Was Cybersecurity bedeutet
Das BSI-Glossar definiert Cyber-Sicherheit so: Sie befasst sich mit allen Aspekten der Sicherheit in der Informations- und Kommunikationstechnik. Das Aktionsfeld der Informationssicherheit wird dabei auf den gesamten Cyber-Raum ausgeweitet, also auf sämtliche mit dem Internet und vergleichbaren Netzen verbundene Informationstechnik samt Kommunikation, Anwendungen, Prozessen und verarbeiteten Informationen. Häufig liegt der Fokus zusätzlich auf Angriffen aus dem Cyber-Raum.
Praktisch heißt das: Cybersicherheit ist alles, was verhindert, dass Unbefugte an deine Daten kommen, sie verändern oder dir den Zugriff darauf nehmen, sobald Geräte, Konten und Dienste vernetzt sind. Für das Heimnetz, das Smartphone und den Online-Shop eines Kleinbetriebs gilt das gleichermaßen.
Die Begriffe im Überblick
„IT-Sicherheit“, „Informationssicherheit“, „Datenschutz“ und „Datensicherheit“ werden oft durcheinander verwendet. Das BSI trennt sie sauber:
| Begriff | Was gemeint ist (nach BSI) | Einordnung |
|---|---|---|
| Informationssicherheit | Schutz von Informationen, ob auf Papier, in IT-Systemen oder in Köpfen gespeichert | Oberbegriff |
| IT-Sicherheit | Teilbereich der Informationssicherheit, der sich gezielt mit dem Schutz der eingesetzten IT beschäftigt | Teilmenge davon |
| Cyber-Sicherheit | Informationssicherheit im gesamten Cyber-Raum, also bei allem, was mit dem Internet und vergleichbaren Netzen verbunden ist | Fokus auf Vernetzung und Angriffe von außen |
| Datensicherheit | Schutz von Daten hinsichtlich Vertraulichkeit, Verfügbarkeit und Integrität; laut BSI ist „Informationssicherheit“ der modernere Begriff dafür | Älterer Begriff für dasselbe Ziel |
| Datenschutz | Schutz personenbezogener Daten vor Missbrauch durch Dritte, damit Personen in ihren Persönlichkeitsrechten nicht beeinträchtigt werden | Schützt Menschen, nicht Daten an sich; nicht mit Datensicherheit zu verwechseln |
Ein Beispiel für den Unterschied: Ein Backup der Kundenliste ist Datensicherheit. Ob du die Liste überhaupt speichern und weitergeben darfst, ist eine Frage des Datenschutzes. Die Aussage „IT-Sicherheit ist ein Teilbereich der Informationssicherheit“ stammt aus dem BSI-Standard 200-2. Dort heißt es auch, dass Informationssicherheit den umfangreicheren Bereich bildet, nämlich den Schutz von Informationen in und mit IT, aber auch ohne IT.
Die drei Schutzziele
Das BSI nennt drei Schutzziele oder Grundwerte der Informationssicherheit: Vertraulichkeit, Integrität und Verfügbarkeit. Die Definitionen stammen aus dem BSI-Glossar:
- Vertraulichkeit ist der Schutz vor unbefugter Preisgabe von Informationen. Vertrauliche Daten dürfen nur Befugten zugänglich sein. Verletzt wird sie zum Beispiel, wenn ein Angreifer dein E-Mail-Postfach mitliest.
- Integrität bedeutet Korrektheit und Unversehrtheit: Daten sind vollständig und unverändert, Systeme arbeiten korrekt. Der Verlust kann bedeuten, dass Informationen unerlaubt verändert oder Zeitangaben manipuliert wurden. Fälschungen zählt das BSI dazu, etwa manipulierte Zahlungsanweisungen. Die Echtheit (Authentizität) behandelt es als Teilbereich der Integrität.
- Verfügbarkeit liegt vor, wenn Dienste, Systeme oder Informationen stets wie vorgesehen genutzt werden können. Fällt ein IT-System aus, können laut BSI keine Geldtransaktionen laufen, Online-Bestellungen scheitern, und Produktionsprozesse stehen still.
Eine Verschlüsselungs-Erpressung verletzt vor allem die Verfügbarkeit, ein Phishing-Angriff auf dein Passwort die Vertraulichkeit, gefälschte Rechnungen die Integrität. Die Zuordnung hilft bei der Frage, welche Maßnahme wofür gedacht ist: Passwörter und Zwei-Faktor-Authentisierung dienen der Vertraulichkeit, Backups der Verfügbarkeit.
Cybersecurity ist mehr als Software
Ein verbreitetes Missverständnis: Mit einem Virenscanner sei das Thema erledigt. Das BSI sieht es anders. Informationssicherheit muss laut IT-Grundschutz-Kompendium ganzheitlich betrachtet werden. Sie hängt stark von infrastrukturellen, organisatorischen und personellen Rahmenbedingungen ab, zum Beispiel von der Schulung der Beschäftigten und der Sicherheit der Betriebsumgebung. Und die BSI-Broschüre zur Internetnutzung warnt ausdrücklich: Virenschutz und Firewall garantieren keine vollständige Sicherheit, und ein aktiviertes Programm soll nicht zur Unvorsichtigkeit verleiten.
Für den Alltag bedeutet das: Technik, Verhalten und Organisation gehören zusammen, und keine der drei Ebenen kann die anderen ersetzen. Die besten Passwörter nützen wenig, wenn sie am Telefon verraten werden, und das beste Backup hilft nicht, wenn niemand weiß, wo es liegt und wie man es zurückspielt. Für Unternehmen kommt hinzu, dass jemand die Verantwortung tragen muss: Der BSI-Standard 200-2 hält fest, dass die Verantwortung für Informationssicherheit in jedem Fall bei der obersten Managementebene bleibt, auch wenn die Aufgabe typischerweise an einen Beauftragten übertragen wird.
Die wichtigsten Bedrohungen in Kürze
- Phishing: Das BSI erklärt das Wort als Kunstwort aus „Passwort“ und „Fishing“. Meist tarnen sich Täter als Bank oder Dienstleister und leiten per E-Mail, SMS (Smishing), QR-Code (Quishing) oder Anruf (Vishing) auf gefälschte Seiten oder zu schnellem Handeln. Wie du Betrugsversuche erkennst, steht in Phishing erkennen. Hast du bereits geklickt, hilft Phishing-Mail geöffnet: Was tun?.
- Schadsoftware (Malware): Nach dem BSI-Basisschutz können Kriminelle infizierte Rechner nutzen, um Daten zu löschen oder auszuspionieren, in deinem Namen Waren zu bestellen, Online-Banking-Transaktionen zu manipulieren oder den Rechner in ein Botnetz einzubinden. Die Arten erklärt Malware-Arten: Viren, Trojaner & Co..
- Erpressungssoftware (Ransomware): Sie sperrt oder verschlüsselt Daten und verlangt Lösegeld. Wie du vorsorgst, steht in Ransomware-Angriffe: So schützt du deine Daten.
- Kontoübernahme: Passwörter können laut BSI durch Datenlecks oder Phishing gestohlen werden. Ist es passiert, gehst du nach Konto gehackt: Was tun? vor.
Die fünf Grundlagen, die am meisten bringen
Die folgenden fünf Punkte decken sich mit den Basisempfehlungen der BSI-Broschüre „Das Internet sicher nutzen“. Die Auswahl und Reihenfolge ist unsere redaktionelle Gewichtung.
1. Updates einspielen
Halte Betriebssystem und andere Software aktuell und lass automatische Updates zu, so das BSI. Auch der Browser gehört dazu, denn Aktualisierungen schließen Sicherheitslücken. Vergiss die Geräte nicht, die man leicht vergisst: Für den Router erklärt Sichere WLAN-Netzwerke, wo du die Firmware aktualisierst.
2. Starke Passwörter und ein Passwortmanager
Das BSI empfiehlt für jedes Konto ein eigenes, sicheres Passwort und nennt einen Passwortmanager als Hilfe, um den Überblick zu behalten. Laut BSI-Seite zum Passwortmanager birgt selbst ein starkes Passwort Risiken, wenn es für mehrere Konten gilt, weil ein geknacktes Passwort dann alle Konten öffnet. Gibst du ein Passwort preis oder ist es abgeflossen, ändere es sofort.
3. Zwei-Faktor-Authentisierung aktivieren
Wo ein Dienst sie anbietet, sichert ein zweiter Faktor das Konto zusätzlich ab, auch wenn das Passwort gestohlen wurde. Welche Methode wie gut schützt und wie du dich gegen den Verlust des Handys absicherst, erklärt Zwei-Faktor-Authentifizierung.
4. Regelmäßige Backups
Das BSI rät, regelmäßig Sicherungskopien auf externen Festplatten oder USB-Sticks anzulegen. Die Datenträger sollten nur bei Bedarf mit dem Rechner verbunden sein. Cloud-Dienste können für verschlüsselte Daten dienen. Stelle bei einer Wiederherstellung nur deine Daten zurück, keine Programme, weil diese bereits infiziert sein könnten. Wie ein belastbares Konzept aussieht, steht in Backup-Strategie.
5. Misstrauen, wenn jemand Druck macht
Betrugsversuche arbeiten mit Dringlichkeit: Das BSI rät, sich weder bei Paket-SMS noch bei E-Mails mit QR-Codes unter Druck setzen zu lassen. Erkundige dich im Zweifel auf einem anderen Weg beim angeblichen Absender, etwa per Telefon, und lass dir die Echtheit bestätigen. Das gilt auch am Telefon, wenn eine angebliche Bank oder Polizei eine Notsituation herstellt. Mehr zu den Methoden: Phishing erkennen.
Wie es weitergeht
Für Privatpersonen reichen die fünf Grundlagen als solides Fundament. Für kleine Betriebe bietet das BSI mit den Checklisten des Programms „Weg in die Basis-Absicherung (WiBA)“ einen schnellen Einstieg, ohne ein Managementsystem aufbauen zu müssen, wie auf der Seite zum IT-Grundschutz beschrieben. Wer Zugriffe im Betrieb strategisch ordnen will, findet den Rahmen in Was ist Zero Trust Security?.
Einen hundertprozentigen Schutz gibt es nicht. Das BSI sagt das selbst und betont zugleich, dass man die Risiken weitgehend einschränken kann. Dieser Artikel ist eine allgemeine Einführung. Bei einem akuten Vorfall mit Schaden informierst du Bank und Polizei und holst bei Unternehmensdaten professionelle Hilfe.