Grundschutz++ Sensibilisierung: die Praktik SENS erklärt
Grundschutz++ Sensibilisierung: was die Praktik SENS zu Schulung, Meldewegen, Passwörtern, E-Mail und Leitungsebene verlangt und wie Sie praktisch einsteigen.
Bei der Grundschutz++ Sensibilisierung geht es um die Menschen in Ihrem Betrieb. Die Praktik «Sensibilisierung» (Kürzel SENS) im neuen IT-Grundschutz des BSI sorgt dafür, dass alle Beschäftigten die Sicherheitsregeln kennen, Gefahren erkennen und wissen, was sie im Zweifel tun sollen.
Warum das wichtig ist
Viele Angriffe beginnen mit einer gefälschten E-Mail, einem Anruf mit falscher Identität oder einem liegen gelassenen Notebook. Technik allein fängt das nicht ab. Wer Phishing erkennt, verdächtige Vorfälle meldet und seinen Bildschirm sperrt, verhindert viele Schäden, bevor sie entstehen.
Was verbindlich ist
Verpflichtend ist ein geregeltes Vorgehen für Schulung und Sensibilisierung, abgestimmt auf die jeweiligen Rollen im Betrieb. Es muss aufgeschrieben, Zuständigen zugewiesen und bekannt gemacht werden. Die Inhalte sind ausführlich als Empfehlungen beschrieben: Meldewege, Umgang mit Passwörtern, gefälschte E-Mails, aufgeräumter Arbeitsplatz, mobiles Arbeiten, Regeln für Administratoren und ausdrücklich auch die Sensibilisierung der Geschäftsleitung.
Der erste Schritt
Legen Sie fest, wer im Betrieb für Schulungen zuständig ist, und planen Sie eine kurze Grundschulung für alle. Die wichtigste Botschaft dabei: Wem melde ich etwas Verdächtiges, und zwar sofort? Schulen Sie die Geschäftsleitung mit, denn sie ist Vorbild.
Die Praktik «Sensibilisierung» (SENS) ist im Anwenderkatalog Grundschutz++ die umfangreichste Sammlung von Verhaltensregeln für Beschäftigte. Dieser Artikel beschreibt die Grundschutz++ Sensibilisierung nach dem Katalogstand vom 22. Oktober 2026.
Ziel der Praktik
Laut Katalog sorgt die Praktik dafür, «dass alle Mitarbeitenden über die Leitlinie zur Informationssicherheit sowie relevanten Informationssicherheitsrichtlinien, -verfahren und -bedrohungen informiert sind». Ziel ist ein sicherheitsbewusstes Verhalten im Arbeitsalltag. Zugleich soll die Qualifikation für den sicheren Betrieb und die Nutzung von Anwendungen und IT-Systemen vermittelt werden.
Die Abgrenzung zur Praktik Personal (PERS) beschreibt der Katalog ebenfalls: PERS berücksichtigt Sicherheitsaspekte über den gesamten Beschäftigungszyklus, SENS zielt auf die kontinuierliche Weiterbildung und Sensibilisierung.
Aufbau: zwölf Gruppen, 87 Anforderungen
| Gruppe | Inhalt |
|---|---|
| SENS.1 Grundlagen | Verfahren und Regelungen, Erfolgsmessung |
| SENS.2 Grundlegende Sensibilisierung | Schutzziele, Meldewege, Verschlüsselung, unautorisierte Geräte, Umgehung von Sicherheitsfunktionen, Melden von Ereignissen |
| SENS.3 Schutz vor Schadprogrammen | Schadprogramme, bei erhöhter Stufe Sandbox und Umwandeln verdächtiger Dateien |
| SENS.4 Authentisierung | Passwörter, Passwortmanager, keine Weitergabe, Abmelden nach Nutzung |
| SENS.5 Umgang mit Informationen | Datenablage, Weitergabe, Restdaten, Löschfristen, Papiervernichtung |
| SENS.6 Umgang mit Datenträgern | Scan von Wechseldatenträgern, Verschlüsselung |
| SENS.7 Umgang mit spezifischen Zielobjekten | E-Mail und SPAM, gefälschte E-Mails, WLAN, Telefon, Social Engineering, Fax, Zertifikatswarnungen |
| SENS.8 Physische Sicherheit | Bildschirmsperre, Clean Desk, Türen und Fenster, Externe beaufsichtigen, Rückgabe von Assets |
| SENS.9 Mobiles Arbeiten | Arbeiten in der Öffentlichkeit, Mithören, Verwahrung außer Haus, Reisehinweise |
| SENS.10 Administration | Grundprinzipien der Administration, privilegierte Berechtigungen, Verhalten bei Vorfällen |
| SENS.11 Sensibilisierung der Leitungsebene | Institutionsleitung, Vorbildfunktion, Whaling |
| SENS.12 Spezifische Risiken | Sensibilisierung gegen hohe Risiken aus der Risikoanalyse (erhöhte Stufe) |
Die verbindlichen MUSS-Anforderungen
SENS enthält vier MUSS-Anforderungen, alle in der Grundlagengruppe:
SENS.1.1 «Sensibilisierung MUSS Verfahren und Regelungen zur rollenspezifischen Schulung und Sensibilisierung verankern.»
SENS.1.1.1 «Sensibilisierung MUSS die Verfahren und Regelungen dokumentieren.»
SENS.1.1.2 «Sensibilisierung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»
SENS.1.1.3 «Sensibilisierung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»
Anders als bei den meisten anderen Praktiken steht an zweiter Stelle der Grundlagen keine MUSS-Anforderung zur regelmäßigen Überprüfung der Regelungen, sondern die Erfolgsmessung als SOLLTE:
SENS.1.2 «Sensibilisierung SOLLTE den Erfolg der Sensibilisierung anhand objektivierter Kriterien regelmäßig überprüfen.»
Das Wort «rollenspezifisch» in SENS.1.1 ist wichtig: Eine einheitliche Pflichtschulung für alle genügt dem Wortlaut nach nicht. Beschäftigte, Administrierende und Leitung haben unterschiedliche Inhalte.
Wichtige SOLLTE-Anforderungen
SOLLTE bedeutet nach der BSI-Definition, dass eine Anforderung normalerweise erfüllt werden muss; Abweichungen sind sorgfältig abzuwägen und stichhaltig zu begründen.
SENS.2.2 «Sensibilisierung für Nutzende SOLLTE zu den Meldewegen und Informationsquellen bei Fragen informieren.»
SENS.2.8 «Sensibilisierung für Nutzende SOLLTE zum Melden von sicherheitsrelevanten Ereignissen anweisen.»
SENS.4.1.4 «Sensibilisierung für Nutzende SOLLTE das Speichern oder Aufschreiben von Passwörtern außerhalb von Passwort-Managern untersagen.»
SENS.7.8 «Sensibilisierung für Nutzende von E-Mailn SOLLTE zum Erkennen von gefälschten E-Mails sensibilisieren.»
SENS.8.1 «Sensibilisierung für Nutzende SOLLTE zum Sperren von IT-System vor dem Verlassen des Arbeitsplatzes anweisen.»
SENS.10.2 «Sensibilisierung für Administrierende SOLLTE zum Umgang mit privilegierten Berechtigungen sensibilisieren.»
SENS.11.1 «Sensibilisierung für Institutionsleitung SOLLTE zur Bedeutung der Informationssicherheit für den Schutz der Geschäftsprozesse sensibilisieren.»
SENS.11.2 «Sensibilisierung für Führungskräfte SOLLTE zu ihrer Vorbildfunktion bei der Informationssicherheit sensibilisieren.»
Die Zitate geben den Katalogwortlaut einschließlich kleiner Schreibfehler unverändert wieder.
Normale und erhöhte Sicherheitsstufe
Von den 87 Anforderungen gehören 76 zur Standard-Sicherheitsstufe «normal-SdT» (4 MUSS, 72 SOLLTE) und 11 zur Stufe «erhöht», alle als KANN formuliert. KANN-Anforderungen sind nach BSI keine generelle Verpflichtung, sondern je nach Situation, also nach Risikoanalyse, sinnvoll.
Beispiele der erhöhten Stufe sind das Öffnen verdächtiger Dateien in einer Sandbox (SENS.3.2), der Umgang mit unautorisierten WLANs (SENS.7.14), mobile Endgeräte in Sicherheitsbereichen (SENS.7.18), die Begleitung Externer (SENS.8.6), die Mitnahme von Geräten ins Ausland (SENS.9.6) und die Sensibilisierung gegen die in der Risikoanalyse festgestellten hohen Risiken (SENS.12.1).
Typische Nachweise
- Schulungsplan (56 Anforderungen): Inhalte, Zielgruppen und Termine der Sensibilisierung
- Arbeitsanweisung (26): verbindliche Verhaltensregeln, etwa zu Passwörtern, Bildschirmsperre, Clean Desk oder Meldungen
- vereinzelt IT-Betriebskonzept, Geschäftsverteilungsplan und Übungsplan (für die Erfolgsmessung)
Die Unterscheidung ist praktisch: Was Beschäftigte wissen sollen, gehört in den Schulungsplan. Was sie tun oder lassen sollen, gehört zusätzlich in eine Arbeitsanweisung, etwa eine IT-Sicherheitsrichtlinie für Mitarbeitende.
Betroffene Zielobjekte
70 Anforderungen richten sich an «Nutzende». Weitere Zielgruppen sind Administrierende, Mitarbeitende, Führungskräfte und die Institutionsleitung. Daneben verknüpfen manche Anforderungen die Zielgruppe mit technischen Zielobjekten, etwa mobile Endgeräte, E-Mail, TK-Anwendungen, Faxanwendungen oder interpersonelle Kommunikation. Wer diese Zielobjekte nicht einsetzt, etwa kein Fax mehr betreibt, kann die zugehörigen Inhalte begründet weglassen.
Bezug zum bisherigen IT-Grundschutz
Im Kompendium 2023 war das Thema im Baustein ORP.3 Sensibilisierung und Schulung zur Informationssicherheit verankert; Verhaltensregeln standen zusätzlich in vielen technischen Bausteinen. Der Mapping-Entwurf des BSI ordnet unter anderem Anforderungen aus ORP.3 und APP.1.1 Office-Produkte der Praktik SENS zu.
Grundschutz++ Sensibilisierung in kleinen und mittleren Unternehmen
- Zuständigkeit festlegen: eine Person, die Schulungen plant und nachhält, oft der Informationssicherheitsbeauftragte oder die Geschäftsführung selbst.
- Rollen unterscheiden: mindestens drei Zielgruppen, nämlich alle Beschäftigten, Administrierende (auch externe) und Leitung.
- Schulungsplan auf einer Seite: Themen aus SENS.2 bis SENS.9 für alle, SENS.10 für Administrierende, SENS.11 für die Leitung, jeweils mit Termin und Format.
- Arbeitsanweisung bündeln: die verbindlichen Verhaltensregeln in einer kurzen Richtlinie zusammenfassen und bestätigen lassen.
- Erfolg messen: objektivierbare Kriterien sind etwa Teilnahmequoten, Ergebnisse kurzer Wissenstests oder Meldequoten bei Phishing-Übungen. Bei Phishing-Simulationen sind Datenschutz und gegebenenfalls Mitbestimmung zu beachten.
- Regelmäßig wiederholen: kurze, wiederkehrende Einheiten wirken in der Regel besser als eine einmalige lange Schulung.
Häufige Fragen
Reicht eine jährliche Online-Schulung für alle?
Dem Wortlaut nach nicht ganz. SENS.1.1 verlangt eine rollenspezifische Schulung und Sensibilisierung. Administrierende und Leitung haben eigene Gruppen im Katalog (SENS.10 und SENS.11). Eine gemeinsame Basisschulung kann aber der Grundstock sein.
Muss auch die Geschäftsleitung geschult werden?
Die Gruppe SENS.11 sieht als SOLLTE vor, die Institutionsleitung zur Bedeutung der Informationssicherheit für die Geschäftsprozesse zu sensibilisieren, Führungskräfte zu ihrer Vorbildfunktion und Führungskräfte gegen gezielte Angriffe auf Führungskräfte (Whaling).
Wie messe ich den Erfolg einer Sensibilisierung?
SENS.1.2 verlangt die Überprüfung anhand objektivierter Kriterien, legt die Kriterien aber nicht fest. Geeignet sind zum Beispiel Teilnahmequoten, Testergebnisse oder die Zahl gemeldeter Verdachtsfälle. Halten Sie Kriterien und Ergebnisse im Übungsplan fest.
Wo dokumentiere ich die Sensibilisierung?
Der Katalog nennt überwiegend den Schulungsplan und Arbeitsanweisungen als Dokumentation. Nachweise über Teilnahme und Inhalte helfen zusätzlich bei Audits.