IT-Sicherheit: Vertraulichkeit, Integrität, Verfügbarkeit – wo ordne ich Verschlüsselung, Signatur und Backup jeweils ein?

Die Ordnung wird deutlich einfacher, wenn du jedes Schutzziel über die Frage definierst, die es beantwortet – und die Maßnahme anschließend danach fragst, welche dieser Fragen sie beantwortet.

• Vertraulichkeit: „Kann ein Unbefugter den Inhalt lesen?“ → Verschlüsselung, Berechtigungskonzept und Zugriffsrechte, Need-to-know, verschlossener Serverraum, VPN.
• Integrität: „Ist der Inhalt unbemerkt verändert worden?“ → Hashwerte und Prüfsummen, digitale Signatur, Schreibrechte, Versionierung, Transaktionen in der Datenbank.
• Verfügbarkeit: „Komme ich dran, wenn ich es brauche?“ → Backup, RAID, Redundanz, USV, Notfallplan, Schutz vor Überlastung.

Viele Hefte nennen zusätzlich Authentizität („ist der Absender wirklich der, der er zu sein behauptet?“) und Verbindlichkeit / Nichtabstreitbarkeit („kann der Absender es hinterher leugnen?“). Genau dort sitzt die Antwort auf deine Signatur-Frage.

Symmetrisch vs. asymmetrisch in drei Punkten:

• Symmetrisch (z. B. AES): ein Schlüssel zum Ver- und Entschlüsseln. Sehr schnell, auch für große Datenmengen – aber beide Seiten müssen den Schlüssel vorher sicher austauschen. Das ist das Schlüsselverteilungsproblem, und bei n Teilnehmern braucht man n·(n−1)/2 Schlüssel.
• Asymmetrisch (z. B. RSA): Schlüsselpaar aus öffentlichem und privatem Schlüssel. Was mit dem einen verschlüsselt wurde, geht nur mit dem anderen wieder auf. Den öffentlichen darf jeder haben – damit ist das Verteilungsproblem gelöst. Dafür ist das Verfahren um Größenordnungen langsamer.
• Hybrid = die Praxis (TLS/HTTPS, verschlüsselte Mail): Asymmetrisch wird nur ein zufälliger Sitzungsschlüssel übertragen, die eigentlichen Daten laufen dann symmetrisch. Beide Vorteile, keiner der Nachteile.

Und jetzt die Merkregel, die deine eigentliche Frage beantwortet – es kommt auf die Richtung an:

• Verschlüsseln für Vertraulichkeit: mit dem öffentlichen Schlüssel des Empfängers. Nur der Empfänger besitzt den passenden privaten Schlüssel, also kann nur er lesen.
• Signieren: Vom Dokument wird ein Hashwert gebildet, und der wird mit dem privaten Schlüssel des Absenders verschlüsselt. Jeder kann mit dessen öffentlichem Schlüssel prüfen: Passt der entschlüsselte Hash zum selbst berechneten Hash des Dokuments, stammt es von diesem Absender und wurde nicht verändert.

Daraus folgt sauber: Die Signatur sichert Integrität, Authentizität und Verbindlichkeit – aber ausdrücklich keine Vertraulichkeit. Ein signiertes Dokument ist für jeden lesbar. Wenn du beides willst, musst du signieren und verschlüsseln. Das ist eine klassische Fangfrage.

Noch zum Hash selbst: Er ist keine Verschlüsselung, sondern eine Einwegfunktion – aus dem Hashwert lässt sich das Original nicht zurückrechnen, und schon eine geänderte Stelle im Dokument kippt den kompletten Wert. Genau deshalb taugt er für Integrität (und für die Speicherung von Passwörtern), aber niemals für die Vertraulichkeit von Inhalten.

Daniels Zuordnung würde ich genau so in die Klausur schreiben. Ich ergänze das, was in solchen Aufgaben zusätzlich abgefragt wird.

Antwortmuster für „ordnen Sie zu und begründen Sie“ – immer dreiteilig: Maßnahme → Schutzziel → Wirkmechanismus. Also nicht „Das Backup dient der Verfügbarkeit“, sondern: „Das Backup dient der Verfügbarkeit, weil die Daten nach einem Verlust aus einer zweiten Kopie wiederhergestellt werden können und die Arbeitsfähigkeit dadurch erhalten bleibt.“ Der dritte Teil ist der, der übrig bleibt, wenn die ersten beiden geraten wirken.

Die Falle bei der Verfügbarkeit: RAID ist kein Backup. Das wird gern geprüft. RAID (z. B. Spiegelung) fängt den Ausfall einer Festplatte ab, der Betrieb läuft weiter. Gegen versehentliches Löschen, einen Verschlüsselungstrojaner oder einen Brand hilft es nicht – der Schaden wird sekundenschnell mitgespiegelt. Dafür brauchst du ein Backup, und zwar nach der 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, eine davon räumlich getrennt bzw. offline. Und der Satz, den Prüfer hören wollen: Ein Backup, das nie zurückgespielt wurde, ist kein Backup – Restore-Tests gehören dazu.

Zweite häufige Unterscheidung: technische vs. organisatorische Maßnahmen. Firewall, Verschlüsselung und RAID sind technisch; Berechtigungskonzept, Vier-Augen-Prinzip, Schulungen, Passwortrichtlinie, Notfallhandbuch und Besucherregelung sind organisatorisch. Bei Aufgaben, in denen „drei Maßnahmen“ gefordert sind, holst du oft einen Punkt allein dadurch, dass du beide Kategorien bedienst, statt drei technische aufzuzählen. Dahinter steckt die alte Wahrheit, dass der Mensch die größte Schwachstelle ist – Phishing und Social Engineering umgehen jede Verschlüsselung.

Und eine Maßnahme darf auf mehrere Ziele einzahlen. Ein Berechtigungskonzept schützt die Vertraulichkeit (wer darf lesen) und die Integrität (wer darf ändern). Das ist kein Widerspruch, sondern gibt Extrapunkte, wenn du es dazuschreibst – wichtig ist nur, dass du je Ziel den Mechanismus nennst.

Spiel das Schema einmal an fünf Maßnahmen aus deinem Heft durch, dann musst du in der Klausur nicht mehr raten: Du fragst dich nur noch „lesen, verändern oder drankommen?“ und hast die Zuordnung.