Informationssicherheitsereignis

Ein Informationssicherheitsereignis ist eine beobachtete Situation, die auf ein mögliches Sicherheitsproblem hinweist. Der englische Begriff lautet Information Security Event. Ein Ereignis kann Anlass zur Prüfung geben, ohne dass bereits ein Schaden oder ein bestätigter Sicherheitsvorfall feststeht.

Definition nach ISO/IEC 27000

Die Begriffsdefinition aus ISO/IEC 27000:2018, Abschnitt 3.30, beschreibt sinngemäß einen erkannten Zustand eines Systems, Dienstes oder Netzwerks, der auf eine mögliche Verletzung der Informationssicherheitsrichtlinie, das Versagen von Schutzmaßnahmen oder eine bislang unbekannte, möglicherweise sicherheitsrelevante Situation hindeutet. Es geht damit um einen bewertungsbedürftigen Hinweis, nicht um die Feststellung, dass tatsächlich ein Angriff erfolgreich war. Der Wortlaut und die Zuordnung zur Ausgabe 2018 sind im Terminologieverzeichnis des ISO/IEC JTC 1/SC 27 dokumentiert.

Die Ausgabe ISO/IEC 27000:2026 hat die Ausgabe 2018 inzwischen ersetzt und dient vor allem dem Überblick über Konzepte und Zusammenhänge der Normenfamilie. Die hier erläuterte Definition wird deshalb ausdrücklich mit ihrem Begriffsstand von 2018 angegeben.

Typische Beispiele

Viele fehlgeschlagene Anmeldeversuche oder eine ungewöhnliche Anmeldung aus einer bislang nicht verwendeten Umgebung.
Ein Virenschutz- oder Monitoring-Alarm, dessen Ursache und tatsächliche Auswirkungen noch nicht geklärt sind.
Eine unerwartete Berechtigungsänderung oder eine auffällige Systemkonfiguration.
Ungewöhnliche Datenübertragungen, die auf einen möglichen Abfluss vertraulicher Informationen hindeuten.
Ein plötzlicher Dienstausfall, bei dem zunächst unklar ist, ob eine technische Störung, ein Bedienfehler oder ein Angriff vorliegt.

Vom Ereignis zum Sicherheitsvorfall

Die zuständige Stelle sammelt Informationen und bewertet Ursache, betroffene Systeme, Schutzbedarf und mögliche Auswirkungen. Ein Alarm kann sich als Fehlalarm oder legitimer Vorgang erweisen. Er kann aber auch eine Beeinträchtigung der Vertraulichkeit, Integrität oder Verfügbarkeit bestätigen und damit einen Sicherheitsvorfall erkennen lassen.

Ein erfolgreich blockierter Angriff kann dennoch wichtige Erkenntnisse liefern; soweit ein potenzieller Vorfall verhindert wurde oder nicht eingetreten ist, kommt eine Einordnung als Beinahevorfall in Betracht. Beschäftigte sollten verdächtige Ereignisse frühzeitig intern melden. Die Entscheidung über die Einstufung und weitere Maßnahmen gehört in einen geregelten Prozess der Sicherheitsvorfallsbehandlung.

Quellen und weiterführende Informationen

Cyber-Security-Glossar