert werden müssen. Die entsprechenden Gesetze werden von externen und internen Prüfern kontrolliert. Da keine Methoden definiert worden sind, um diese Ergebnisse zu erreichen, wurden hier für die jeweiligen Bereiche verschiedenen „Best Practice“-Methoden entwickelt, wie zum Beispiel ITIL, COBIT, ISO oder Basel II.

Hier gilt der Ansatz, ein Unternehmen so zu führen und zu kontrollieren, dass die relevanten und möglichen Risiken abgedeckt sind (IT-Governance). Grundlagen dafür sind sowohl die zwingenden Standards, also Gesetze (HGB, AO, GOB) und Fachgutachten (Sarbanes-Oxley Act, 8. EU-Audit-Richtlinie), als auch die unterstützenden Standards (Best Practice).

Die Risiken müssen identifiziert, analysiert und bewertet werden, um ein ganzheitliches Sicherheitskonzept aufbauen zu können. Dies beinhaltet nicht nur die eingesetzten Technologien, sondern auch konzeptionelle Aspekte wie Zuständigkeiten, Berechtigungen, Kontrollinstanzen oder Mindestanforderungen für bestimmte Sicherheitsmerkmale.

So werden nun an die EDV besondere Anforderungen gestellt:

1. Verhinderung von Manipulationen
2. Nachweis von Eingriffen
3. Installation von Frühwarnsystemen
4. Interne Kontrollsysteme

Dabei ist zu beachten, dass die Daten der Automation derart gespeichert werden, dass sie jederzeit lesbar, nachvollziehbar und konsistent sind. Dazu müssen diese Daten vor Manipulation und Löschung geschützt werden. Jegliche Änderung soll ein Versionsmanagement auslösen und die Reporte und Statistiken über die Prozesse und deren Änderungen müssen direkt zentral abrufbar sein.

Eine Abhilfe können hier hochentwickelte Automatisierungslösungen sein. Dadurch, dass weniger manuelle Eingriffe notwendig sind, werden potenzielle Gefahrenquellen ausgeschlossen.
Die RZ-Automation umfasst somit folgende Risikofaktoren:

• Prozessablauf
• Ressourcen
• Technologie
• Zeit.

Im Bereich öffentliche Einrichtungen und Behörden sind die IT-Grundschutz-Kataloge des Bundesamtes für Sicherheit in der Informationstechnik (BSI) Standardwerke. In großem Maße erhielten diese Stellen die unterstützende Software GSTOOL, welches die Durchführung deutlich vereinfachen sollte, kostenlos. Seit 2017 wurden diese Kataloge durch das IT-Grundschutz-Kompendium abgelöst.

Moderne Autos sind durch Online-Funktionen anfälliger für Cyber-Angriffe. Aus diesem Grund wurde die Norm ISO/SAE 21434 „Road vehicles – Cybersecurity engineering“ entwickelt. Die Norm schlägt Maßnahmen für die Entwicklung vor und ist seit August 2021 „Published“.^[46]

Im September 2022 schlug die Europäische Kommission die Cyberresilienz-Verordnung (den „Cyber Resilience Act“) vor. Dieses Gesetz soll Software-Anbieter dazu verpflichten, für die Sicherheit ihrer Produkte zu sorgen. Stand Juli 2023 wird die genaue Ausgestaltung des Gesetzes noch verhandelt.

Corporate Governance kann als Rahmen der IT-Sicherheit gesehen werden. Der Begriff stammt aus dem strategischen Management und bezeichnet einen Prozess zur Steuerung eines privatwirtschaftlichen Unternehmens. Durch Regeln und Kontrollmechanismen wird ein Ausgleich zwischen den verschiedenen Interessengruppen (Stakeholdern) angestrebt. Der Prozess dient dem Erhalt des Unternehmens und unterliegt einer regelmäßigen externen Überprüfung.^{[47]:32 f.}

Mit dem Ziel einer besseren Überwachung der Unternehmensführung (Corporate Governance) und um ausländischen Investoren den Zugang zu Informationen über die Unternehmen zu erleichtern (Transparenz), trat im Mai 1998 das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) in Kraft. Kernthema der weitreichenden Änderungen im Handelsgesetzbuch (HGB) und im Aktiengesetz (AktG) war die Einführung eines Risikofrüherkennungssystems zur Erkennung von bestandsgefährdenden Risiken. Jedes am Kapitalmarkt orientierte Unternehmen musste ein solches System einrichten und Risiken des Unternehmens im Lagebericht des Jahresabschlusses veröffentlichen.^{[48]:37 f.}

Der im Juli 2002 in Kraft getretene Sarbanes-Oxley Act (SOX) hatte das Ziel, verlorengegangenes Vertrauen der Anleger in die veröffentlichten Bilanzdaten von amerikanischen Unternehmen wiederherzustellen. Tochterunternehmen amerikanischer Gesellschaften im Ausland und nichtamerikanische Firmen, die an amerikanischen Börsen gehandelt werden, unterliegen ebenfalls dieser Regelung.^{[49]:295 f.} Das Gesetz schreibt Vorkehrungen im Bereich der IT-Sicherheit wie die Einführung eines Information Security Management Systems (ISMS) nicht explizit vor. Eine einwandfreie Berichterstattung über die internen Unternehmensdaten ist nur durch zuverlässige IT-Prozesse und einen angemessenen Schutz der verwendeten Daten möglich. Eine Konformität mit dem SOX ist daher nur mit Hilfe von Maßnahmen zur IT-Sicherheit möglich.^{[49]:295 f.[50]:3 f.}

Die europäische Achte Richtlinie 2006/43/EG (auch „EuroSOX“ genannt) entstand in Anlehnung an das amerikanische SOX-Gesetz und trat im Juni 2006 in Kraft. Sie beschreibt die Mindestanforderungen an Unternehmen für ein Risikomanagement und legt die Pflichten der Abschlussprüfer fest.^[49]:296

Die deutsche Umsetzung der europäischen EuroSOX erfolgte im Bilanzrechtsmodernisierungsgesetz (BilMoG). Es trat im Mai 2009 in Kraft. Das Gesetz änderte zum Zwecke der Harmonisierung mit Europarecht einige Gesetze wie das HGB und das Aktiengesetz. Unter anderem sind Kapitalgesellschaften wie eine AG oder eine GmbH laut § 289 HGB Abs. 5 aufgefordert, wesentliche Eigenschaften ihres Internen Kontrollsystems (IKS) im Lagebericht des Jahresabschlusses darzulegen.^[49]:296

In den europäischen Regelungen Richtlinie über Eigenkapitalanforderungen (Basel I) aus dem Jahr 1988 und Richtlinie für Basissolvenzkapitalanforderungen aus dem Jahr 1973 (2002 aktualisiert; nachträglich als Solvabilität I bezeichnet) wurden viele einzelne Gesetze unter einem Oberbegriff zusammengefasst.^[51] Diese für Kreditinstitute und Versicherungsunternehmen bedeutsamen Regelungen enthielten viele Schwächen. Die neuen Regelungen Basel II für Banken (EU-weit in Kraft seit Januar 2007) und Solvabilität II für Versicherer (in Kraft seit Januar 2016) enthalten modernere Regelungen für ein Risikomanagement.^{[49]:296 f.} Die Nachfolgeregelung Basel III ist von entscheidender Bedeutung für die Stabilität und effiziente Funktionsweise des Bankensystems, um nachhaltige wirtschaftliche Erholung und Wachstum zu fördern. Die vollständige Umsetzung der Baseler Standards schafft zudem faire Wettbewerbsbedingungen für international agierende Banken. Die Gruppe der Zentralbankgouverneure und Leiter der Aufsichtsbehörden, das Aufsichtsgremium des Basler Ausschusses, genehmigte im Dezember 2017 den Abschluss der Basel-III-Reformen. Nach einer Verschiebung aufgrund von COVID-19 trafen diese Reformen erst ab dem 1. Januar 2023 in Kraft statt wie zuvor erwartet ab dem Jahr 2019. Die neuen Reformen werden von nun an über einen Zeitraum von fünf Jahren schrittweise eingeführt.^[52]

Die erste Fassung des Bundesdatenschutzgesetzes (BDSG) mit dem Namen Gesetz zum Schutz vor Missbrauch personenbezogener Daten bei der Datenverarbeitung wurde am 27. Januar 1977 erlassen (BGBl. I S. 201). Unter dem Eindruck des sogenannten Volkszählungsurteils von 1983 trat durch das Gesetz zur Fortentwicklung der Datenverarbeitung und des Datenschutzes vom 20. Dezember 1990 am 1. Juni 1991 eine Neufassung des BDSG in Kraft (BGBl. 1990 I S. 2954, 2955). Eine der zahlreichen Änderungen des Gesetzes trat im August 2002 in Kraft. Sie diente der Anpassung des Gesetzes an die Richtlinie 95/46/EG (Datenschutzrichtlinie).^[53]

Neben dem BDSG existieren in Deutschland weitere gesetzliche Vorschriften, die die Einführung und das Betreiben eines ISMS erfordern. Dazu zählen das Telemediengesetz (TMG) und das Telekommunikationsgesetz (TKG).

Der Schutz der Privatsphäre wird in Großbritannien seit 1984 durch den Data Protection Act (DPA) geregelt. Dieser bot in seiner ursprünglichen Version einen minimalen Datenschutz. Die Verarbeitung personenbezogener Daten wurde 1998 durch eine neue Fassung des DPA ersetzt. Diese trat 2000 in Kraft und glich britisches Recht an die EG-Richtlinie 95/46/EG an. In Großbritannien verpflichtete die britische Regierung 2001 alle Ministerien mit dem BS 7799 konform zu werden. Die Implementierung eines ISMS erleichtert es britischen Unternehmen, eine Konformität zum DPA nachzuweisen.^{[54]:135 f.}

Die Datenschutz-Grundverordnung setzt die Richtlinie 95/46/EG außer Kraft. Sie trat am 24. Mai 2016 in Kraft und gilt ab 25. Mai 2018 unmittelbar in allen Staaten der Europäischen Union. Die bisherigen nationalen Regelungen wie das deutsche BDSG wurden abgelöst bzw. neu gefasst, um die Regelungsaufträge der Verordnung an den nationalen Gesetzgeber zu erfüllen.

Unter dem Eindruck von Terroranschlägen und aus militärischen Erwägungen tritt in Deutschland und anderen Ländern zunehmend der Schutz kritischer Infrastrukturen vor Cyber-Attacken in den Vordergrund. Hierzu trat am 25. Juli 2015 ein Artikelgesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz, ITSiG) in Kraft.^[55] Das Gesetz weist dem Bundesamt für Sicherheit in der Informationstechnik die zentrale Rolle beim Schutz kritischer Infrastrukturen in Deutschland zu.

Hierzu wurde das BSI-Gesetz um Sicherheitsanforderungen an sogenannte „Kritische Infrastrukturen“ ergänzt. Dies sind Einrichtungen, Anlagen oder Teile davon, die

• den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen angehören und
• von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden.

In einer zugehörigen Verordnung KRITIS-Verordnung (BSI-KritisV^[56]) wird geklärt, welche Einrichtungen, Anlagen oder Teile davon konkret unter die Vorgaben des IT-Sicherheitsgesetzes fallen. Unter anderem zählen Stromnetze, Atomkraftwerke und Krankenhäuser dazu.^[57]

Kritische Infrastrukturen müssen branchenspezifische Mindeststandards erfüllen, wozu insbesondere die Einführung eines ISMS zählt. Weiterhin müssen sie relevante Vorfälle, die die IT-Sicherheit betreffen, an das BSI melden.

Durch das IT-Sicherheitsgesetz wurden außerdem weitere Gesetze wie z. B. das Energiewirtschaftsgesetz geändert. Durch die Änderung des Energiewirtschaftsgesetzes werden sämtliche Strom- und Gasnetzbetreiber verpflichtet, den IT-Sicherheitskatalog der Bundesnetzagentur umzusetzen und ein ISMS einzuführen.^[58]

Am 27. März 2019 veröffentlichte das Bundesinnenministerium ferner den Entwurf für ein IT-Sicherheitsgesetz 2.0, der einen ganzheitlichen Ansatz zur IT-Sicherheit enthält. Aufgenommen werden soll unter anderem ein verbraucherfreundliches IT-Sicherheitskennzeichen für Handelsprodukte, zudem werden die Kompetenzen des BSI gestärkt und Straftatbestände in der Cybersicherheit und die damit verbundene Ermittlungstätigkeit ausgedehnt. Der Gesetzentwurf erweitert zudem die Adressaten von Meldepflichten und Umsetzungsmaßnahmen. Insgesamt ist durch das Gesetz mit einer erheblichen wirtschaftlichen Mehrbelastung für Unternehmen und Behörden zu rechnen.^[59]

Im Dezember 2020 legte die Bundesregierung weitere Entwürfe für das IT-Sicherheitsgesetz 2.0 vor.^[60] Verbände und andere Interessensvertreter kritisierten die kurze Kommentarfrist von wenigen Tagen, teils nur 24 Stunden, die laut Kritikern einem „faktischen Ausschluss von Beteiligung“ gleichkämen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) werde zu einer „Cyber-Behörde mit Hackerbefugnissen“ aufgerüstet.^[61] Der Bundesverband der Verbraucherzentralen begrüßte, dass das BSI auch den Schutz von Konsumenten erhalten soll, wies aber zugleich auf mögliche Interessenskonflikte mit anderen Aufgabenbereichen dieser Behörde wie der Unterstützung bei der Strafverfolgung hin.^[62] Am 16. Dezember 2020 wurde das IT-Sicherheitsgesetz 2.0 im Kabinett beschlossen und zur Notifizierung bei der Europäischen Kommission eingereicht. Nachdem das Gesetzesvorhaben im Frühjahr 2021 den Bundestag und Bundesrat passiert hatte, trat das IT-Sicherheitsgesetz 2.0 Ende Mai offiziell in Kraft.^[63]

Jegliches rechtswidrige Verändern, Löschen, Unterdrücken oder Unbrauchbar-Machen fremder Daten erfüllt den Tatbestand nach § 303a StGB (Datenveränderung). In besonders schweren Fällen ist dies auch nach § 303b I Nr. 1 StGB („Computersabotage“) strafbar und wird mit Haftstrafe von bis zu fünf Jahren oder Geldstrafe bestraft. Die Durchführung von DDOS-Attacken stellt seit 2007 ebenfalls eine Computersabotage dar, Gleiches gilt für jegliche Handlungen, die zur Beschädigung eines Informationssystems führen, das für einen anderen von wesentlicher Bedeutung ist.

Das Ausspähen von Daten (§ 202a StGB), also die Erlangung des Zugangs zu fremden Daten, die hiergegen besonders geschützt sind, wird mit Haftstrafe bis zu drei Jahren oder mit Geldstrafe bestraft. Das Abfangen fremder Daten in Netzen oder aus elektromagnetischen Abstrahlungen ist seit 2007 ebenfalls strafbar, anders als bei § 202a StGB kommt es hier nicht auf eine besondere Zugangssicherung an. Das sich Verschaffen, Erstellen, Verbreiten, Öffentlich-Zugänglichmachen etc. von sog. „Hackertools“ steht ebenfalls seit 2007 unter Strafe, wenn damit eine Straftat vorbereitet wird (§ 202c StGB).

Daten sind nach § 202a Abs. 2 in Verbindung mit Abs. 1 aber nur vor dem Ausspähen geschützt, wenn sie „besonders gesichert“ sind, um ein Ausufern des Tatbestandes zu vermeiden. Das heißt, erst wenn der Nutzer seine Daten technisch schützt, genießt er auch den strafrechtlichen Schutz. Die frühere Debatte, ob das „Hacken“ ohne Abruf von Daten strafbar sei, ist hinfällig, seit der Wortlaut der Norm 2007 derart geändert wurde, dass Strafbarkeit bereits mit Erlangung des Zugangs zu Daten einsetzt. Weiter ist umstritten, ob die Verschlüsselung zur besonderen Sicherung zählt. Sie ist zwar sehr effektiv, aber es wird argumentiert, die Daten seien ja nicht gesichert, sondern lägen nur in „unverständlicher“ bzw. schlicht „anderer“ Form vor.

Als Computerbetrug wird nach § 263 a StGB mit Geldstrafe oder Freiheitsstrafe bis zu fünf Jahren bestraft, wenn Datenverarbeitungsvorgänge zur Erlangung von Vermögensvorteilen manipuliert werden. Schon das Erstellen, Verschaffen, Anbieten, Verwahren oder Überlassen dafür geeigneter Computerprogramme ist strafbar.

• Datei: Mind Map der Informationssicherheit
• Cyberabwehr, Netzwerksicherheit, IT-Sicherheitsverfahren
• Cyberangriff, Internetkriminalität, Computerkriminalität
• Europäische Agentur für Netz- und Informationssicherheit, TeleTrusT
• Need-to-know-Prinzip

• IBM X-Force Threat Reports (zweimal jährlich erscheinende Berichte zur IT- und Internetsicherheit, PDF-Downloads möglich – vgl. Anja Schütz, Florian Kalenda: IBMs X-Report: „Im Internet kann man niemandem mehr trauen“. ZDNet.de, 27. August 2009)
• Fokus: IT-Sicherheit. In: Technology Review, Nr. 7/2009 (12 S. Sonderteil)
• Dietmar Abts, Wilhelm Mülder: Grundkurs Wirtschaftsinformatik. Eine kompakte und praxisorientierte Einführung, 8. überarbeitete und erweiterte Auflage, Vieweg+Teubner, 2013, ISBN 978-3-8348-1669-6
• Laudon, Kenneth C/Laudon, Jane P/Schoder, Detlef Pearson Studium: Wirtschaftsinformatik: Eine Einführung, Pearson Studium – Economic BWL, 3. überarbeitete und erweiterte Auflage, Pearson, Hallbergmoos 2016, ISBN 978-3-86894-269-9
• Clay Wilson: Botnets, Cybercrime, and Cyberterrorism: Vulnerabilities and Policy Issues for Congress. (PDF; 260 kB; 43 S.) Congressional Research Service, Update vom 29. Januar 2008
• IT-Sicherheitsmanagement und IT-Grundschutz BSI-Standards zur IT-Sicherheit. Bundesamt für Sicherheit in der Informationstechnik. In: Bundesanzeiger, 2005, ISBN 3-89817-547-2
• Steffen Wendzel, Johannes Plötner: Praxisbuch Netzwerksicherheit. Galileo Computing, 2007, ISBN 978-3-89842-828-6
• Ralf Röhrig, Gerald Spyra: Information Security Management – Praxishandbuch für Aufbau, Zertifizierung und Betrieb. Vierteljährliche Aktualisierung. TÜV Media, ISBN 978-3-8249-0711-3
• Claudia Eckert: IT-Sicherheit. Konzepte – Verfahren – Protokolle. 7., überarbeitete und erweiterte Auflage. Oldenbourg, München, 2012, ISBN 978-3-486-70687-1
• Gabriela Hoppe, Andreas Prieß: Sicherheit von Informationssystemen. Gefahren, Maßnahmen und Management im IT-Bereich. Verlag Neue Wirtschafts-Briefe, 2003, ISBN 3-482-52571-4
• Heinrich Kersten, Klaus-Dieter Wolfenstetter: Handbuch der Informations- und Kommunikationssicherheit Fachverlag Deutscher Wirtschaftsdienst, Köln 2000, ISBN 3-87156-403-6
• Stefan Kleinermann: Schlüsselelemente der IT-Sicherheit aus Sicht des IT-Sachverständigen proliteratur 2005, ISBN 3-86611-138-X
• Hans-Peter Königs: IT-Risiko-Management mit System. Vieweg 2005, ISBN 3-528-05875-7 (Ausführliche Rezension)
• Michael Mörike: IT-Sicherheit. dpunkt 2004, ISBN 3-89864-290-9
• Michael Mörike, Stephanie Teufel: Kosten und Nutzen IT-Sicherheit. dpunkt 2006, ISBN 3-89864-380-8
• Ulrich Moser: Information Security. Sicherheitskonzepte für Unternehmen. BPX.ch ICT-Fachverlag, Rheinfelden 2005, ISBN 3-905413-38-8
• Klaus-Rainer Müller: IT-Sicherheit mit System. 3. Auflage. Vieweg, 2008, ISBN 3-8348-0368-5
• Hartmut Pohl, Gerhard Weck: Einführung in die Informationssicherheit. Oldenbourg 1993, ISBN 3-486-22036-5
• Christoph Ruland: Informationssicherheit in Datennetzen VMI Buch AG, Bonn 1993, ISBN 3-89238-081-3
• Jürg Schneider: Informationssicherheit in der IT und persönliche Haftung der Verwaltungsräte. Bibliothek zur Zeitschrift für Schweizerisches Recht, Beiheft 48, Helbing Lichtenhahn Verlag, Basel 2008, ISBN 978-3-7190-2802-2
• Bruce Schneier: Angewandte Kryptographie. Pearson Studium, ISBN 978-3-8273-7228-4
• Bruce Schneier: Beyond Fear. Springer, ISBN 0-387-02620-7
• Bruce Schneier: Secrets & Lies: IT-Sicherheit in einer vernetzten Welt. dpunkt Verlag, 2004, ISBN 3-89864-302-6
• Markus Schumacher: Hacker Contest. Xpert.press, ISBN 3-540-41164-X
• Clifford Stoll: Kuckucksei: Die Jagd auf die deutschen Hacker, die das Pentagon knackten. Fischer Taschenbücher, ISBN 3-596-13984-8
• Görtz, Stolp: Informationssicherheit im Unternehmen. Sicherheitskonzepte und -lösungen in der Praxis Addison-Wesley, 1999, ISBN 3-8273-1426-7
• Johannes Wiele: Die Mitarbeiter als Firewall: Wie Sicherheitsbewusstsein entsteht. Über interne Awareness-Kampagnen bei SAP und Cisco. In: LANline, 7/2005, S. 56, ISSN 0942-4172
• Gerd Wolfram: Bürokommunikation und Informationssicherheit. Vieweg, Wiesbaden 1986, ISBN 3-528-03604-4
• Allgemeine IT-Sicherheits Broschüre für Konsumenten (PDF; 1,7 MB)
• Hacker’s Guide. Markt und Technik, ISBN 3-8272-6522-3
• Hacking Intern. Data Becker, ISBN 3-8158-2284-X
• Sicherheitskultur im Unternehmen. (PDF; 3,4 MB) IT-Sicherheitskonzept Handlungsempfehlungen für kleine und mittlere Unternehmen des Innenministeriums Baden-Württemberg
• Maßnahmenkatalog und Best Practices für die Sicherheit von Webanwendungen. (PDF) BSI, August 2006
• Andreas Pfitzmann: Scriptum Sicherheit in Rechnernetzen: Mehrseitige Sicherheit in verteilten und durch verteilte Systeme (PDF; 1,7 MB)
• Hakin9 – Hard Core IT Security Magazin – Magazin, das zweimonatlich erscheint; es dokumentiert jeweils immer die neuesten Sicherheitsprobleme bzw. Lösungen.
• Michael Helisch, Dietmar Pokoyski, Kathrin Prantner: Security Awareness: Neue Wege zur erfolgreichen Mitarbeiter-Sensibilisierung. Vieweg+Teubner Verlag, 2009, ISBN 978-3-8348-0668-0.
• Jan Bindig: Das IT-Security Mindset: Der Mittelstand auf dem digitalen Prüfstand. FinanzBuch Verlag, 2008, ISBN 978-3-95972-174-5 (Buchseite mit kostenfreiem IT-Security Score)

Commons: Informationssicherheit – Sammlung von Bildern, Videos und Audiodateien

• Bundesamt für Sicherheit in der Informationstechnik (BSI)
• Task Force „IT-Sicherheit in der Wirtschaft“. Bundesministerium für Wirtschaft und Technologie (BMWi).
• Seiten-Check der Initiative-S der Taskforce „IT-Sicherheit in der Wirtschaft“. Service des eco-Verbands der Internetwirtschaft e. V., gefördert durch das Bundesministerium für Wirtschaft und Technologie (BMWi).
• Deutschland sicher im Netz e. V.
• DIN-Normenausschuss Informationstechnik und Anwendungen NA 043-01-27 AA IT-Sicherheitsverfahren
• Bundeskriminalamt, Cybercrime