Häufige Missverständnisse in der Cybersicherheitsterminologie vermeiden

Worte sind schwer. Englisch ist schwer. Dass wir überhaupt etwas kommunizieren, grenzt an ein Wunder.

Manchmal wünschte ich, ich wäre Oscar Wilde oder Mark Twain – Autoren, die Charaktere und Szenarien so mühelos beschreiben, dass Leser genau das vor Augen haben, was gemeint ist.

Stattdessen fürchte ich, ich bin eher wie Shakespeare – der Wörter erfand, andere verdrehte für seinen verrückten Versmaß, damit Durchschnittsmenschen wie ich die intendierte Bedeutung kaum verstehen (übrigens: ich liebe Shakespeare).

Leider scheint mein Fachgebiet voller Shakespeare-Kollegen – Leute, die Wörter nutzen, indem sie Alphabetsuppe an die Wand werfen und das Ergebnis wie Teeblätter lesen, nur mit weniger Genauigkeit.

Was bedeutet das wirklich?

Als ich die Cybersicherheits-Begriffsdatenbank erstellte, das Rückgrat des NIST Cybersecurity Glossary, war ich erstaunt, wie viel Verwirrung es selbst bei allgegenwärtigen Begriffen wie „Risk“ und „Security“ gab. Bis heute gibt es keinen echten Konsens, was „Cybersecurity“ überhaupt bedeutet!

Deshalb habe ich eine Liste häufig missbrauchter Begriffe in der Cybersicherheit zusammengestellt (inoffizielle Beschreibungen, informativ gemeint):

Data vs. Information vs. Knowledge

Data sind meist die Bits und Bytes, aus denen Information besteht. Information wandelt multiple Bits/Bytes in etwas Nützliches um. Beispiel: Ein Temperatursensor liest „102“ – Information sagt uns: 102 °F an einem Sensor im menschlichen Mund. Knowledge lässt Information zu Handlung werden: 102 °F beim Menschen ist viel zu heiß. Die Grenzen zwischen Data, Information, Knowledge sind verschwommen – aber einige vertreten sie heftig.

Threat vs. Risk

Ein Threat (Bedrohung) bezeichnet entweder etwas Schlimmes, das passieren könnte, oder eine Entität, die etwas Schlimmes verursachen könnte (auch „Threat Actor“). Risk (Risiko) umfasst die Wahrscheinlichkeit, dass das Schlimme eintritt, und die potenziellen Folgen. Diese Wörter werden oft (fälschlich) austauschbar verwendet.

Risk Management

Der Prozess, auf das Potenzial zu reagieren, dass etwas Schlimmes passieren könnte. Generell vier Optionen: Risiko akzeptieren, transferieren, vermeiden oder mindern. Je nach Gesprächspartner gibt es mindestens acht Optionen – aber dies sind die traditionellen vier. Wenn ein Cybersicherheitsexperte von Risk Management spricht, meint er oft den Prozess des Risk Management Framework.

Cybersecurity

Grundlegend: Schutz von Computersystemen (Netze, Internet, alles „Smart“). Aber der Begriff wird als Schirmbegriff auch für Information Assurance, Datenschutz, Privacy genutzt. Er wird sich wahrscheinlich weiter wandeln, bis jemand „Cyber“ adäquat erklären kann.

Information Assurance (oder Security)

Schutz von Fakten, Nachrichten, Wissen, manchmal Daten – in jeglicher Form: Papier, elektronisch, Steintafel, Signale, auswendig gelernt. Oft mit Cybersecurity verwechselt und unter dessen Schirm gestellt.

Standard

Viele bezeichnen NIST Special Publications fälschlich als Standards – es ist komplizierter. NIST entwickelt formale Standards – Federal Information Processing Standards (FIPS), z. B. FIPS 200, FIPS 140-3. NIST wirkt auch an Industrie- und internationalen Standards mit. „Standard“ kann auch Qualitätsniveau oder anerkannte Norm bedeuten – in diesem Sinne werden NIST-Publikationen oft als Standard genutzt. Ein subtiler, aber wichtiger Unterschied. Generell: NIST Special Publications (SPs), Internal/Interagency Reports (IRs), White Papers oder alles außer FIPS nicht als „Standard“ bezeichnen, sondern „Publikation“, „Dokument“ oder „Guidance“ nutzen.

Requirements vs. Controls

Beide Begriffe können spezifische Aktivitäten, Prozesse, Praktiken oder Fähigkeiten benennen, die eine Organisation hat oder tut, um Cybersicherheitsrisiken zu managen. Controls können verpflichtend sein oder nicht, Requirements sind es généralement. Immer prüfen, welchen Begriff ein Dokument nutzt. Beispiel: Viele bezeichnen NIST SP 800-171 Requirements als Controls – das ist inkorrekt.

Audit vs. Assessment

In der Cybersicherheit hat Audit oft einen formelleren, negativeren Unterton als in anderen Disziplinen. Audits erfolgen nach Vorfällen (z. B. Datenschutzverletzung – meist internes Audit), auf Kundenwunsch (meist externes Audit durch den Kunden) oder für Zertifizierungen (Third-Party-Audit). Assessments sind typischerweise eher wie ein freundlicher Gesundheits-Check-up. Sie können eng oder breit, mit beliebigem Rigor sein, je nach Wunsch des geprüften Unternehmens oder Situation. Ausnahme: Das Cybersecurity Maturity Model Certification (CMMC)-Programm nutzt „Assessment“ als formale Evaluierungsmethode.

Compliance

Compliance bezieht sich typischerweise auf das Erfüllen einer Anforderung (intern/extern, manchmal regulatorisch) – oft nachgewiesen durch Zertifizierung oder Attestation. Man hört oft „NIST compliant“. Das kann irreführend sein, da viele interpretieren: NIST setzt eine Anforderung durch oder zertifiziert/attestiert Sicherheit von Produkten/Prozessen. Gemeint ist meist: Das Unternehmen nutzt Praktiken/Verfahren aus NIST-Publikationen, oft zur Erfüllung einer Anforderung. Zwar eine Compliance-Aktivität, aber besser: klar benennen, welche Regel/Gesetz Gegenstand der Compliance ist. Beispiel: NIST SP 800-171 befolgen, um DFARS-konform zu sein. Ausnahme: Kryptografische Algorithmen/Module – hier ist „validated“ korrekt, „compliant" bedeutet, das Gesamtprodukt wurde nicht formal evaluiert.

Englische Wörter entwickeln sich fast so schnell wie Internet-Memes – eine Million Shakespeareans, die die Sprache hinter den Schuppen zerlegen, manipulieren, zu kaum erkennbarem Skript falten. In der Cybersicherheit geschieht das mit waghalsiger Freizügigkeit. Aber das Verständnis einiger Schlüsselbegriffe und ihrer Nutzung hilft, Ihre Cybersicherheitsbedürfnisse zu verstehen und zu kommunizieren.