Methodik für Informationssicherheit

Was ist der IT-Grundschutz des BSI?

IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik

Der IT-Grundschutz ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik für den Aufbau eines Informationssicherheitsmanagements. Die BSI-Standards beschreiben das Vorgehen, das IT-Grundschutz-Kompendium liefert dazu Bausteine mit konkreten Anforderungen.

Wenn eine Behörde oder ein Auftraggeber einen Nachweis über die Informationssicherheit verlangt, ist im deutschsprachigen Raum meist der IT-Grundschutz des BSI gemeint.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik
Besteht aus: BSI-Standards der Reihe 200 und dem Kompendium
Kernschritte: Strukturanalyse und Schutzbedarfsfeststellung
Verwandt mit: ISO/IEC 27001

Die BSI-Standards der Reihe 200

Der Standard 200-1 beschreibt, was ein Managementsystem für Informationssicherheit ausmacht, also Verantwortlichkeiten, Leitlinie, Ressourcen und den Verbesserungszyklus. Der 200-2 enthält die eigentliche Vorgehensweise und bietet drei Wege an: die Basis-Absicherung als schneller Einstieg mit breiter Grundabdeckung, die Kern-Absicherung für die wertvollsten Bereiche zuerst und die Standard-Absicherung als vollständigen Weg.

Der Standard 200-3 regelt die Risikoanalyse für alles, was über die normalen Anforderungen hinausgeht. Ergänzend beschreibt der 200-4 das Business Continuity Management, also die Vorbereitung auf den Notbetrieb. Zusammen beantworten die Standards das Wie, während die inhaltlichen Anforderungen aus dem Kompendium kommen. Parallel dazu entwickelt das BSI die Methodik unter dem Namen Grundschutz++ weiter, mit einem digitalen, maschinenlesbaren Regelwerk anstelle der bisherigen Textbausteine. Diese Umstellung zieht sich über mehrere Jahre. So lange wird der heutige IT-Grundschutz weiter gepflegt, und auch die Zertifizierung läuft unverändert. Du kannst also auf dem beschriebenen Weg beginnen.

Das Kompendium und seine Bausteine

Das Kompendium ist nach Schichten gegliedert. Prozessbausteine decken Sicherheitsmanagement, Organisation und Personal, Konzepte, Betrieb sowie Detektion und Reaktion ab. Systembausteine behandeln Anwendungen, IT-Systeme, industrielle Steuerungen, Netze und Infrastruktur, also Gebäude und Räume.

Jeder Baustein beschreibt zunächst die typische Gefährdungslage und listet dann Anforderungen, gestuft in Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf. Welche Bausteine für dich gelten, ergibt sich nicht aus Geschmack, sondern aus der Strukturanalyse und der Modellierung: Du erfasst Geschäftsprozesse, Anwendungen, Systeme, Netze und Räume und ordnest jedem Objekt die passenden Bausteine zu.

Schutzbedarf feststellen

Für jede Anwendung wird geschätzt, welchen Schaden ein Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit anrichtet, üblicherweise in den Stufen normal, hoch und sehr hoch. Geschätzt wird entlang fester Szenarien: Verstößt die Organisation gegen Gesetze, leidet die Aufgabenerfüllung, entsteht finanzieller Schaden, verliert sie an Ansehen?

Der Schutzbedarf vererbt sich anschließend entlang der Abhängigkeiten auf Systeme und Netze. Dabei gilt in der Regel das Maximum der darauf laufenden Anwendungen, mit zwei Korrekturen: Viele kleine Schäden können sich zu einem großen summieren, und umgekehrt kann sich ein Bedarf auf mehrere Systeme verteilen. Wo am Ende hoher oder sehr hoher Schutzbedarf steht, reicht die Standard-Absicherung nicht mehr, dort greift die Risikoanalyse.

Zertifizierung und der häufigste Fehler

Auf Basis von IT-Grundschutz lässt sich ein ISO-27001-Zertifikat erlangen. Geprüft wird dabei nicht nur die Dokumentation, sondern auch, ob die beschriebenen Abläufe im Betrieb tatsächlich gelebt werden. Grundlage sind die Referenzdokumente aus Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und Prüfung des Umsetzungsstands.

Der häufigste Fehler ist, das Kompendium als Checkliste abzuarbeiten. Ohne einen klar abgegrenzten Geltungsbereich und ohne saubere Strukturanalyse erfüllst du Anforderungen für Objekte, die niemanden interessieren, und übersiehst die Systeme, an denen das Geschäft hängt. Der zweite Fehler ist eine Dokumentation, die den Wunschzustand beschreibt: So etwas fliegt spätestens im Audit auf, wenn jemand aus dem Betrieb den Ablauf schildert.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

BSI IT-Grundschutz und was oft damit gleichgesetzt wird

BSI IT-Grundschutz gegen ISO/IEC 27001

Die Norm beschreibt, welche Elemente ein Managementsystem für Informationssicherheit haben muss, sagt aber wenig darüber, wie du sie umsetzt. Der IT-Grundschutz liefert genau diese Umsetzung und ist als Weg zur Zertifizierung nach der Norm anerkannt.

BSI IT-Grundschutz gegen NIS2 und andere Rechtspflichten

Gesetzliche Vorgaben legen fest, wer Sicherheitsmaßnahmen treffen und Vorfälle melden muss. Das ist Pflichtenrecht, keine Methodik. Der IT-Grundschutz ist ein Weg, die geforderten Maßnahmen strukturiert nachzuweisen.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Die Arbeit steckt in der Strukturanalyse, nicht in den Bausteinen

Bevor ein einziger Baustein greift, musst du wissen, was du überhaupt schützt: die Geschäftsprozesse, die dazugehörigen Anwendungen, die Systeme darunter, dazu Räume und Netze. Diese Aufnahme ist mühsam und deckt regelmäßig auf, dass es Anwendungen ohne verantwortliche Stelle gibt oder Server, die niemand mehr zuordnen kann. Wer hier abkürzt, arbeitet danach alle Anforderungen für einen Verbund ab, den es so gar nicht gibt.

Der zweite unterschätzte Schritt ist der Schutzbedarf. Er wird aus den Prozessen abgeleitet und vererbt sich auf die Technik darunter, und er entscheidet, wie viel Aufwand ein System rechtfertigt. Ohne diese Abstufung behandeln Teams jedes System gleich, was entweder zu teuer wird oder die wirklich kritischen Stellen zu schwach absichert.

Der Standard kennt drei Wege: die Basis-Absicherung als schnellen Einstieg über die Anforderungen mit der größten Wirkung, die Kern-Absicherung für die wenigen wirklich schützenswerten Bereiche und die Standard-Absicherung als vollständiges Vorgehen, das auch die Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz trägt. Die Bausteine des Kompendiums sind dabei keine Liste zum Abhaken, sondern Anforderungen, deren Umsetzung du für dein Haus beschreiben und belegen musst.

BSI IT-Grundschutz lernen

Wie du Schutzbedarf, Bausteine und Nachweise zu einem tragfähigen Managementsystem zusammenfügst, behandeln die Seminare zu Sicherheitsstandards und Grundschutz .

Viele Anforderungen aus den Systembausteinen landen am Ende beim Betrieb der Server, wofür die Kurse zum sicheren Betrieb von Windows Servern das Handwerkszeug liefern.

Wissen prüfen

Sitzt BSI IT-Grundschutz schon?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest SC-900 Quiz - Security, Compliance & Identity FundamentalsBereite dich auf die Microsoft SC-900 Zertifizierungsprüfung vor. Teste dein Wissen zu Security, Compliance und Identity. Quiz starten

Kurse, die BSI IT-Grundschutz behandeln

Häufige Fragen

Muss ich wirklich alle Bausteine umsetzen?

Nein, nur die, die durch die Modellierung auf deine Objekte zutreffen, und auch die je nach gewähltem Vorgehen in unterschiedlicher Tiefe. Bei der Basis-Absicherung beginnst du mit den Basis-Anforderungen über die ganze Breite.

Ist der IT-Grundschutz nur etwas für Behörden?

Er stammt aus dem Behördenumfeld und ist dort verbreitet, die Methodik ist aber unabhängig von der Rechtsform. Für Unternehmen ist vor allem interessant, dass die Bausteine fertige Anforderungen liefern, statt jede Maßnahme selbst herzuleiten.

Womit fange ich an?

Mit dem Geltungsbereich, also der Entscheidung, welcher Teil der Organisation betrachtet wird, und mit der Strukturanalyse. Erst danach lohnt der Blick ins Kompendium, sonst sammelst du Anforderungen ohne Bezug zu deinen Objekten.

Quellen

Persönlich für dich da