📌 Was im Verzeichnis steht

ISO 27001 verlangt im Anhang A ein Verzeichnis der Informationen und der damit verbundenen Werte, jeder Eintrag mit einer verantwortlichen Stelle. Was dort tatsächlich steht, sind Dateien, Datenbanken, Datenträger und Systeme. Verschlüsselung, Backup und Zugriffssteuerung setzen an derselben Stelle an: an der Repräsentation. Sie ist zählbar, kopierbar, löschbar. Nur darum lässt sie sich sichern.

⚡ In Form bringen

Das lateinische informare heißt in Form bringen, informatio benennt den Vorgang selbst. Bei Cicero ist es die Vorstellung, die sich jemand von einer Sache bildet. In der Scholastik prägt die Form sich dem Stoff ein. Gemeint war kein Gegenstand, sondern ein Vorgang. Information entsteht erst dort, wo Daten für jemanden etwas bedeuten. Ob die Zeichenkette AFFE für ein Säugetier steht oder, hexadezimal gelesen, für die Zahl 45054, entscheidet der Kontext, nicht der Datenträger.

🔗 Die stille Vertauschung

Shannon macht 1948 die Repräsentation messbar und schließt die Bedeutung ausdrücklich aus: Für das ingenieurtechnische Problem sei sie irrelevant. Sein Maß erfasst, was ankommt, nicht, wen es formt. Für den Übertragungskanal ist das richtig. Übernommen haben wir die Größe samt dem Namen, den schon Shannon ihr gab. Seitdem heißt Information das, was auf dem Datenträger liegt.

🎯 Wo das auffliegt

Solange ein Angriff die Repräsentation anfasst, greift der Schutz. Eine Phishing-Mail fasst sie nicht an, sie erzeugt eine Erwartung. Ein Deepfake verändert keine Datei. Er ist selbst eine, unversehrt, vollständig und verfügbar. Prompt-Injection schreibt nichts um, sie lässt ein System einen fremden Text für eine Anweisung halten. Der Schritt, der über den Angriff entscheidet, lässt Vertraulichkeit, Integrität und Verfügbarkeit der Daten unberührt. Verletzt werden sie erst danach, wenn Zugangsdaten oder Dokumente abfließen. Alle drei tun, was informare heißt: Sie bringen in Form, wer oder was sie empfängt. Bei der Prompt-Injection ist das ein Sprachmodell. 2010 habe ich geschrieben, Information entstehe streng genommen nur durch menschliche Interpretation von Daten. Ein Sprachmodell behandelt Daten heute so, als verstünde es sie, und lässt sich deshalb genauso in Form bringen.

⚠️ Der Einwand, der bleibt

Der naheliegende Einwand: ISO 27001 hat den Menschen nicht vergessen. Anhang A verlangt Sensibilisierung und Schulung (A 6.3), und nach ISO 27002 klassifizieren die Verantwortlichen ihre Informationen selbst (A 5.12). Auf dem Papier liegt die Bedeutung damit beim Fachbereich.

In den Organisationen, die ich kenne, kommt sie dort selten an. Der Fachbereich klassifiziert, was im Verzeichnis steht: Systeme, Laufwerke, Datenbanken. Die Schulung lehrt, verdächtige Mails zu erkennen, also den Stoff misstrauischer zu prüfen. Den Satz „Die EDV muss unsere Informationen klassifizieren!“ hörte ich schon 2010 so oft, dass mein Artikel damit beginnt. Die Maßnahmen stehen in der Norm. Angewendet werden sie dort, wo alles andere auch ansetzt: am Stoff.

💡 Wer die Form verantwortet

Hier liegt für mich der Fehler in vielen Organisationen. Weil wir den Stoff schützen, wirkt die Aufgabe technisch, und wir geben sie der IT. Die IT beherrscht den Stoff. Die Form verantwortet der Fachbereich: was der Stoff bedeutet, was sein Verlust kostet, wer danach handeln darf. Klassifizierung ist ein fachliches Urteil, kein technisches. Wer beurteilen kann, was eine Nachricht bedeutet, sitzt im Fachbereich, nicht im Rechenzentrum. Ein ISMS, das in der IT endet, sichert den Stoff und nennt das Ergebnis Informationssicherheit.

📚🔍