aiMOOC

Fachübungen 4 – Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen - Fachinformatiker

QR-Code

Einleitung

Lernfeld 4 im 1. Ausbildungsjahr: Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen. Du untersuchst, welche Informationen und IT-Dienste in einem Arbeitsbereich besonders geschützt werden müssen. Du begründest den Schutzbedarf anhand möglicher Schäden, leitest daraus Maßnahmen ab und dokumentierst deine Entscheidungen. Der Kurs orientiert sich am KMK-Rahmenlehrplan für Fachinformatikerinnen und Fachinformatiker, Lernfeld 4 mit einem Zeitrichtwert von 40 Unterrichtsstunden, und an der IT-Grundschutz-Methodik des BSI. Zielgruppe sind Auszubildende aller vier Fachrichtungen im ersten Ausbildungsjahr. Arbeite ausschließlich mit den hier bereitgestellten fiktiven Beispieldaten; prüfe niemals fremde Systeme und ändere keine produktive Sicherheitskonfiguration ohne Freigabe.

Dein Arbeitsprodukt: eine begründete Schutzbedarfstabelle, eine einfache Schadensrechnung, eine priorisierte Maßnahmenliste sowie ein Prüf- und Übergabeprotokoll. Vorwissen: Informationssicherheit, grundlegende Netzwerkkenntnisse und Tabellenarbeit.

Ausbildungsbezug: Die Fachinformatikerausbildungsverordnung vom 28. Februar 2020 gilt seit dem 1. August 2020. Sie umfasst drei Ausbildungsjahre sowie die Fachrichtungen Anwendungsentwicklung, Systemintegration, Daten- und Prozessanalyse und Digitale Vernetzung. Die Abschlussprüfung ist in zwei Teile gegliedert; konkrete Prüfungszeiten und Gewichtungen sind nicht Gegenstand dieses Kurses. Für Lernfeld 4 stehen die gemeinsamen grundlegenden Sicherheitskompetenzen im Mittelpunkt, nicht eine bestimmte Fachrichtung.

Schutzziele, Verantwortung und beruflicher Auftrag

Die drei Grundwerte der Informationssicherheit

Informationssicherheit schützt Informationen unabhängig davon, ob sie auf Papier, einem Client, einem Server oder in einer Cloud-Anwendung liegen. Vertraulichkeit heißt: Nur berechtigte Personen dürfen Informationen lesen oder erhalten. Integrität heißt: Daten und Verarbeitungsergebnisse bleiben vollständig, richtig und vor unerlaubten Änderungen geschützt. Verfügbarkeit heißt: Berechtigte können eine Information oder einen Dienst bei Bedarf nutzen. Die englischen Anfangsbuchstaben Confidentiality, Integrity und Availability bilden die CIA-Triade.

Abbildung: Die drei Schutzziele im Zusammenhang. Bild: Picturesqua, Wikimedia Commons, CC BY-SA 4.0 (englische Beschriftung).

Schutzziel	Leitfrage	Vorfall im IT-Arbeitsbereich	Mögliche Maßnahme
Vertraulichkeit	Wer darf darauf zugreifen?	Ein Ticket ist für Unbefugte sichtbar.	Rollenbasierte Zugriffsrechte und Mehrfaktor-Authentisierung
Integrität	Kann man den Angaben vertrauen?	Ein Kontowert wird ohne Berechtigung geändert.	Änderungskontrollen, Prüfprotokolle und Versionierung
Verfügbarkeit	Wie schnell muss es nutzbar sein?	Das Ticketsystem ist während der Servicezeit ausgefallen.	Geprüfte Wiederherstellung und Ausweichverfahren

Merke: Ein verschlüsseltes Laufwerk verbessert vorrangig die Vertraulichkeit. Es ersetzt weder eine funktionierende Datensicherung noch eine geprüfte Wiederherstellung. Eine Sicherungskopie kann die Verfügbarkeit fördern, aber ein ungeprüftes Backup ist noch kein Nachweis eines funktionsfähigen Wiederanlaufs.

Fachvideo: „Drei Schutzziele der Informationssicherheit“, Kanal Informationssicherheit ganz einfach, veröffentlicht 2023. Lernauftrag: Nenne nach dem Video zu jedem Schutzziel ein eigenes betriebliches Beispiel.

Sicherheitsleitlinie und rechtliche Grenzen

Eine IT-Sicherheitsleitlinie legt Ziele, Verantwortungen und Grundsätze des Unternehmens fest. Dazu kommen beispielsweise Richtlinien für Passwörter, Zugriff, Sicherungen, Meldewege und die Verarbeitung personenbezogener Informationen. Nach dem Grundsatz der Datenminimierung sollen nicht mehr personenbezogene Daten verarbeitet werden als nötig. Die Datenschutz-Grundverordnung verlangt unter anderem angemessene technische und organisatorische Schutzmaßnahmen (insbesondere Art. 5 und Art. 32 DSGVO). Datenschutz schützt Rechte von Personen; Informationssicherheit schützt Informationswerte umfassender. Beides überschneidet sich, ist aber nicht identisch.

Als Auszubildende oder Auszubildender identifizierst du Probleme, dokumentierst Beobachtungen, schlägst Abhilfen vor und meldest Sicherheitsvorfälle über vorgegebene Wege. Du entscheidest nicht eigenmächtig über das Abschalten produktiver Systeme, die Freigabe von Restgefahren oder die Verarbeitung echter Kundendaten zu Übungszwecken.

Schutzobjekte, Prozesse und Schadensszenarien erfassen

Zuerst den Untersuchungsbereich festlegen

Ein Informationsverbund umfasst miteinander verbundene Geschäftsprozesse, Informationen, Anwendungen, IT-Systeme, Netze und Infrastruktur. Für einen überschaubaren Arbeitsplatz beginnst du nicht mit einem Virenscanner, sondern mit dem Geschäftsprozess: Was muss die Organisation leisten, welche Informationen werden dafür gebraucht und wovon hängen sie ab? Grenzen, Verantwortliche und bereits bestehende Sicherheitsvorgaben müssen schriftlich geklärt sein.

Ebene	Beispiel im fiktiven Servicebüro	Leitfrage
Geschäftsprozess	Supportanfragen beantworten	Welche Aufgabe darf nicht ausfallen?
Information	Tickettext mit erfundenen Kontaktdaten	Was würde bei Offenlegung oder Veränderung passieren?
Anwendung	Ticketportal	Welche Prozesse nutzen die Software?
IT-System	Service-Client und Anwendungsserver	Auf welchem System werden Informationen verarbeitet?
Netzverbindung	Bürolan zum Server	Welche Kommunikation ist erforderlich?
Raum und Organisation	Büro, Zugangsliste, Dienstanweisung	Wer darf hinein und wer handelt im Störungsfall?

Schemaschrittfolge: Geschäftsprozess → Information und Anwendung → Client oder Server → Netzverbindung und Raum → Maßnahmen und Zuständigkeiten. Die Reihenfolge ist eine Denk- und Dokumentationshilfe, keine Behauptung, dass jede Infrastruktur nur eine lineare Abhängigkeit besitzt.

Schema möglicher Netzstrukturen; nicht die Topologie eines realen Unternehmens. Urheber der Vorlage: Foobaz und Malyszkz, deutsche Fassung Reise Reise; Wikimedia Commons, gemeinfrei. Für die Übung ist entscheidend, welche Verbindung für welchen Prozess benötigt wird.

Bedrohung, Schwachstelle, Schadensszenario und Risiko unterscheiden

Eine Bedrohung kann schaden, etwa ein Brand, ein Stromausfall, eine versehentliche Fehlbedienung oder ein Phishing-Angriff. Eine Schwachstelle ist eine ausnutzbare ungünstige Eigenschaft, etwa ein ungeschütztes Benutzerkonto. Ein Schadensszenario beschreibt die konkrete mögliche Folge: Das Ticketportal ist drei Stunden nicht erreichbar und der Service kann Aufträge nicht bearbeiten. Risiko berücksichtigt zusätzlich das mögliche Eintreten und die Schadenshöhe. Die Schutzbedarfsfeststellung beurteilt zunächst die Folgen einer Verletzung der Schutzziele; sie ist nicht identisch mit der späteren detaillierten Risikoanalyse.

Typische Schadensarten sind Störungen der Aufgabenerfüllung, Verstöße gegen Verträge oder Recht, Beeinträchtigungen von Personen, Vertrauensverlust und finanzielle Verluste. Beachte außerdem Kaskadeneffekte: Fällt ein zentraler Dienst aus, können mehrere Abteilungen betroffen sein. Im Gespräch mit den fachlich Verantwortlichen stellst du Fragen wie: Wer wäre betroffen? Wie lange wäre ein Ausfall tolerierbar? Welche Korrekturmöglichkeiten gäbe es? Welche Daten wären offengelegt?

Strukturierte Datenerhebung ohne reale Personendaten

Benutze eine Tabelle mit den Spalten Objektkennung, Prozess, Eigentümerrolle, CIA-Schutzziel, denkbarer Schaden, Nachweis, Einstufung, Maßnahme, Verantwortlichkeit und Prüftermin. Als Nachweis dienen beispielsweise eine freigegebene Übungsleitlinie, ein fiktiver Ablaufplan oder ein strukturiertes Rollengespräch. Keine echten Zugangsdaten, IP-Adressen interner Systeme, Kundennamen oder vertraulichen Betriebsdokumente hochladen.

Typische Fehler: Hardwarelisten mit Schutzbedarfsanalysen verwechseln; lediglich Hackerangriffe betrachten und menschliche Fehler ausblenden; nicht nach fachlich vertretbarer Ausfallzeit fragen; Schätzungen als gemessene Werte ausgeben; Zuständigkeiten und Quellen nicht festhalten.

Schutzbedarf systematisch bewerten und berechnen

Normal, hoch oder sehr hoch begründet zuordnen

Der BSI-Standard 200-2 unterscheidet für die Schutzbedarfsfeststellung drei qualitative Kategorien: normal bedeutet begrenzte und überschaubare Schadensauswirkungen, hoch bedeutet beträchtliche Auswirkungen, sehr hoch bedeutet ein existenziell bedrohliches oder katastrophales Ausmaß. Dies sind keine bundesweit einheitlichen Eurogrenzen. Eine Institution konkretisiert die Kategorien anhand ihrer Prozesse und einer freigegebenen Sicherheitsleitlinie.

Kategorie	Fachlich begründetes Beispiel	Gegenfrage zur Plausibilisierung
normal	Kurzzeitiger Ausfall einer öffentlichen Informationsseite ohne erhebliche Folge	Bleiben die Auswirkungen tatsächlich überschaubar?
hoch	Längerer Ausfall eines zentralen Bearbeitungssystems mit beträchtlichen Betriebsfolgen	Könnten Verträge, Kunden oder wesentliche Aufgaben stark beeinträchtigt werden?
sehr hoch	Verlust der Informationsintegrität hätte existenzbedrohliche oder katastrophale Folgen	Ist das schlimmste glaubhafte Szenario tatsächlich von dieser Tragweite?

Jedes Schutzobjekt wird getrennt bezüglich Vertraulichkeit, Integrität und Verfügbarkeit bewertet. Ein Wert „hoch“ bedeutet nicht automatisch in allen drei Spalten „hoch“. Hilfreich ist die begründete Frage: Was geschieht, wenn Informationen öffentlich werden, unbemerkt verändert werden oder für die benötigte Zeit nicht verfügbar sind?

Maximumprinzip, Kumulation und Verteilung

Ein IT-System erbt im Regelfall den höchsten Schutzbedarf der darauf angewiesenen Anwendungen oder Informationen für jedes der drei Schutzziele. Beispiel: Anwendung A hat für Vertraulichkeit „normal“, Anwendung B „hoch“; der gemeinsam genutzte Server benötigt hinsichtlich Vertraulichkeit mindestens „hoch“. Dies heißt Maximumprinzip. Geprüft werden müssen außerdem Kumulation (mehrere zusammengeführte Datenbestände können größeren Schaden auslösen) und Verteilung (geeignete Redundanz über getrennte Systeme kann die Ausfallfolgen einer einzelnen Komponente verringern). Solche Abweichungen müssen dokumentiert und sachlich begründet werden.

Objekt	Vertraulichkeit	Integrität	Verfügbarkeit
FAQ-Anwendung	normal	hoch	normal
Ticket-Anwendung	hoch	hoch	hoch
Gemeinsamer Anwendungsserver nach Maximumprinzip	hoch	hoch	hoch

Fehlerdiagnose: Wird ein Server pauschal „normal“ eingestuft, obwohl er die Ticket-Anwendung betreibt, wurde die Vererbung nicht geprüft. Wird „sehr hoch“ ohne nachvollziehbares Schadensszenario vergeben, fehlt eine fachliche Begründung. Bei widersprüchlichen Einschätzungen entscheidet nicht die lauteste Person, sondern die dokumentierte Abstimmung mit den fachlich Verantwortlichen.

Rechenwege dienen als Belege, nicht als Ersatz für die Klassifikation

Für eine didaktische Abschätzung kannst du einen Ausfallschaden berechnen. Beispiel: Acht Beschäftigte können drei Stunden nicht arbeiten; die intern angenommene Belastung beträgt 28 Euro pro Person und Stunde. Rechnung: 8 × 3 Stunden × 28 Euro pro Stunde = 672 Euro. Hinzu kommen fiktive externe Zusatzkosten von 150 Euro; die gesamte illustrative Belastung beträgt dann 822 Euro. Diese Zahl allein bestimmt nicht die Kategorie; Verträge, Datenschutz, Menschen und Folgewirkungen müssen zusätzlich betrachtet werden. Vermeide Doppelzählung, etwa wenn Personalkosten bereits in einer Pauschale enthalten sind.

RTO (Recovery Time Objective) bezeichnet eine Zielzeit für die Wiederherstellung, RPO (Recovery Point Objective) den maximal tolerierten Datenverlust als Zeitspanne. Ein nächtliches Backup im Abstand von 24 Stunden kann ohne zusätzliche Sicherungen keinen Verlust von höchstens einer Stunde gewährleisten. Bei 30-Minuten-Sicherungen ist ein Datenverlust von bis zu 30 Minuten ein Planungswert, aber noch kein Nachweis für funktionierende Wiederherstellung. Das Prüfen von Sicherungen ist daher wesentlich.

Fehler beim Erstellen des Vorschaubildes:

Beispiel einer englisch beschrifteten Risikomatrix: Eintrittswahrscheinlichkeit und Schaden werden kombiniert. Peter Gladdish, Wikimedia Commons, CC BY 4.0. WICHTIG: Eine solche Risikomatrix ist nicht mit den qualitativen BSI-Schutzbedarfskategorien gleichzusetzen.

Für eine zusätzliche Übungspriorisierung darf die Lerngruppe eine ausdrücklich vereinbarte Skala benutzen: Eintrittsneigung 1 bis 3 mal Schadensstufe 1 bis 3. Ein Punktwert 2 × 3 = 6 kann höher priorisiert werden als 1 × 2 = 2. Diese fiktive Unterrichtsheuristik ist weder eine BSI-Normberechnung noch eine mathematisch exakte Eintrittswahrscheinlichkeit. Eine geringe Eintrittswahrscheinlichkeit rechtfertigt nicht das Herabsetzen eines hohen Schutzbedarfs.

Berufstypischer Modellfall: fiktiver Servicearbeitsplatz

Auftrag, Leitlinie und fiktive Ausgangslage

Du bist im ersten Ausbildungsjahr bei Nordtal IT-Hilfe tätig, einem vollständig erfundenen Betrieb. Das Übungsteam bearbeitet Kundenanfragen im Ticketportal und pflegt eine öffentliche FAQ-Seite. Im Übungsfall arbeiten acht Personen mit Service-Clients; ein zentraler Anwendungsserver stellt Ticketportal und FAQ bereit. Das Büro nutzt eine abgesicherte Netzwerkverbindung und eine interne Wiederherstellungslösung. Alle Ticketdaten, Personen, Beträge und Abläufe sind konstruiert; es gibt keine realen Kennwörter oder Systeme.

Fiktive Sicherheitsleitlinie NTH-S1: Nur autorisierte Rollen dürfen Tickets lesen und ändern. Kritische Änderungen sind nachvollziehbar zu protokollieren. Ein Arbeitsausfall von mehr als drei Stunden im Serviceprozess ist nicht akzeptabel; der maximal tolerierbare Datenverlust beträgt eine Stunde. Sicherheitsrelevante Veränderungen an Produktivsystemen dürfen nur nach Freigabe durch die IT-Verantwortlichen erfolgen. Für die Übung gelten „normal“, „hoch“ und „sehr hoch“ nach den BSI-Grundbeschreibungen; es existiert keine automatische Euro-Schwelle.

Beobachtete fiktive Situation: Das Ticketportal speichert vorgegebene Fantasiekundendaten; in einem Testblatt sind Ticketkorrekturen nicht nachvollziehbar. Der einzige dokumentierte Sicherungsauftrag läuft nachts, ein erfolgreicher Wiederherstellungstest ist nicht nachgewiesen. Die öffentliche FAQ enthält keine vertraulichen Inhalte. Eine Liste der zugeordneten Benutzerrollen existiert, wurde aber seit sechs Monaten nicht geprüft. Es ist kein echter Sicherheitsvorfall bekannt.

Vollständige Lösung in sechs Arbeitsschritten

Schritt 1 – Abgrenzen: Zu beurteilen sind die beiden Anwendungen, der gemeinsame Server, die Arbeits-Clients, die für die Prozesse erforderliche Verbindung und die einschlägigen Organisationstätigkeiten. Nicht geprüft werden fremde Cloud-Dienste oder reale Endgeräte. Verantwortlich für die Genehmigung ist in diesem Übungsfall die fiktive IT-Leitung.

Schritt 2 – Schäden beschreiben: Bei Offenlegung der Ticketdaten entstehen beträchtliche Beeinträchtigungen des Datenschutzes und des Kundenvertrauens; bei Manipulation könnten falsche Bearbeitungsschritte ausgelöst werden. Beim Ausfall des Portals ist die Aufgabenerfüllung erheblich eingeschränkt. Bei der öffentlichen FAQ ist die Geheimhaltung wenig relevant, eine unbemerkte inhaltliche Änderung kann jedoch falsche Hilfen verbreiten.

Schritt 3 – Schutzbedarf begründen:

Übungsobjekt	Vtraulichkeit	Integrität	Verfügbarkeit	Nachvollziehbare Begründung
Ticketportal samt Übungstickets	hoch	hoch	hoch	Beträchtliche Folgen bei Einsicht, verfälschtem Bearbeitungsstand und längerem Ausfall
Öffentliche FAQ	normal	hoch	normal	Öffentliche Inhalte, doch fehlerhafte Anleitungen wären gravierend; kurzfristige Nichtverfügbarkeit bleibt hier überschaubar
Gemeinsamer Server	hoch	hoch	hoch	Je Schutzziel höchster Wert der darauf laufenden Anwendungen
Arbeits-Client mit Ticketzugang	hoch	hoch	hoch	Berechtigter Zugriff und Bearbeitung kritischer Tickets über den Client
Erforderliche Büroverbindung	hoch	hoch	hoch	Überträgt Ticketdaten und trägt den zeitkritischen Serviceprozess; Schutz durch angemessene Verbindungssicherheit

Schritt 4 – Zeit und Schaden berechnen: Drei Stunden Ausfall bei acht Beschäftigten kosten in der reinen Unterrichtskalkulation 8 × 3 × 28 Euro = 672 Euro. Mit 150 Euro zusätzlichen externen Aufwendungen werden 822 Euro angenommen. Die Rechnung ist nur ein Teil der Begründung für die beträchtlichen betrieblichen Folgen; ohne Fallkontext hätte sie keine einheitlich gültige Kategorie. Ein einziges Backup alle 24 Stunden erfüllt das vorgegebene RPO von einer Stunde nicht. Fehlt der Wiederherstellungstest, ist auch die RTO-Einhaltung nicht nachgewiesen. Ein Prüfer darf daher keine Betriebsfreigabe behaupten.

Schritt 5 – Bedrohungen und Maßnahmen abgleichen:

Prüfpunkt	Festgestellte Lücke im Übungsszenario	Maßnahme und Priorität	Verantwortungsweg
Ticketzugriff	Rechteprüfung liegt sechs Monate zurück	Rollen und Berechtigungen prüfen, hohe Priorität	IT-Leitung beauftragt zuständige Administration
Integrität	Änderungen nicht nachvollziehbar	Geeignete Änderungsprotokollierung und regelmäßige Kontrolle, hohe Priorität	Anwendungsteam prüft in freigegebener Testumgebung
Datensicherung	Abstand der Sicherungen nicht mit RPO vereinbar	Geeignete Sicherungsintervalle sowie geschützte Kopien konzipieren, hohe Priorität	Backup-Verantwortliche planen und genehmigen
Wiederanlauf	Kein belegter Restore-Test	Kontrollierten Wiederherstellungstest planen, Ergebnis mit RTO vergleichen, hohe Priorität	Nur befugtes Fachpersonal unter Anleitung
FAQ	Freigabeprozess für Änderungen unklar	Vier-Augen-Prüfung und Versionshistorie, mittlere Priorität	Redaktion und Anwendungsteam

Schritt 6 – Dokumentierter Entscheidungsvorschlag: Der IT-Leitung wird empfohlen, RPO und RTO nachweisbar zu prüfen, Änderungen am Ticketportal in einer freigegebenen Testumgebung nachzuvollziehen und die Berechtigungen aktuell zu kontrollieren. Der Schutzbedarf für Ticketportal und gemeinsamen Server lautet hoch / hoch / hoch. Die Frage, ob konkrete technische Maßnahmen genügen, bleibt bis zur autorisierten Wirksamkeitsprüfung offen. Das ist das sachlich korrekte Ergebnis einer frühen Schutzbedarfserhebung – kein realer Sicherheitsnachweis.

Musterarbeitsprodukt und Bewertungsraster

Muster für eine kurze Ergebnisnotiz: „Analysebereich: Servicearbeitsplatz NTH-S1, ausschließlich fiktiv. Höchster festgestellter Schutzbedarf je Schutzziel: hoch. Begründung: schutzwürdige Ticketinhalte, auf korrekte Bearbeitung angewiesene Arbeitsabläufe und nicht tolerierbare lange Serviceunterbrechung. Rechenbeispiel für drei Stunden Ausfall: 822 Euro inklusive angenommenem Zusatzaufwand. Abweichung: Sicherungsintervall größer als zulässiges RPO; Restore-Nachweis fehlt. Empfehlung: Maßnahmen priorisiert zur Entscheidung vorlegen und fachlich freigegeben testen. Keine produktive Freigabe.“

Bewertungskriterium	4 Punkte	2 Punkte	0 Punkte
Vollständige Objektliste	Prozess, Information, Anwendung, System, Verbindung und Verantwortungsrolle erfasst	Einige Objekte oder Beziehungen fehlen	Kein nachvollziehbarer Umfang
CIA-Einstufung	Alle drei Schutzziele je Objekt plausibel mit Schadensbezug begründet	Mehrere nachvollziehbare, aber lückenhafte Zuordnungen	Unbegründete oder falsche Einstufungen
Fachrechnung und Plausibilität	672 Euro und 822 Euro korrekt, Annahmen und Grenzen benannt, RPO/RTO sauber getrennt	Rechenweg oder Zielzeiten teilweise unvollständig	Falscher Rechenweg und keine Plausibilitätsprüfung
Maßnahmen und Zuständigkeit	Lücken priorisiert und prüfbare Maßnahmen mit Freigabeweg empfohlen	Teilweise passend, jedoch ohne klare Verantwortlichkeit	Maßnahmen wirkungslos oder eigenmächtig freigegeben
Dokumentation und Reflexion	Entscheidung, offene Prüfungen, Grenzen und Datenherkunft verständlich dokumentiert	Einzelne Nachweise oder Reflexion fehlen	Keine belastbare Ergebnisdokumentation

Gesamt: 20 Punkte. Vorschlag zur Lernrückmeldung: 18–20 sehr sicher, 14–17 überwiegend sicher, 10–13 mit Nacharbeit, unter 10 erneute angeleitete Bearbeitung. Diese Lernstufen sind keine offizielle Prüfungsbewertung. Eine fachlich vertretbare alternative Einstufung erhält Punkte, wenn Schadensszenario, Leitlinie und Abweichungsbegründung stimmig dokumentiert sind.

Maßnahmen prüfen, Fehler erkennen und übertragen

Von der Einstufung zur angemessenen Maßnahme

Ein erhöhter Schutzbedarf führt nicht automatisch zu einem bestimmten Produktkauf. Vergleiche erst Schutzziel, Schadensszenario, organisatorische Zuständigkeit, bestehende Maßnahmen und die betriebliche Leitlinie. Beispiele: Vertraulichkeit → minimale Berechtigungen, sicheres Anmelden und Verschlüsselung; Integrität → Freigabeprozesse, verlässliche Protokolle, Prüfsummen wo sinnvoll; Verfügbarkeit → Wiederanlaufkonzept, Redundanz, getestete Sicherung. Der Stand der Umsetzung ist getrennt vom erforderlichen Schutzbedarf zu dokumentieren.

Fehler beim Erstellen des Vorschaubildes:

Schema der 3-2-1-Backupstrategie, Olaf Pichler, Wikimedia Commons, CC BY-SA 4.0. Die Strategie kann Ausfallfolgen mindern; wirksame Sicherungen setzen zusätzlich Zugriffsschutz, Wiederherstellungstests und passende Aufbewahrungsregeln voraus.

Ein Vier-Augen-Prinzip kann bei kritischen Datenänderungen Fehler reduzieren. Mehrfaktor-Authentifizierung senkt das Risiko unbefugter Kontozugriffe, aber auch dann können Berechtigungen falsch verteilt sein. Ein Restore-Test weist erst dann Wirksamkeit nach, wenn die benötigten Informationen vollständig, unverändert und innerhalb der vorgesehenen Zeit wieder verfügbar sind. Auszubildende dokumentieren solche Tests oder beobachten sie unter qualifizierter Anleitung; reale Eingriffe erfordern eine ausdrückliche Freigabe.

Prüfkette und Fehlerdiagnose

Prüfkette: Schutzziel benennen → Schaden konkretisieren → Kategorienbegriffe anwenden → Abhängigkeiten berücksichtigen → vorhandene Kontrollen aufnehmen → Lücke beurteilen → freigegebene Maßnahme vorschlagen → Nachkontrolle terminieren. Verwende ein einfaches Protokoll mit „Prüfobjekt – Kriterium – Soll – Ist – Beleg – Abweichung – zuständige Rolle – nächster Schritt“.

Typischer Fehler	Diagnosefrage	Korrektur
Schutzbedarf mit Schutzmaßnahme verwechselt	„Verschlüsselt“ ist eine Eigenschaft – welcher Schaden droht bei Offenlegung?	Zuerst Schutzbedarf definieren, anschließend Maßnahmen zuordnen
Geringe Eintrittswahrscheinlichkeit senkt Schutzbedarf	Welche Konsequenz hätte der Vorfall, falls er einträte?	Schutzbedarf und Eintrittsneigung getrennt dokumentieren
Backup gilt ungeprüft als ausreichend	Wann war der letzte erfolgreiche Restore und erreicht er RPO und RTO?	Nachweis verlangen und Abweichung melden
Vererbung übersehen	Welche Anwendungen teilen sich das System?	CIA-Maximum je Schutzziel dokumentieren
Viele „sehr hoch“-Werte ohne Begründung	Ist ein existenzbedrohliches Szenario fachlich denkbar und belegbar?	Szenario präzisieren und verantwortliche Stelle einbeziehen

Ergänzungsvideo „Schutzziele der Informationssicherheit“, Kanal Informationssicherheit und ISO 27001, veröffentlicht 2018. Arbeitsauftrag: Prüfe die dort verwendeten Beispiele auf die Schutzziele und übertrage eines auf den Modellfall.

Vertiefung: Bundesamt für Sicherheit in der Informationstechnik, „Grundschutz++ Methodik und Einstieg ins BCM“, Beitrag vom IT-Grundschutz-Tag 2025. Fortgeschrittener Bezug zu Strukturanalyse, Schutzbedarfsfeststellung und Geschäftsfortführung; als Zusatzmaterial, nicht als Voraussetzung für das erste Ausbildungsjahr.

Transfer in die vier Fachrichtungen

In der Anwendungsentwicklung prüfst du beispielsweise, ob Rollenrechte in einer Testanwendung die Vertraulichkeit von Datensätzen unterstützen. In der Systemintegration dokumentierst du Abhängigkeiten zwischen Client, Server und Netz. In der Daten- und Prozessanalyse begründest du Schutzbedarf für Datenqualität und sensible Auswertungen. In der Digitalen Vernetzung fragst du nach den Folgen einer fehlerhaften oder nicht verfügbaren Vernetzung, ohne reale Maschinen oder Anlagen zu verändern. Die gemeinsame Grundlage bleibt dieselbe: begründete, dokumentierte Schutzbedarfsfeststellung vor Auswahl und Freigabe von Maßnahmen.

Interaktive Aufgaben

Multiple-Choice-Quiz

Wähle jeweils genau eine fachlich beste Antwort. Die kurze Rückmeldung erklärt den entscheidenden Denkweg.

Welches Beispiel verletzt primär die Vertraulichkeit? (Unberechtigte können fremde Supporttickets lesen) (!Ein Server antwortet für eine Stunde nicht) (!Ein Kontostand wird falsch gespeichert) (!Eine öffentliche FAQ lädt langsam)

Rückmeldung: Bei Vertraulichkeit geht es um unbefugte Kenntnisnahme; beachte, dass dieselbe Situation zusätzliche Schutzziele berühren kann.

Welcher Vorgang ist ein typischer Integritätsvorfall? (Ein protokollierter Ticketstatus wird unbemerkt und unbefugt verändert) (!Eine verschlüsselte Sicherung ist nur mit Freigabe lesbar) (!Ein Serviceportal ist kurzzeitig nicht erreichbar) (!Ein Team nutzt eine öffentliche Bedienungsanleitung)

Rückmeldung: Integrität verlangt korrekte und gegen unautorisierte Änderung geschützte Informationen; ein bloßer Ausfall ist vorrangig ein Verfügbarkeitsproblem.

Welche Aussage erklärt Verfügbarkeit am besten? (Berechtigte können einen Dienst dann nutzen wenn der Prozess ihn benötigt) (!Alle Informationen müssen öffentlich zugänglich sein) (!Jede Datei muss eine digitale Signatur tragen) (!Sicherheitskopien ersetzen die Zugriffskontrolle)

Rückmeldung: Die zeitgerechte Nutzbarkeit steht im Mittelpunkt; berechtigter Zugriff und tatsächliche Betriebsbereitschaft gehören zusammen.

Womit beginnt eine angemessene Schutzbedarfsfeststellung? (Mit der Abgrenzung von Prozess Informationen und betroffenen Schutzobjekten) (!Mit dem Kauf der teuersten Firewall) (!Mit dem Abschalten eines produktiven Servers) (!Mit dem Erfinden eines allgemeinen Risikowertes)

Rückmeldung: Ohne nachvollziehbaren Untersuchungsbereich lassen sich mögliche Schäden und Abhängigkeiten nicht konsistent bewerten.

Wann ist die BSI-Kategorie hoch grundsätzlich angebracht? (Wenn zu erwartende Schadensauswirkungen beträchtlich sein können) (!Immer wenn eine Datei mehr als ein Megabyte hat) (!Ausschließlich wenn schon ein Angriff stattgefunden hat) (!Immer wenn ein System mit dem Internet verbunden ist)

Rückmeldung: Entscheidend ist die plausible mögliche Schadenshöhe im jeweiligen institutionellen Kontext, nicht die Dateigröße oder ein einzelnes technisches Merkmal.

Ein Server betreibt Anwendungen mit Vertraulichkeitsbedarf normal und hoch. Welche Regel gilt im Regelfall? (Der Server erhält für Vertraulichkeit mindestens hoch) (!Der Server erhält stets normal weil es zwei Anwendungen sind) (!Die Werte werden zu einem mittleren arithmetischen Wert verrechnet) (!Die Integrität muss deshalb automatisch sehr hoch sein)

Rückmeldung: Das Maximumprinzip wird je Schutzziel angewandt; zusätzliche Kumulations- und Verteilungseffekte gehören in die Begründung.

Was trennt Schutzbedarfsfeststellung von einer detaillierten Risikoanalyse? (Die Schutzbedarfsfeststellung ordnet zunächst mögliche Schadensfolgen den Schutzzielen zu) (!Die Schutzbedarfsfeststellung bestimmt nur die Kosten neuer Software) (!Die Schutzbedarfsfeststellung zählt ausschließlich Angriffe) (!Die Schutzbedarfsfeststellung ersetzt jedes Sicherheitskonzept)

Rückmeldung: Ein hoher möglicher Schaden bleibt bedeutsam, selbst wenn ein Ereignis als selten vermutet wird.

Der Betrieb toleriert höchstens eine Stunde Datenverlust. Eine Sicherung erfolgt nur alle 24 Stunden. Was folgt daraus? (Das Sicherungsintervall belegt die Einhaltung des RPO nicht) (!Die Anforderungen sind automatisch erfüllt) (!RTO und RPO bedeuten dasselbe) (!Die Daten sind deshalb zwangsläufig verloren)

Rückmeldung: RPO beschreibt tolerierbaren Datenverlust, RTO die Wiederherstellungszeit. Ein nachweisbares Sicherungs- und Testkonzept muss beide Ziele getrennt prüfen.

Welche Aufgabe gehört zur verantwortlichen Sicherheitsarbeit von Auszubildenden? (Schadensszenarien dokumentieren und Sicherheitslücken zuständig melden) (!Ohne Auftrag Zugriffsrechte im Echtbetrieb ändern) (!Reale Kundendaten für eine öffentliche Lernübung kopieren) (!Ohne Prüfung die vollständige Betriebssicherheit bescheinigen)

Rückmeldung: Der definierte Verantwortungsbereich und betriebliche Freigaben begrenzen jede reale Änderung.

Welche Entscheidung ist für die Dokumentation des Modellfalls sachgerecht? (Den hohen Schutzbedarf begründen und fehlende Wiederherstellungsnachweise offen vermerken) (!Die fehlenden Nachweise als erfolgreiche Prüfung eintragen) (!Wegen der niedrigen Kosten jede Maßnahme streichen) (!Allen Objekten pauschal die niedrigste Kategorie geben)

Rückmeldung: Nachvollziehbare Annahmen, offene Prüfungen und begründete Maßnahmen sind wichtiger als ein unbelegtes Urteil über sichere Systeme.

Memory: Fachbegriffe und Bedeutungen

Ordne jeweils einen Begriff seiner eindeutigen Bedeutung zu.

Vertraulichkeit	Schutz vor Kenntnisnahme durch Unbefugte
Integrität	Schutz vor unbefugter inhaltlicher Veränderung
Verfügbarkeit	Rechtzeitige Nutzbarkeit von Informationen und Diensten
Sicherheitsleitlinie	Übergeordnete betriebliche Grundsätze und Verantwortungen
Maximumprinzip	Vererbung des jeweils höchsten Schutzbedarfs pro Schutzziel
RPO	Maximal tolerierte Zeitspanne eines Datenverlusts

Drag-and-drop: Schadensszenario zu Schutzziel

Verbinde die fachlichen Begriffe mit ihren passenden Beispielen.

Passender Begriff	Beispiel im Arbeitsbereich
Vertraulichkeitsverletzung	Unberechtigte Person kann fremde Ticketinhalte sehen
Integritätsverletzung	Bearbeitungsstatus eines Tickets wird unbemerkt verfälscht
Verfügbarkeitsverletzung	Bearbeitungssystem reagiert während der Dienstzeit nicht
Kumulationseffekt	Zusammenführung mehrerer Datenbestände verstärkt die Schadensfolge
Wiederherstellungstest	Befugtes Team prüft die Rücksicherung in freigegebener Testumgebung

Kreuzworträtsel: sechs Schlüsselwörter

Finde zu jeder Beschreibung den gesuchten Fachbegriff.

Vertraulichkeit	Welches Schutzziel verhindert das unbefugte Lesen von Informationen?
Integrität	Welches Schutzziel fordert richtige und unverfälschte Informationen?
Verfügbarkeit	Welches Schutzziel betrifft rechtzeitige Nutzbarkeit?
Bedrohung	Wie heißt eine mögliche Ursache eines schädlichen Ereignisses?
Leitlinie	Wie heißt das übergeordnete Dokument mit Sicherheitsgrundsätzen?
Dokumentation	Wie heißt die nachvollziehbare schriftliche Festhaltung von Entscheidungen?

LearningApps

Suche ergänzende Zuordnungs- und Übungsaufgaben zu den Begriffen des Lernfelds. Beurteile fremde Lernangebote anhand der hier genannten BSI-Definitionen; nicht jede Suchtrefferaufgabe ist fachlich geprüft.

Separater Lückentext

Ergänze in jedem Satz den passenden Fachbegriff.

Der Schutz gegen unbefugte Einsicht heißt

.

Die Unverfälschtheit gespeicherter Informationen bezeichnet man als

.

Die rechtzeitige Nutzbarkeit einer Anwendung ist ihre

.

Der betriebliche Rahmen für Sicherheitsentscheidungen steht in der

.

Bei der Einstufung eines gemeinsam genutzten Servers hilft das

.

Die maximal tolerierte Zeitspanne eines Datenverlusts wird als

bezeichnet.

Das Ziel für die Dauer bis zur Wiederherstellung heißt

.

Eine mögliche Ursache eines Schadens nennt man

.

Eine ausnutzbare Schwäche eines IT-Systems heißt

.

Eine schriftlich nachvollziehbare Bewertung benötigt eine klare

.

Offene Aufgaben

Bearbeite die Aufgaben an frei erfundenen Arbeitsplätzen. Verwende keine tatsächlichen Organisationsdaten. Jede Aufgabe hat ein überprüfbares Arbeitsergebnis; die Kriterien helfen bei Selbst- und Partnerkontrolle.

Leicht

Schutzziele: Erstelle drei Lernkarten mit je einer Definition und einem eigenen fiktiven IT-Beispiel. Produkt: Karten. Lösungskriterien: Vertraulichkeit, Integrität und Verfügbarkeit richtig unterschieden.
Datenarten: Sortiere die erfundenen Objekte „öffentliche FAQ“, „Supportticket mit Fantasienamen“, „freigegebene Anleitung“ nach möglicher Vertraulichkeit und begründe jede Wahl in einem Satz. Produkt: Zuordnungstabelle. Kriterien: Kontext statt pauschaler Dateityp.
Bedrohungen: Formuliere vier Schadensszenarien zu Versehen, Phishing, Ausfall und unbefugter Änderung. Produkt: kurze Fallkarten. Kriterien: Ursache und konkrete Folge unterscheidbar.
Objektliste: Zeichne eine einfache Skizze mit Serviceprozess, Ticketportal, Client, Server und Netzwerkverbindung. Produkt: beschriftetes Schema. Kriterien: nachvollziehbare Abhängigkeiten und keine echten Betriebsinformationen.

Standard

CIA-Matrix: Bewerte Ticketportal und öffentliche FAQ nach allen drei Schutzzielen. Produkt: vollständig begründete Schutzbedarfstabelle. Musterlösung: Ticket hoch/hoch/hoch, FAQ normal/hoch/normal im beschriebenen Modellkontext.
Fachrechnung: Berechne den fiktiven Ausfallschaden für acht Personen, drei Stunden und 28 Euro pro Stunde zuzüglich 150 Euro Zusatzaufwand. Produkt: Rechenblatt. Musterlösung: 672 Euro und insgesamt 822 Euro, mit Einheiten und Annahmen.
Sicherungskonzept: Vergleiche 24-Stunden-Sicherungsintervalle mit dem vorgegebenen RPO von einer Stunde und erläutere den Unterschied zur RTO von drei Stunden. Produkt: Soll-Ist-Protokoll. Kriterien: zwei Zielgrößen sauber getrennt, Lücke benannt.
Maßnahmenpriorität: Plane zu fünf Modellfall-Lücken jeweils eine Maßnahme, ein Prüfkriterium und eine zuständige Rolle. Produkt: Maßnahmenplan. Kriterien: Schutzzielbezug, Freigabe und Verhältnismäßigkeit.

Schwer

Abhängigkeitsanalyse: Zwei Anwendungen teilen sich einen Server. Prüfe Maximumprinzip sowie einen möglichen Kumulationseffekt und entwirf drei voneinander getrennte CIA-Begründungen. Produkt: Entscheidungsnotiz. Kriterien: keine unbegründete Gleichsetzung der Schutzziele.
Szenarienvergleich: Erfinde zwei unterschiedliche Ausfallszenarien für denselben Prozess, darunter ein Ereignis mit geringen direkten Kosten, aber hohem Vertrauensverlust. Produkt: Wirkungsanalyse. Kriterien: qualitative und monetäre Schäden getrennt, Unsicherheiten benannt.
Wiederanlaufplanung: Erstelle einen papierbasierten, fiktiven Testplan zur Überprüfung einer Sicherung unter den Zielvorgaben RTO drei Stunden und RPO eine Stunde. Produkt: Prüfprotokoll-Vorlage. Kriterien: Freigabe, Testumgebung, Prüfkriterien, Abbruchweg, keine reale Ausführung.
Fachgespräch: Verfasse ein zweiseitiges Entscheidungspapier für die fiktive IT-Leitung mit CIA-Bewertung, Kostenbeispiel, Maßnahmen, Verantwortungsgrenzen und offenem Restrisiko. Produkt: Entscheidungsvorlage mit mündlicher Verteidigung. Kriterien: fachliche Priorisierung und begründete Alternativen.

Lernkontrolle

Diese Zusatzaufgaben sind unabhängig von den zwölf offenen Übungsaufträgen.

Begriffstransfer: Erkläre, weshalb dieselbe Information bei Vertraulichkeit „hoch“, bei Verfügbarkeit aber „normal“ eingestuft sein kann; belege es mit einem selbst erfundenen Fall.
Plausibilitätsprüfung: Eine Kollegin vergibt allen Servern automatisch die Kategorie „sehr hoch“. Prüfe diese Vorgehensweise kritisch und formuliere zwei notwendige Rückfragen.
Rechenprüfung: Ein Dienst hat RPO zwei Stunden und RTO vier Stunden; ein Backup findet alle sechs Stunden statt, eine Wiederherstellung benötigt laut Test drei Stunden. Welche Zielgröße ist nicht erfüllt und warum?
Fehlerdiagnose: In einem Protokoll fehlt die zuständige Rolle, obwohl ein kritischer Rechtefehler erkannt wurde. Überarbeite den Eintrag zu einer nachprüfbaren Handlungsempfehlung ohne eigenmächtigen Eingriff.
Recht und Technik: Unterscheide anhand eines synthetischen Kontaktformulars Datenschutzpflichten von den drei Informationsschutzzielen und leite je eine angemessene Kontrollfrage ab.
Methodenvergleich: Begründe, warum der Übungsscore „Eintrittsneigung mal Schadensstufe“ die BSI-Schutzbedarfsfeststellung nicht ersetzt und in welcher Phase er allenfalls ergänzend nutzt.

Kontrollhinweise: Im dritten Auftrag wird das RPO wegen des sechs Stunden langen Sicherungsabstands nicht hinreichend abgesichert, während der getestete Wiederanlauf von drei Stunden innerhalb der vorgegebenen RTO von vier Stunden liegt. Bei allen anderen Aufgaben zählen die belegte Begründung, die Trennung der Schutzziele und die dokumentierten Grenzen stärker als auswendig gelernte Schlagwörter.

Lernnachweis

Am Ende weist du deine Kompetenz mit einem Portfolio nach: (1) abgegrenzter und anonymisierter Untersuchungsbereich, (2) sechsfach begründete CIA-Objektbewertung oder gleichwertige Matrix, (3) korrekte Schadensrechnung samt Annahmen, (4) dokumentierter Soll-Ist-Vergleich für RPO und RTO, (5) priorisierter Maßnahmenplan mit Zuständigkeit und (6) begründeter Reflexion darüber, welche Unsicherheiten und Freigaben offenbleiben. Lege nur vollständig synthetische Fallangaben vor.

Mindeststandard: Du kannst die drei Schutzziele an einem konkreten Fall unterscheiden, eine BSI-Schutzbedarfskategorie plausibel vergeben, das Maximumprinzip auf einen gemeinsamen Server anwenden, einen realistischen Rechenweg erläutern und eine ungesicherte Behauptung von einem geprüften Nachweis unterscheiden. Vertiefter Standard: Du erkennst Kumulationswirkungen, verteidigst abweichende Einstufungen und schlägst prüfbare Alternativen vor. Bewertungsmaßstab ist das 20-Punkte-Raster des Modellfalls; nutze zuerst Selbstkontrolle, dann Partnerfeedback und anschließend fachlich angeleitetes Feedback.

OER und Wikipedia

Offizielle Grundlagen und weiterführende Quellen (Abrufprüfung im Oktober 2026):

KMK-Rahmenlehrplan Fachinformatiker und Fachinformatikerin, Lernfeld 4 auf Seite 15 – Beschluss vom 13. Dezember 2019; amtlicher Rahmenlehrplan, keine pauschale offene Bearbeitungslizenz behauptet.
BIBB-Berufsprofil Fachinformatikerin/Fachinformatiker – Fachrichtungen, Ausbildungsdauer und Zugang zu Rechtsgrundlagen.
Fachinformatikerausbildungsverordnung – Fassung vom 28. Februar 2020, in Kraft seit 1. August 2020, mit Fachrichtungen und gestreckter Abschlussprüfung; hier keine veränderlichen Prüfungsbedingungen abgeleitet.
BSI-Onlinekurs zur Schutzbedarfsfeststellung – offizielle methodische Erklärung und weitere Lerneinheiten.
BSI-Standard 200-2, IT-Grundschutz-Methodik – qualitative Schutzbedarfskategorien, Vererbung und Dokumentation.
Wikipedia: Informationssicherheit – frei weiterbearbeitbare Übersicht unter den jeweiligen Wikimedia-Bedingungen.

Thematisch passender Wikipedia-Artikel:

Geprüfte und im Kurs eingebundene Medien; Urheber und Rechte:

Datei oder Medium	Geprüfte Quelle	Urheber	Rechtslage beziehungsweise Lizenz
File:Confidentiality Integrity Availability triangle.png	Wikimedia Commons	Picturesqua	CC BY-SA 4.0
File:NetworkTopologies (de).svg	Wikimedia Commons	Foobaz, Malyszkz, Reise Reise	Gemeinfrei laut Dateiseite
File:Risk matrix diagram.svg	Wikimedia Commons	Peter Gladdish	CC BY 4.0
File:3-2-1 backup.svg	Wikimedia Commons	Olaf Pichler	CC BY-SA 4.0
https://www.youtube.com/watch?v=ki7DeZS3uXc	Drei Schutzziele der Informationssicherheit	Informationssicherheit ganz einfach	Urheberrecht beim Kanal; hier nur Videoeinbettung, keine OER-Lizenz behauptet
https://www.youtube.com/watch?v=H4f_Olfh4P0	ISO 27001 und Schutzziele	Informationssicherheit und ISO 27001	Urheberrecht beim Kanal; hier nur Videoeinbettung, keine OER-Lizenz behauptet
https://www.youtube.com/watch?v=PxOjkV6oUwU	BSI-Grundschutz++-Methodik und BCM	Bundesamt für Sicherheit in der Informationstechnik	Urheberrecht beim Herausgeber; hier nur Videoeinbettung, keine OER-Lizenz behauptet

OER-Hinweis: Für die Commons-Grafiken gelten die auf den verlinkten Dateiseiten nachgewiesenen Bedingungen einschließlich Namensnennung und gegebenenfalls Weitergabe unter gleichen Bedingungen. Offizielle Texte und YouTube-Videos bleiben bei ihren jeweiligen Rechteinhabern; verlinken oder einbetten bedeutet nicht, dass ihre Inhalte frei remixt werden dürfen. Die Tabellen, Berechnungen, fiktiven Szenarien und das Bewertungsraster in diesem Lernkurs sind eigene didaktische Darstellungen, keine amtlichen Prüfungsaufgaben. Keine Inhalte von Sofatutor.

Verknüpfte Lernbereiche

Hier findest du die fachlichen Voraussetzungen und passende Anschlusskurse. Interne Verweise helfen dir bei der Navigation; ob einzelne vertiefende Kurse bereits veröffentlicht sind, ist separat auf MOOCwiki zu prüfen.

Berufsportal: Ausbildung – Fachinformatiker

Querverbindungen: Lernfeld 1 liefert Rollen und Prozesse, Lernfeld 2 Arbeitsplätze und Beschaffung, Lernfeld 3 die Client-Netz-Anbindung und Lernfeld 5 Datenverwaltung. Lernfeld 4 verbindet diese Themen mit schutzzielbezogenen Schadensfolgen, betrieblicher Verantwortung und überprüfbaren Entscheidungen.