Grundschutz++ Gebäudemanagement: die Praktik GEB erklärt
Grundschutz++ Gebäudemanagement: was die Praktik GEB zu Zutritt, Serverraum, Strom, Brand- und Wasserschutz verlangt und wie kleine Betriebe anfangen.
Das Grundschutz++ Gebäudemanagement kümmert sich um den Schutz Ihrer IT vor ganz handfesten Gefahren: Einbruch, Diebstahl, Feuer, Wasser, Stromausfall oder Überhitzung. Die Praktik «Gebäudemanagement» (Kürzel GEB) im neuen IT-Grundschutz des BSI beschreibt, wie Gebäude und Räume gestaltet und betrieben werden sollten, in denen wichtige Informationen verarbeitet oder gespeichert werden.
Warum das wichtig ist
Die beste Firewall nützt nichts, wenn jemand den Server aus einem unverschlossenen Abstellraum trägt oder ein Wasserrohr über dem Technikschrank platzt. Auch ein Bürodrucker im Flur, an dem vertrauliche Ausdrucke liegen bleiben, ist ein Thema für das Gebäudemanagement.
Was verbindlich ist
Verpflichtend ist, dass es für jeden Standort mit schützenswerten Informationen festgelegte Regeln zum physischen Schutz gibt, dass sie aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft werden. Empfohlen sind unter anderem Zutrittskontrolle, Besucherregelung, geschützte Aufstellung von Servern und Netztechnik, Schlüsselverwaltung, Brandmeldung und Schutz vor Wasser.
Der erste Schritt
Gehen Sie mit Ihrer IT einmal durch das Gebäude: Wo stehen Server, Router und Sicherungsgeräte? Wer hat dazu Zugang? Gibt es Wasserleitungen, Fenster zur Straße oder Brandlasten in der Nähe? Wer die Schlüssel verwaltet und wohin Besucher dürfen, sollte danach klar geregelt sein.
Die Praktik «Gebäudemanagement» (GEB) bündelt im Anwenderkatalog Grundschutz++ die physische Sicherheit. Dieser Artikel stellt das Grundschutz++ Gebäudemanagement nach dem Katalogstand vom 22. Oktober 2026 vor.
Ziel der Praktik
Nach der Beschreibung im Katalog sorgt das Gebäudemanagement «für die Implementierung von physischen Sicherheitsmaßnahmen in und um das Gebäude». Genannt werden insbesondere Zutrittskontrollen, Überwachungsmechanismen und geeignete Umgebungsbedingungen. Die Abgrenzung ist klar gezogen: GEB schützt die physische Umgebung, also Gebäude und Räume. Systemseitige und personelle Maßnahmen gehören in andere Praktiken, etwa Berechtigung (BER) oder Personal (PERS).
Aufbau: zehn Gruppen, 75 Anforderungen
| Gruppe | Inhalt |
|---|---|
| GEB.1 Grundlagen | Verfahren und Regelungen, Autorisierung und Abnahme von Standorten, exponierte Bereiche, Strukturpläne |
| GEB.2 Physischer Perimeter | Sicherheitsperimeter, öffentliche Bereiche, Hör- und Sehschutz, bei erhöhter Stufe elektromagnetische Abschirmung |
| GEB.3 Physischer Zutritt | Überwachung von Zutrittspunkten, Empfang, Authentifizierung vor Zutritt, Besucheranmeldung, Kontrolle der Zutrittskontrolle |
| GEB.4 Sicherheitsbereiche | geschlossene Sicherheitsbereiche, Schleusen, Vereinzelungsanlagen (nur erhöhte Stufe) |
| GEB.5 Gemeinsame Arbeitsbereiche | Lieferzugang, Schutz gegen Manipulation, physische Mikrosegmentierung |
| GEB.6 Platzierung von Assets | Ausgabesysteme wie Drucker, geschützte Aufstellung von IT-Systemen, Netzkomponenten in Technikräumen |
| GEB.7 Schlüsselverwaltung | Schlüsselbeauftragte, Verwahrung, Schlüsselaudit |
| GEB.8 Verwahrung von Speichermedien | verschließbare Aufbewahrung, Archiv, Schutz vor Staub, Brand und ungünstigem Klima |
| GEB.9 Versorgungseinrichtungen | Strom, Redundanz, Überspannungsschutz, Datenverkabelung, Zugang zu Technikräumen |
| GEB.10 Schutz vor Elementarschäden | Klimatisierung, Brandschutz, Brandmeldung, Wasserschutz, Blitzschutz |
Die verbindlichen MUSS-Anforderungen
Wie in den anderen Praktiken stehen die MUSS-Anforderungen ausschließlich in der Grundlagengruppe. Bei GEB sind sie auf das Zielobjekt «Standorte» bezogen:
GEB.1.1 «Gebäudemanagement für Standorte MUSS Verfahren und Regelungen zum physischen Schutz von Standorten, an denen schützenswerte Informationen verarbeitet oder gespeichert werden, verankern.»
GEB.1.1.1 «Gebäudemanagement für Standorte MUSS die Verfahren und Regelungen dokumentieren.»
GEB.1.1.2 «Gebäudemanagement für Standorte MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»
GEB.1.1.3 «Gebäudemanagement für Standorte MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»
GEB.1.2 «Gebäudemanagement für Standorte MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»
Wichtige SOLLTE-Anforderungen
SOLLTE-Anforderungen sind nach der BSI-Definition normalerweise zu erfüllen; wer davon abweicht, muss das sorgfältig abwägen und stichhaltig begründen. Für die meisten Betriebe sind diese besonders relevant:
GEB.1.4 «Gebäudemanagement für Standorte SOLLTE schützenswerte Assets oder zugehörige Infrastrukturen nur außerhalb exponierter oder besonders gefährdeter Bereiche platzieren.»
GEB.3.3 «Gebäudemanagement für Standorte SOLLTE Zutritte im Einklang mit den Festlegungen des Identitäts- und Berechtigungsmanagements authentifizieren.»
GEB.3.3.3 «Gebäudemanagement für Standorte SOLLTE Besuche durch eine zuständige Person oder Rolle autorisieren.»
GEB.6.2 «Gebäudemanagement für IT-Systeme SOLLTE diese geschützt vor dem Zugriff von Unbefugten platzieren.»
GEB.6.3 «Gebäudemanagement für Netze SOLLTE für die Funktionsfähigkeit des Netzes erforderliche Systeme ausschließlich in Räumen für technische Infrastruktur platzieren.»
GEB.7.1 «Gebäudemanagement für Standorte SOLLTE die Verwaltung von Schlüsseln zuständigen Personen oder Rollen zuweisen.»
GEB.10.2.5 «Gebäudemanagement für Standorte SOLLTE das Entstehen von Bränden überwachen.»
GEB.10.3 «Gebäudemanagement für Standorte SOLLTE zwischen Assets und Witterungs- sowie Wassergefahrenstellen mindestens eine physische Schutzmaßnahme vor Wasser nach den entsprechenden Normen installieren.»
Auffällig ist GEB.3.3: Der physische Zutritt wird an das Identitäts- und Berechtigungsmanagement gekoppelt. Wer Zutritt zu welchem Raum hat, soll also nach denselben Festlegungen geregelt werden wie digitale Zugänge.
Normale und erhöhte Sicherheitsstufe
GEB hat einen hohen Anteil an Anforderungen der erhöhten Stufe: 40 Anforderungen gehören zur Standard-Sicherheitsstufe «normal-SdT» (5 MUSS, 35 SOLLTE), 35 zur Stufe «erhöht», alle als KANN formuliert. KANN-Anforderungen sind nach BSI keine generelle Verpflichtung, sondern je nach Situation, also nach Risikoanalyse, sinnvoll.
Zur erhöhten Stufe gehören etwa Videoüberwachung (GEB.3.1.1), Zugangskontrollanlagen (GEB.3.3.1), Einbruchmeldeanlagen (GEB.3.6), geschlossene Sicherheitsbereiche mit Schleusen (GEB.4), normgerechte Rechenzentren (GEB.6.4), redundante Stromversorgung (GEB.9.1.3), Überspannungsschutz (GEB.9.4), redundante Klimatisierung (GEB.10.1.3), Brandunterdrückung (GEB.10.2.6) und Leckagesensoren (GEB.10.3.2).
Typische Nachweise
- Gebäudedokumentation (38 Anforderungen): Strukturpläne, Perimeter, Aufstellorte, Strom, Klima, Brand- und Wasserschutz
- Prozess Gebäudemanagement (10): Verfahren, Zutritt, Besucher, Standortautorisierung
- IT-Betriebskonzept und Übungs- und Prüfplan (je 8): Regelungen und regelmäßige Prüfungen wie Schlüsselaudit oder Brandschutzprüfung
- außerdem Arbeitsanweisungen (etwa zur Schlüsselverwahrung), Geschäftsverteilungsplan, Abnahmeprotokolle und Inventar Berechtigungen
Betroffene Zielobjekte
Der weitaus größte Teil der Anforderungen (55) richtet sich an das Zielobjekt «Standorte». Daneben kommen IT-Systeme, Serverräume, Räume, Räume für technische Infrastruktur, Nutzende, Archiv, Gebäude, Hostsysteme und Netze vor. In der Strukturmodellierung lohnt es sich daher, Standorte und Technikräume sauber als eigene Zielobjekte zu erfassen.
Bezug zum bisherigen IT-Grundschutz
Im Kompendium 2023 lag die physische Sicherheit in der Schicht INF, etwa in INF.1 Allgemeines Gebäude und INF.2 Rechenzentrum sowie Serverraum. Der Mapping-Entwurf des BSI ordnet unter anderem Anforderungen aus INF.1, INF.2, INF.8 und INF.10 der Praktik GEB zu. Der Entwurf ist noch nicht vollständig, eine Eins-zu-eins-Übertragung sollten Sie daraus nicht ableiten.
Grundschutz++ Gebäudemanagement in kleinen und mittleren Unternehmen
Viele kleine Betriebe sind Mieter und können baulich wenig ändern. Die Anforderungen der Standard-Stufe lassen sich trotzdem gut organisatorisch umsetzen:
- Standortliste anlegen: alle Standorte, an denen schützenswerte Informationen verarbeitet werden, einschließlich Lager oder Außenstelle. Ob und wie häusliche Arbeitsplätze einbezogen werden, sollten Sie bewusst entscheiden und festhalten.
- Technik wegschließen: Server, Router, Switches und Sicherungsgeräte gehören in einen abschließbaren Raum oder Schrank, nicht in Flur oder Teeküche.
- Schlüssel verwalten: eine zuständige Person, eine Schlüsselliste mit Ausgabe und Rückgabe, jährliche Kontrolle.
- Besucherregel festlegen: Besuche werden angemeldet, abgeholt und nicht allein in Bereichen mit IT gelassen.
- Elementarschäden prüfen: Rauchmelder, keine Wasserleitungen über der Technik, Temperatur im Technikraum im Blick behalten.
- Drucker bedenken: Ausgabegeräte für vertrauliche Unterlagen nicht frei zugänglich aufstellen (GEB.6.1).
Für einen Mieter lohnt es sich, Brandschutz, Zutritt und Stromversorgung mit dem Vermieter abzustimmen und die Zusagen in der Gebäudedokumentation festzuhalten.
Häufige Fragen
Gilt das Gebäudemanagement auch für ein kleines Büro ohne Serverraum?
Ja. Die MUSS-Anforderungen beziehen sich auf alle Standorte, an denen schützenswerte Informationen verarbeitet oder gespeichert werden. Wie aufwendig die Maßnahmen ausfallen, hängt vom Standort ab. Ein abschließbarer Technikschrank kann in einem kleinen Büro ausreichen.
Brauchen wir eine Videoüberwachung oder Alarmanlage?
Videoüberwachung (GEB.3.1.1) und Einbruchmeldeanlagen (GEB.3.6) gehören zur erhöhten Stufe und sind als KANN formuliert. Ob sie sinnvoll sind, entscheiden Sie nach Risikoanalyse. Bei Videoüberwachung sind zusätzlich datenschutzrechtliche Vorgaben zu beachten.
Was bedeutet «Authentifizierung vor Zutritt» konkret?
GEB.3.3 verlangt, Zutritte im Einklang mit dem Identitäts- und Berechtigungsmanagement zu authentifizieren. Das kann ein persönlicher Schlüssel, ein Transponder oder eine Zugangskarte sein. Entscheidend ist, dass die Zutrittsrechte nach denselben Regeln vergeben und entzogen werden wie andere Berechtigungen.
Wir sind Mieter. Wie erfüllen wir Anforderungen zum Brandschutz?
GEB.10.2 verlangt, Brandschutz nach den entsprechenden Normen zu verankern. Vieles davon liegt beim Vermieter. Dokumentieren Sie, was vorhanden ist, etwa Brandmelder oder Brandabschnitte, und regeln Sie Ihre eigenen Pflichten, zum Beispiel keine Brandlasten im Technikraum.