INFORMATIONSSICHERHEIT FÜR MITARBEITENDE
Informationssicherheit verstehen und im Arbeitsalltag einordnen
Informationssicherheit bedeutet mehr als Firewalls, Passwörter oder Virenschutz. Im Mittelpunkt stehen die Informationen einer Organisation – unabhängig davon, ob sie digital, auf Papier oder mündlich verarbeitet werden.
Der Kurs vermittelt ein grundlegendes Verständnis dafür, was Informationssicherheit bedeutet, wie sie sich von IT-Sicherheit und Datenschutz unterscheidet und warum sie eine gemeinsame Aufgabe von Technik, Organisation und Menschen ist. Außerdem lernen Teilnehmende, Risiken und Schutzbedarf bewusst einzuordnen und angemessene Maßnahmen zu verstehen.
Was schützt Informationssicherheit eigentlich?
Viele Menschen denken bei Informationssicherheit zunächst an technische Systeme. Der eigentliche Ausgangspunkt sind jedoch Informationen: Inhalte, die in einer Organisation entstehen, verarbeitet werden und Entscheidungen ermöglichen.
Technik ist dabei häufig nur das Transport- oder Verarbeitungssystem. Der eigentliche Wert – und damit auch das mögliche Risiko – liegt in der Information selbst.
Digitale Informationen
Informationen befinden sich beispielsweise in Fachanwendungen, E-Mails, Dokumenten, Ticketsystemen oder Datenbanken.
Analoge Informationen
Auch Akten, Ausdrucke, Post-its, Notizbücher oder Whiteboards können schützenswerte Informationen enthalten.
Mündliche Informationen
Informationen werden ebenfalls in Telefonaten, Besprechungen oder kurzen Abstimmungen auf dem Flur weitergegeben.
Der Inhalt steht im Mittelpunkt – nicht nur das System.
Informationssicherheit betrachtet Informationen unabhängig von ihrem technischen oder nichttechnischen Träger.Informationssicherheit ist mehr als IT-Sicherheit
IT-Sicherheit beschäftigt sich insbesondere mit dem Schutz von Systemen, Netzwerken und technischen Komponenten. Sie ist damit ein zentraler Bestandteil der Informationssicherheit, bildet aber nicht deren gesamten Umfang ab.
Systeme und Technik schützen
Systeme sollen nicht kompromittiert werden, Zugriffe müssen kontrolliert sein und technische Angriffe sollen abgewehrt werden.
Ein wichtiger Teil der Informationssicherheit.
Informationen ganzheitlich schützen
Neben Technik werden auch Prozesse, Abläufe, Zuständigkeiten und der tägliche Umgang mit Informationen betrachtet.
Das Schutzgut ist die Information selbst.
Informationssicherheitsprobleme entstehen auch ohne Cyberangriff
Ein Sicherheitsproblem muss nicht durch Malware, Hacker oder einen technischen Ausfall entstehen. Der Kurs zeigt mehrere Situationen, in denen Informationen allein durch den täglichen Umgang gefährdet werden können.
Vertraulicher Ausdruck
Ein Dokument mit vertraulichen Informationen liegt offen im Büro und kann von unberechtigten Personen eingesehen werden.
Falscher Empfänger
Ein Dokument wird versehentlich an die falsche Person verschickt – ganz ohne technischen Angriff.
Falsche oder veränderte Version
Inhalte werden durch eine fehlerhafte Übernahme, eine falsche Version oder unklare Zuständigkeiten verändert.
Zwei eng verbundene Bereiche – aber nicht dasselbe
Datenschutz und Informationssicherheit überschneiden sich, verfolgen jedoch unterschiedliche Schwerpunkte.
Personenbezogene Daten
Datenschutz schützt personenbezogene Daten und die Rechte der davon betroffenen Personen.
Alle relevanten Informationen
Informationssicherheit schützt alle für eine Organisation relevanten und schützenswerten Informationen – unabhängig davon, ob sie personenbezogen sind.
Interne Planungen, Vergabeunterlagen, Vertragsdetails, Zugangsdaten, technische Dokumentationen, Sicherheitskonzepte oder strategische Entscheidungen.
Das lernen Mitarbeitende über Informationssicherheit
Der Kurs vermittelt bewusst keine Sammlung einzelner Sicherheitsregeln, sondern ein gemeinsames Grundverständnis, mit dem spätere Anforderungen und Maßnahmen besser eingeordnet werden können.
Informationssicherheit von IT-Sicherheit und Datenschutz unterscheiden
Informationen als eigenständiges Schutzgut betrachten
die Bedeutung von Technik, Organisation und Menschen gemeinsam verstehen
Risiken anhand von Wahrscheinlichkeit und möglicher Auswirkung einordnen
unterschiedliche Schutzbedarfe sinnvoll priorisieren
Informationssicherheit als fortlaufende Organisationsaufgabe verstehen
Informationssicherheit ist nicht allein Aufgabe der IT
Die IT übernimmt eine zentrale Rolle beim Betrieb von Systemen und bei technischen Schutzmaßnahmen. Informationssicherheit entsteht jedoch überall dort, wo Menschen Informationen erstellen, verarbeiten, speichern oder weitergeben.
Systeme absichern
Technische Maßnahmen helfen beim Absichern, Kontrollieren und Automatisieren.
Abläufe und Zuständigkeiten klären
Klare Prozesse legen fest, wer Informationen nutzen oder weitergeben darf und welche Version verbindlich ist.
Entscheidungen im Alltag treffen
Mitarbeitende setzen Informationssicherheit überall dort praktisch um, wo Informationen genutzt werden.
Deshalb müssen Technik, Organisation und Menschen gemeinsam betrachtet werden.
Klare Abläufe und Zuständigkeiten reduzieren Sicherheitsrisiken
Viele Risiken entstehen nicht, weil technische Maßnahmen versagen. Häufig sind Prozesse unklar oder Verantwortlichkeiten nicht eindeutig geregelt.
Wer darf welche Informationen weitergeben?
Welche Version eines Dokuments ist verbindlich?
Wo werden Informationen abgelegt?
Wer entscheidet im Zweifel?
Wie wird festgehalten, dass eine Information korrekt ist?
klare Zuständigkeiten, verständliche Abläufe und nachvollziehbare Entscheidungen.
Unabhängig davon, wie groß eine Organisation ist.Der Wert einer Information hängt vom Nutzungskontext ab
Informationen sind eine Grundlage dafür, Entscheidungen zu treffen, Abläufe zu steuern und Leistungen zuverlässig zu erbringen.
Dabei entsteht ihr tatsächlicher Wert nicht nur durch den Inhalt selbst. Entscheidend ist auch, für wen eine Information bestimmt ist, wann sie benötigt wird und in welchem Prozess sie eingesetzt wird.
Risiken entstehen aus Auswirkung und Wahrscheinlichkeit
Informationssicherheit betrachtet nicht nur, was grundsätzlich passieren könnte. Entscheidend ist auch, wie schwer die möglichen Folgen wären und wie wahrscheinlich der Eintritt eines Ereignisses ist.
Wie gravierend wäre ein möglicher Schaden für die Organisation?
Wie realistisch ist es, dass dieser Schaden tatsächlich eintritt?
Unterschiedliche Risiken erfordern unterschiedliche Maßnahmen
Der Kurs erläutert eine Risikomatrix anhand von drei Beispielen. Je höher mögliche Auswirkung und Eintrittswahrscheinlichkeit sind, desto kritischer wird ein Risiko für die Organisation.
Geringe Auswirkung und geringe Wahrscheinlichkeit
Beispiel: Eine interne allgemeine Information wird versehentlich von einer zusätzlichen Person gelesen, ohne dass daraus ein konkreter Schaden entsteht.
Spürbare Auswirkung und realistischer Eintritt
Beispiel: Eine E-Mail mit sensiblen Informationen wird an einen falschen internen Verteiler oder eine nicht benötigte Person gesendet.
Hohe Auswirkung und hohe Wahrscheinlichkeit
Beispiel: Unberechtigter Zugriff auf sensible personenbezogene Daten oder regelmäßig verarbeitete geschäftskritische Informationen.
Organisatorische, technische und personelle Maßnahmen können Eintrittswahrscheinlichkeit und mögliche Auswirkungen reduzieren.
Ziel ist nicht, jedes Risiko vollständig zu vermeiden
Informationssicherheit verfolgt kein Ziel absoluter Sicherheit. Ein hundertprozentiger Schutz ist weder realistisch noch wirtschaftlich sinnvoll.
Entscheidend ist vielmehr, Risiken bewusst zu steuern und angemessene Entscheidungen über Schutzbedarf, Aufwand und Nutzbarkeit im Arbeitsalltag zu treffen.
Schutzbedarf
Welche Auswirkungen hätte Verlust, Veränderung oder Offenlegung einer Information?
Aufwand
Welcher organisatorische oder technische Aufwand ist für den gewünschten Schutz erforderlich?
Nutzbarkeit
Wie lassen sich Schutzmaßnahmen so gestalten, dass Arbeitsabläufe weiterhin sinnvoll funktionieren?
Nicht jede Information benötigt dasselbe Schutzniveau
Werden alle Informationen gleichermaßen streng behandelt, kann dies zu Mehraufwand, Überforderung oder bewusster Umgehung von Regeln führen.
Deshalb gehört zur Informationssicherheit auch die bewusste Priorisierung. Entscheidend ist, wo Verlust, Veränderung oder Offenlegung tatsächlich Folgen hätten.
Schutz dort konzentrieren, wo er tatsächlich benötigt wird
Angemessene Schutzmaßnahmen schaffen Akzeptanz und helfen dabei, Informationssicherheit als sinnvollen Bestandteil der täglichen Arbeit zu verankern.
Informationssicherheit ist kein einmaliges Projekt
Organisationen verändern sich, Prozesse entwickeln sich weiter und damit verändern sich auch Risiken und Anforderungen.
Informationen nutzen
Informationen werden erstellt, verarbeitet, gespeichert und weitergegeben.
Risiken einordnen
Auswirkungen und Eintrittswahrscheinlichkeiten müssen bewusst bewertet werden.
Schutz anpassen
Angemessene organisatorische, technische und personelle Maßnahmen werden abgeleitet.
Regelmäßig überprüfen
Informationssicherheit muss fortlaufend betrachtet und weiterentwickelt werden.
Dort, wo Informationen erstellt, genutzt, weitergegeben oder gespeichert werden, wird Informationssicherheit praktisch umgesetzt.
Die wichtigsten Grundgedanken zur Informationssicherheit
Informationssicherheit schützt Informationen, nicht ausschließlich technische Systeme.
Informationen können digital, analog oder mündlich vorliegen.
Datenschutz und IT-Sicherheit sind wichtige, aber eigenständige Teilbereiche beziehungsweise Schnittstellen.
Technik, Organisation und Menschen müssen gemeinsam betrachtet werden.
Risiken werden anhand möglicher Auswirkungen und ihrer Eintrittswahrscheinlichkeit eingeordnet.
Schutzmaßnahmen müssen zum tatsächlichen Schutzbedarf und zum Arbeitsalltag passen.
Wissen mit Zwischenfragen und Abschlusstest festigen
Die angegebene Bearbeitungszeit berücksichtigt neben den vier Lernvideos auch die vorgesehenen Zwischenfragen und den abschließenden Wissenstest.
Häufige Fragen zur Informationssicherheit
Die wichtigsten Inhalte des Kurses kompakt und verständlich zusammengefasst.
Was bedeutet Informationssicherheit?
Informationssicherheit betrachtet Informationen als schützenswertes Gut. Dabei werden nicht nur technische Systeme betrachtet, sondern auch Prozesse, Abläufe, Zuständigkeiten und der tägliche Umgang mit Informationen.
Was ist der Unterschied zwischen Informationssicherheit und IT-Sicherheit?
IT-Sicherheit konzentriert sich insbesondere auf Systeme, Netzwerke und technische Komponenten. Informationssicherheit ist breiter und betrachtet die zu schützenden Informationen unabhängig davon, wie oder wo sie verarbeitet werden.
Was ist der Unterschied zwischen Datenschutz und Informationssicherheit?
Datenschutz schützt personenbezogene Daten und die Rechte betroffener Personen. Informationssicherheit umfasst darüber hinaus alle Informationen, die für eine Organisation relevant und schützenswert sind.
Ist Informationssicherheit nur Aufgabe der IT?
Nein. Die IT setzt wichtige technische Schutzmaßnahmen um, Informationssicherheit entsteht jedoch überall dort, wo Informationen erstellt, verarbeitet, gespeichert oder weitergegeben werden.
Wie werden Risiken in der Informationssicherheit bewertet?
Der Kurs betrachtet zwei Faktoren: die mögliche Auswirkung eines Ereignisses und die Wahrscheinlichkeit, dass dieses Ereignis eintritt. Aus dieser Kombination lässt sich ableiten, wie ein Risiko eingeordnet und behandelt werden sollte.
Muss jede Information gleich streng geschützt werden?
Nein. Nicht jede Information benötigt dasselbe Schutzniveau. Der Schutz sollte sich daran orientieren, welche Folgen ein Verlust, eine Veränderung oder eine Offenlegung tatsächlich hätte.
Kann Informationssicherheit hundertprozentige Sicherheit gewährleisten?
Nein. Der Kurs macht deutlich, dass absolute Sicherheit weder realistisch noch wirtschaftlich sinnvoll ist. Ziel ist vielmehr, Risiken bewusst zu steuern und angemessene Schutzmaßnahmen festzulegen.
Warum ist Informationssicherheit ein fortlaufender Prozess?
Organisationen, Prozesse und Anforderungen verändern sich. Deshalb müssen Risiken und Schutzmaßnahmen regelmäßig überprüft und bei Bedarf angepasst werden.
Ein gemeinsames Verständnis für Informationssicherheit schaffen
Der Kurs „Informationssicherheit“ ist Bestandteil der hookfree Academy und vermittelt die Grundlage für weitere Themen rund um Security Awareness, Datenschutz und den sicheren Umgang mit Informationen.