Was ist der IT-Grundschutz des BSI?

Woraus der IT-Grundschutz besteht

Der IT-Grundschutz hat zwei Teile, die oft in einen Topf geworfen werden. Die BSI-Standards beantworten die Frage, wie du vorgehst. Das Kompendium beantwortet, was konkret umzusetzen ist. Zusammen ergeben sie eine Methode, bei der du nicht jede Maßnahme selbst herleiten musst, sondern für typische Komponenten auf fertig formulierte Anforderungen zurückgreifst.

Der Standard 200-1 ist so aufgebaut, dass er zu ISO/IEC 27001 passt. Deshalb lässt sich ein nach IT-Grundschutz aufgebautes Managementsystem später nach dieser Norm zertifizieren, ohne dass du zwei Systeme pflegen musst.

Die Bausteine und ihre zehn Schichten

Ein Baustein bündelt alles, was das BSI zu einem Thema für nötig hält, etwa zu Windows-Clients, zum Serverraum oder zur Datensicherung. Er beginnt mit einer Beschreibung und der typischen Gefährdungslage und listet danach die Anforderungen. Die Bausteine sind in zehn Schichten sortiert. Die ersten fünf sind Prozessbausteine, die übrigen fünf Systembausteine.

• ISMS: Sicherheitsmanagement

  Der Rahmen selbst, also Leitlinie, Rollen, Ressourcen und die regelmäßige Überprüfung.

• ORP: Organisation und Personal

  Regelungen für Zuständigkeiten, Personal, Sensibilisierung sowie Identitäts- und Berechtigungsmanagement.

• CON: Konzepte und Vorgehensweisen

  Querschnittsthemen wie Datensicherung, Kryptokonzept, Löschen und Vernichten oder Softwareentwicklung.

• OPS: Betrieb

  Der tägliche IT-Betrieb mit Administration, Patch- und Änderungsmanagement, Protokollierung und Outsourcing.

• DER: Detektion und Reaktion

  Sicherheitsvorfälle erkennen und behandeln, dazu Forensik, Audits und Notfallvorsorge.

• APP: Anwendungen

  Software vom Office-Produkt über Webanwendungen bis zum Verzeichnisdienst.

• SYS: IT-Systeme

  Server, Clients, Smartphones und andere Geräte samt ihren Betriebssystemen.

• IND: Industrielle IT

  Steuerungs- und Automatisierungstechnik in Produktion und Anlagen.

• NET: Netze und Kommunikation

  Netzarchitektur, Netzkomponenten, WLAN, VPN und Telekommunikation.

• INF: Infrastruktur

  Gebäude, Rechenzentrum, Serverraum, Büroarbeitsplatz und Verkabelung.

Jede Anforderung trägt eine Kennung nach dem Muster SYS.2.2.3.A1 und gehört zu einer von drei Stufen. Basis-Anforderungen sind mit MUSS formuliert und haben Vorrang. Standard-Anforderungen sind mit SOLLTE formuliert und beschreiben, was dem Stand der Technik entspricht. Anforderungen bei erhöhtem Schutzbedarf kommen nur dort dazu, wo die Schutzbedarfsfeststellung es verlangt.

Welche Bausteine für dich gelten, entscheidest du nicht nach Gefühl. In der Modellierung ordnest du jedem erfassten Objekt, also jedem Prozess, jeder Anwendung, jedem System, Netz und Raum, die passenden Bausteine zu.

Das Vorgehen Schritt für Schritt

Der Standard 200-2 beschreibt den Weg zu einem Sicherheitskonzept. Am vollständigsten ist die Standard-Absicherung, die neben der Kern-Absicherung für eine Zertifizierung infrage kommt. Sie läuft in diesen Schritten ab:

1. 1

   Initiierung

   Die Leitung übernimmt die Verantwortung, beschließt eine Leitlinie und legt den Geltungsbereich fest, den sogenannten Informationsverbund.

2. 2

   Strukturanalyse

   Du erfasst Geschäftsprozesse, Anwendungen, IT-Systeme, Netze und Räume und dokumentierst, was wovon abhängt.

3. 3

   Schutzbedarfsfeststellung

   Für jedes Objekt schätzt du ein, wie schwer ein Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit wiegen würde.

4. 4

   Modellierung

   Den Objekten werden die passenden Bausteine aus dem Kompendium zugeordnet.

5. 5

   IT-Grundschutz-Check

   Ein Soll-Ist-Vergleich: Für jede Anforderung hältst du fest, ob sie erfüllt, teilweise erfüllt, nicht erfüllt oder entbehrlich ist.

6. 6

   Risikoanalyse

   Für Objekte mit hohem oder sehr hohem Schutzbedarf und für Objekte ohne passenden Baustein folgt eine Analyse nach Standard 200-3.

7. 7

   Umsetzung

   Offene Anforderungen werden mit Verantwortlichen, Terminen und Budget eingeplant und abgearbeitet.

8. 8

   Aufrechterhaltung und Verbesserung

   Das Konzept wird regelmäßig überprüft, Vorfälle und Änderungen fließen zurück in die Planung.

Das Ergebnis dieser Schritte ist das Sicherheitskonzept nach BSI. Die beiden anderen Wege kürzen ab: Die Basis-Absicherung setzt zuerst nur die Basis-Anforderungen über den gesamten Verbund um und eignet sich als Einstieg. Die Kern-Absicherung schützt einige wenige, besonders wichtige Geschäftsprozesse vollständig, bevor der Rest folgt.

Schutzbedarf feststellen

Für jede Anwendung wird eingeschätzt, welchen Schaden ein Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit anrichten würde, üblicherweise in den Kategorien normal, hoch und sehr hoch. Damit das nicht beliebig wird, schätzt du entlang fester Schadensszenarien: Verstößt die Organisation gegen Gesetze oder Verträge, wird das informationelle Selbstbestimmungsrecht verletzt, leidet die Aufgabenerfüllung, entsteht ein finanzieller Schaden oder ein Ansehensverlust?

Anschließend vererbt sich der Schutzbedarf entlang der Abhängigkeiten auf die Systeme, Netze und Räume darunter. Grundsätzlich gilt das Maximumprinzip: Ein Server bekommt den höchsten Schutzbedarf der Anwendungen, die auf ihm laufen. Zwei Korrekturen sind vorgesehen. Beim Kumulationseffekt summieren sich viele kleine Schäden zu einem großen, beim Verteilungseffekt verteilt sich eine Anwendung auf mehrere Systeme, sodass der Ausfall eines einzelnen weniger schwer wiegt. Wo am Ende hoch oder sehr hoch steht, reicht die Standard-Absicherung allein nicht mehr, dort greift die Risikoanalyse.

Vom Grundschutzhandbuch zu Grundschutz++

Wer nach dem Grundschutzhandbuch oder den Grundschutz-Katalogen sucht, landet bei Vorgängern desselben Ansatzes. Das IT-Grundschutzhandbuch erschien in den 1990er-Jahren, 2005 wurden daraus die IT-Grundschutz-Kataloge. 2017 lösten die BSI-Standards der Reihe 200 die ältere Reihe 100 ab, und seit 2018 heißt die Sammlung der Anforderungen IT-Grundschutz-Kompendium. Gültig ist die Edition 2023.

Der nächste Umbau läuft unter dem Namen Grundschutz++. Statt Textbausteinen setzt das BSI dort auf ein maschinenlesbares Regelwerk, das sich direkt in Werkzeuge einlesen lässt und das Kompendium ablösen soll. Nach dem veröffentlichten Zeitplan des BSI wird die Methodik Ende Oktober 2026 vorgestellt, ab dem 1. Januar 2027 soll Grundschutz++ zertifizierbar sein, und Zertifizierungen nach dem bisherigen IT-Grundschutz bleiben bis zum 30. November 2031 möglich. Wer heute anfängt, verliert also nichts: Geltungsbereich, Inventar und klare Zuständigkeiten brauchst du in beiden Welten.

Zertifizierung: ISO 27001 auf Basis von IT-Grundschutz

Ein eigenes Zertifikat namens IT-Grundschutz gibt es nicht. Das BSI vergibt stattdessen ein ISO-27001-Zertifikat auf der Basis von IT-Grundschutz. Geprüft wird es von Auditoren, die das BSI dafür zertifiziert hat, und zwar auf Grundlage der Referenzdokumente aus Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check und Risikoanalyse.

Im Audit zählt nicht nur das Papier. Die Auditoren prüfen auch vor Ort, ob die beschriebenen Abläufe im Betrieb tatsächlich so gelebt werden. Zertifizierbar sind Standard- und Kern-Absicherung, die Basis-Absicherung nicht.