Begriffe und Abgrenzungen

Abgrenzung: Der umfassendste Begriff: IT-Sicherheit ist ein Teilbereich davon, Cybersicherheit je nach Definition ebenfalls. Er orientiert sich an den Schutzzielen (siehe Schutzziele) und ist in ISO/IEC 27000 beschrieben.

Beispiel: Eine Kundenakte liegt offen auf dem Gang. Das ist ein Fall der Informationssicherheit, aber nicht der Cybersicherheit.

Abgrenzung: Teilbereich der Informationssicherheit, der sich auf IT-Systeme und die darin verarbeiteten Daten bezieht: Server, Netze, Endgeräte und Software. Dazu gehören technische und organisatorische Massnahmen, zum Beispiel Updates, Berechtigungen und Betriebsprozesse. Papier und mündliche Informationen gehören nicht dazu.

Beispiel: Sicherheitsupdates und Zugriffsrechte auf einem Server.

Abgrenzung: Häufig als Teilbereich der Informationssicherheit verstanden, mit Fokus auf den digitalen Raum. Je nach Definition, zum Beispiel in ISO/IEC 27032, gilt sie als eigenes, sich überschneidendes Feld.

Beispiel: Ransomware verschlüsselt die Dateiserver eines Unternehmens. Gegen solche Angriffe wirken unter anderem Firewalls und die Erkennung von Angriffen.

Abgrenzung: Der Datenschutz regelt, ob und wie Personendaten bearbeitet werden dürfen, nach dem Bundesgesetz über den Datenschutz (DSG): Rechtmässigkeit, Zweckbindung und Transparenz sowie Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (Art. 6, 7 und 19 DSG). Die Datensicherheit ist nur ein Teil davon. Das Datenschutzrecht kann auch verletzt sein, ohne dass ein Schutzziel verletzt ist, etwa wenn Daten für einen anderen Zweck verwendet werden, als bei der Erhebung angegeben. Das DSG gilt für private Personen und Bundesorgane. Für kantonale und kommunale Stellen gilt das jeweilige kantonale Datenschutzrecht.

Beispiel: Ein Onlineangebot erhebt standardmässig mehr Daten, als für den Zweck nötig sind. Das widerspricht den datenschutzfreundlichen Voreinstellungen, auch wenn die Daten technisch gut gesichert sind.

Konsequenz: Datenschutz und Informationssicherheit überschneiden sich. Sie brauchen klare Zuständigkeiten und aufeinander abgestimmte Massnahmen.

Abgrenzung: Datensicherheit betrifft Daten mit und ohne Personenbezug und wird durch technische und organisatorische Massnahmen erreicht. Bei Personendaten verlangt sie das Datenschutzgesetz (Art. 8 DSG).

Beispiel: Verschlüsselung gegen unbefugten Zugriff, ein Zugriffskonzept gegen unbefugte Änderungen, Backups gegen Datenverlust.

Abgrenzung: Ein Schutzziel, keine Einstufung. Es ist nicht dasselbe wie die Stufe «VERTRAULICH» (siehe Verwechslungen).

Beispiel: Eine Offerte geht an die falsche E-Mail-Adresse und wird von einer unbeteiligten Person gelesen. Oder: Eine Mitarbeiterin kann im System Kundendaten einsehen, die sie für ihre Aufgabe nicht braucht (siehe Kenntnis nur bei Bedarf).

Abgrenzung: Betrifft nicht, wer eine Information einsehen kann, sondern ob sie richtig und vollständig bleibt und nur berechtigt geändert wird.

Beispiel: In einer Rechnung wird unbemerkt die Kontonummer (IBAN) ausgetauscht. Oder: Die Gesundheitsdaten einer Person sind nicht korrekt erfasst, was zu falscher Behandlung mit schwerwiegenden Folgen führen kann.

Abgrenzung: Betrifft nicht, wer eine Information einsehen oder ändern darf, sondern ob sie zum benötigten Zeitpunkt nutzbar ist. Ein Ausfall oder ein Datenverlust verletzt die Verfügbarkeit, auch wenn niemand die Information einsieht.

Beispiel: Ransomware verschlüsselt die Dateiserver, und niemand kann mehr arbeiten.

Abgrenzung: «Bearbeiten» umfasst jeden Umgang mit einer Information, etwa erfassen, einsehen, ändern, weitergeben oder löschen. Neben den drei klassischen Schutzzielen wird sie in Art. 2 DSV und im Leitfaden des BACS ausdrücklich als eigenes Schutzziel genannt. Typisch ist die Protokollierung.

Beispiel: Nach einem Vorfall lässt sich nicht mehr klären, wer eine Datei geändert oder gelöscht hat.

Abgrenzung: Dazu gehören auch scheinbar unauffällige Angaben wie Name, E-Mail-Adresse oder Telefonnummer. Reine Angaben über Unternehmen (juristische Personen) sind keine Personendaten im Sinne des DSG. Namen oder Kontaktdaten von Mitarbeitenden können dagegen Personendaten sein.

Beispiel: Eine Kundenliste mit Name und Wohnort.

Abgrenzung: Das Gesetz zählt auf: Daten über Gesundheit, Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie, über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten, genetische Daten, biometrische Daten, die eine Person eindeutig identifizieren, Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen sowie über Massnahmen der sozialen Hilfe. Für sie gelten strengere Anforderungen, zum Beispiel bei der Einwilligung und bei der Datenschutz-Folgenabschätzung. Der Begriff ist gesetzlich festgelegt und gilt nur für diese Kategorien. Ob Daten dazugehören, hängt davon ab, was die Angabe über die Person verrät, nicht vom Datenfeld. Auch gewöhnliche Personendaten können je nach Umfang und Kontext hohe Risiken für Betroffene erzeugen.

Beispiel: Krankheitsdaten einer Mitarbeiterin. Auch eine Wohnadresse kann dazugehören, wenn sie etwa den Aufenthalt in einer Schutzeinrichtung verrät.

Abgrenzung: Gemeint sein kann einfach «heikel», datenschutzrechtlich meist die besonders schützenswerten Personendaten oder eine intern festgelegte Stufe. Eine Organisation kann «sensibel» auch als eigene Einstufung definieren. Darum ist es hilfreich, bei der Verwendung die gemeinte Bedeutung zu nennen.

Beispiel: «Das sind sensible Daten» kann Gesundheitsdaten meinen, eine Preisliste oder Zugangsdaten. Die Regeln dazu sind jeweils andere.

Abgrenzung: In der Bundesverwaltung ist die Stufe im ISG und in der ISV geregelt. In Unternehmen legt die Organisation Bedeutung und Regeln selbst fest. Dass eine Information intern verwendet wird, heisst nicht, dass sie formal als INTERN klassifiziert ist.

Beispiel: Ein internes Organigramm, sofern die Organisation es als INTERN einstuft.

Abgrenzung: Nicht zu verwechseln mit dem Schutzziel Vertraulichkeit. In der Bundesverwaltung gelten für VERTRAULICH eigene Regeln, in Unternehmen die Regeln, die es dafür festgelegt hat.

Beispiel: Für als VERTRAULICH klassifizierte Informationen gelten besondere Vorgaben zur Bearbeitung, etwa zu Speicherung, Übermittlung und Zugriff. Ein Unternehmen kann zum Beispiel festlegen, dass als «vertraulich» gekennzeichnete Dokumente nur verschlüsselt versendet werden dürfen.

Abgrenzung: Das Geschäfts- und Fabrikationsgeheimnis (Art. 162 Strafgesetzbuch, StGB) ist ein davon getrennter rechtlicher Begriff und keine Einstufung. Ein «geheimes» Dokument in einem Unternehmen hat keine gesetzlich definierte Stufe. Die Kennzeichnung gilt nach den Regeln, die das Unternehmen dafür festlegt. Sie kann ausserdem den Willen zur Geheimhaltung dokumentieren, was rechtlich relevant sein kann.

Abgrenzung: Der Grundsatz setzt das Schutzziel Vertraulichkeit um. Er fragt, welche Information jemand kennen muss. Auch wer vertrauenswürdig ist oder eine hohe Funktion hat, erhält Informationen nur bei Bedarf. Im ISG ist er bei den Berechtigungen (Art. 21 Abs. 1) und beim Zugang zu klassifizierten Informationen (Art. 14 Abs. 1) verankert. Im Datenschutzrecht entspricht ihm der Grundsatz der Verhältnismässigkeit (Art. 6 Abs. 2 DSG), und die Zugriffskontrolle gehört zu den Massnahmen der Datensicherheit (Art. 8 DSG). ISO/IEC 27002 behandelt ihn bei der Zugangssteuerung (Massnahme 5.15).

Beispiel: In einem Versicherungsunternehmen braucht eine Mitarbeiterin im Marketing keinen Einblick in die Schadenakten der Kundinnen und Kunden, denn ihre Aufgabe erfordert diese Angaben nicht.

Abgrenzung: Kenntnis nur bei Bedarf fragt, welche Information jemand kennen muss. Minimale Rechte fragt, welche Rechte dafür nötig sind: lesen, ändern, löschen oder administrieren. Ein Administratorkonto für die tägliche Arbeit widerspricht dem Prinzip. In ISO/IEC 27002 gehören dazu auch die Massnahmen zu privilegierten Zugriffsrechten (8.2).

Beispiel: Eine Auswertung braucht lesenden Zugriff auf eine Datenbank, keine Schreib- oder Administratorrechte.

Abgrenzung: Minimale Rechte begrenzen die Rechte einer Person, die Funktionstrennung verteilt kritische Aufgaben auf verschiedene Personen. So kann niemand allein einen Vorgang auslösen, freigeben und kontrollieren. ISO/IEC 27002 führt sie als eigene Massnahme (5.3).

Beispiel: Wer neue Lieferantenkonten anlegt, gibt Zahlungen an diese Lieferanten nicht frei.

Abgrenzung: Eine DSFA beschreibt die geplante Bearbeitung, bewertet die Risiken für die Persönlichkeit und die Grundrechte der Betroffenen und legt Massnahmen fest. Ein hohes Risiko besteht von Gesetzes wegen insbesondere bei umfangreicher Bearbeitung besonders schützenswerter Personendaten. Bleibt trotz Massnahmen ein hohes Risiko, ist grundsätzlich der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zu konsultieren (Art. 23 DSG). Private Verantwortliche können davon absehen, wenn sie ihre Datenschutzberaterin oder ihren Datenschutzberater konsultiert haben und diese Person die Voraussetzungen nach Art. 10 Abs. 3 DSG erfüllt (Art. 23 Abs. 4 DSG). Sie betrachtet Risiken für die betroffenen Menschen, nicht Risiken für das Unternehmen.

Beispiel: Ein Versicherer führt ein System ein, das Gesundheitsdaten in grossem Umfang automatisiert auswertet.

Abgrenzung: Im Mittelpunkt steht die Frage, welche Folgen das System für Menschen haben kann: Wird jemand benachteiligt, werden Rechte beeinträchtigt, entstehen Schäden? Das gilt auch, wenn keine Personendaten bearbeitet werden. Die Bewertung begleitet das System über seinen ganzen Lebenszyklus, also auch bei wesentlichen Änderungen oder neuen Einsatzzwecken. In der Schweiz ist sie kein gesetzlicher Begriff. Zu unterscheiden sind zwei Grundlagen: ISO/IEC 42001 sieht solche Bewertungen für Organisationen vor, die ein KI-Managementsystem nach dieser Norm betreiben, ISO/IEC 42005:2025 gibt dafür eine Anleitung. Gesetzlich verlangt die EU-KI-Verordnung von bestimmten Betreibern von Hochrisiko-KI-Systemen eine Grundrechte-Folgenabschätzung (Art. 27). Ob und ab wann diese Pflicht gilt, ist im Einzelfall zu prüfen. Die DSFA ist verwandt, betrifft aber nur die Bearbeitung von Personendaten.

Beispiel: Ein Versicherer setzt ein KI-Modell ein, das Schadenfälle priorisiert. Die Folgenabschätzung prüft, ob bestimmte Gruppen systematisch schlechter behandelt werden.