Die 4 Schutzziele der IT-Sicherheit einfach erklärt

Die vier Schutzziele der IT-Sicherheit sind Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität. Die ersten drei bilden die klassische CIA-Triade (Confidentiality, Integrity, Availability), Authentizität kommt als viertes Ziel dazu. Sie legen fest, was „sicher“ überhaupt heißt: Daten dürfen nur Befugte sehen, bleiben unverändert, sind bei Bedarf erreichbar – und stammen nachweislich von der echten Quelle.

Mal ehrlich: Kaum ein Begriff fällt in der IHK-Abschlussprüfung für Fachinformatiker so zuverlässig wie „die Schutzziele“. Wer für die Prüfung lernt, hat die vier Begriffe am Ende eben fast immer drauf – aber an den Beispielen und den Zielkonflikten hakt es. Genau darum geht es hier: nicht nur die Definitionen runterbeten, sondern verstehen, wofür jedes Ziel im Alltag steht und wo sie sich gegenseitig in die Quere kommen.

Eine Sache vorweg, weil das in Prüfungen gern verwechselt wird: Vertraulichkeit, Integrität und Verfügbarkeit nennt das BSI im IT-Grundschutz die drei Grundwerte der Informationssicherheit. Authentizität ist ein ergänzendes Schutzziel, das BSI, ISO 27001 und Aufsichtsbehörden zusätzlich fordern. Die Formel „4 Schutzziele“ ist also die CIA-Triade plus Authentizität.

Die vier Schutzziele im Überblick

Bevor wir jedes Ziel einzeln auseinandernehmen – hier die Kurzfassung als Tabelle. Die merkt man sich für die Prüfung leichter als drei Absätze Fließtext.

Schutzziel	Englisch	Die Frage dahinter	Typische Maßnahme
Vertraulichkeit	Confidentiality	Wer darf die Daten sehen?	Verschlüsselung, Zugriffsrechte
Integrität	Integrity	Sind die Daten unverändert?	Hash-Werte, digitale Signaturen
Verfügbarkeit	Availability	Ist das System erreichbar?	Backups, Redundanz, DDoS-Schutz
Authentizität	Authenticity	Ist die Quelle echt?	2FA, Zertifikate, digitale Signatur

Vertraulichkeit – wer darf die Daten überhaupt sehen?

Vertraulichkeit (englisch Confidentiality) bedeutet: Auf eine Information hat nur Zugriff, wer dazu berechtigt ist. Alles andere bleibt verschlossen. Die Definition des BSI ist knapp und gut: „Nur autorisierte Personen haben Zugriff zu den Informationen.“

Das klassische Beispiel ist das Online-Banking. Deine Kontodaten gehen verschlüsselt über die Leitung, damit niemand auf dem Weg mitliest. Genauso gehört dazu, dass im Unternehmen nicht jeder die Gehaltsliste öffnen kann – das regeln Benutzerrollen.

Maßnahmen für Vertraulichkeit:

• Verschlüsselung bei der Übertragung (TLS, also das Schloss-Symbol im Browser) und bei der Speicherung (Festplattenverschlüsselung).
• Zugriffskontrollen über Benutzerrollen und Rechtevergabe, etwa per Active Directory.
• Datenklassifizierung: Sensible Daten werden als „vertraulich“ markiert, damit klar ist, was besonders geschützt gehört. Das gilt übrigens auch dafür, was man besser nicht in der Cloud ablegt.

Integrität – sind die Daten wirklich unverändert?

Integrität (englisch Integrity) garantiert, dass Daten korrekt, vollständig und unverändert bleiben – verlässlich und nicht heimlich manipuliert. Ein Buchstabe, der unbemerkt kippt, kann reichen, um aus einer Überweisung von 50 Euro eine von 5.000 zu machen.

Deshalb ist Integrität gerade dort heikel, wo Zahlen stimmen müssen: Banken, Gesundheitswesen, Steuerunterlagen. Eine Manipulation darf nicht nur verhindert, sie muss vor allem erkennbar sein.

Maßnahmen für Integrität:

• Hash-Werte: Aus einer Datei wird eine Prüfsumme berechnet. Ändert sich auch nur ein Zeichen, passt der Hash nicht mehr – Manipulation sofort sichtbar.
• Digitale Signaturen belegen, dass ein Dokument seit der Unterschrift nicht verändert wurde.
• Schutz vor Schadsoftware, die Daten im Hintergrund verändern könnte.

Verfügbarkeit – ist das System da, wenn man es braucht?

Verfügbarkeit (englisch Availability) heißt: Systeme, Anwendungen und Daten sind dann zugänglich, wenn autorisierte Nutzer sie brauchen. Nützt ja nichts, wenn die Daten zwar perfekt geschützt, aber gerade nicht erreichbar sind.

Ich erinnere mich an ein Support-Ticket an einem Montagmorgen: Warenwirtschaft komplett tot, die halbe Firma stand still. Kein Hackerangriff, nur eine volle Systemplatte. Und trotzdem – genau das ist ein Verfügbarkeitsproblem, und es kostet pro Minute Geld. Ein Onlineshop, der während einer DDoS-Attacke nicht erreichbar ist, verliert Umsatz und Vertrauen gleichzeitig.

Maßnahmen für Verfügbarkeit:

• Regelmäßige Backups, damit Daten nach Ausfall oder Angriff zurückkommen.
• Redundanz: Ersatzserver übernehmen, wenn das Hauptsystem ausfällt.
• DDoS-Schutz durch Firewalls und vorgelagerte Filter gegen Überlastungsangriffe.

Authentizität – ist die Quelle echt?

Authentizität (englisch Authenticity) stellt sicher, dass Daten, Systeme und Kommunikationspartner echt sind – dass also wirklich der Absender schreibt, der draufsteht. Sie ist die direkte Antwort auf Phishing und Identitätsdiebstahl.

Das HTTPS-Schloss im Browser ist gelebte Authentizität: Das Zertifikat bestätigt, dass du wirklich bei deiner Bank bist und nicht auf einer täuschend echten Fälschung. Wer hier nicht hinschaut, tappt schnell in die Falle.

Maßnahmen für Authentizität:

• Zwei-Faktor-Authentifizierung (2FA): zum Passwort kommt ein zweiter Nachweis, etwa ein Code aus der App.
• Digitale Zertifikate belegen die Echtheit von Websites und Diensten.
• Digitale Signaturen bei E-Mails zeigen, dass eine Nachricht wirklich vom genannten Absender stammt.

Wie die vier Schutzziele zusammenspielen

Die Ziele stehen nicht nebeneinander, sie greifen ineinander. Das Online-Banking ist das Lehrbuchbeispiel, weil hier alle vier gleichzeitig wirken: Die Verbindung ist verschlüsselt (Vertraulichkeit), Prüfsummen sichern die Überweisungsdaten (Integrität), redundante Server halten den Dienst am Laufen (Verfügbarkeit), und 2FA bestätigt, dass wirklich du dich einloggst (Authentizität).

Genau das ist der Punkt, den Prüfer hören wollen: Ein einzelnes Ziel reicht nie. Verschlüsselte Daten nützen wenig, wenn sie unbemerkt manipuliert werden können. Und perfekt geschützte Daten sind wertlos, wenn der Server liegt.

Erweiterte Schutzziele: Verbindlichkeit und Zurechenbarkeit

Viele Lehrbücher und das BSI nennen über die vier hinaus noch weitere Ziele. In der Prüfung tauchen vor allem zwei auf, also kennen wir die kurz:

• Verbindlichkeit (Nichtabstreitbarkeit): Eine durchgeführte Handlung lässt sich nicht im Nachhinein leugnen. Wer eine Bestellung digital signiert hat, kann später nicht behaupten, das sei jemand anderes gewesen.
• Zurechenbarkeit: Eine Aktion lässt sich zweifelsfrei einem bestimmten Akteur zuordnen – die technische Grundlage, damit Verbindlichkeit überhaupt funktioniert. Protokolle und Logs sind hier das Mittel der Wahl.

Für den Einstieg reichen die vier Hauptziele. Aber wenn im Prüfungsbogen plötzlich „Verbindlichkeit“ steht, weißt du jetzt, in welche Schublade das gehört.

Wenn Schutzziele sich widersprechen

Jetzt der Teil, den eine schnelle Google-Antwort meist überspringt: Die Ziele ziehen nicht immer am selben Strang. In der Praxis musst du abwägen, und genau diese Zielkonflikte sind ein beliebtes Prüfungsthema.

• Vertraulichkeit gegen Verfügbarkeit: Je strenger du verschlüsselst und Zugriffe absicherst, desto langsamer und umständlicher wird der Zugang. Mehr Sicherheit, weniger Bequemlichkeit – das ist eben ein Dauerkompromiss.
• Integrität gegen Verfügbarkeit: Ein System, das bei jedem Zweifel sofort dichtmacht, schützt die Daten – steht im Ernstfall aber still. Banken sperren ein Konto im Verdachtsfall lieber, als eine manipulierte Buchung durchzulassen.
• Vertraulichkeit gegen Authentizität: Um jemanden zu authentifizieren, brauchst du Identitätsdaten – die du eigentlich vertraulich halten willst. Moderne Verfahren lösen das, indem sie eine Identität bestätigen, ohne die kompletten Daten offenzulegen.

Nun ja, die ehrliche Antwort lautet meistens: Es kommt darauf an. Welches Ziel Vorrang hat, hängt von der Branche ab. Im Krankenhaus ist Verfügbarkeit überlebenswichtig, im Forschungslabor zählt die Integrität der Messdaten zuerst.

Schutzziele in der IHK-Prüfung: Worauf es ankommt

Wenn du das für die Abschlussprüfung lernst, ein paar Hinweise aus der Praxis: Die reine Aufzählung bringt selten volle Punkte. Gefragt ist meist „Nenne und erläutere“ oder „Ordne dem Beispiel das passende Schutzziel zu“.

Der Klassiker ist die Zuordnung: Ein Server ist überlastet und nicht erreichbar – welches Schutzziel ist verletzt? (Verfügbarkeit.) Eine E-Mail kommt scheinbar vom Chef, ist aber gefälscht? (Authentizität.) Übe genau diese Übersetzung von Beispiel auf Ziel, dann sitzt es. Und merk dir die englischen Begriffe mit, „CIA“ ist die einfachste Eselsbrücke der ganzen IT-Sicherheit.

Was sich 2026 ändert: Grundschutz++ und NIS2

Die vier Schutzziele bleiben das Fundament – daran rüttelt niemand. Drumherum tut sich aber gerade einiges. Das BSI modernisiert seinen IT-Grundschutz seit Anfang 2026 unter dem Namen Grundschutz++: weg vom schwergewichtigen PDF-Kompendium, hin zu einem schlankeren, maschinenlesbaren Format mit deutlich verschlankten Anforderungen.

Dazu kommt die NIS2-Richtlinie der EU, die deutlich mehr Unternehmen zu einem Mindestmaß an IT-Sicherheit verpflichtet. Beides ändert nichts an den Definitionen oben – es macht sie nur für mehr Betriebe verbindlich. Wer die vier Schutzziele verstanden hat, hat das Fundament, auf dem all diese Regelwerke aufbauen. Compliance-Vorgaben wie die DSGVO setzen genau hier an.

Häufige Fragen

Was sind die vier Schutzziele der IT-Sicherheit?

Die vier Schutzziele sind Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität. Die ersten drei bilden die klassische CIA-Triade, Authentizität ergänzt sie als viertes Ziel.

Was ist die CIA-Triade?

CIA steht für Confidentiality, Integrity und Availability – also Vertraulichkeit, Integrität und Verfügbarkeit. Diese drei Grundwerte definiert das BSI im IT-Grundschutz als Kern der Informationssicherheit.

Ist Authentizität ein offizielles Schutzziel?

Ja. Authentizität gilt als ergänzendes Schutzziel und wird vom BSI, der ISO 27001 und Aufsichtsbehörden zusätzlich zur CIA-Triade gefordert. Sie sichert die Echtheit von Daten und Kommunikationspartnern.

Welches Schutzziel ist am wichtigsten?

Das hängt von der Branche ab. Im Krankenhaus zählt Verfügbarkeit zuerst, in der Forschung die Integrität der Daten. Für eine sichere IT müssen am Ende aber alle vier Ziele zusammenwirken.

Was bedeutet Integrität in der IT-Sicherheit?

Integrität bedeutet, dass Daten korrekt, vollständig und unverändert bleiben. Manipulationen müssen verhindert und vor allem erkennbar sein – etwa über Hash-Werte und digitale Signaturen.