Die Kernschutzziele Vertraulichkeit, Integrität, Verfügbarkeit sowie Authentizität und Zurechenbarkeit. Bedrohungsanalyse und Risikoidentifikation.
📖 Fachtheorie & KMK-Prüfungswissen
1. Die CIA-Triade der Informationssicherheit
Jedes IT-Sicherheitskonzept und BSI-Zertifikat basiert auf den drei klassischen Grundwerten:
- Confidentiality (Vertraulichkeit): Informationen dürfen nur autorisierten Personen zugänglich sein. Schutzmaßnahmen: Verschlüsselung (TLS, BitLocker), Zugriffskontrollen (RBAC, NTFS-Rechte), Multi-Faktor-Authentifizierung (MFA).
- Integrity (Integrität): Daten und Systeme müssen vor unbemerkter, unautorisierter Manipulation geschützt sein. Schutzmaßnahmen: Kryptographische Prüfsummen / Hashes (SHA-256), digitale Signaturen, Write-Once-Storage (WORM).
- Availability (Verfügbarkeit): Daten und Dienste müssen für berechtigte Benutzer zum geforderten Zeitpunkt innerhalb definierter SLAs abrufbar sein. Schutzmaßnahmen: Redundanz (RAID, Cluster, Dual-Power), USV-Anlagen, Backup & Recovery, DDoS-Mitigation.
2. Erweiterte Schutzziele
- Authentizität (Echtheit): Die Identität des Kommunikationspartners oder des Urhebers einer Information ist zweifelsfrei nachgewiesen (z. B. durch X.509-Zertifikate).
- Verbindlichkeit / Nichtabstreitbarkeit (Non-Repudiation): Der Absender kann die Urheberschaft einer getätigten Handlung oder Transaktion im Nachhinein nicht leugnen (z. B. qualifizierte digitale Signatur nach eIDAS).
✍️ Authentische IHK-Prüfungsaufgaben mit Erwartungshorizont
Analyse von Sicherheitsvorfällen nach CIA
8 Punkte
In einem Krankenhaus treten folgende drei Sicherheitsvorfälle auf:
Vorfall 1: Ein Hacker schleust Ransomware ein, die sämtliche Patientenakten auf dem zentralen Storage verschlüsselt; der Klinikbetrieb steht still.
Vorfall 2: Ein Laborassistent fälscht unbemerkt Blutwerte in der SQL-Datenbank, um ein Testergebnis zu manipulieren.
Vorfall 3: Eine E-Mail mit unverschlüsselten Diagnosedaten eines prominenten Politikers wird irrtümlich an einen externen Presseverteiler gesendet.
Ordnen Sie jedem der drei Vorfälle das primär verletzte Schutzziel (Vertraulichkeit, Integrität, Verfügbarkeit) zu und nennen Sie je eine konkrete technische oder organisatorische Maßnahme zur künftigen Prävention.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. Vorfall 1: Verletzung der Verfügbarkeit (Availability).
Maßnahme: Getrennte Offline-Backups (Air-Gap / Immutable Storage nach der 3-2-1-1-0-Regel) sowie ein Endpoint-Detection-and-Response-System (EDR) gegen Ransomware. (2,5 Pkt.)
2. Vorfall 2: Verletzung der Integrität (Integrity).
Maßnahme: Audit-Logging in der Datenbank, striktes 4-Augen-Prinzip, digitale Signaturen bei Laborbefunden sowie Hashwert-Validierung. (2,5 Pkt.)
3. Vorfall 3: Verletzung der Vertraulichkeit (Confidentiality).
Maßnahme: Ende-zu-Ende-E-Mail-Verschlüsselung (S/MIME oder PGP), Data Loss Prevention (DLP) Software gegen unberechtigten Datenabfluss und Sensibilisierungsschulungen für Mitarbeiter. (3 Pkt.)