Nomenklatur IT-Sicherheit

Zusammen mit der IT-Sicherheitsfachmesse it-sa und dem Institut für Internet-Sicherheit – if(is) hat der Marktplatz IT-Sicherheit eine umfassende, praxisgerechte Nomenklatur für die Begriffe der IT-Sicherheit entwickelt, um den komplexen, teils unübersichtlichen Markt der IT-Sicherheit verständlich und nachvollziehbar zu strukturieren.

Die Nomenklatur der IT-Sicherheitsbegriffe ist mehr als ein Vokabular: Sie ordnet jeden relevanten Begriff IT-Sicherheit der passenden Kategorie zu, erfasst gebräuchliche Synonyme, dokumentiert Unterbegriffe und hält fest, ob ein Begriff bereits Eingang in etablierte Glossare gefunden hat.

Anders als ein reines Lexikon verfolgt die Nomenklatur einen kategorialen Anspruch: Sie soll nicht nur erklären, was ein Begriff bedeutet, sondern wo er im Gesamtgefüge der IT-Sicherheit steht und wie er mit anderen Begriffen in Beziehung steht. Genau diese Beziehungsstruktur macht sie zur Grundlage für einen interaktiven Wissensgraphen (Knowledge Graph), der Bedrohungen, Lösungen und Compliance-Anforderungen sichtbar miteinander verknüpft.

IT-Sicherheit ist ein Feld mit hoher terminologischer Unschärfe: Anbieter prägen Marketingbegriffe, die sich mit etablierten Fachbegriffen überschneiden. Englische und deutsche Bezeichnungen existieren parallel. Ein und dasselbe Konzept trägt je nach Hersteller, Analystenhaus oder Behörde einen anderen Namen. Für Fachleute ist das mühsam, für Entscheiderinnen und Entscheider ohne tiefes technisches Vorwissen ist es häufig ein echtes Hindernis für einen Zugang zur IT-Sicherheit.

Eine konsistente Nomenklatur schafft hier eine gemeinsame Sprache. Sie reduziert Missverständnisse zwischen Anbietern und Anwendern, macht Angebote vergleichbar und ist zugleich Voraussetzung dafür, dass Inhalte überhaupt zuverlässig kategorisiert, verknüpft und wiedergefunden werden können.

• Als begriffliche Grundlage für Marktplatz IT-Sicherheit und itsa365, damit Lösungen und Anbieter konsistent kategorisiert und Bedrohungen einheitlich benannt werden.
• Als Datenbasis für einen interaktiven Wissensgraphen, der Bedrohungen und Schutzmaßnahmen nach Prävention, Erkennung und Reaktion visuell verknüpft.
• Als Referenz für redaktionelle Inhalte (Fachartikel, Podcast-Formate wie den Security News Podcast, Beiträge für Anbieter- und Anwenderzielgruppen), damit Begriffe über verschiedene Formate hinweg einheitlich verwendet werden.
• Als Grundlage für GEO-optimierte Inhalte: Suchmaschinen und KI-Systeme erschließen Inhalte zunehmend über strukturierte, eindeutige Begriffsverwendung statt über Freitext.
• Perspektivisch als terminologischer Unterbau für Projekte, in denen Bedrohungslage und Lösungsangebot systematisch gegenübergestellt werden.

Für Lösungsanbieter schafft die Nomenklatur einen neutralen Referenzrahmen, in dem sich ihr Angebot einordnen lässt, unabhängig davon, unter welchem Produktnamen oder Marketingbegriff eine Funktion tatsächlich vertrieben wird. Das erleichtert die Vergleichbarkeit für Anwender und verhindert, dass etablierte Schutzkategorien durch Buzzwords verwässert werden. Gleichzeitig hilft die Kategorienstruktur, Lücken im eigenen Portfolio oder redundante Funktionsversprechen sichtbar zu machen.

Auf der Bedrohungsseite ermöglicht die Nomenklatur eine einheitliche Risikokommunikation: Wenn Ransomware, Business E-Mail Compromise oder Supply-Chain-Angriffe überall gleich benannt und gleich kategorisiert werden, lassen sich Vorfälle, Studien und Warnungen verschiedener Quellen direkt miteinander vergleichen. Für Anwender ohne tiefes Fachwissen sinkt zugleich die Einstiegshürde, die eigene Gefährdungslage überhaupt einzuordnen, eine Voraussetzung dafür, dass die Zuordnung zu passenden Schutzmaßnahmen (wie im Knowledge Graphen) nachvollziehbar bleibt.

Regulatorische Rahmenwerke (wie NIS2, DORA, KRITIS-Vorgaben, ISO 27001, BSI IT-Grundschutz) verlangen von Unternehmen, Risiken zu identifizieren, zu bewerten und mit konkreten Maßnahmen zu adressieren. Diese Nachweispflicht setzt eine konsistente Terminologie voraus: Ein Risikoregister, eine Meldung an eine Aufsichtsbehörde oder ein Auditbericht sind nur dann prüf- und vergleichbar, wenn Bedrohungen und Maßnahmen nicht bei jeder Verwendung neu benannt werden.

Die Nomenklatur liefert dafür die begriffliche Brücke zwischen technischer Praxis und regulatorischer Dokumentation: Sie erleichtert die Zuordnung einzelner Bedrohungen zu IT-Sicherheitskategorien, unterstützt die Argumentation gegenüber Prüfern und Aufsichtsbehörden und schafft eine Grundlage, auf der sich unternehmensinterne Richtlinien konsistent auf anerkannte Begriffe stützen lassen.