BSI IT-Grundschutz: Bausteine, Vorgehen und Zertifizierung einfach erklärt

Was ist der BSI IT-Grundschutz?

Der IT-Grundschutz ist der bekannteste IT-Sicherheitsstandard aus Deutschland. Herausgeber ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Grundidee stammt aus den 1990er-Jahren: Viele Organisationen haben ähnliche Systeme und ähnliche Risiken. Also kann man für typische Bereiche fertige Schutzanforderungen beschreiben.

Das spart Arbeit. Statt jedes Risiko einzeln zu analysieren, prüft eine Organisation, welche Bausteine auf sie zutreffen, und setzt deren Anforderungen um. Nur für besonders schutzbedürftige Bereiche folgt eine eigene Risikoanalyse.

Der IT-Grundschutz deckt nicht nur Technik ab. Er umfasst auch Organisation, Personal und Gebäude. Auf ihm lässt sich ein vollständiges ISMS aufbauen.

Die Bestandteile

Die BSI-Standards 200-1 bis 200-4

• BSI-Standard 200-1: Anforderungen an ein Managementsystem für Informationssicherheit.
• BSI-Standard 200-2: die IT-Grundschutz-Methodik, also das eigentliche Vorgehen.
• BSI-Standard 200-3: Risikoanalyse auf Basis von IT-Grundschutz.
• BSI-Standard 200-4: Business Continuity Management, also die Vorsorge für Notfälle und Krisen.

Das IT-Grundschutz-Kompendium

Das Kompendium ist die Sammlung aller Bausteine. Jeder Baustein behandelt ein Thema, beschreibt die typischen Gefährdungen und nennt die Anforderungen. Die Anforderungen sind in drei Stufen geordnet: Basis, Standard und erhöhter Schutzbedarf.

Grundlage sind 47 elementare Gefährdungen, etwa Feuer, Schadprogramme, Diebstahl oder Fehlbedienung. Die Bausteine verweisen auf diese Gefährdungen.

IT-Grundschutz-Profile

Profile sind Vorlagen für bestimmte Branchen oder Einsatzbereiche, etwa für Kommunen oder Hochschulen. Sie zeigen, welche Bausteine dort typischerweise gelten. Das erleichtert den Einstieg.

Die Bausteine im Überblick

Die Bausteine sind in Schichten geordnet. Jede Schicht hat ein Kürzel:

• ISMS: das Sicherheitsmanagement selbst.
• ORP: Organisation und Personal, etwa Identitäts- und Berechtigungsmanagement.
• CON: Konzepte und Vorgehensweisen, etwa Kryptokonzept oder Datenschutz.
• OPS: Betrieb, etwa Patch- und Änderungsmanagement.
• DER: Detektion und Reaktion, etwa Behandlung von Sicherheitsvorfällen.
• APP: Anwendungen, etwa Webanwendungen oder Active Directory.
• SYS: IT-Systeme wie Server, Clients und Smartphones.
• IND: industrielle IT, etwa Steuerungen in der Produktion.
• NET: Netze und Kommunikation.
• INF: Infrastruktur wie Gebäude, Serverräume und Arbeitsplätze.

Ein Beispiel: Der Baustein OPS.1.1.3 regelt das Patch- und Änderungsmanagement. Er verlangt unter anderem, dass Sicherheitsupdates geplant, getestet und zeitnah eingespielt werden.

Drei Wege der Absicherung

• Basis-Absicherung: der Einstieg. Alle Bereiche werden mit den wichtigsten Basis-Anforderungen geschützt. Gut für kleinere Organisationen oder als erster Schritt.
• Kern-Absicherung: Die wertvollsten Bereiche, die sogenannten Kronjuwelen, werden zuerst besonders gut geschützt.
• Standard-Absicherung: der vollständige Weg. Alle Bereiche werden umfassend geschützt. Sie ist die Grundlage für eine Zertifizierung.

Das Vorgehen in sieben Schritten

Die Standard-Absicherung folgt einem festen Ablauf:

1. Strukturanalyse: Welche Geschäftsprozesse, Anwendungen, Systeme, Netze und Räume gibt es?
2. Schutzbedarfsfeststellung: Wie schlimm wäre ein Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit? Die Stufen sind normal, hoch und sehr hoch.
3. Modellierung: Welche Bausteine passen auf welche Teile der Organisation?
4. IT-Grundschutz-Check: Welche Anforderungen sind schon erfüllt, welche nicht?
5. Risikoanalyse: Für Bereiche mit hohem Schutzbedarf oder ohne passenden Baustein folgt eine eigene Analyse nach BSI-Standard 200-3.
6. Umsetzungsplanung: Fehlende Maßnahmen werden priorisiert und mit Verantwortlichen und Fristen geplant.
7. Umsetzung und Verbesserung: Die Maßnahmen werden umgesetzt und regelmäßig geprüft.

IT-Grundschutz und ISO 27001

ISO 27001 ist eine internationale Norm. Sie legt fest, was ein ISMS leisten muss, beschreibt aber nicht im Detail, wie. Der IT-Grundschutz ist deutlich konkreter. Er nennt für einzelne Systeme genau, was zu tun ist.

Beide lassen sich verbinden. Das BSI vergibt eine eigene Zertifizierung: ISO 27001 auf der Basis von IT-Grundschutz. Die Prüfung übernehmen vom BSI zertifizierte Auditoren. Grundlage ist die Standard-Absicherung.

Welcher Weg passt, hängt vom Ziel ab. International tätige Unternehmen wählen oft die reine ISO 27001. Behörden, Kommunen und Organisationen mit Bezug zur öffentlichen Hand setzen häufig auf den IT-Grundschutz.

Wer den IT-Grundschutz nutzt

• Bundesbehörden: Für sie ist der IT-Grundschutz weitgehend vorgeschrieben.
• Länder und Kommunen: Viele nutzen ihn als Grundlage ihrer Informationssicherheit.
• Kritische Infrastrukturen: Betreiber nutzen ihn, um gesetzliche Anforderungen zu belegen.
• Unternehmen: Gerade Zulieferer der öffentlichen Hand und Mittelständler schätzen die konkreten Vorgaben.

Auch bei der NIS-2-Richtlinie hilft der IT-Grundschutz. Viele der geforderten Maßnahmen finden sich direkt in den Bausteinen wieder.

Vorteile und Herausforderungen

Vorteile:

• Konkret: Fertige Anforderungen statt leerer Rahmen.
• Kostenlos: Alle Standards und das Kompendium stehen frei beim BSI zur Verfügung.
• Anerkannt: Behörden, Prüfer und viele Kunden kennen und akzeptieren den Standard.
• Stufenweise: Mit der Basis-Absicherung ist ein kleiner Einstieg möglich.

Herausforderungen:

• Umfang: Das Kompendium ist sehr umfangreich. Ohne Werkzeug verliert man schnell den Überblick.
• Dokumentation: Jede Anforderung muss geprüft und ihr Status festgehalten werden.
• Neue Fassungen: Bausteine werden überarbeitet. Das BSI arbeitet derzeit an einer modernisierten Form des IT-Grundschutzes unter dem Namen Grundschutz++.

Software-Unterstützung

Für die Umsetzung helfen spezialisierte Werkzeuge. In SecTepe.Core wählen Sie für jedes Risiko ISO 27005 oder BSI 200-3 als Methode. Bei BSI 200-3 verknüpfen Sie eine Gefährdung aus dem BSI-Katalog und legen den Schutzbedarf fest. Neue Fassungen des IT-Grundschutzes erkennt Core im Framework-Change-Management und zeigt, welche Kontrollen betroffen sind.

Fazit

Der BSI IT-Grundschutz ist ein praxisnaher Baukasten für Informationssicherheit. Die Standards 200-1 bis 200-4 beschreiben das Vorgehen, das Kompendium liefert die konkreten Anforderungen. Wer mit der Basis-Absicherung beginnt und sich Schritt für Schritt zur Standard-Absicherung vorarbeitet, schafft eine solide Grundlage, auch für ISO 27001 und NIS-2.