In einer Finanzbuchhaltung ändert ein Mitarbeiter versehentlich die Kontonummer in einer Sammelüberweisung — ein Tippfehler, zwei Ziffern vertauscht. Die Software akzeptiert die Eingabe ohne Warnung. Über drei Monate fließen monatliche Zahlungen in Höhe von je 28.000 Euro an den falschen Empfänger. Der Fehler fällt erst bei der Quartalsabstimmung auf.
Integritätsverlust gehört zu den tückischsten Gefährdungen, weil die Daten weiterhin vorhanden und auf den ersten Blick unauffällig sind. Das BSI führt die Bedrohung als elementare Gefährdung G 0.46. Im Gegensatz zum Datenverlust (G 0.45), bei dem die Daten fehlen, liefert der Integritätsverlust falsche Daten — und falsche Daten können größeren Schaden anrichten als fehlende.
Was steckt dahinter?
Die Integrität von Informationen kann auf vielfältige Weise beeinträchtigt werden. Die Ursachen reichen von unbeabsichtigten Fehleingaben über technische Defekte bis hin zu gezielten Manipulationen durch Angreifer.
Ursachen
Angreifer verändern Daten, um sich Vorteile zu verschaffen oder der Organisation zu schaden. Gezielte Datenmanipulation ist oft schwerer zu erkennen als Datendiebstahl, weil keine Daten abfließen und die Veränderung subtil sein kann: eine modifizierte IBAN in einer Zahlungsanweisung, ein veränderter Wert in einer Lagerbestandsdatenbank, eine manipulierte Index-Datenbank in einem elektronischen Archiv.
Tippfehler, Verwechslungen und Bedienungsfehler in Anwendungen sind alltäglich. Ohne Plausibilitätsprüfungen, Eingabevalidierung und Vier-Augen-Kontrollen können solche Fehler monatelang unbemerkt bleiben und kaskadieren: Falsche Basisdaten führen zu falschen Berechnungen, die wiederum falsche Entscheidungen nach sich ziehen.
- Übertragungsfehler — Bei der Datenübertragung über Netzwerke können Bits kippen. TCP korrigiert die meisten Fehler, doch bei UDP-basierter Kommunikation oder fehlerhafter Hardware können Daten unbemerkt verändert ankommen.
- Alterung von Datenträgern — Magnetische und optische Datenträger verlieren über Jahre an Lesbarkeit. Einzelne Sektoren werden fehlerhaft (Bit-Rot), ohne dass das Dateisystem sofort warnt.
- Softwarefehler — Bugs in Datenbanken, Dateisystemen oder Anwendungen können Daten bei Schreibvorgängen verfälschen, insbesondere bei konkurrierenden Zugriffen oder Systemabstürzen.
Schadensausmass
Ein einzelnes verändertes Bit kann ganze Datenbestände unbrauchbar machen. Bei verschlüsselten Datensätzen führt eine minimale Veränderung dazu, dass die Entschlüsselung fehlschlägt. Kryptographische Schlüssel werden durch ein Bit-Flip unbrauchbar — und damit alle Daten, die mit diesem Schlüssel gesichert wurden. Elektronische Archive verlieren ihre Beweiskraft, wenn die Integrität der gespeicherten Dokumente nicht nachgewiesen werden kann.
Praxisbeispiele
Manipulierte Archivdatenbank. Ein elektronisches Archiv speichert revisionssichere Dokumente für die Buchhaltung. Ein Angreifer mit Datenbankzugang manipuliert die Index-Tabelle und ordnet gefälschte Rechnungen echten Vorgangsnummern zu. Bei einer Betriebsprüfung werden die gefälschten Dokumente als authentisch akzeptiert — bis ein aufmerksamer Prüfer die Prüfsummen manuell verifiziert.
Fehleingabe in der Lagerverwaltung. Bei einer manuellen Inventurkorrektur vertippt sich ein Mitarbeiter um eine Zehnerpotenz: Statt 50 Einheiten wird der Bestand auf 500 korrigiert. Das ERP-System storniert daraufhin automatisch eine ausstehende Nachbestellung. Erst zwei Wochen später, als der physische Bestand aufgebraucht ist, fällt der Fehler auf — die Produktionslinie steht.
Bit-Flip in einer verschlüsselten Backup-Datei. Durch einen Sektorfehler auf der Backup-Festplatte ändert sich ein Byte in einem verschlüsselten Backup-Archiv. Der Fehler bleibt unerkannt, weil keine regelmäßigen Integritätsprüfungen stattfinden. Als das Archiv Monate später zur Wiederherstellung benötigt wird, schlägt die Entschlüsselung fehl. Das Backup ist wertlos.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 43 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.8.4 — Zugang zu Quellcode: Kontrollierter Zugang zum Quellcode verhindert Manipulation an der Software, die Daten verarbeitet.
- A.8.32 — Änderungsmanagement: Geordnete Change-Prozesse verhindern, dass unkontrollierte Änderungen die Datenintegrität gefährden.
- A.5.34 — Datenschutz und Schutz personenbezogener Daten: Datenschutzprozesse erzwingen Eingabevalidierung und Nachvollziehbarkeit.
- A.8.25 — Sicherer Entwicklungslebenszyklus: Integritätsprüfungen werden bereits in der Softwareentwicklung verankert.
- A.8.7 — Schutz gegen Schadsoftware: Malware-Schutz gegen Schadprogramme, die gezielt Daten manipulieren.
Erkennung:
- A.8.16 — Überwachungsaktivitäten: Monitoring erkennt unerwartete Datenänderungen in Echtzeit.
- A.8.15 — Protokollierung: Lückenlose Protokollierung aller Schreib- und Änderungsvorgänge.
- A.8.17 — Uhrzeitsynchronisation: Präzise Zeitstempel sichern die Nachvollziehbarkeit von Datenänderungen.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Incident-Response-Pläne für erkannte Integritätsverletzungen.
- A.8.13 — Sicherung von Informationen: Integre Backups ermöglichen die Wiederherstellung des korrekten Datenbestands.
BSI IT-Grundschutz
G 0.46 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- CON.1 (Kryptokonzept) — kryptographische Verfahren zur Integritätssicherung (Hashwerte, digitale Signaturen).
- OPS.1.2.6 (NTP-Zeitsynchronisation) — präzise Zeitstempel für Integritätsprüfungen und Audit-Trails.
- DER.3.1 (Audits und Revisionen) — regelmäßige Prüfung der Datenintegrität im Rahmen interner Audits.
- APP.4.2 (SAP-ERP-System) — spezifische Integritätsanforderungen für betriebswirtschaftliche Standardsoftware.
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland — Jahreslagebericht mit aktuellen Vorfallstatistiken
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.46 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 8.4 — Umsetzungshinweise zum Zugangsschutz für Quellcode