IT-Grundschutz: Das BSI-Vorgehensmodell für strukturierte Sicherheit

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik ist ein Vorgehensmodell für den Aufbau eines Informationssicherheitsmanagements. Er kombiniert eine methodische Anleitung mit einem Katalog konkreter Anforderungen. Für mittelständische Unternehmen ist er weniger als Zertifizierungsziel interessant denn als strukturierte Arbeitsgrundlage.

Aufbau des Modells

Der IT-Grundschutz besteht aus zwei Teilen. Die BSI-Standards der Reihe 200 beschreiben das Vorgehen: Standard 200-1 definiert allgemeine Anforderungen an ein Managementsystem für Informationssicherheit, 200-2 beschreibt die Grundschutz-Methodik, 200-3 das Vorgehen bei der Risikoanalyse und 200-4 den Aufbau eines Business Continuity Managements. Ergänzend liefert das IT-Grundschutz-Kompendium thematisch geordnete Bausteine mit konkreten Anforderungen, etwa zu Netzarchitektur, Serverbetrieb, Cloud-Nutzung, Personal oder Notfallvorsorge.

Der methodische Kern ist die Idee, für typische Einsatzszenarien vorab geprüfte Standardanforderungen bereitzustellen. Statt für jedes System eine vollständige Risikoanalyse durchzuführen, ordnen Sie den Systemen passende Bausteine zu und arbeiten deren Anforderungen ab. Eine ergänzende Risikoanalyse ist dort vorgesehen, wo der Schutzbedarf über das Übliche hinausgeht oder kein passender Baustein existiert.

Das Vorgehen in der Praxis

Der Ablauf ist in der Methodik klar geordnet und folgt im Wesentlichen diesen Schritten:

• Festlegung des Geltungsbereichs: Welche Standorte, Prozesse und Systeme werden betrachtet.
• Strukturanalyse: Erfassung von Geschäftsprozessen, Anwendungen, IT-Systemen, Netzen und Räumen.
• Schutzbedarfsfeststellung: Einstufung nach Vertraulichkeit, Integrität und Verfügbarkeit, abgeleitet aus möglichen Schadensfolgen.
• Modellierung: Zuordnung der passenden Bausteine des Kompendiums zu den erfassten Objekten.
• Soll-Ist-Vergleich: Prüfung, welche Anforderungen bereits erfüllt sind.
• Umsetzungsplanung: Priorisierung, Zuständigkeiten, Termine und Budget für die verbleibenden Lücken.

Das BSI sieht dabei abgestufte Vorgehensweisen vor. Die Basis-Absicherung setzt zunächst nur die Basis-Anforderungen breit um, die Kern-Absicherung konzentriert sich auf besonders schützenswerte Bereiche, die Standard-Absicherung ist der vollständige Weg und Voraussetzung für eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz.

Warum das für mittelständische Unternehmen nützlich ist

Der praktische Wert liegt in der Konkretheit. Wo allgemeine Sicherheitsnormen Ziele formulieren, benennen die Bausteine nachvollziehbare Anforderungen. Das erspart die Diskussion darüber, was ein angemessenes Maß ist, und liefert eine belastbare Grundlage für Budgetentscheidungen. Für Unternehmen ohne eigene Sicherheitsabteilung ist das eine erhebliche Erleichterung.

Besonders hilfreich sind im Mittelstand erfahrungsgemäß die Bausteine zu:

• Netzarchitektur und -management sowie Absicherung von Übergängen
• Server- und Clientbetrieb einschließlich Patch- und Änderungsmanagement
• Datensicherungskonzept und Wiederanlauf
• Identitäts- und Berechtigungsmanagement
• Nutzung von Cloud-Diensten und Auslagerung an Dienstleister
• Personal, Sensibilisierung und Umgang mit Ausscheiden von Beschäftigten

Hinzu kommt die Anschlussfähigkeit. Kunden aus dem öffentlichen Sektor, aus regulierten Branchen oder größere Auftraggeber fragen zunehmend nach nachweisbaren Sicherheitsmaßnahmen. Eine Dokumentation, die sich an IT-Grundschutz orientiert, lässt sich gegenüber solchen Anfragen deutlich einfacher belegen als eine informelle Sammlung von Maßnahmen. Ob daraus eine formale Zertifizierung werden soll, ist eine eigene, wirtschaftlich zu treffende Entscheidung.

Aufwand realistisch einschätzen

Der vollständige Weg ist dokumentationsintensiv und für kleine Organisationen selten das erste Ziel. Sinnvoll ist meist der Einstieg über die Basis-Absicherung mit einem eng gefassten Geltungsbereich, der schrittweise erweitert wird. Wichtig ist, dass die Ergebnisse gepflegt werden: Eine Strukturanalyse, die nach zwei Jahren nicht mehr der Realität entspricht, ist wertlos. Benennen Sie eine verantwortliche Person, planen Sie feste Überprüfungstermine und halten Sie den Umfang der Dokumentation so knapp wie möglich.

Rechtliche Anforderungen aus Datenschutz oder branchenspezifischen Regelungen werden durch IT-Grundschutz unterstützt, aber nicht ersetzt. Für die Bewertung konkreter rechtlicher Pflichten ist qualifizierte rechtliche Beratung erforderlich.

Typische Fehler

Ein verbreiteter Fehler ist der zu groß gewählte Geltungsbereich zu Beginn, der das Vorhaben unter der eigenen Dokumentationslast zum Stillstand bringt. Ebenso häufig wird die Schutzbedarfsfeststellung pauschal auf "hoch" gesetzt, wodurch die anschließende Priorisierung ihren Nutzen verliert. Problematisch ist außerdem, den IT-Grundschutz als reines Dokumentationsprojekt zu behandeln, dessen Ergebnisse nach Abschluss in einem Ordner verschwinden. Und schließlich: ohne Rückhalt der Geschäftsführung sind die organisatorischen Anforderungen, etwa zu Zuständigkeiten und Schulungen, praktisch nicht durchsetzbar.

• Der IT-Grundschutz verbindet ein Vorgehensmodell (BSI-Standards 200-x) mit konkreten Bausteinen im Kompendium.
• Standardanforderungen ersetzen für übliche Schutzbedarfe die vollständige Einzelrisikoanalyse.
• Basis-, Kern- und Standard-Absicherung erlauben einen abgestuften Einstieg.
• Der Geltungsbereich sollte klein starten und kontrolliert wachsen.
• Die Ergebnisse müssen gepflegt werden, sonst verlieren sie ihren Wert.