Grundschutz++ Detektion: Angriffe und Schwachstellen erkennen (DET)
Grundschutz++ Detektion: was die Praktik DET zu Meldeverfahren, Protokollierung, Überwachung, Schwachstellen- und Patchmanagement verlangt und wie Sie beginnen.
Bei der Grundschutz++ Detektion geht es darum, Angriffe und Sicherheitslücken rechtzeitig zu bemerken. Die Praktik «Detektion» (Kürzel DET) im neuen IT-Grundschutz des BSI beschreibt, wie verdächtige Ereignisse gemeldet, aufgezeichnet, überwacht und bewertet werden und wie Schwachstellen und fehlende Updates gefunden werden.
Warum das wichtig ist
Angreifer sind oft Tage oder Wochen im Netz, bevor sie zuschlagen. Wer ungewöhnliche Anmeldungen, abgeschaltete Virenscanner oder auffälligen Datenverkehr bemerkt, kann eingreifen, bevor Daten verschlüsselt oder abgeflossen sind. Ebenso wichtig ist es, bekannte Sicherheitslücken schnell zu schließen.
Was verbindlich ist
Verpflichtend ist ein festgelegtes Vorgehen zur Erkennung von Sicherheitsvorfällen, das aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft wird. Empfohlen sind unter anderem ein Meldeweg für Beschäftigte, die Aufzeichnung sicherheitsrelevanter Ereignisse wie Anmeldungen, eine automatische Angriffserkennung, eine Liste bekannter Schwachstellen und ein zeitnahes Einspielen von Updates.
Der erste Schritt
Klären Sie zwei Fragen: Wem melden Beschäftigte einen Verdacht, und wie schnell reagiert diese Person? Und wer prüft, ob alle Geräte ihre Sicherheitsupdates erhalten haben? Wenn darauf niemand eine klare Antwort hat, ist hier der dringendste Handlungsbedarf.
Die Praktik «Detektion» (DET) deckt im Anwenderkatalog Grundschutz++ das Erkennen sicherheitsrelevanter Ereignisse ab. Sie umfasst die Protokollierung und das Schwachstellen- und Patchmanagement. Die Darstellung der Grundschutz++ Detektion folgt dem Katalogstand vom 22. Oktober 2026.
Ziel der Praktik
Laut Katalog sorgt DET dafür, «dass sicherheitsrelevante Ereignisse rechtzeitig erkannt werden». Organisatorische, personelle und technische Maßnahmen werden dafür im Vorfeld geplant, implementiert und regelmäßig geübt. Der Katalog betont, dass erfolgreiche Detektion eine umfassende Protokollierung voraussetzt.
Die Abgrenzung ist ausdrücklich: DET regelt nicht den Umgang mit Ereignissen nach ihrer Erkennung. Das ist Aufgabe der Praktik Sicherheitsvorfallsbehandlung (REA).
Aufbau: sechs Gruppen, 82 Anforderungen
| Gruppe | Inhalt |
|---|---|
| DET.1 Grundlagen | Verfahren und Regelungen zur Detektion, Zuständigkeiten, Überprüfung |
| DET.2 Meldung von Ereignissen | Meldeverfahren, Sofortmaßnahmen durch Nutzende, Meldeformulare, Rückmeldungen; bei erhöhter Stufe SOC und ständiger Bereitschaftsdienst |
| DET.3 Protokollierung | zu protokollierende Ereignisse (Authentifizierungen, Kommandozeilenbefehle, Peripherie, Fehler, privilegierte Ereignisse), Mindestinhalt, Speicherkapazität, Revisionssicherheit |
| DET.4 Überwachung von Aktivitäten | Funktionsfähigkeit der Protokollierung, automatische Angriffserkennung, Anomalien im Netz, Verfügbarkeit und Auslastung; bei erhöhter Stufe Datenabfluss, Verhaltensanalyse, Honeypots, Zertifikats- und Domainüberwachung |
| DET.5 Management von Schwachstellen | Schwachstellenmanagement, Schwachstellenregister, Scans, Bedrohungsanalyse, externe Meldungen, zeitnahes Patchmanagement; bei erhöhter Stufe Penetrationstests, Red Teaming, Threat Hunting |
| DET.6 Vorfallserkennung | Beurteilung von Ereignissen anhand von Kriterien, automatische Alarmierung, Beurteilung von Datei-Eingängen |
Die verbindlichen MUSS-Anforderungen
DET.1.1 «Detektion MUSS Verfahren und Regelungen zur Detektion von Sicherheitsvorfällen verankern.»
DET.1.1.1 «Detektion MUSS die Verfahren und Regelungen dokumentieren.»
DET.1.1.2 «Detektion MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»
DET.1.1.3 «Detektion MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»
DET.1.2 «Detektion MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»
Wichtige SOLLTE-Anforderungen
SOLLTE bedeutet nach der BSI-Definition, dass eine Anforderung normalerweise erfüllt werden muss; Abweichungen sind sorgfältig abzuwägen und stichhaltig zu begründen.
DET.2.1 «Detektion SOLLTE ein Meldeverfahren verankern.»
DET.2.1.1 «Detektion SOLLTE Regelungen für Sofortmaßnahmen durch Nutzende verankern.»
DET.3.1.1 «Detektion für IT-Systeme SOLLTE Authentifizierungen bei Erfolg und Fehlschlag protokollieren.»
DET.3.1.7 «Detektion für Anwendungen SOLLTE zu jedem sicherheitsrelevanten Ereignis mindestens Zeitpunkt, die Quelle und das Zielobjekt protokollieren.»
DET.4.1 «Detektion SOLLTE die Funktionsfähigkeit der Protokollierung überwachen.»
DET.4.2 «Detektion für IT-Systeme SOLLTE diese auf Anzeichen für Angriffe durch einen automatisierten Mechanismus überwachen.»
DET.5.2 «Detektion SOLLTE Schwachstellen bei Entdeckung inklusive betroffener Komponenten, Kritikalität und Status dokumentieren.»
DET.5.10 «Detektion SOLLTE ein zeitnahes Patchmanagement verankern.»
DET.6.1.2 «Detektion SOLLTE bei sicherheitskritischen Ereignissen eine Alarmierung von für die Vorfallsbehandlung zuständigen Personen oder Rollen durch einen automatisierten Mechanismus ausführen.»
Konkrete Fristen nennt der Katalog in diesen Anforderungen nicht. DET.3.1 spricht von einer Protokollierung «mindestens für eine bestimmte Frist», DET.5.10 von einem «zeitnahen» Patchmanagement. Die Werte legen Sie im Detektions-Konzept selbst fest und begründen sie.
Normale und erhöhte Sicherheitsstufe
42 Anforderungen gehören zur Standard-Sicherheitsstufe «normal-SdT» (5 MUSS, 37 SOLLTE), 40 zur Stufe «erhöht». Fast alle erhöhten Anforderungen sind als KANN formuliert, also nach BSI je nach Situation und Risikoanalyse sinnvoll. Eine Ausnahme ist DET.4.12.1:
DET.4.12.1 «Detektion für Netze SOLLTE die Auslastung des Netzes anhand von Schwellwerten überwachen.»
Diese Anforderung ist der erhöhten Stufe zugeordnet, aber als SOLLTE formuliert.
Beispiele für KANN-Anforderungen der erhöhten Stufe sind ein Security Operations Center und ein ständiger Bereitschaftsdienst (DET.2.2, DET.2.3), die Erkennung unerwünschter Datenabflüsse (DET.4.5), die Verhaltensanalyse von Zugangskonten (DET.4.6.1), Netzwerk-Honeypots (DET.4.11.2), regelmäßige Penetrationstests (DET.5.4), Red Teaming (DET.5.5), Threat Hunting (DET.5.6) und eine dynamische Sandbox-Analyse von Datei-Eingängen (DET.6.2.1).
Typische Nachweise
- Detektions-Konzept (58 Anforderungen): Meldeverfahren, was protokolliert und überwacht wird, Aufbewahrungsfristen, Kriterien zur Beurteilung, Alarmierung, Scans und Patchmanagement
- Audit Log (14): die Protokolle selbst, etwa Anmeldungen, privilegierte Ereignisse, Fehler
- Schwachstellenregister (3): erkannte Schwachstellen mit Komponente, Kritikalität und Status
- außerdem Arbeitsanweisungen (etwa zu Sofortmaßnahmen), IT-Betriebskonzept, Geschäftsverteilungsplan und Übungs- und Prüfplan
Betroffene Zielobjekte
Ausdrücklich genannt werden vor allem IT-Systeme (12 Anforderungen) und Anwendungen (11), daneben Netze, Daten, Webserver, Hostsysteme, Cloud-Dienste, Verzeichnisdienste, externe Netzanschlüsse, E-Mail und Räume. Die übrigen Anforderungen gelten für die Detektion insgesamt.
Bezug zum bisherigen IT-Grundschutz
Im Kompendium 2023 waren die Inhalte auf mehrere Bausteine verteilt, insbesondere DER.1 Detektion von sicherheitsrelevanten Ereignissen und OPS.1.1.5 Protokollierung. Der Mapping-Entwurf des BSI ordnet daneben auch Anforderungen aus SYS.1.1 Allgemeiner Server, DER.2.1 und weiteren Bausteinen der Praktik DET zu. Neu ist, dass Schwachstellen- und Patchmanagement gemeinsam mit der Detektion in einer Praktik stehen.
Grundschutz++ Detektion im kleinen Unternehmen
Ein eigenes Security Operations Center ist für einen kleinen Betrieb weder vorgesehen noch nötig; es gehört zur erhöhten Stufe. Die Standard-Stufe lässt sich schrittweise aufbauen:
- Meldeweg festlegen: eine Ansprechperson mit Vertretung, Telefonnummer und E-Mail-Adresse, dazu kurze Sofortmaßnahmen für Beschäftigte, etwa Netzwerkkabel ziehen, nichts löschen, sofort melden.
- Protokollierung einschalten: Anmeldungen an Servern, Verzeichnisdienst, Firewall und Cloud-Diensten aufzeichnen und prüfen, ob die Protokolle tatsächlich geschrieben werden (DET.4.1).
- Automatische Angriffserkennung nutzen: Viele Endpoint-Schutzlösungen und Cloud-Dienste bringen Erkennung und Alarmierung mit. Wichtig ist, dass die Alarme bei einer zuständigen Person ankommen (DET.6.1.2).
- Schwachstellenregister führen: eine Liste mit Komponente, Kritikalität und Status reicht für den Anfang. Quellen sind Herstellerhinweise, Warnmeldungen des BSI und Ergebnisse von Schwachstellenscans.
- Patchmanagement regeln: Zuständigkeit, Bezugsquellen (DET.5.10.1), automatische Überwachung von Systemupdates (DET.5.10.2) und eine selbst festgelegte, begründete Frist für kritische Updates.
- Dienstleister einbinden: Wenn ein IT-Dienstleister das Monitoring übernimmt, gehört der Umfang ins Detektions-Konzept und in den Vertrag.
Bei der Protokollierung von Nutzeraktivitäten sind Datenschutz und gegebenenfalls Mitbestimmungsrechte zu beachten.
Häufige Fragen
Wie lange müssen Protokolle aufbewahrt werden?
Der Katalog nennt in DET.3.1 keine feste Dauer, sondern verlangt die Protokollierung «mindestens für eine bestimmte Frist». Die Frist legen Sie im Detektions-Konzept fest und berücksichtigen dabei rechtliche Vorgaben und den Zweck der Auswertung.
Gehört das Patchmanagement wirklich zur Detektion?
Ja. Im Grundschutz++ stehen Schwachstellen- und Patchmanagement in der Gruppe DET.5 der Praktik Detektion. Die technische Einstellung automatischer Updates an den Systemen findet sich zusätzlich in der Praktik Konfiguration (Gruppe KONF.8).
Brauchen wir ein SIEM oder ein SOC?
Ein Security Operations Center (DET.2.2) gehört zur erhöhten Stufe und ist als KANN formuliert. In der Standard-Stufe empfiehlt der Katalog eine automatisierte Überwachung auf Anzeichen für Angriffe und eine automatische Alarmierung. Mit welchem Werkzeug Sie das umsetzen, gibt der Katalog nicht vor.
Was ist der Unterschied zwischen Detektion und Sicherheitsvorfallsbehandlung?
Die Detektion endet mit dem Erkennen und Beurteilen eines Ereignisses und der Alarmierung der Zuständigen. Was danach passiert, also Priorisierung, Analyse, Behandlung, Kommunikation und Nachbereitung, regelt die Praktik Sicherheitsvorfallsbehandlung (REA).
Quellen
- BSI: Grundschutz++
- BSI: Stand-der-Technik-Bibliothek auf GitHub (Anwenderkatalog Grundschutz++)
- BSI: Definition der Modalverben MUSS, SOLLTE, KANN (Stand-der-Technik-Bibliothek)
- BSI-Baustein DER.1 Detektion von sicherheitsrelevanten Ereignissen (Edition 2023)
- BSI-Baustein OPS.1.1.5 Protokollierung (Edition 2023)