Die IT-Grundschutz-Methodik Schritt für Schritt

Grundlage und Prinzip

Die IT-Grundschutz-Methodik ist im BSI-Standard 200-2 beschrieben und baut auf den ISMS-Anforderungen aus BSI-Standard 200-1 und damit auf ISO 27001 auf. Ihr Kern ist ein Soll-Ist-Vergleich: Für typische Zielobjekte hat das BSI die Risikoanalyse bereits beim Erstellen der Bausteine durchgeführt. Die Institution muss deshalb bei normalem Schutzbedarf nicht jede Bedrohung selbst bewerten, sondern prüft, welche Anforderungen aus dem IT-Grundschutz-Kompendium schon erfüllt sind. Eine eigene Risikoanalyse ist erst bei erhöhtem Schutzbedarf oder fehlenden Bausteinen nötig.

Phase 1: Initiierung des Sicherheitsprozesses

Verantwortung der Leitung

Die Leitung übernimmt die Gesamtverantwortung für Informationssicherheit, stellt Ressourcen bereit und lässt sich regelmäßig berichten. Das ist keine Formalie, sondern Voraussetzung für alle weiteren Schritte.

Konzeption und Planung

• Rahmenbedingungen ermitteln: Gesetze, Verträge, Kundenanforderungen, interne Vorgaben.
• Allgemeine Sicherheitsziele formulieren und das angemessene Sicherheitsniveau der Geschäftsprozesse bestimmen.
• Ersterfassung der Prozesse, Anwendungen und IT-Systeme.
• Vorgehensweise wählen: Basis-, Kern- oder Standard-Absicherung, Geltungsbereich festlegen, Managemententscheidung dokumentieren.

Leitlinie

Die Leitlinie zur Informationssicherheit hält Ziele, Geltungsbereich und Verantwortlichkeiten fest, wird von der Leitung verabschiedet und allen Betroffenen bekanntgegeben.

Phase 2: Organisation

Der Standard beschreibt den Aufbau der Sicherheitsorganisation mit Informationssicherheitsbeauftragter oder -beauftragtem (ISB), bei Bedarf IS-Management-Team und Koordinierungsausschuss, sowie das Zusammenspiel mit Datenschutzbeauftragten. In kleinen Institutionen genügt oft eine Person als ISB, die eng mit Leitung und IT-Betrieb zusammenarbeitet. Externe Unterstützung ist möglich, die Verantwortung bleibt bei der Leitung.

Phase 3: Sicherheitskonzeption (Standard-Absicherung)

Strukturanalyse

Erfassung der Geschäftsprozesse, Informationen, Anwendungen, IT-, ICS- und IoT-Systeme, Räume und Kommunikationsverbindungen im Geltungsbereich, inklusive Netzplan. Gleichartige Objekte werden zu Gruppen zusammengefasst.

Schutzbedarfsfeststellung

Für Geschäftsprozesse und Anwendungen wird anhand von Schadensszenarien der Schutzbedarf in den Kategorien normal, hoch und sehr hoch für Vertraulichkeit, Integrität und Verfügbarkeit festgelegt und auf IT-Systeme, Räume und Verbindungen vererbt (Maximumprinzip, Kumulations- und Verteilungseffekte beachten).

Modellierung

Der Informationsverbund wird mit Bausteinen aus dem Kompendium nachgebildet. Ergebnis ist das IT-Grundschutz-Modell, das zugleich als Prüfplan dient.

IT-Grundschutz-Check

Soll-Ist-Vergleich je Anforderung mit den Status ja, teilweise, nein oder entbehrlich, durchgeführt über Interviews und stichprobenartige Kontrollen.

Risikoanalyse

Für Zielobjekte mit hohem oder sehr hohem Schutzbedarf, ohne passenden Baustein oder in untypischen Einsatzszenarien nach BSI-Standard 200-3.

Phase 4: Umsetzung

Fehlende und unzureichend erfüllte Anforderungen werden in konkrete Maßnahmen übersetzt, konsolidiert, nach Aufwand und Wirkung priorisiert und mit Verantwortlichen, Terminen und Budget in einen Realisierungsplan überführt. Begleitende Maßnahmen wie Schulungen gehören dazu. Restrisiken werden von der Leitung bewusst getragen.

Phase 5: Aufrechterhaltung und Verbesserung

Der Sicherheitsprozess folgt dem PDCA-Zyklus. Dazu gehören Überprüfung der Wirksamkeit, Kennzahlen, interne Audits oder IS-Revisionen, Managementbewertungen und die Anpassung an Veränderungen in Technik, Organisation und Gefährdungslage. Am Ende kann, wenn gewünscht, eine ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz stehen.

Verkürzte Wege

Bei der Basis-Absicherung entfallen Strukturanalyse und Schutzbedarfsfeststellung im vollen Umfang: Nach Festlegung des Geltungsbereichs werden Bausteine ausgewählt und nur die Basis-Anforderungen geprüft und umgesetzt. Bei der Kern-Absicherung werden zuerst die Kronjuwelen identifiziert, dann wird für diesen eng abgegrenzten Bereich das volle Vorgehen inklusive Risikoanalyse durchlaufen.

Was in kleinen Betrieben anders ist

200-2 ist für Institutionen jeder Größe geschrieben, viele Beispiele stammen aber aus größeren Organisationen. Für einen Betrieb mit wenigen Mitarbeitenden gilt:

• Rollen bündeln. ISB, IT-Verantwortung und Datenschutzkoordination können bei wenigen Personen liegen. Wichtig ist, dass Interessenkonflikte bekannt sind, etwa wenn die Person, die administriert, sich selbst prüft.
• Dienstleister einbinden. Viele Antworten in Strukturanalyse und Check kennt nur der externe IT-Dienstleister. Er sollte von Anfang an beteiligt und vertraglich zur Mitwirkung verpflichtet sein.
• Dokumentation schlank halten. Eine gepflegte Tabelle ist mehr wert als ein umfangreiches Konzept, das niemand liest. Entscheidend ist, dass Entscheidungen und Begründungen nachvollziehbar sind.
• Mit der Basis-Absicherung beginnen. Sie liefert schnell Ergebnisse und schafft die Grundlage, auf der Standard-Anforderungen später aufsetzen.

Praxistipps

• Den Aktionspunkten am Ende jedes Kapitels in 200-2 folgen; sie eignen sich gut als Projekt-Checkliste.
• Vorhandene Inventare, Netzpläne und Prozessbeschreibungen nutzen, statt neu zu erheben.
• Das Beispiel RECPLAST GmbH aus 200-2 zeigt, wie Ergebnisse dokumentiert werden können.
• Ein geeignetes Werkzeug erleichtert die Pflege, ersetzt aber nicht die Arbeit an den Inhalten.

Ausblick

Mit der Methodik-GS++ stellt das BSI eine neue, prozessorientierte Methodik vor, die ebenfalls dem PDCA-Zyklus folgt. Die bisherige Methodik nach 200-2 bleibt laut BSI während einer mehrjährigen Übergangszeit anwendbar; die Zertifizierbarkeit des bisherigen IT-Grundschutzes endet nach dem Meilensteinplan des BSI (Stand Oktober 2026) am 30. November 2031.