Informationssicherheit, IT-Sicherheit, Cybersecurity: der Unterschied

Diese vier Begriffe werden ständig durcheinandergeworfen. Genau das ist das Problem.

Denn wer in einem Gespräch „Sicherheit“ sagt, meint oft etwas anderes als sein Gegenüber. Mal geht es um Firewalls und Phishing. Mal um Kundendaten. Mal um das gesamte Managementsystem. Und genau daraus entstehen Missverständnisse.

Die kurze Antwort lautet:

• Informationssicherheit ist der Oberbegriff.
• IT-Sicherheit ist der technische Teil davon.
• Cybersecurity ist der Schutz digitaler Systeme vor Cyberbedrohungen und Cybervorfällen.
• Datenschutz schützt personenbezogene Daten und regelt deutlich mehr als nur deren Sicherheit.

Genau so lässt sich die Praxis sauber sortieren. ISO 27001 stellt bei Informationssicherheit auf Vertraulichkeit, Integrität und Verfügbarkeit von Informationen ab. NIS-2 beschreibt Cybersecurity als Schutz von Netz- und Informationssystemen, ihrer Nutzer und anderer betroffener Personen vor Cybervorfällen und Bedrohungen. Die EU-Kommission beschreibt Datenschutz über den Schutz personenbezogener Daten und die Grundsätze wie Transparenz, Zweckbindung, Datenminimierung, Integrität und Vertraulichkeit. 

Die kurze Antwort

Informationssicherheit ist das große Dach. IT-Sicherheit schützt die eingesetzte Informationstechnik. Cybersecurity schaut besonders auf vernetzte Systeme, Angriffe und Cybervorfälle. Datenschutz regelt den Umgang mit personenbezogenen Daten – und zwar weit über technische Sicherheit hinaus.

Die Begriffe überlappen sich. Austauschbar sind sie trotzdem nicht. Wer sie sauber trennt, verteilt Aufgaben besser und verhindert, dass IT, Datenschutz und Geschäftsführung in demselben Termin drei verschiedene Gespräche führen.

Informationssicherheit ist der Oberbegriff

Informationssicherheit fragt zuerst: Welche Informationen sind für uns wichtig und wie schützen wir sie?

Dabei ist der Speicherort egal. Informationen können digital vorliegen, auf Papier, in Verträgen, in Personalakten, in einem Besprechungsprotokoll oder in Köpfen. Entscheidend ist nicht die Technik, sondern die Information selbst.

Genau deshalb ist Informationssicherheit der breiteste Begriff. ISO 27001 beschreibt ein ISMS als System, das die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch einen Risikomanagementprozess sicherstellt. Der BSI IT-Grundschutz versteht sich ebenfalls ausdrücklich als Fundament für Informationssicherheit.

IT-Sicherheit ist der technische Teil davon

IT-Sicherheit ist enger. Hier geht es um die Sicherheit von Informations- und Kommunikationstechnik, also zum Beispiel um Systeme, Netze, Endgeräte, Server, Anwendungen und elektronische Daten.

Pragmatisch gesagt: Informationssicherheit fragt, welche Informationen geschützt werden müssen. IT-Sicherheit fragt, wie die dafür genutzte Technik abgesichert wird.

Deshalb ist IT-Sicherheit in vielen Unternehmen ein wichtiger Teil der Informationssicherheit, aber eben nicht das Ganze. Das BSI verwendet den Begriff genau in diesem technisch-digitalen Kontext und beschreibt seine Aufgabe als alles rund um die IT-Sicherheit in der Informationsgesellschaft.

Cybersecurity ist digitaler und angriffsbezogener gedacht

Cybersecurity überschneidet sich stark mit IT-Sicherheit, hat aber im Sprachgebrauch meist einen etwas anderen Fokus.

Wenn heute von Cybersecurity gesprochen wird, geht es meistens um Bedrohungen wie:

• Phishing
• Ransomware
• Angriffe auf Netzwerke und Cloud-Dienste
• kompromittierte Konten
• Angriffe auf Lieferketten
• Schwachstellen in vernetzten Systemen

Die EU beschreibt Cybersecurity in NIS2 ausdrücklich als Schutz von Netz- und Informationssystemen, ihrer Nutzer und anderer betroffener Personen vor Cybervorfällen und Bedrohungen. Das ist etwas enger und digitaler gefasst als der klassische Begriff Informationssicherheit.

Datenschutz ist nicht dasselbe wie Informationssicherheit

Datenschutz wird oft mit Informationssicherheit verwechselt. Das ist verständlich, aber es stimmt nicht.

Datenschutz schützt nur personenbezogene Daten. Also Daten, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Die EU-Kommission nennt als Beispiele etwa Namen, Adresse, E-Mail-Adressen, IP-Adressen oder die Nummer des Personalausweises.

Wichtig ist: Datenschutz geht über reine Sicherheit hinaus. Es geht nicht nur darum, Daten vor Verlust oder Missbrauch zu schützen. Es geht auch um Fragen wie:

• Dürfen wir diese Daten überhaupt verarbeiten?
• Zu welchem Zweck?
• Sind es nur die wirklich nötigen Daten?
• Sind Betroffene informiert?
• Können Daten berichtigt, gelöscht oder übertragen werden?

Die EU-Kommission nennt dafür zentrale Schutzziele, darunter Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung, Richtigkeit, Integrität und Vertraulichkeit.

Schon hier wird deutlich: Datenschutz hat eine andere Stoßrichtung: mit den drei Schutzzielen der Informationssicherheit (s.o.) stimmt nur eines überein: die Vertraulichkeit.

So hängen die Begriffe zusammen

Wenn man es sauber sortiert, sieht es so aus:

• Informationssicherheit ist das große Dach.
• Darunter liegt ein technischer Teilbereich, den viele als IT-Sicherheit bezeichnen.
• Cybersecurity liegt sehr nah an IT-Sicherheit, ist aber stärker auf vernetzte digitale Bedrohungen und Cybervorfälle fokussiert.
• Datenschutz ist ein eigener rechtlicher Bereich, der sich auf personenbezogene Daten konzentriert und sich mit Informationssicherheit überschneidet, aber nicht darin aufgeht.

Ein einfaches Beispiel

Nehmen wir eine Personalakte.

Wenn Sie dafür sorgen, dass nur berechtigte Personen Zugriff haben, die Inhalte richtig bleiben und die Akte bei Bedarf verfügbar ist, sprechen Sie über Informationssicherheit.

Wenn dieselbe Akte in einem HR-System liegt und Sie das System technisch absichern, sprechen Sie zusätzlich über IT-Sicherheit.

Wenn Sie Angriffe auf dieses System, kompromittierte Konten oder Phishing gegen HR-Mitarbeiter abwehren, sind Sie im Bereich Cybersecurity.

Wenn Sie prüfen, ob die Verarbeitung dieser Personaldaten zulässig ist, ob nur nötige Daten erhoben werden und ob Betroffene ihre Rechte wahrnehmen können, sind Sie im Datenschutz.

Warum diese Unterscheidung in Unternehmen wichtig ist

Viele Diskussionen laufen schief, weil dieselben Begriffe unterschiedlich verwendet werden.

Dann redet die IT über Firewalls, die Geschäftsführung über Kundenerwartungen, der Datenschutzbeauftragte über Rechtsgrundlagen und am Ende glauben alle, sie hätten dasselbe Thema besprochen.

Besser ist deshalb, die Begriffe bewusst sauber zu verwenden. Gerade in Richtlinien, Schulungen, Projektaufträgen und Kundengesprächen spart das viel Verwirrung.

Welche Begriffe Sie bei ISO 27001 bevorzugen sollten

Wenn Sie über ein ISMS nach ISO 27001 sprechen, ist Informationssicherheit meist der passendste Leitbegriff.

Denn ISO 27001 ist nicht nur ein Technikstandard. Die Norm betrachtet Informationen selbst und baut darum ein Managementsystem auf. Genau deshalb ist der Begriff breiter und für Managementsysteme sauberer als IT-Sicherheit oder Cybersecurity. ISO beschreibt 27001 ausdrücklich als Standard für Informationssicherheitsmanagementsysteme.

Wenn Sie Ihr ISMS, Ihre internen Richtlinien oder Ihre Kommunikation zu Informationssicherheit sprachlich sauber aufsetzen wollen, sprechen Sie mit uns. Wir helfen Ihnen dabei, Begriffe, Anforderungen und Praxis sinnvoll zusammenzubringen.

Ein zweites Beispiel: die ausgedruckte Preisliste

Eine vertrauliche Preisliste liegt ausgedruckt im Besprechungsraum. Das ist ein Problem der Informationssicherheit, obwohl weder Server noch Firewall beteiligt sind. Wird dieselbe Liste aus dem ERP-System gestohlen, ist zusätzlich die IT-Sicherheit betroffen. Erfolgt der Zugriff über ein kompromittiertes Konto aus dem Internet, sprechen viele außerdem von einem Cyberangriff. Enthält die Liste Ansprechpartner und persönliche Konditionen, kommt der Datenschutz hinzu.

Dasselbe Dokument kann also mehrere Blickrichtungen gleichzeitig berühren. Die richtige Reaktion lautet nicht, sich für genau ein Etikett zu entscheiden. Man muss erkennen, welche Fachlichkeit gerade welchen Teil des Problems bearbeitet.

Wer ist im Unternehmen wofür zuständig?

In der Praxis hilft eine grobe Arbeitsteilung:

• Die Geschäftsführung entscheidet, welches Sicherheitsniveau das Unternehmen braucht und welche Risiken es trägt.
• Der ISB oder die für das ISMS zuständige Rolle hält die Fäden der Informationssicherheit zusammen.
• Die IT setzt einen großen Teil der technischen Schutzmaßnahmen um und betreibt sie.
• Fachbereiche bestimmen, welche Informationen und Prozesse kritisch sind.
• Der Datenschutzbeauftragte berät und überwacht zu den datenschutzrechtlichen Themen.

Diese Rollen müssen zusammenarbeiten. Der Datenschutzbeauftragte wird nicht automatisch zum Leiter der Informationssicherheit, nur weil auch personenbezogene Daten geschützt werden. Umgekehrt wird ein Administrator nicht zum Datenschützer, nur weil er eine Festplatte verschlüsselt.

Wie die übergreifende Koordination aussehen kann, zeigt unser Beitrag über die Aufgaben des Informationssicherheitsbeauftragten. Für die technische Seite lohnt sich außerdem der Blick auf sichere Endgeräte und auf Logging und Monitoring.

Typische Fehler bei der Begriffsverwendung

Alles wird zum Datenschutzproblem erklärt

Der Quellcode eines Produkts, eine Angebotskalkulation oder die Bauzeichnung einer Maschine kann höchst vertraulich sein, ohne personenbezogene Daten zu enthalten. Datenschutz ist dafür nicht das passende Dach. Informationssicherheit schon.

Informationssicherheit wird an die IT delegiert

Die IT kann Server härten, Backups prüfen und Konten absichern. Sie kann aber nicht allein entscheiden, wie kritisch ein Vertrag ist, welche Ausfallzeit ein Prozess verträgt oder welches Lieferantenrisiko die Geschäftsführung akzeptiert. Genau deshalb ist ein ISMS ein Managementsystem und kein besonders umfangreicher Administrationsauftrag.

Cybersecurity wird nur als schickeres Wort verwendet

Manchmal wird jede alte IT-Sicherheitsaufgabe mit dem Wort Cyber versehen, weil es moderner klingt. Das hilft niemandem. Bei einem Sicherheitsvorfall ist wichtiger, wer was tut und welche Informationen geschützt werden müssen, als welches Etikett auf der Präsentation steht.

Welche Formulierung gehört in Richtlinien und Verträge?

Verwenden Sie den Begriff, der tatsächlich zum Gegenstand passt. Eine unternehmensweite Leitlinie sollte regelmäßig von Informationssicherheit sprechen. Eine Vorgabe für Serverkonfigurationen darf präziser IT-Sicherheit oder technische Sicherheit sagen. Bei personenbezogenen Daten sollten Datenschutz und Informationssicherheit nicht in einen Topf geworfen werden.

Das klingt nach Wortklauberei, verhindert aber echte Lücken. Wer nur schreibt, die IT müsse sicher sein, hat Papierakten, Gespräche, Besucher und Wissen in den Köpfen der Mitarbeiter sprachlich bereits aus dem Blick verloren. Wie eine übergreifende Vorgabe aussehen kann, erläutert unser Artikel zur Informationssicherheitsleitlinie.

Was will der Auditor sehen?

Ein Auditor veranstaltet normalerweise keine Vokabelprüfung. Er schaut aber sehr wohl darauf, ob der gewählte Begriff zu Scope, Risiken, Rollen und Maßnahmen passt. Wenn Informationssicherheit angeblich nur Sache der IT ist, werden spätestens bei Personal, Lieferanten, Gebäuden und Geschäftsprozessen die Lücken sichtbar.

Entscheidend ist deshalb nicht, ob jeder Mitarbeiter eine perfekte Definition auswendig kann. Entscheidend ist, ob das Unternehmen seine Informationen vollständig betrachtet und Aufgaben nachvollziehbar verteilt. Eine gute Asset-Struktur hilft dabei, den Blick über Server und Laptops hinaus zu öffnen.

Interesse geweckt?

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.