ITIT-Sicherheit, Informationssicherheit und Datenschutz: die Unterschiede
IT-Sicherheit schützt IT-Systeme und digitale Daten, Informationssicherheit schützt alle Informationen einer Organisation unabhängig von ihrer Form, und Datenschutz schützt Menschen vor unzulässiger Verarbeitung ihrer personenbezogenen Daten. Die drei Disziplinen überschneiden sich stark, beantworten aber verschiedene Fragen: Ist das System sicher? Ist die Information geschützt? Darf ich diese Daten überhaupt so verarbeiten?
- IT-Sicherheit ist technisch, Informationssicherheit organisatorisch und technisch, Datenschutz rechtlich und menschenbezogen.
- Gemeinsame Schnittmenge: die technischen und organisatorischen Maßnahmen.
- Datenschutz fragt zuerst nach der Zulässigkeit, Sicherheit nach dem Schutz.
- Ein integriertes Managementsystem vermeidet doppelte Arbeit.
Wie unterscheiden sich die Disziplinen im Vergleich?
| Kriterium | IT-Sicherheit | Informationssicherheit | Datenschutz |
|---|---|---|---|
| Schützt | IT-Systeme, Netze, digitale Daten | Alle Informationen: digital, Papier, Wissen | Personen und ihre Grundrechte |
| Leitfrage | Ist das System technisch sicher? | Sind Vertraulichkeit, Integrität, Verfügbarkeit gewahrt? | Ist die Verarbeitung zulässig, transparent und begrenzt? |
| Wichtigste Grundlagen | BSI IT-Grundschutz, Herstellervorgaben, Stand der Technik | ISO/IEC 27001, BSI-Standards, § 30 BSIG (NIS-2) | DSGVO, BDSG, weitere Fachgesetze |
| Risiko aus Sicht | der Systeme | der Organisation | der betroffenen Menschen |
| Typische Rolle | IT-Leitung, Administratoren | Informationssicherheitsbeauftragter (ISB/CISO) | Datenschutzbeauftragter (DSB) |
| Typische Nachweise | Konfigurationen, Patchstand, Protokolle | Risikobeurteilung, Erklärung zur Anwendbarkeit, Audits | Verarbeitungsverzeichnis, TOM, DSFA, Auftragsverarbeitungsverträge |
Wo überschneiden sich die Disziplinen?
Die größte Schnittmenge sind die technischen und organisatorischen Maßnahmen: Zugriffsschutz, Verschlüsselung, Datensicherung, Protokollierung oder Schulung dienen gleichzeitig der IT-Sicherheit, der Informationssicherheit und dem Datenschutz. Auch Vorfälle überschneiden sich: Ein Ransomware-Angriff ist ein IT-Sicherheitsvorfall, verletzt die Verfügbarkeit von Informationen und ist meist zugleich eine meldepflichtige Datenpanne.
Wo liegen die Unterschiede in der Praxis?
- Zulässigkeit vor Sicherheit: Der Datenschutz prüft zuerst, ob Daten überhaupt erhoben, gespeichert oder weitergegeben werden dürfen. Sicherheit allein macht eine Verarbeitung nicht rechtmäßig.
- Datenminimierung und Löschung: Informationssicherheit will Informationen verfügbar halten; der Datenschutz verlangt, personenbezogene Daten zu löschen, sobald der Zweck entfällt.
- Rollen trennen: Der Datenschutzbeauftragte berät und überwacht und soll keine Entscheidungen kontrollieren, die er selbst getroffen hat. Deshalb sind Interessenkonflikte etwa mit der IT-Leitung zu vermeiden.
Häufige Fragen
Ist Datenschutz ein Teil der Informationssicherheit?
Nein, beide überschneiden sich, verfolgen aber unterschiedliche Ziele. Die Informationssicherheit schützt Informationen und damit die Organisation; der Datenschutz schützt die Rechte und Freiheiten von Menschen. Eine perfekt gesicherte, aber unzulässige Verarbeitung bleibt ein Datenschutzverstoß.
Was ist der Unterschied zwischen IT-Sicherheit und Cybersicherheit?
IT-Sicherheit schützt IT-Systeme und Daten allgemein. Cybersicherheit meint den Schutz vor Bedrohungen aus dem vernetzten Raum, also vor Angriffen über Netze und das Internet. In der Praxis werden die Begriffe oft gleich verwendet.