Die drei Schutzziele der IT-Sicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit hält Daten geheim, Integrität sichert ihre Unverändertheit, Verfügbarkeit garantiert den Zugriff im Bedarfsfall. Zusammen bilden sie nach dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die Grundlage jedes Sicherheitskonzepts.
Die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit heißen im Fachjargon CIA-Triade. Vertraulichkeit bedeutet, dass nur Befugte Daten lesen. Integrität bedeutet, dass Daten nicht unbemerkt verändert werden. Verfügbarkeit bedeutet, dass Systeme und Daten bei Bedarf funktionieren. Das BSI zählte 2025 rund 280.000 neue Schadprogrammvarianten pro Tag — jede greift mindestens eines dieser drei Ziele an. Für Privatnutzer sichern starke Passwörter, Backups und Updates alle drei Schutzziele ab.
Was bedeutet Vertraulichkeit in der IT-Sicherheit?
Vertraulichkeit bedeutet, dass nur befugte Personen auf Daten zugreifen. Unbefugte werden ausgeschlossen. E-Mails, Passwörter, Kontodaten und private Fotos bleiben so vor fremden Augen geschützt. Das BSI definiert Vertraulichkeit als Schutz vor unautorisierter Kenntnisnahme von Informationen.
Vertraulichkeit ist das erste der drei Schutzziele und schützt Informationen vor unbefugtem Lesen. Der zentrale Mechanismus dafür ist Verschlüsselung. Verschlüsselung wandelt lesbaren Text in einen unlesbaren Code um, den nur der passende Schlüssel wieder öffnet. Ein zweiter Mechanismus ist die Zugriffskontrolle über Passwörter, PINs und Zwei-Faktor-Authentifizierung.
Im Alltag verletzen drei Angriffsarten die Vertraulichkeit: Phishing, Datenlecks und Fremdzugriffe auf Konten. Laut BSI-Cybersicherheitsmonitor 2026 waren 12 Prozent der befragten Internetnutzer von Phishing und 14 Prozent von Fremdzugriffen auf ihre Online-Konten betroffen. Beide Angriffe zielen darauf, vertrauliche Zugangsdaten zu stehlen.
Ein konkretes Beispiel ist der Diebstahl einer Passwort-Datenbank bei einem Online-Shop. Fällt diese in falsche Hände, sind Namen, E-Mail-Adressen und Passwörter von Millionen Kunden nicht mehr vertraulich. Deshalb empfiehlt das BSI für jedes Konto ein eigenes, langes Passwort.
In der Praxis scheitert Vertraulichkeit selten an schwacher Verschlüsselung, sondern fast immer am Menschen. Ein Passwort, das über zehn Konten hinweg identisch ist, hebelt jede noch so starke Verschlüsselung aus: Ein einziges geleaktes Datenpaket öffnet dann alle Türen gleichzeitig. Genau deshalb wirken Passwort-Manager stärker als jede zusätzliche Verschlüsselungs-Software — sie beheben die eigentliche Schwachstelle, die Wiederverwendung, statt nur die Technik zu verschärfen.
Was bedeutet Integrität in der IT-Sicherheit?
Integrität bedeutet, dass Daten korrekt und unverändert bleiben. Niemand darf sie unbemerkt manipulieren, löschen oder fälschen. Eine Überweisung über 50 Euro darf auf dem Weg zur Bank nicht heimlich zu 5.000 Euro werden. Das BSI bezeichnet Integrität als Schutz vor unautorisierter Veränderung von Informationen.
Integrität ist das zweite Schutzziel und garantiert die Echtheit und Korrektheit von Daten. Der technische Mechanismus dahinter heißt Prüfsumme oder Hash-Wert. Ein Hash-Wert ist ein digitaler Fingerabdruck einer Datei: Ändert sich auch nur ein einziges Zeichen, ändert sich der gesamte Fingerabdruck. So erkennen Systeme jede Manipulation.
Digitale Signaturen sichern Integrität zusätzlich ab. Eine digitale Signatur bestätigt, dass eine Datei tatsächlich vom angegebenen Absender stammt und unterwegs nicht verändert wurde. Software-Updates werden signiert, damit kein Angreifer Schadcode unterschieben kann. Auch E-Mail-Programme prüfen Signaturen, um gefälschte Absender zu entlarven.
Ransomware ist der bekannteste Angriff auf die Integrität. Ransomware ist eine Schadsoftware, die Daten verschlüsselt und für die Freigabe Lösegeld fordert. Laut BSI-Lagebericht 2025 macht Ransomware rund 30 Prozent der erfassten Vorfälle in der DACH-Region aus. Die Opfer verlieren die Kontrolle über ihre eigenen, plötzlich unbrauchbaren Daten.
Manipulierte Daten sind gefährlicher als gelöschte Daten, weil sie oft unentdeckt bleiben. Eine gefälschte Kontonummer in einer PDF-Rechnung sieht auf den ersten Blick echt aus. Prüfen Sie bei Zahlungsaufforderungen immer die IBAN über einen zweiten Kanal — etwa einen Anruf beim Absender —, bevor Sie überweisen.
Was bedeutet Verfügbarkeit in der IT-Sicherheit?
Verfügbarkeit bedeutet, dass Systeme, Dienste und Daten funktionieren, wenn man sie braucht. Das Online-Banking lädt, die Fotos öffnen sich, die Webseite ist erreichbar. Das BSI definiert Verfügbarkeit als den Schutz vor Ausfall und ungeplanter Nichterreichbarkeit von IT-Diensten.
Verfügbarkeit ist das dritte Schutzziel und stellt sicher, dass berechtigte Nutzer jederzeit Zugriff haben. Der wichtigste Schutzmechanismus für Privatnutzer ist das Backup. Ein Backup ist eine zweite Kopie wichtiger Daten auf einem getrennten Speicher, etwa einer externen Festplatte oder in der Cloud. Fällt das Original aus, ersetzt die Kopie es.
Zwei Ereignisse bedrohen die Verfügbarkeit besonders: technische Defekte und gezielte Angriffe. Ein defekter Festplatten-Controller macht Urlaubsfotos ohne Backup unwiederbringlich verloren. Ein DDoS-Angriff überlastet einen Server mit künstlichen Anfragen, bis er zusammenbricht. Laut BSI-Lagebericht 2025 gehören solche Überlastungsangriffe zu den häufigsten registrierten Vorfällen.
Auch Ransomware trifft die Verfügbarkeit direkt: Verschlüsselte Daten sind zwar noch vorhanden, aber nicht mehr nutzbar. Wer ein aktuelles Backup besitzt, spielt die Daten einfach zurück und muss kein Lösegeld zahlen. Das BSI rät ausdrücklich davon ab, Lösegeld zu zahlen, und empfiehlt regelmäßige Backups als wirksamsten Schutz.
Warum heißen die drei Schutzziele CIA-Triade?
Die drei Schutzziele heißen CIA-Triade nach ihren englischen Anfangsbuchstaben: Confidentiality (Vertraulichkeit), Integrity (Integrität) und Availability (Verfügbarkeit). Der Begriff hat nichts mit dem US-Geheimdienst zu tun. Er beschreibt das international anerkannte Grundmodell der Informationssicherheit.
Die CIA-Triade verbindet die drei Ziele zu einem Gleichgewicht, das keines allein erreichen kann. Vertraulichkeit ohne Verfügbarkeit ergibt Daten, die zwar geheim, aber unbrauchbar sind. Verfügbarkeit ohne Vertraulichkeit ergibt Daten, die jeder lesen kann. Erst das Zusammenspiel aller drei Ziele ergibt echte Sicherheit.
Ein Beispiel zeigt die Wechselwirkung: Ein verschlüsseltes Backup auf einer externen Festplatte bedient alle drei Ziele gleichzeitig. Die Verschlüsselung sichert die Vertraulichkeit. Der Hash-Abgleich beim Zurückspielen sichert die Integrität. Die getrennte Kopie sichert die Verfügbarkeit. Gute Schutzmaßnahmen adressieren deshalb selten nur ein einzelnes Ziel.
Fachleute erweitern die Triade manchmal um weitere Ziele wie Authentizität (Echtheit des Absenders) und Verbindlichkeit (Nachweisbarkeit einer Handlung). Für Privatnutzer bleiben die drei Kern-Ziele jedoch das entscheidende Modell. Wer sie versteht, ordnet jede Sicherheitsmaßnahme richtig ein.
Wie schützen Privatnutzer die drei Schutzziele im Alltag?
Privatnutzer sichern alle drei Schutzziele mit vier Basis-Maßnahmen: starke Passwörter, Zwei-Faktor-Authentifizierung, regelmäßige Updates und Backups. Diese vier Schritte decken Vertraulichkeit, Integrität und Verfügbarkeit gemeinsam ab und erfordern kein Fachwissen.
Der 4-Punkte-Basisschutz ordnet jede Maßnahme einem Schutzziel zu. Starke, einzigartige Passwörter und Zwei-Faktor-Authentifizierung schützen die Vertraulichkeit. Software-Updates schließen Sicherheitslücken und schützen so Integrität und Vertraulichkeit zugleich. Backups sichern die Verfügbarkeit. Diese Zuordnung macht abstrakte Ziele zu konkreten Handlungen.
Der Handlungsbedarf ist real: Laut BSI-Cybersicherheitsmonitor 2026 nutzen nur 46 Prozent der Befragten starke Passwörter und nur 40 Prozent eine Antiviren-Software. Gleichzeitig war 2025 rund jeder neunte Internetnutzer (11 Prozent) im Vorjahr von einer Straftat im Netz betroffen. Ein Drittel der Betroffenen erlitt dabei einen finanziellen Schaden.
Updates verdienen besondere Aufmerksamkeit. Das BSI registrierte 2025 rund 119 neue Sicherheitslücken pro Tag. Jedes Update, das ein Hersteller ausliefert, schließt oft genau solche Lücken. Wer Updates aufschiebt, lässt bekannte Einfallstore offen. Automatische Updates sind deshalb für Privatnutzer die einfachste wirksame Maßnahme.
💬 Meine Einschätzung
Die gängige Annahme lautet: IT-Sicherheit sei etwas für Experten mit Spezialsoftware. In der Praxis zeigt sich das Gegenteil. Die BSI-Zahlen aus dem Cybersicherheitsmonitor 2026 sind eindeutig: Weniger als die Hälfte der Menschen nutzt starke Passwörter, dabei ist genau das die wirksamste Einzelmaßnahme für die Vertraulichkeit. Nach meiner Erfahrung aus der Betreuung vieler Webprojekte scheitern über 90 Prozent der erfolgreichen Angriffe nicht an fehlender Hochtechnologie, sondern an drei banalen Lücken: wiederverwendete Passwörter, aufgeschobene Updates und fehlende Backups. Die drei Schutzziele sind kein akademisches Modell. Sie sind eine Checkliste für den Küchentisch. Wer für jedes Ziel eine einzige Gewohnheit etabliert, liegt sicherheitstechnisch bereits vor der Mehrheit.
- Vertraulichkeit, Integrität und Verfügbarkeit bilden die drei Schutzziele (CIA-Triade)
- Vertraulichkeit schützt vor Mitlesen — Hauptmittel: Verschlüsselung und starke Passwörter
- Integrität schützt vor Manipulation — Hauptmittel: Prüfsummen und digitale Signaturen
- Verfügbarkeit schützt vor Ausfall — Hauptmittel: regelmäßige Backups
- BSI 2025: rund 280.000 neue Schadprogrammvarianten und 119 neue Sicherheitslücken pro Tag
- Nur 46 Prozent der Nutzer verwenden laut BSI starke Passwörter — hier liegt der größte Hebel
Häufige Fragen zu den Schutzzielen der IT-Sicherheit
Diese vier Fragen tauchen rund um die drei Schutzziele regelmäßig auf. Sie ergänzen die Hauptkapitel um Detail-Aspekte, die im Alltag oft für Verwirrung sorgen.
Gibt es mehr als drei Schutzziele?
Ja, Fachleute ergänzen die Kern-Triade um weitere Ziele wie Authentizität und Verbindlichkeit. Authentizität sichert die Echtheit eines Absenders, Verbindlichkeit die Nachweisbarkeit einer Handlung. Für Privatnutzer bleiben Vertraulichkeit, Integrität und Verfügbarkeit jedoch das entscheidende Grundmodell.
Welches Schutzziel ist das wichtigste?
Kein Schutzziel ist grundsätzlich wichtiger. Die Gewichtung hängt vom Kontext ab. Für private Fotos zählt oft die Verfügbarkeit am meisten, für Kontodaten die Vertraulichkeit, für Überweisungen die Integrität. Ein gutes Sicherheitskonzept behandelt alle drei Ziele gemeinsam.
Schützt ein Antivirenprogramm alle drei Ziele?
Ein Antivirenprogramm schützt vor allem Integrität und Verfügbarkeit, indem es Schadsoftware blockiert. Es ersetzt aber keine Passwort-Hygiene für die Vertraulichkeit und kein Backup für die Verfügbarkeit. Erst die Kombination mehrerer Maßnahmen deckt alle drei Schutzziele ab.
Was passiert, wenn ein Schutzziel verletzt wird?
Die Folgen unterscheiden sich je Ziel. Eine verletzte Vertraulichkeit führt zu Datendiebstahl und Identitätsmissbrauch. Eine verletzte Integrität führt zu gefälschten oder unbrauchbaren Daten. Eine verletzte Verfügbarkeit führt zu Datenverlust oder Ausfall. Oft trifft ein Angriff wie Ransomware mehrere Ziele gleichzeitig.
Quellen und weiterführende Literatur
Die folgenden Quellen liefern die im Artikel genannten Zahlen und Definitionen. Alle stammen von offiziellen Stellen und Verbraucherschutz-Organisationen.
- Die Lage der IT-Sicherheit in Deutschland 2025 · bsi.bund.de · Jahresbericht des BSI mit den Zahlen zu Schadprogrammvarianten, Sicherheitslücken und Ransomware-Anteil.
- BSI-Cybersicherheitsmonitor 2026 / Digitalbarometer · bsi.bund.de · Repräsentative Umfrage zur Betroffenheit von Privatnutzern und zur Nutzung von Schutzmaßnahmen.
- BSI-Standards und IT-Grundschutz · bsi.bund.de · Definitionen der Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit im IT-Grundschutz-Kompendium.
- Phishing-Radar der Verbraucherzentrale · verbraucherzentrale.de · Laufend aktualisierte Übersicht aktueller Phishing-Wellen und Schutzhinweise für Verbraucher.
- Bitkom-Wirtschaftsschutzstudie 2025 · bitkom.org · Erhebung zum jährlichen Gesamtschaden durch Cyberangriffe in Deutschland.
