Werkzeuge für IT-Grundschutz und ISMS
ISMS-Tool oder Tabelle? Was Werkzeuge für IT-Grundschutz leisten sollten, welche Kriterien bei der Auswahl zählen und wann sich ein Tool für KMU lohnt.
Ein ISMS-Tool ist eine Software, mit der ein Betrieb seine Informationssicherheit organisiert: Geräte und Abläufe erfassen, Empfehlungen des BSI zuordnen, den Stand der Umsetzung festhalten und Aufgaben verfolgen. Es soll Ordnung schaffen, ersetzt aber nicht die Arbeit an den Inhalten.
Brauche ich so etwas?
Nicht unbedingt. Ein kleiner Betrieb mit wenigen Arbeitsplätzen kommt mit gut gepflegten Tabellen und den Checklisten des BSI aus. Ein Werkzeug lohnt sich, wenn viele Geräte, Standorte oder Verantwortliche beteiligt sind, wenn ein Zertifikat angestrebt wird oder wenn mehrere Personen gleichzeitig an der Dokumentation arbeiten.
Worauf Sie achten sollten
- Unterstützt das Tool die aktuelle Fassung des IT-Grundschutzes und den angekündigten Wechsel zum neuen Grundschutz++?
- Lässt es sich von den Personen bedienen, die es tatsächlich nutzen sollen?
- Können Sie Ihre Daten jederzeit exportieren, falls Sie wechseln möchten?
- Wo liegen die Daten, und wer hat Zugriff? Die Sicherheitsdokumentation ist selbst schützenswert.
- Was kostet es dauerhaft, einschließlich Einrichtung und Schulung?
Der häufigste Fehler
Ein Tool zu kaufen, bevor klar ist, wer es pflegt. Ohne verantwortliche Person bleibt auch die beste Software leer.
Der nächste Schritt
Beginnen Sie mit Tabellen und den Checklisten des BSI. Wenn Sie merken, dass die Pflege zu aufwendig wird, wissen Sie genau, welche Funktionen ein Werkzeug haben muss.
Was der BSI-Standard 200-2 zu Werkzeugen sagt
BSI-Standard 200-2 weist darauf hin, dass der Dokumentationsaufwand im Sicherheitsprozess nicht unterschätzt werden sollte, und empfiehlt geeignete Hilfsmittel. Genannt werden zwei Arten:
- IT-Grundschutz-Tools: Anwendungen, die die gesamte Vorgehensweise unterstützen, von der Stammdatenerfassung über Schutzbedarfsfeststellung und Risikoanalyse bis zum IT-Grundschutz-Check und zur Erfüllung der Anforderungen, mit Auswertungen, Berichten, Kostenauswertungen und Statistiken.
- Formulare: Zu jedem Baustein stellt das BSI eine Datei bereit, in der die Ergebnisse des Soll-Ist-Vergleichs je Anforderung tabellarisch erfasst werden können.
Das BSI selbst bietet kein eigenes Tool mehr an; das frühere GSTOOL wurde eingestellt. Werkzeuge kommen heute von Drittanbietern, als kommerzielle Produkte oder Open-Source-Lösungen. Das BSI stellt außerdem Hilfsmittel und Anwenderbeiträge bereit, die ausdrücklich keine verpflichtenden Vorgaben enthalten.
Funktionen, die ein ISMS-Tool für IT-Grundschutz abdecken sollte
Methodik
- Strukturanalyse mit Gruppenbildung und Abhängigkeiten zwischen Prozessen, Anwendungen, Systemen und Räumen,
- Schutzbedarfsfeststellung mit Vererbung nach dem Maximumprinzip und der Möglichkeit, Kumulations- oder Verteilungseffekte manuell zu berücksichtigen,
- Modellierung mit Bausteinen der jeweils gültigen Edition,
- IT-Grundschutz-Check mit den Status ja, teilweise, nein, entbehrlich und Pflicht zur Begründung,
- Risikoanalyse nach BSI-Standard 200-3 auf Basis der elementaren Gefährdungen und Kreuzreferenztabellen,
- Realisierungsplan mit Verantwortlichen, Terminen und Kosten.
Betrieb
- Aufgaben- und Erinnerungsfunktionen für wiederkehrende Prüfungen,
- Versionierung und Historie, damit der Stand zu einem Stichtag nachvollziehbar ist,
- Berichte für Leitung, Auditoren und Kunden,
- Rollen- und Rechtekonzept, gegebenenfalls Zugriff für externe Dienstleister,
- Import der Inhalte des BSI, etwa über die XML-Fassung des Kompendiums, und Aktualisierung bei neuen Editionen.
Schnittstellen
- Import aus Inventar- oder Endpoint-Management-Systemen,
- Export in offene Formate wie CSV, Excel oder XML,
- gegebenenfalls Abbildung weiterer Normen wie ISO 27001, NIS-2-Anforderungen oder TISAX.
Auswahlkriterien
| Kriterium | Prüffrage |
|---|---|
| Methodentreue | Bildet das Tool 200-2 und 200-3 vollständig ab oder nur Teile? |
| Aktualität | Wie schnell werden neue Editionen, Drafts und Errata eingepflegt? |
| Grundschutz++ | Gibt es eine nachvollziehbare Planung für das neue, maschinenlesbare Regelwerk? |
| Bedienbarkeit | Können Fachbereiche ohne Schulung ihren Teil beitragen? |
| Datenhaltung | Betrieb im eigenen Netz oder als Cloud-Dienst, Speicherort, Verschlüsselung, Zugriffskontrolle |
| Datenportabilität | Ist ein vollständiger Export möglich? |
| Kosten | Lizenzmodell, Einrichtung, Wartung, Schulung |
| Support | Erreichbarkeit, Dokumentation, Anwendergemeinschaft |
Werbeaussagen sollten mit einer Teststellung und einem realistischen Ausschnitt des eigenen Verbunds geprüft werden. Nicht jedes Produkt bildet die Methodik so vollständig ab, wie Prospekte nahelegen.
Tabelle oder Tool?
Für kleine Betriebe ist eine strukturierte Tabellenlösung oft ausreichend:
- je ein Blatt für Strukturanalyse, Schutzbedarf, Modellierung und Check,
- die Checklisten des BSI je Baustein oder die WiBA-Checklisten,
- ein einfacher Maßnahmenplan mit Verantwortlichen und Terminen,
- ein Ablageort mit Versionsstand und Zugriffsregelung.
Ein Werkzeug wird sinnvoll, wenn die Zahl der Zielobjekte und Verantwortlichen wächst, mehrere Standorte oder Mandanten verwaltet werden, eine Zertifizierung ansteht oder mehrere Normen parallel abgebildet werden müssen.
Grundschutz++ und maschinenlesbare Anforderungen
Mit dem Grundschutz++ stellt das BSI die Anforderungen künftig maschinenlesbar in einer Stand-der-Technik-Bibliothek bereit, die über GitHub veröffentlicht wird und das Kompendium perspektivisch ablöst. Laut BSI soll das Format Automatisierung durch digitale Werkzeuge ermöglichen. Für die Tool-Auswahl heißt das: Anbieter sollten erklären können, wie sie die neue Struktur übernehmen und wie bestehende Daten migriert werden. Wer jetzt ein Tool einführt, sollte auf Exportfähigkeit achten, um bei Bedarf wechseln zu können.
Einführung in der Praxis
Eine Tool-Einführung gelingt eher, wenn sie klein beginnt:
- Zuerst die Inhalte klären: Geltungsbereich, Strukturanalyse und Modellierung in einer Tabelle vorbereiten.
- Zwei oder drei Werkzeuge mit genau diesem Ausschnitt testen.
- Verantwortliche für die Pflege benennen und schulen.
- Daten übernehmen und die Tabelle danach nicht parallel weiterführen, um widersprüchliche Stände zu vermeiden.
- Nach einigen Monaten prüfen, ob Berichte und Erinnerungen tatsächlich genutzt werden.
Typische Stolpersteine sind zu viele Pflichtfelder, eine zu feine Erfassung einzelner Geräte statt Gruppen und fehlende Zuständigkeit für die Aktualisierung nach Änderungen im Betrieb. Ein Werkzeug sollte die Arbeit sichtbar leichter machen; tut es das nach einigen Monaten nicht, ist die Konfiguration zu überprüfen, bevor weitere Module gekauft werden.
Sicherheit des Werkzeugs selbst
Ein ISMS-Tool enthält eine vollständige Landkarte der eigenen IT samt bekannter Schwachstellen. Es ist damit selbst ein Zielobjekt mit hohem Schutzbedarf an Vertraulichkeit. Zwei-Faktor-Authentifizierung, restriktive Rechte, Protokollierung und Datensicherung sind Pflicht, bei Cloud-Angeboten zusätzlich eine Prüfung des Anbieters.
Häufige Fragen
Brauche ich ein ISMS-Tool für IT-Grundschutz?
Nicht zwingend. Kleine Betriebe kommen oft mit Tabellen und den Checklisten des BSI aus. Ein Tool lohnt sich bei vielen Zielobjekten, mehreren Verantwortlichen oder einer geplanten Zertifizierung.
Gibt es ein ISMS-Tool vom BSI?
Nein. Das frühere GSTOOL wird nicht mehr angeboten. Das BSI stellt Formulare, Checklisten und die XML-Fassung des Kompendiums bereit, die Werkzeuge von Drittanbietern nutzen.
Worauf sollte man bei einem ISMS-Tool achten?
Auf vollständige Abbildung der Methodik, schnelle Aktualisierung bei neuen Editionen, eine Planung für Grundschutz++, Exportmöglichkeiten und den Schutz der gespeicherten Sicherheitsdokumentation.