IT-Grundschutz-Bausteine im Überblick

Was ein Baustein ist

Ein Baustein fasst für ein Thema die Gefährdungslage, die Sicherheitsanforderungen und weiterführende Informationen zusammen. Die Bausteine bilden laut BSI den Stand der Technik zum Zeitpunkt der Veröffentlichung ab. Die Edition 2023 des IT-Grundschutz-Kompendiums enthält 111 Bausteine.

Aufbau eines Bausteins

Alle IT-Grundschutz-Bausteine sind gleich gegliedert:

1. Beschreibung: Einleitung, Zielsetzung sowie Abgrenzung und Modellierung. Hier steht, auf welche Zielobjekte der Baustein anzuwenden ist und welche Themen andere Bausteine abdecken.
2. Gefährdungslage: spezifische Gefährdungen, abgeleitet aus den elementaren Gefährdungen. Sie erheben keinen Anspruch auf Vollständigkeit, sensibilisieren aber für typische Probleme.
3. Anforderungen: gegliedert in Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf, jeweils mit zuständiger Rolle.
4. Weiterführende Informationen: Verweise auf Normen, Leitfäden und andere Quellen.

Jede Anforderung hat eine eindeutige Kennung. Bei OPS.1.1.4.A1 steht OPS für die Schicht Betrieb, 1.1.4 für den Baustein Schutz vor Schadprogrammen und A1 für die erste Anforderung. Die Zuordnung der Anforderungen zu den elementaren Gefährdungen veröffentlicht das BSI in separaten Kreuzreferenztabellen.

Die Schichten im Überblick

Prozess-Bausteine

• ISMS – Sicherheitsmanagement: ISMS.1 als Grundlage aller weiteren Aktivitäten.
• ORP – Organisation und Personal: etwa ORP.1 Organisation, ORP.2 Personal, ORP.3 Sensibilisierung und Schulung, ORP.4 Identitäts- und Berechtigungsmanagement, ORP.5 Compliance Management.
• CON – Konzepte und Vorgehensweisen: etwa CON.1 Kryptokonzept, CON.2 Datenschutz, CON.3 Datensicherungskonzept, CON.6 Löschen und Vernichten.
• OPS – Betrieb: eigener IT-Betrieb (zum Beispiel OPS.1.1.3 Patch- und Änderungsmanagement, OPS.1.1.4 Schutz vor Schadprogrammen, OPS.1.1.5 Protokollierung, OPS.1.2.4 Telearbeit), Betrieb durch Dritte (OPS.2.2 Cloud-Nutzung, OPS.2.3 Nutzung von Outsourcing) und Betrieb für Dritte.
• DER – Detektion und Reaktion: etwa DER.1 Detektion von sicherheitsrelevanten Ereignissen, DER.2.1 Behandlung von Sicherheitsvorfällen, DER.3.1 Audits und Revisionen, DER.4 Notfallmanagement.

System-Bausteine

• APP – Anwendungen: Office-Produkte, Webbrowser, Verzeichnisdienste wie Active Directory, Webserver, Fileserver, E-Mail-Client und -Server, allgemeine Software.
• SYS – IT-Systeme: Server, Clients unter Windows, Linux oder macOS, Laptops, Smartphones und Tablets, Drucker und Multifunktionsgeräte, IoT-Geräte, Wechseldatenträger.
• IND – Industrielle IT: Prozessleit- und Automatisierungstechnik, SPS, Sensoren, Maschinen.
• NET – Netze und Kommunikation: Netzarchitektur, WLAN-Betrieb und -Nutzung, Router und Switches, Firewall, VPN, TK-Anlagen und VoIP.
• INF – Infrastruktur: Gebäude, Serverraum, Büroarbeitsplatz, häuslicher und mobiler Arbeitsplatz, Verkabelung.

Prozess-Bausteine gelten meist für den gesamten Informationsverbund und werden einmal angewendet. System-Bausteine werden auf einzelne Zielobjekte oder Gruppen angewendet und können mehrfach vorkommen, etwa SYS.2.1 Allgemeiner Client für jede Gruppe gleichartiger PCs.

Reihenfolge: R1, R2, R3

Im Kapitel Schichtenmodell und Modellierung kennzeichnet das BSI, welche Bausteine vorrangig umzusetzen sind:

• R1: zuerst, weil sie die Grundlage für einen wirksamen Sicherheitsprozess bilden.
• R2: als Nächstes, weil sie in wesentlichen Teilen des Informationsverbunds für nachhaltige Sicherheit nötig sind.
• R3: ebenfalls erforderlich, aber nach den anderen.

Die Reihenfolge sagt nichts über die Wichtigkeit einzelner Anforderungen aus. Auch in einem R3-Baustein sind Basis-Anforderungen verbindlich, wenn der Baustein modelliert wurde.

Typische Auswahl für einen kleinen Betrieb

Ein Büro mit zehn Arbeitsplätzen, einem Server, WLAN und Microsoft 365 würde etwa mit diesen Bausteinen modelliert: ISMS.1, ORP.1 bis ORP.4, CON.3, OPS.1.1.3, OPS.1.1.4, OPS.2.2, DER.2.1, APP.1.1, APP.1.2, APP.5.3, SYS.1.1, SYS.2.1 und SYS.2.2.3, SYS.3.1, SYS.4.1, NET.2.1, NET.3.1, NET.3.2, INF.1, INF.7 und gegebenenfalls INF.8 für das Homeoffice. Die genaue Auswahl hängt von der tatsächlichen Umgebung ab und gehört in die Modellierung.

Zuständigkeiten über die Rollen

Jede Anforderung nennt eine zuständige Rolle, zum Beispiel Informationssicherheitsbeauftragte, IT-Betrieb, Personalabteilung, Haustechnik oder Benutzende. Das hilft bei der Verteilung der Arbeit: Bausteine der Schichten ORP, CON und OPS haben ihren Ansprechpartner meist in der Fachabteilung, die das Thema verantwortet, SYS-, NET- und IND-Bausteine beim Administrator der jeweiligen Systeme, APP-Bausteine bei den Anwendungsverantwortlichen und INF-Bausteine bei der Haustechnik. In kleinen Betrieben fallen viele Rollen auf wenige Personen. Das ist zulässig, sollte aber dokumentiert sein, damit klar ist, wer wofür geradesteht.

Bausteine und Schutzbedarf

Die Anforderungen eines Bausteins zielen auf normalen Schutzbedarf. Bei hohem oder sehr hohem Schutzbedarf reichen sie allein nicht: Dann kommen die Anforderungen bei erhöhtem Schutzbedarf als Anregung hinzu, ergänzt durch eine Risikoanalyse. Umgekehrt gilt: Auch bei normalem Schutzbedarf dürfen Basis-Anforderungen nicht einfach weggelassen werden. Ist eine Anforderung im konkreten Fall nicht relevant, etwa weil ein Dienst gar nicht aktiv ist, wird sie im Check als entbehrlich markiert und begründet.

Umsetzungshinweise und Drafts

Zu vielen Bausteinen gibt es Umsetzungshinweise mit Maßnahmenvorschlägen. Sie sind nicht verbindlich, helfen aber bei der Frage, wie eine Anforderung konkret erfüllt werden kann. Überarbeitete Bausteine erscheinen im Jahresverlauf mitunter als Drafts, bevor sie in eine Edition übernommen werden. Im künftigen Grundschutz++ werden die Anforderungen nicht mehr in Bausteinen, sondern prozessorientiert und maschinenlesbar organisiert; bis dahin bleiben die Bausteine die Arbeitsgrundlage.