Seite 5.3 Informationstechnische Schutzziele bei der Kommunikation

Prüfungsziel

Du sollst erklären können, welche informationstechnischen Schutzziele bei digitaler Kommunikation wichtig sind und wie man sie im privaten und betrieblichen Bereich beachtet.

Für die Prüfung sind hier vor allem wichtig:

informationstechnische Schutzziele bei der Kommunikation

Sicherheitsbewusstsein bei der Nutzung von IT-Technik

IT-Sicherheit im privaten und betrieblichen Bereich

Erfahrungen in virtuellen Räumen reflektieren

Gefahren bei Social Media kennen

Zuständigkeitsabgrenzung bei Kommunikation und Information

sicherer Umgang mit dienstlichen E-Mails

kurzer, zielführender, höflicher und korrekter Informationsaustausch

Netiquette

Nachrichten aus Sicht der Empfänger betrachten

sensibler Umgang mit Adressatenlisten

mögliche juristische Konsequenzen von Äußerungen über den Arbeitgeber

Social Engineering erkennen und Schäden vermeiden

Was sind informationstechnische Schutzziele?

Informationstechnische Schutzziele beschreiben, was bei Informationen und IT-Systemen geschützt werden soll.

Die wichtigsten Schutzziele sind:

Schutzziel	Bedeutung
Vertraulichkeit	Informationen dürfen nur berechtigte Personen sehen
Integrität	Informationen dürfen nicht unbemerkt verändert werden
Verfügbarkeit	Informationen und Systeme müssen bei Bedarf nutzbar sein
Authentizität	Absender, Nutzer oder Systeme müssen echt und überprüfbar sein
Nachvollziehbarkeit	Vorgänge sollen später nachvollzogen werden können

Vertraulichkeit

Vertraulichkeit bedeutet, dass Informationen nur für berechtigte Personen zugänglich sind.

Beispiele:

Kundendaten nicht an falsche Empfänger senden

Passwörter nicht per Klartext verschicken

interne Dokumente nicht öffentlich teilen

E-Mails nur an berechtigte Personen senden

Screenshots vor Weitergabe prüfen

Cloud-Freigaben begrenzen

Beispiel aus der IT:

Ein Screenshot aus einem Ticketsystem enthält Kundendaten.

Vor dem Versenden müssen sensible Daten geschwärzt oder entfernt werden.

Integrität

Integrität bedeutet, dass Informationen vollständig und unverändert bleiben.

Beispiele:

Dokumente dürfen nicht unbemerkt verändert werden

Konfigurationsdateien müssen korrekt bleiben

Logdateien dürfen nicht manipuliert werden

Anhänge dürfen nicht durch Schadsoftware verändert werden

Arbeitsanweisungen müssen aktuell und richtig sein

Beispiel aus der IT:

Eine Konfigurationsdatei wird per E-Mail verschickt.

Wenn sie unterwegs verändert wird, kann ein System falsch eingerichtet werden.

Verfügbarkeit

Verfügbarkeit bedeutet, dass Informationen, Systeme und Kommunikationsmittel bei Bedarf nutzbar sind.

Beispiele:

E-Mail-System funktioniert

Ticketsystem ist erreichbar

VPN-Zugang steht bereit

interne Wiki-Seiten sind verfügbar

Telefonie und Chat funktionieren

wichtige Dokumente sind nicht nur lokal auf einem Gerät gespeichert

Beispiel aus der IT:

Wenn das Ticketsystem ausfällt, können Störungen schlechter bearbeitet werden.

Deshalb sind Backups, Monitoring und Notfallpläne wichtig.

Authentizität

Authentizität bedeutet, dass eine Person, Nachricht oder ein System echt ist.

Beispiele:

Absender einer E-Mail prüfen

verdächtige Links nicht anklicken

Identität am Telefon prüfen

digitale Signaturen nutzen

Zertifikate prüfen

keine Zugangsdaten an unbekannte Personen herausgeben

Beispiel:

Eine E-Mail sieht aus, als käme sie vom Geschäftsführer und fordert eine schnelle Überweisung.

Vor dem Handeln muss geprüft werden, ob die Nachricht wirklich echt ist.

Nachvollziehbarkeit

Nachvollziehbarkeit bedeutet, dass Handlungen später geprüft oder verstanden werden können.

Beispiele:

Tickets sauber dokumentieren

Änderungen an Systemen protokollieren

Entscheidungen schriftlich festhalten

E-Mail-Verläufe geordnet ablegen

Berechtigungsänderungen dokumentieren

wichtige Anweisungen nicht nur mündlich geben

Beispiel aus dem Support:

Wenn ein Ticket ohne Dokumentation geschlossen wird, kann später niemand nachvollziehen, was gemacht wurde.

Sicherheitsbewusstsein bei IT-Nutzung

Sicherheitsbewusstsein bedeutet, mögliche Gefahren zu erkennen und vorsichtig mit IT-Systemen und Informationen umzugehen.

Einfach gesagt:

Man denkt mit, bevor man klickt, sendet, speichert oder teilt.

Wichtig im Betrieb:

keine unbekannten Anhänge öffnen

Links prüfen

starke Passwörter nutzen

MFA verwenden, wenn vorgesehen

Geräte sperren, wenn man den Arbeitsplatz verlässt

keine vertraulichen Daten offen liegen lassen

verdächtige Vorfälle melden

private und dienstliche Nutzung trennen

Sicherheitsrichtlinien beachten

IT-Sicherheit im privaten und betrieblichen Bereich

IT-Sicherheit betrifft nicht nur den Arbeitsplatz.

Auch privates Verhalten kann den Betrieb beeinflussen.

Beispiele:

dienstliche E-Mails auf privaten Geräten

private Cloudspeicher für Firmendaten

schwache Passwörter

gleiche Passwörter privat und dienstlich

Social-Media-Beiträge über den Arbeitgeber

Phishing über private Messenger

unsichere WLAN-Netze

Wichtig:

Dienstliche Daten gehören nicht unkontrolliert in private Systeme.

Virtuelle Räume

Virtuelle Räume sind digitale Umgebungen, in denen Menschen zusammenarbeiten oder kommunizieren.

Beispiele:

Videokonferenz

Chat

Online-Meeting

Cloud-Dokument

Ticketsystem

Lernplattform

Social-Media-Gruppe

Forum

Online-Projektboard

Erfahrungen in virtuellen Räumen reflektieren

Reflektieren bedeutet, das eigene Verhalten zu überdenken.

Fragen zur Reflexion:

War meine Nachricht klar?

War der Ton angemessen?

Habe ich die richtigen Empfänger gewählt?

Habe ich vertrauliche Inhalte geschützt?

Habe ich andere ausreden lassen?

Habe ich unnötige Informationen geteilt?

Habe ich Missverständnisse verursacht?

War der Kommunikationskanal passend?

Risiken:

Informationen über Arbeitgeber werden öffentlich

Angreifer sammeln Informationen über Mitarbeiter

Phishing über soziale Netzwerke

gefälschte Profile

Rufschädigung

Preisgabe interner Projekte

Veröffentlichung vertraulicher Informationen

unbedachte Kommentare

Verletzung von Persönlichkeitsrechten

Ein Mitarbeiter postet:

„Heute wieder Chaos im Serverraum. Kunde XY ist seit Stunden offline.“

Problem:

Kundenname wird öffentlich

interner Vorfall wird bekannt

Imageschaden möglich

Vertraulichkeit verletzt

arbeitsrechtliche Folgen möglich

Zuständigkeitsabgrenzung bei Kommunikation und Information

Zuständigkeitsabgrenzung bedeutet, dass klar ist, wer welche Informationen geben darf und wer wofür verantwortlich ist.

Warum ist das wichtig?

Nicht jeder darf jede Auskunft geben.

Beispiele:

Situation	Zuständig
Presseanfrage	Geschäftsführung oder Pressestelle
Datenschutzvorfall	Datenschutzbeauftragter / zuständige Stelle
IT-Sicherheitsvorfall	IT-Sicherheitsverantwortliche
Kundenbeschwerde	zuständiger Kundenbetreuer
Vertragsfrage	Vertrieb oder Rechtsabteilung
Personalfrage	Personalabteilung
technische Störung	IT-Support oder Fachteam

Beispiel für falsche Zuständigkeitsabgrenzung

Ein Azubi antwortet einem Kunden eigenständig auf eine rechtliche Frage zum Datenschutz.

Problem:

Der Azubi ist dafür wahrscheinlich nicht zuständig.

Richtiges Verhalten:

Anfrage aufnehmen

keine verbindliche Aussage machen

an zuständige Stelle weiterleiten

Rückmeldung dokumentieren

Sicherer Umgang mit dienstlichen E-Mails

Dienstliche E-Mails müssen sorgfältig, höflich und sicher geschrieben werden.

Wichtige Regeln:

klare Betreffzeile

höfliche Anrede

kurze und verständliche Formulierung

sachlicher Ton

richtige Empfänger auswählen

CC und BCC bewusst nutzen

Anhänge prüfen

vertrauliche Inhalte schützen

keine Passwörter im Klartext senden

vor dem Senden nochmal prüfen

keine unbestätigten Informationen verbreiten

Kurzer, zielführender, höflicher und korrekter Informationsaustausch

Eine gute dienstliche E-Mail ist:

Eigenschaft	Bedeutung
kurz	keine unnötigen Informationen
zielführend	Empfänger erkennt, was zu tun ist
höflich	respektvoller Ton
korrekt	sachlich richtig und sprachlich angemessen
vollständig	wichtige Informationen fehlen nicht
sicher	keine unnötigen vertraulichen Daten

Beispiel für schlechte E-Mail


Betreff: Problem

Hi,
geht nicht. Bitte schnell machen.
Gruß

Problem:

unklarer Betreff

keine genaue Fehlerbeschreibung

kein System genannt

keine Dringlichkeit begründet

nicht zielführend

Beispiel für bessere E-Mail


Betreff: VPN-Zugang für Benutzer Müller funktioniert seit 09:30 Uhr nicht

Hallo Support-Team,

der Benutzer Max Müller kann sich seit ca. 09:30 Uhr nicht mehr per VPN verbinden.
Fehlermeldung: „Authentifizierung fehlgeschlagen“.
Ein Neustart des Clients wurde bereits versucht.

Bitte prüft den Zugang.

Viele Grüße

Warum besser?

klarer Betreff

konkrete Beschreibung

Zeitpunkt genannt

Fehlermeldung genannt

bisherige Schritte genannt

höflich und sachlich

Netiquette

Netiquette bedeutet höfliche und angemessene Umgangsformen in digitaler Kommunikation.

Wichtige Netiquette-Regeln:

höflich bleiben

sachlich schreiben

keine Beleidigungen

keine komplett großgeschriebenen Nachrichten

Ironie vorsichtig einsetzen

andere ausreden lassen

keine unnötigen Nachrichtenfluten

passende Kanäle nutzen

keine vertraulichen Inhalte in öffentliche Kanäle

vor dem Senden nachdenken

Nachrichten aus Sicht der Empfänger betrachten

Bevor eine Nachricht gesendet wird, sollte man überlegen, wie sie beim Empfänger ankommt.

Fragen:

Ist die Nachricht verständlich?

Ist der Ton respektvoll?

Weiß der Empfänger, was zu tun ist?

Fehlen wichtige Informationen?

Sind zu viele Informationen enthalten?

Könnte die Nachricht falsch verstanden werden?

Darf der Empfänger diese Informationen sehen?

Sensibler Umgang mit Adressatenlisten

Adressatenlisten müssen sorgfältig verwendet werden.

Begriffe:

Feld	Bedeutung
An	direkte Empfänger
CC	Personen erhalten die Nachricht zur Kenntnis
BCC	Empfänger sind für andere nicht sichtbar

Risiken bei Adressatenlisten

Fehler	Risiko
falscher Empfänger	vertrauliche Informationen gelangen an falsche Person
zu viele Personen in CC	unnötige Informationsweitergabe
offene Verteilerliste	E-Mail-Adressen werden sichtbar
kein BCC bei großen Gruppen	Datenschutzproblem möglich
„Allen antworten“ unüberlegt	Informationen werden unnötig verbreitet

Beispiel: Adressatenfehler

Eine E-Mail mit Kundendaten wird versehentlich an einen externen Empfänger mit ähnlichem Namen gesendet.

Mögliche Folgen:

Datenschutzvorfall

Meldepflicht möglich

Vertrauensverlust

interne Nacharbeit

Schulungsbedarf

Richtiges Verhalten:

Empfänger vor dem Senden prüfen

Autovervollständigung kontrollieren

bei sensiblen Daten besondere Vorsicht

Fehler sofort melden

Äußerungen über den Arbeitgeber in sozialen Netzwerken

Äußerungen über den Arbeitgeber können Konsequenzen haben.

Problematisch sind zum Beispiel:

Beleidigungen

Veröffentlichung interner Informationen

Kundendaten

Geschäftsgeheimnisse

Fotos aus gesicherten Bereichen

falsche Behauptungen

Rufschädigung

vertrauliche Projektinformationen

Wichtig:

Auch private Beiträge können arbeitsrechtliche oder juristische Folgen haben, wenn sie den Arbeitgeber, Kunden oder Kollegen betreffen.

Beispiel für problematischen Beitrag


Unser Chef hat keine Ahnung. Außerdem ist Kunde XY wegen unserer schlechten IT gerade komplett lahmgelegt.

Problem:

beleidigende Aussage

Kundendaten oder Kundenbezug

interne Störung öffentlich gemacht

Rufschädigung

mögliche arbeitsrechtliche Folgen

Einfach gesagt:

Nicht die Technik wird zuerst angegriffen, sondern der Mensch.

Methode	Erklärung
Phishing	gefälschte E-Mail oder Website
Spear-Phishing	gezieltes Phishing gegen bestimmte Personen
Vishing	Betrug per Telefon
Smishing	Betrug per SMS oder Messenger
Pretexting	Angreifer gibt falsche Identität oder Geschichte vor
Tailgating	Angreifer folgt unberechtigt durch eine Tür
CEO-Fraud	angebliche Anweisung der Geschäftsführung
USB-Drop	präparierter USB-Stick wird absichtlich platziert

Eine Person ruft im Unternehmen an und sagt:

„Ich bin vom IT-Support. Wir müssen Ihr Konto prüfen. Bitte nennen Sie mir Ihr Passwort.“

Richtiges Verhalten:

Passwort niemals nennen

Identität prüfen

Gespräch beenden, wenn verdächtig

Vorfall melden

zuständige IT-Sicherheitsstelle informieren

Warnzeichen für Social Engineering

ungewöhnlicher Zeitdruck

Drohungen oder Druck

Bitte um Passwort oder Zugangscode

ungewöhnliche Zahlungsaufforderung

unbekannter Absender

gefälschte E-Mail-Adresse

unerwarteter Anhang

verdächtiger Link

Bitte um Umgehung von Regeln

Geheimhaltung wird verlangt

Wichtige Maßnahmen:

Sicherheitsbewusstsein entwickeln

Passwörter nie weitergeben

Identität von Anfragenden prüfen

verdächtige E-Mails melden

Links prüfen

Anhänge nur bei vertrauenswürdiger Quelle öffnen

keine fremden USB-Sticks verwenden

Besucherregeln beachten

keine Türen für Unberechtigte öffnen

klare Meldewege nutzen

Schulungen ernst nehmen

Bezug zur Prüfung

In der Prüfung können Situationen beschrieben werden, bei denen du entscheiden sollst, welches Verhalten sicher und korrekt ist.

Typische Aufgaben:

Schutzziele zuordnen

Vertraulichkeit bei E-Mails erkennen

Fehler bei Adressatenlisten bewerten

Social Engineering erkennen

sichere E-Mail-Kommunikation auswählen

Netiquette-Regeln anwenden

Social-Media-Äußerungen beurteilen

Zuständigkeiten richtig einordnen

Typische Prüfungsfrage 1

Nenne drei informationstechnische Schutzziele.

Antwort anzeigen

Drei wichtige Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit.

Typische Prüfungsfrage 2

Was bedeutet Vertraulichkeit?

Antwort anzeigen

Vertraulichkeit bedeutet, dass Informationen nur für berechtigte Personen zugänglich sind.

Typische Prüfungsfrage 3

Was bedeutet Integrität?

Antwort anzeigen

Integrität bedeutet, dass Informationen vollständig und unverändert bleiben und nicht unbemerkt manipuliert werden.

Typische Prüfungsfrage 4

Was bedeutet Verfügbarkeit?

Antwort anzeigen

Verfügbarkeit bedeutet, dass Informationen, Systeme und Dienste bei Bedarf nutzbar sind.

Typische Prüfungsfrage 5

Warum ist Authentizität bei Kommunikation wichtig?

Antwort anzeigen

Weil geprüft werden muss, ob Absender, Nachricht oder System echt sind. Dadurch können gefälschte Nachrichten und Betrugsversuche erkannt werden.

Typische Prüfungsfrage 6

Was bedeutet Netiquette?

Antwort anzeigen

Netiquette bedeutet höfliche und angemessene Umgangsformen in digitaler Kommunikation.

Typische Prüfungsfrage 7

Warum muss man Adressatenlisten sorgfältig prüfen?

Antwort anzeigen

Weil vertrauliche oder personenbezogene Informationen sonst an falsche oder zu viele Personen gelangen können.

Typische Prüfungsfrage 8

Warum können Äußerungen über den Arbeitgeber in sozialen Netzwerken problematisch sein?

Antwort anzeigen

Weil sie interne Informationen, Kundendaten, Geschäftsgeheimnisse oder beleidigende Aussagen enthalten können. Das kann arbeitsrechtliche oder juristische Folgen haben.

Typische Prüfungsfrage 9

Antwort anzeigen

Social Engineering ist eine Angriffsmethode, bei der Menschen manipuliert werden, um Informationen, Zugangsdaten oder bestimmte Handlungen zu erhalten.

Typische Prüfungsfrage 10

Nenne drei Warnzeichen für Social Engineering.

Antwort anzeigen

Warnzeichen sind zum Beispiel ungewöhnlicher Zeitdruck, Bitte um Passwörter, verdächtige Links, unbekannte Absender, Drohungen oder die Aufforderung, Regeln zu umgehen.

Merksatz

Vertraulichkeit = nur Berechtigte dürfen Informationen sehen

Integrität = Informationen bleiben korrekt und unverändert

Verfügbarkeit = Systeme und Informationen sind nutzbar

Authentizität = Echtheit von Absendern, Nutzern und Systemen

Netiquette = höfliche digitale Umgangsformen

E-Mails müssen kurz, zielführend, höflich, korrekt und sicher sein

Adressatenlisten immer sorgfältig prüfen

Social Media kann arbeitsrechtliche und juristische Folgen haben

Social Engineering greift den Menschen an, nicht nur die Technik

Passwörter niemals weitergeben