Die Tiefenverteidigung ist ein Konzept der Informationssicherheit, bei dem mehrere Sicherheitsebenen (Verteidigungsebenen) in einem IT-System implementiert werden . Ziel ist es, Redundanz zu gewährleisten , falls eine Sicherheitsmaßnahme versagt oder eine Schwachstelle ausgenutzt wird. [ 1 ]

Hintergrund

Der Grundgedanke des mehrschichtigen Verteidigungsansatzes besteht darin, ein System mithilfe mehrerer unabhängiger Methoden gegen jeden beliebigen Angriff zu verteidigen. [ 2 ] Es handelt sich um eine Schichtungstaktik, die von der National Security Agency (NSA) als umfassender Ansatz für Informations- und elektronische Sicherheit entwickelt wurde. [ 3 ] [ 4 ]

Das Zwiebelmodell der Verteidigung in der Tiefe

Das Konzept der gestaffelten Verteidigung wird manchmal mit den Schichten einer Zwiebel verglichen, wobei die Daten den Kern der Zwiebel bilden, die Menschen die nächste äußere Schicht und Netzwerksicherheit , hostbasierte Sicherheit und Anwendungssicherheit die äußersten Schichten der Zwiebel darstellen. [ 5 ]

Stufen

Die gestaffelte Verteidigung lässt sich in drei übergeordnete Bereiche unterteilen: Physische, technische und administrative. [ 6 ]

Physisch

Physische Kontrollmaßnahmen umfassen alle Maßnahmen, die den Zugang zu IT-Systemen physisch einschränken oder verhindern. Beispiele für physische Sicherheitsvorkehrungen sind: Zäune, Wachpersonal, Hunde und Videoüberwachungssysteme . [ 3 ]

Technisch

Technische Kontrollen sind Hardware oder Software, die dem Schutz von Systemen und Ressourcen dienen. Beispiele für technische Kontrollen sind Festplattenverschlüsselung, Software zur Dateiintegritätssicherung, Authentifizierung, [ 7 ] Netzwerksicherheitskontrollen , Antivirenprogramme und Software zur Verhaltensanalyse . [ 8 ]

Für den Fall, dass eine Verteidigungsebene versagt, zielt die gestaffelte Verteidigung darauf ab, die Netzwerksicherheit durch eine zweite Verteidigungslinie zu gewährleisten. [ 3 ] Wenn beispielsweise ein Angreifer in ein Computersystem auf einer bestimmten OSI-Schicht (z. B. Schicht 3 ) eindringt, sollte auf einer anderen Schicht ( Schicht 7 ) eine Redundanz vorhanden sein, um eine mehrschichtige Verteidigung sicherzustellen. [ 3 ]

  • Authentifizierung, Autorisierung und Abrechnung
  • Vertraulichkeit, Integrität und Verfügbarkeit
  • Authentifizierung und Passwortsicherheit
  • Verschlüsselung
  • Hashing

Anwendungssicherheit

Hostsicherheit

Netzwerksicherheit

Administrative und operative

Administrative Kontrollen sind die Richtlinien und Verfahren der Organisation und regeln deren Personalwesen , Technologie und Betriebsabläufe . [ 3 ]

Menschen

Technologie

Betrieb

Regulatorische Ausrichtung

Die Prinzipien der gestaffelten Verteidigung stehen im Einklang mit verschiedenen regulatorischen Rahmenbedingungen, die mehrschichtige Sicherheitskontrollen erfordern, anstatt sich auf einzelne Schutzmaßnahmen zu verlassen.

Die Sicherheitsrichtlinie des Health Insurance Portability and Accountability Act (HIPAA) schreibt implizit einen mehrschichtigen Sicherheitsansatz vor, indem sie die betroffenen Einrichtungen verpflichtet, administrative (45 CFR 164.308), physische (45 CFR 164.310) und technische (45 CFR 164.312) Sicherheitsvorkehrungen als sich ergänzende Schutzebenen für geschützte Gesundheitsdaten zu implementieren . „Zusammenfassung der HIPAA-Sicherheitsrichtlinie“ . US-Gesundheitsministerium . Abgerufen am 1. April 2026 .Die im Dezember 2024 veröffentlichte Bekanntmachung zur geplanten HIPAA-Sicherheitsregel (90 FR 898) würde die mehrstufigen Sicherheitsvorkehrungen weiter festschreiben, indem sie Netzwerksegmentierung, Verschlüsselung, Multi-Faktor-Authentifizierung, den Einsatz von Anti-Malware und die kontinuierliche Überwachung als eigenständige, aber sich überschneidende Sicherheitsmaßnahmen vorschreibt. „HIPAA-Sicherheitsregel zur Stärkung der Cybersicherheit elektronischer geschützter Gesundheitsinformationen“ . Federal Register. 6. Januar 2025. Abgerufen am 1. April 2026 .

Die NIST-Sonderveröffentlichung 800-53 gliedert Sicherheitskontrollen in 20 Kontrollfamilien, die Management-, Betriebs- und technische Bereiche abdecken und ein umfassendes, mehrschichtiges Sicherheitskonzept für Informationssysteme der Bundesregierung bieten. „NIST SP 800-53 Rev. 5: Sicherheits- und Datenschutzkontrollen“ . National Institute of Standards and Technology. September 2020. Abgerufen am 1. April 2026 .Das NIST Cybersecurity Framework 2.0 strukturiert Schutzmaßnahmen analog über die Funktionen Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen und stärkt so den mehrschichtigen Sicherheitsansatz. „NIST Cybersecurity Framework 2.0“ . National Institute of Standards and Technology. Februar 2024. Abgerufen am 1. April 2026 .

Siehe auch

Referenzen

  1. ^ „Sicheres Produktdesign – OWASP Cheat Sheet Series“ . cheatsheetseries.owasp.org . Abgerufen am 2. Oktober 2025 .
  2. ^ „Sicherheit in der Cloud“ . Schneier on Security . 15.02.2006 . Abgerufen am 02.10.2025 .
  3. ^ a b c d e f g h i National Security Agency , Defense in Depth: A practical strategy for achieving Information Assurance in today's highly networked environments.
  4. ^ OWASP-Spickzettel: Tiefenverteidigung
  5. ^ „Security Onion Control Scripts“ . Angewandte Netzwerksicherheitsüberwachung . Elsevier. 2014. S.  451–456 . doi : 10.1016/b978-0-12-417208-1.09986-4 . ISBN 978-0-12-417208-1Abgerufen am 29.05.2021 .
  6. Stewart , James Michael; Chapple, Mike; Gibson, Darril (2015). CISSP (ISC)² Certified Information Systems Security Professional Official Study Guide . John Wiley & Sons. ISBN 978-1-119-04271-6Die
  7. ^ a b c d e f „Was ist mehrschichtige Verteidigung? | Layered Security“ . www.cloudflare.com . Abgerufen am 2025-10-02 .
  8. ^ „Was ist Tiefenverteidigung? Definition und Erklärung“ . Fortinet . Abgerufen am 2. Oktober 2025 .
  9. ^ a b c d e „Cybersecurity Spotlight - Defense in Depth (DiD)“ . CIS . Abgerufen am 02.10.2025 .