Der ganzheitliche Ansatz des IT-Grundschutz
Erfahren Sie, warum ganzheitliche Informationssicherheit nach BSI mehr als nur Technik umfasst. Der IT-Grundschutz betrachtet auch Organisation, Personal und Infrastruktur.
Informationssicherheit ist mehr als nur die Absicherung Ihrer IT-Systeme. Für einen wirksamen Schutz müssen Sie das gesamte Unternehmen in den Blick nehmen. Der IT-Grundschutz des BSI verfolgt deshalb den Ansatz der ganzheitlichen Informationssicherheit, der neben der Technik auch die Organisation, das Personal und die Infrastruktur berücksichtigt.
Nutzen: Sie bauen eine widerstandsfähige Sicherheitsarchitektur auf, die auch gegen nicht-technische Bedrohungen wie menschliches Fehlverhalten oder physische Gefahren (z. B. Feuer, Wasserschaden) schützt. Dieser umfassende Blick deckt Schwachstellen auf, die eine rein technische Betrachtung übersieht.
Risiko: Wenn Sie sich nur auf Firewalls und Virenscanner verlassen, bleiben erhebliche Sicherheitslücken bestehen. Ein ungeschulter Mitarbeiter kann durch einen Klick auf einen Phishing-Link teure Technik unwirksam machen. Ein fehlendes Zutrittskonzept für den Serverraum gefährdet Ihre Daten ebenso wie ein Hackerangriff.
Nächster Schritt: Bewerten Sie, welche nicht-technischen Risiken in Ihrem Unternehmen bestehen. Gibt es klare Regeln für den Umgang mit Passwörtern? Sind Ihre Mitarbeiter für aktuelle Betrugsmaschen sensibilisiert? Ist der Serverraum ausreichend gegen unbefugten Zutritt und Feuer geschützt?
Der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) basiert auf einem zentralen Prinzip: Informationssicherheit ist eine Aufgabe, die das gesamte Unternehmen durchdringt. Eine rein technische Absicherung ist unzureichend, da viele Risiken in organisatorischen, personellen oder infrastrukturellen Schwachstellen liegen. Dieser umfassende Blick wird als ganzheitlicher Ansatz bezeichnet.
Was bedeutet ganzheitliche Informationssicherheit?
Ganzheitliche Informationssicherheit bedeutet, dass zum Schutz von Informationen alle relevanten Bereiche eines Unternehmens betrachtet und abgesichert werden. Das BSI fasst diese Bereiche in vier Säulen zusammen, die oft mit dem Akronym TOPI (Technik, Organisation, Personal, Infrastruktur) beschrieben werden:
- Technik: Dies ist der klassische Bereich der IT-Sicherheit. Er umfasst alle informationstechnischen Systeme wie Server, Clients, Netzwerkkomponenten, Firewalls, Software und Cloud-Dienste.
- Organisation: Hier geht es um die Prozesse, Regeln und Verantwortlichkeiten, die die Informationssicherheit steuern. Dazu gehören Sicherheitsrichtlinien, ein Notfallmanagement, die Vergabe von Berechtigungen und die Steuerung von Dienstleistern.
- Personal: Der Mensch ist oft ein entscheidender Faktor. Diese Säule befasst sich mit der Sensibilisierung und Schulung von Mitarbeitenden, dem sicheren Umgang mit Informationen, Regelungen für das Homeoffice sowie den Prozessen bei der Einstellung und dem Austritt von Personal.
- Infrastruktur: Dieser Bereich deckt die physische Umgebung der IT ab. Dazu gehören die Sicherheit von Gebäuden und Räumen (z. B. Zutrittskontrolle zum Serverraum), die Stromversorgung, die Klimatisierung und der Schutz vor physischen Gefahren wie Feuer oder Wasser.
Dieser Ansatz stellt sicher, dass Sicherheitsmaßnahmen aufeinander abgestimmt sind und keine Lücken entstehen. bsi.bund.de
Die vier Säulen im IT-Grundschutz-Kompendium
Das IT-Grundschutz-Kompendium spiegelt diesen ganzheitlichen Ansatz wider. Die IT-Grundschutz-Bausteine sind in Schichten und Prozessbausteine gegliedert, die sich klar den vier Säulen zuordnen lassen. Jeder Baustein enthält konkrete Sicherheitsanforderungen.
Einige Beispiele aus dem IT-Grundschutz-Kompendium (Edition 2023):
Technik (Schichten SYS, NET, ANW):
SYS.1.1 Allgemeiner Server: Anforderungen an die Absicherung von Server-Betriebssystemen.NET.3.2 Firewall: Regelungen für den Betrieb und die Konfiguration von Firewalls.ANW.4.3 Allgemeiner Verzeichnisdienst: Sicherheitsanforderungen für Dienste wie Active Directory.
Organisation (Schicht ORP, ISMS):
ORP.1 Organisation der Informationssicherheit: Legt die grundlegenden Rollen und Verantwortlichkeiten fest.ORP.4 Identitäts- und Berechtigungsmanagement: Stellt die Basis für die Verwaltung von Benutzerkonten und Zugriffsrechten dar.CON.1 Notfallmanagement: Definiert den Umgang mit Krisen und Sicherheitsvorfällen.
Personal (Schicht ORP):
ORP.2 Personal: Behandelt sicherheitsrelevante Aspekte von der Einstellung bis zum Austritt von Mitarbeitenden.ORP.3 Sensibilisierung und Schulung zur Informationssicherheit: Fordert regelmäßige Schulungen, um das Sicherheitsbewusstsein zu stärken.
Infrastruktur (Schicht INF):
INF.1 Allgemeines Gebäude: Anforderungen an die physische Sicherheit des Standorts.INF.2 Rechenzentrum und Serverraum: Spezifische Anforderungen an den Schutz kritischer Räume.INF.8 Häuslicher Arbeitsplatz: Berücksichtigt die besonderen Gegebenheiten bei der Arbeit von zu Hause. bsi.bund.de
Integration in die IT-Grundschutz-Methodik
Der ganzheitliche Ansatz ist kein theoretisches Konstrukt, sondern wird in der Vorgehensweise nach IT-Grundschutz konsequent umgesetzt. Bereits im ersten Schritt, der Strukturanalyse, werden nicht nur IT-Systeme erfasst, sondern alle relevanten „Zielobjekte“ des Informationsverbunds, also auch Gebäude, Räume, Organisationseinheiten und die wichtigsten Geschäftsprozesse.
Bei der anschließenden Schutzbedarfsfeststellung wird bewertet, wie kritisch der Ausfall, die Kompromittierung oder der Verlust von Informationen für die Geschäftsprozesse wäre. Dieser Schutzbedarf wird dann auf die unterstützenden Zielobjekte – seien es Server, Anwendungen oder der Raum, in dem sie stehen – vererbt.
In der Modellierung werden den erfassten Zielobjekten die passenden Bausteine aus dem IT-Grundschutz-Kompendium zugeordnet. Einem Serverraum werden beispielsweise nicht nur technische, sondern auch infrastrukturelle (INF.2) und organisatorische (ORP.4 für die Zutrittsberechtigungen) Bausteine zugewiesen. So entsteht ein umfassendes Bild der notwendigen Sicherheitsmaßnahmen.
Der große Vorteil dieser Vorgehensweise für kleine und mittlere Unternehmen ist die Effizienz: Für Zielobjekte mit normalem Schutzbedarf entfällt eine aufwendige, eigene Risikoanalyse. Stattdessen können Sie direkt die bewährten Standard-Sicherheitsanforderungen des BSI umsetzen. bsi.bund.de
Häufige Fragen
Was sind die vier Säulen der ganzheitlichen Informationssicherheit nach BSI?
Die vier Säulen sind Technik (IT-Systeme, Software), Organisation (Prozesse, Richtlinien), Personal (Mitarbeiter, Schulungen) und Infrastruktur (Gebäude, Räume, Stromversorgung).
Warum reicht eine gute technische Absicherung allein nicht aus?
Weil viele Bedrohungen nicht technischer Natur sind. Menschliches Fehlverhalten, mangelnde Organisation oder physische Gefahren wie Feuer und Diebstahl können technische Schutzmaßnahmen umgehen oder wirkungslos machen.
Ist ein ganzheitlicher Ansatz nicht zu aufwendig für ein kleines Unternehmen?
Nein. Der IT-Grundschutz bietet mit der Basis-Absicherung einen vereinfachten Einstieg, der speziell auf die Bedürfnisse von KMU zugeschnitten ist. Er konzentriert sich auf die wichtigsten und grundlegendsten Anforderungen aus allen vier Bereichen.
Wo fange ich an, den ganzheitlichen Ansatz umzusetzen?
Ein guter Startpunkt ist eine Bestandsaufnahme (Strukturanalyse). Erfassen Sie nicht nur Ihre IT-Systeme, sondern auch Ihre wichtigsten Geschäftsprozesse, die dafür verantwortlichen Personen und die Räumlichkeiten, in denen die IT betrieben wird.