Basis-Absicherung für kleine Unternehmen
Basis-Absicherung nach BSI für kleine Unternehmen: was dazugehört, in welcher Reihenfolge Sie vorgehen und welche Hilfen es vom BSI gibt.
Die Basis-Absicherung ist der Einstieg in den IT-Grundschutz für kleine Unternehmen. Sie konzentriert sich auf die Maßnahmen, die gegen die häufigsten Angriffe und Pannen am meisten bringen, und lässt den großen Aufwand einer vollständigen Sicherheitsanalyse zunächst weg.
Was dazugehört
- Jemand ist verantwortlich und hat Zeit dafür.
- Alle Geräte und Programme sind bekannt und werden aktuell gehalten.
- Daten werden regelmäßig gesichert, und die Wiederherstellung wird ausprobiert.
- Zugänge sind mit starken Passwörtern und, wo möglich, einem zweiten Faktor geschützt.
- Mitarbeitende wissen, wie sie verdächtige E-Mails erkennen und wem sie einen Vorfall melden.
Wie lange dauert das?
Das hängt vom Ausgangspunkt ab. Viele Punkte lassen sich in wenigen Wochen umsetzen, wenn Zuständigkeit und Reihenfolge klar sind. Wichtiger als Tempo ist, dass die Maßnahmen danach dauerhaft gelebt und regelmäßig überprüft werden.
Der nächste Schritt
Das BSI bietet mit dem Leitfaden «Weg in die Basis-Absicherung» (WiBA) kostenlose Checklisten an. Damit sehen Sie schnell, wo Ihr Betrieb steht und welche Lücken zuerst geschlossen werden sollten.
Einordnung
Die Basis-Absicherung ist eine der drei Absicherungsvarianten aus BSI-Standard 200-2, neben Kern- und Standard-Absicherung. Sie verlangt die Umsetzung der Basis-Anforderungen der relevanten Bausteine für den gesamten Informationsverbund. Auf eine Schutzbedarfsfeststellung und eine Risikoanalyse wird zunächst verzichtet. Damit eignet sie sich für Organisationen, die schnell ein solides Grundniveau erreichen wollen, und als erster Schritt zur Kern- oder Standard-Absicherung.
Basis-Anforderungen sind im IT-Grundschutz-Kompendium mit «MUSS» formuliert. Sie haben Vorrang, weil sie mit vergleichsweise wenig Aufwand viel Schutz bringen. Standard-Anforderungen («SOLLTE») und Anforderungen bei erhöhtem Schutzbedarf kommen erst in den weiterführenden Varianten hinzu.
Vorgehen in Schritten
Initiierung
Die Leitung übernimmt die Gesamtverantwortung für die Informationssicherheit, benennt eine verantwortliche Person (Informationssicherheitsbeauftragte oder -beauftragter) und stellt Zeit und Budget bereit. Eine kurze Leitlinie zur Informationssicherheit hält Ziele und Zuständigkeiten fest. In kleinen Betrieben genügt dafür eine Seite.
Geltungsbereich festlegen
Festgelegt wird, welcher Bereich abgesichert wird. Für kleine Betriebe ist das meist der gesamte Betrieb. Wichtig ist eine klare Grenze, zum Beispiel ob ein externes Rechenzentrum oder Cloud-Dienste dazugehören und wer dort welche Aufgaben übernimmt.
Zielobjekte erfassen
Erfasst werden die Geschäftsprozesse und die Zielobjekte, die sie unterstützen: Anwendungen, IT-Systeme, Räume, Netzverbindungen und Dienstleister. Ein einfaches Verzeichnis genügt. Es wird später für Updates, Datensicherung und den Notfall gebraucht.
Modellierung
Den Zielobjekten werden passende Bausteine aus dem Kompendium zugeordnet, zum Beispiel SYS.2.1 für Clients, APP.5.3 für E-Mail-Clients oder CON.3 für das Datensicherungskonzept. Prozess-Bausteine wie ISMS.1, ORP.4 (Identitäts- und Berechtigungsmanagement) oder OPS.1.1.3 (Patch- und Änderungsmanagement) gelten meist für den gesamten Betrieb.
IT-Grundschutz-Check
Für jede Basis-Anforderung wird geprüft und dokumentiert, ob sie umgesetzt ist: ja, teilweise, nein oder entbehrlich. Entbehrliche Anforderungen werden begründet, etwa wenn ein Dienst gar nicht genutzt wird. Das Ergebnis ist eine Liste offener Punkte.
Umsetzung
Offene Punkte werden nach Wirkung und Aufwand priorisiert, mit Zuständigkeit und Termin versehen und umgesetzt. Bewährt hat sich, mit Datensicherung, Updates, Zugängen und Schulung zu beginnen, weil diese Maßnahmen die häufigsten Schadensfälle verhindern.
Aufrechterhaltung
Informationssicherheit ist kein Projekt mit Enddatum. Mindestens einmal im Jahr wird geprüft, ob die Maßnahmen noch wirken, ob neue Systeme hinzugekommen sind und ob sich die Bedrohungslage geändert hat. Später kann auf Kern- oder Standard-Absicherung erweitert werden.
Hilfen für kleine Organisationen
- WiBA: Der BSI-Leitfaden «Weg in die Basis-Absicherung» übersetzt die wichtigsten Anforderungen in Prüffragen nach Themen, ohne dass das ganze Kompendium gelesen werden muss.
- DIN SPEC 27076: Der CyberRisikoCheck ist ein standardisiertes Gespräch mit Bericht und Maßnahmenempfehlungen, speziell für kleine Unternehmen.
Typische Stolpersteine
- Datensicherung vorhanden, aber nie wiederhergestellt.
- Administratorrechte im Arbeitsalltag.
- Fehlende Übersicht über Cloud-Dienste und private Geräte.
- Maßnahmen umgesetzt, aber nicht dokumentiert, sodass sie bei Personalwechsel verloren gehen.
- Verantwortung «nebenbei» ohne eingeplante Zeit.
Häufige Fragen
Reicht die Basis-Absicherung für eine Zertifizierung?
Nein. Für eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz ist die Standard-Absicherung nötig. Die Basis-Absicherung ist ein sinnvoller erster Schritt dorthin.
Brauche ich dafür einen externen Berater?
Nicht zwingend. Mit den BSI-Checklisten können Betriebe selbst starten. Externe Hilfe lohnt sich, wenn intern Zeit oder Fachwissen fehlen.