Wofür steht CIA in der Informationssicherheit?

CIA steht für Confidentiality, Integrity und Availability — auf Deutsch Vertraulichkeit, Integrität und Verfügbarkeit. Mit dem US-Geheimdienst hat die Abkürzung nichts zu tun. Die drei Begriffe bezeichnen die Schutzziele, an denen jede Sicherheitsmaßnahme gemessen wird.

Was ist der Unterschied zwischen Vertraulichkeit und Integrität?

Vertraulichkeit schützt davor, dass Unbefugte eine Information sehen (z. B. Gehaltsdaten). Integrität schützt davor, dass jemand eine Information unbemerkt verändert (z. B. eine manipulierte Kontonummer auf einer Rechnung). Eine Information kann vertraulich bleiben und trotzdem verfälscht werden — deshalb braucht es beide Ziele.

Ist die CIA-Triade gesetzlich vorgeschrieben?

Nicht als Begriff, aber inhaltlich. Die NIS2-Richtlinie (Art. 6 Nr. 2) und das NISG 2026 (§ 3 Z 2) definieren die Sicherheit von Netz- und Informationssystemen über Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit. Die DSGVO verlangt in Art. 32 Abs. 1 lit. b die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen.

Welche Maßnahmen schützen welches Schutzziel?

Vertraulichkeit — Zugriffskontrollen, Verschlüsselung, MFA, Need-to-know-Prinzip. Integrität — Hashwerte, digitale Signaturen, Protokollierung, Vier-Augen-Prinzip bei Zahlungen. Verfügbarkeit — Backups, Redundanz, Notfall- und Wiederanlaufpläne, Schutz vor DDoS und Ransomware.

Gibt es mehr als drei Schutzziele?

Ja. Häufig ergänzt werden Authentizität (Echtheit von Absender und Daten), Zurechenbarkeit bzw. Nicht-Abstreitbarkeit (Handlungen sind einer Person eindeutig zuordenbar) und — in der DSGVO — Belastbarkeit. Die CIA-Triade bleibt aber der Kern, auf dem diese Erweiterungen aufbauen.

GlossarDefinition

Was ist die CIA-Triade?

Zuletzt aktualisiert: 1. Oktober 2026

Kurz erklärt: Die CIA-Triade beschreibt die drei grundlegenden Schutzziele der Informationssicherheit: Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability). Vertraulichkeit heißt, nur Berechtigte sehen eine Information; Integrität, dass sie vollständig und unverfälscht ist; Verfügbarkeit, dass sie bei Bedarf nutzbar ist. Die Triade ist die gemeinsame Basis von ISO 27001, BSI IT-Grundschutz, DSGVO und NIS2 — wer Risiken bewertet oder Maßnahmen priorisiert, prüft sie an diesen drei Zielen.

Die CIA-Triade beschreibt die drei grundlegenden Schutzziele der Informationssicherheit: Confidentiality (Vertraulichkeit), Integrity (Integrität) und Availability (Verfügbarkeit). Jede Sicherheitsmaßnahme — von der Passwortrichtlinie bis zum Notfallplan — lässt sich daran messen, welches dieser drei Ziele sie schützt. Damit ist die Triade das gemeinsame Vokabular für Geschäftsführung, IT und Auditoren.

Die drei Schutzziele im Überblick

Schutzziel	Leitfrage	Typische Bedrohung	Typische Maßnahmen
Vertraulichkeit	Sehen nur Berechtigte die Information?	Datendiebstahl, Phishing, falsch versendete E-Mail	Zugriffskontrollen, Verschlüsselung, MFA
Integrität	Ist die Information vollständig und unverfälscht?	Manipulierte Rechnung, Schadsoftware, Fehlbedienung	Hashwerte, Signaturen, Protokollierung, Vier-Augen-Prinzip
Verfügbarkeit	Ist die Information nutzbar, wenn sie gebraucht wird?	Ransomware, Hardware-Ausfall, Stromausfall, DDoS	Backups, Redundanz, Notfall- und Wiederanlaufpläne

Vertraulichkeit — nur Berechtigte haben Zugriff

Vertraulichkeit bedeutet, dass Informationen nur den Personen und Systemen zugänglich sind, die sie für ihre Aufgabe brauchen. Typische Maßnahmen sind Zugriffskontrollen nach dem Need-to-know-Prinzip und dem Least-Privilege-Prinzip, Verschlüsselung von Datenträgern und Verbindungen sowie Multi-Faktor-Authentifizierung. Im Mittelstand sind Personal-, Kunden- und Kalkulationsdaten die klassischen vertraulichen Informationen.

Integrität — Daten bleiben korrekt und unverfälscht

Integrität bedeutet, dass Informationen vollständig und richtig sind und nicht unbemerkt verändert werden können. Dazu gehören Prüfsummen und Hashwerte, digitale Signaturen, Versionierung und eine nachvollziehbare Protokollierung. Ein praktisches Beispiel für KMU: Eine gefälschte Rechnung mit geänderter Kontonummer ist ein Angriff auf die Integrität — das Vier-Augen-Prinzip und ein Rückruf bei geänderten Bankdaten sind hier wirksame Gegenmaßnahmen.

Verfügbarkeit — Informationen sind nutzbar, wenn sie gebraucht werden

Verfügbarkeit bedeutet, dass Daten und Systeme für berechtigte Nutzer zum benötigten Zeitpunkt funktionieren. Bedroht wird sie durch Ransomware, Hardware-Ausfälle, Fehlkonfigurationen oder einen Stromausfall. Geschützt wird sie durch getestete Backups, redundante Systeme, Wartung und eine effektive Notfallplanung. Wie lange ein Prozess ausfallen darf, klärt eine Business Impact Analyse.

Zielkonflikte: die Balance der Schutzziele

Die drei Ziele stehen nicht unabhängig nebeneinander — sie konkurrieren oft:

Vertraulichkeit vs. Verfügbarkeit: Strenge Zugriffsbeschränkungen und Verschlüsselung erschweren den schnellen Zugriff im Notfall, etwa wenn der einzige Schlüsselinhaber nicht erreichbar ist.
Integrität vs. Verfügbarkeit: Freigabeprozesse und Prüfungen sichern die Richtigkeit, verlangsamen aber Abläufe.
Verfügbarkeit vs. Vertraulichkeit: Viele Kopien und Replikate erhöhen die Verfügbarkeit, vergrößern aber die Angriffsfläche.

Welches Ziel Vorrang hat, hängt vom Geschäftsprozess ab. Für einen Webshop zählt vor allem Verfügbarkeit, für eine Steuerkanzlei Vertraulichkeit, für die Buchhaltung Integrität. Genau diese Gewichtung ist Aufgabe des Risikomanagements in einem ISMS.

Schutzbedarf feststellen

In der Praxis wird für jede wichtige Information oder Anwendung der Schutzbedarf je Schutzziel eingestuft — im BSI IT-Grundschutz etwa in den Kategorien „normal”, „hoch” und „sehr hoch”. Die Leitfrage lautet: Welcher Schaden entsteht, wenn Vertraulichkeit, Integrität oder Verfügbarkeit verletzt werden? Aus dem Ergebnis folgt, wie stark eine Information geschützt werden muss — und wo sich Sicherheitsbudget am meisten lohnt.

Die CIA-Triade in Normen und Gesetzen

Die Triade ist kein akademisches Modell, sondern steckt in den zentralen Regelwerken:

ISO/IEC 27001: Ein Informationssicherheits-Managementsystem soll laut Einleitung der Norm Vertraulichkeit, Integrität und Verfügbarkeit von Informationen bewahren — die Triade ist damit der Maßstab des gesamten ISO-27001-Rahmens.
NIS2 und NISG 2026: Die NIS2-Richtlinie (Art. 6 Nr. 2) und das österreichische NISG 2026 (§ 3 Z 2) definieren die Sicherheit von Netz- und Informationssystemen als Fähigkeit, Ereignisse abzuwehren, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit beeinträchtigen können — also die Triade plus Authentizität. Mehr dazu im Eintrag zur NIS2-Richtlinie.
DSGVO: Art. 32 Abs. 1 lit. b verlangt die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste der Datenverarbeitung auf Dauer sicherzustellen.

Erweiterte Schutzziele

In der erweiterten Betrachtung kommen weitere Schutzziele hinzu, die auf der Triade aufbauen:

Authentizität (Authenticity): Stellt sicher, dass Kommunikation und Daten tatsächlich von der angegebenen Quelle stammen — zentral gegen Phishing und Identitätsdiebstahl.
Zurechenbarkeit (Accountability): Handlungen lassen sich eindeutig einer Person zuordnen, möglich durch Protokollierung und personalisierte Konten.
Nicht-Abstreitbarkeit (Non-repudiation): Eine getätigte Handlung oder Transaktion kann nachträglich nicht abgestritten werden, meist durch digitale Signaturen.
Zuverlässigkeit (Reliability): Systeme funktionieren stetig wie vorgesehen — eng verwandt mit der Verfügbarkeit.
Datenschutz (Privacy): Schützt personenbezogene Daten über die Vertraulichkeit hinaus, indem auch Erhebung, Zweck und Speicherdauer geregelt werden.

Bedeutung für KMU

Für Geschäftsführer im Mittelstand ist die CIA-Triade vor allem ein Prüfraster: Bei jeder neuen Anwendung, jedem Cloud-Dienst und jedem Dienstleister lohnt die Frage, welche Daten betroffen sind und was ein Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit kosten würde. Wer diese drei Fragen beantwortet, hat den Kern einer Risikoanalyse erledigt — und eine belastbare Grundlage für Entscheidungen über Budget und Prioritäten. Einen Einstieg in die Grundlagen bietet der Ratgeber Was ist Cybersecurity?.

Häufige Fragen

Wofür steht CIA in der Informationssicherheit?: CIA steht für Confidentiality, Integrity und Availability — auf Deutsch Vertraulichkeit, Integrität und Verfügbarkeit. Mit dem US-Geheimdienst hat die Abkürzung nichts zu tun. Die drei Begriffe bezeichnen die Schutzziele, an denen jede Sicherheitsmaßnahme gemessen wird.
Was ist der Unterschied zwischen Vertraulichkeit und Integrität?: Vertraulichkeit schützt davor, dass Unbefugte eine Information sehen (z. B. Gehaltsdaten). Integrität schützt davor, dass jemand eine Information unbemerkt verändert (z. B. eine manipulierte Kontonummer auf einer Rechnung). Eine Information kann vertraulich bleiben und trotzdem verfälscht werden — deshalb braucht es beide Ziele.
Ist die CIA-Triade gesetzlich vorgeschrieben?: Nicht als Begriff, aber inhaltlich. Die NIS2-Richtlinie (Art. 6 Nr. 2) und das NISG 2026 (§ 3 Z 2) definieren die Sicherheit von Netz- und Informationssystemen über Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit. Die DSGVO verlangt in Art. 32 Abs. 1 lit. b die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen.
Welche Maßnahmen schützen welches Schutzziel?: Vertraulichkeit — Zugriffskontrollen, Verschlüsselung, MFA, Need-to-know-Prinzip. Integrität — Hashwerte, digitale Signaturen, Protokollierung, Vier-Augen-Prinzip bei Zahlungen. Verfügbarkeit — Backups, Redundanz, Notfall- und Wiederanlaufpläne, Schutz vor DDoS und Ransomware.
Gibt es mehr als drei Schutzziele?: Ja. Häufig ergänzt werden Authentizität (Echtheit von Absender und Daten), Zurechenbarkeit bzw. Nicht-Abstreitbarkeit (Handlungen sind einer Person eindeutig zuordenbar) und — in der DSGVO — Belastbarkeit. Die CIA-Triade bleibt aber der Kern, auf dem diese Erweiterungen aufbauen.