Schutzbedarfsfeststellung

Ziel und Einordnung

Die Schutzbedarfsfeststellung ist ein Schritt der Standard-Absicherung nach BSI-Standard 200-2 (Kapitel 8.2) und folgt auf die Strukturanalyse. Ziel ist es, für die erfassten Objekte des Informationsverbunds zu entscheiden, welchen Schutzbedarf sie bezüglich Vertraulichkeit, Integrität und Verfügbarkeit besitzen. Der Schutzbedarf orientiert sich an den möglichen Schäden, die bei einer Beeinträchtigung der Anwendungen und damit der Geschäftsprozesse entstehen.

Bei der Basis-Absicherung entfällt dieser Schritt zunächst. Bei der Kern-Absicherung wird er auf die besonders wichtigen Prozesse und Werte konzentriert.

Ablauf der Schutzbedarfsfeststellung

200-2 gliedert sie in folgende Schritte:

1. Definition der Schutzbedarfskategorien,
2. Schutzbedarfsfeststellung für Geschäftsprozesse und Anwendungen,
3. Schutzbedarfsfeststellung für IT-Systeme, IoT- und ICS-Geräte,
4. Schutzbedarfsfeststellung für Gebäude, Räume, Werkhallen,
5. Schutzbedarfsfeststellung für Kommunikationsverbindungen,
6. Schlussfolgerungen aus den Ergebnissen.

Zunächst wird anhand typischer Schadensszenarien der Schutzbedarf der Geschäftsprozesse und Anwendungen bestimmt. Daraus wird der Schutzbedarf der IT-Systeme, Räume und Verbindungen abgeleitet.

Schutzbedarfskategorien

Da sich Schutzbedarf meist nicht quantifizieren lässt, nutzt der IT-Grundschutz drei qualitative Kategorien:

• normal: Die Schadensauswirkungen sind begrenzt und überschaubar.
• hoch: Die Schadensauswirkungen können beträchtlich sein.
• sehr hoch: Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß erreichen.

Institutionen können weitere Kategorien definieren, etwa «unkritisch» nach unten, oder für Vertraulichkeit eigene Stufen wie offen, intern, vertraulich und geheim nutzen. Dann muss festgelegt sein, welche Stufen «hoch» und «sehr hoch» entsprechen, weil davon abhängt, wofür eine Risikoanalyse nötig ist.

Schadensszenarien

200-2 ordnet mögliche Schäden typischerweise folgenden Szenarien zu:

• Verstoß gegen Gesetze, Vorschriften oder Verträge,
• Beeinträchtigung des informationellen Selbstbestimmungsrechts,
• Beeinträchtigung der persönlichen Unversehrtheit,
• Beeinträchtigung der Aufgabenerfüllung,
• negative Innen- oder Außenwirkung,
• finanzielle Auswirkungen.

Für jedes Szenario sollten die Grenzen zwischen normal, hoch und sehr hoch für den eigenen Betrieb festgelegt werden. Beispiel für finanzielle Auswirkungen: Ab welchem Betrag ist ein Schaden für Ihr Unternehmen beträchtlich, ab welchem existenzbedrohend? Diese Grenzen sind betriebsindividuell. Das BSI gibt keine allgemeingültigen Beträge vor, und eine Werkstatt wird andere Werte ansetzen als ein Ingenieurbüro.

Ableitungsregeln

Maximumprinzip

Der Schutzbedarf eines IT-Systems richtet sich in der Regel nach dem höchsten Schutzbedarf der Anwendungen, die darauf laufen. Ein Server, auf dem eine Anwendung mit hohem Vertraulichkeitsbedarf läuft, hat damit ebenfalls hohen Vertraulichkeitsbedarf. Dasselbe gilt für Räume, in denen solche Systeme oder Unterlagen stehen.

Kumulationseffekt

Mehrere kleinere Schäden können sich zu einem größeren addieren. Laufen viele Anwendungen mit normalem Verfügbarkeitsbedarf auf einem einzigen Virtualisierungsserver, kann dessen Ausfall insgesamt einen beträchtlichen Schaden verursachen. Der Schutzbedarf des Servers steigt dann auf «hoch».

Verteilungseffekt

Umgekehrt kann der Schutzbedarf sinken, wenn eine Anwendung redundant auf mehreren Systemen läuft oder nur unwesentliche Teile auf einem System verarbeitet werden. Typisch betrifft das die Verfügbarkeit.

Abhängigkeiten

Ein Geschäftsprozess hängt oft an mehreren Anwendungen, eine Anwendung an Datenbanken, Netzen und Diensten. Diese Abhängigkeiten müssen bei der Ableitung berücksichtigt werden.

Für jede Einstufung soll eine kurze Begründung dokumentiert werden, damit die Entscheidung später nachvollziehbar bleibt.

Kommunikationsverbindungen

Bei den Verbindungen geht es darum, kritische Strecken zu erkennen, etwa Verbindungen ins Internet oder zu Dienstleistern, Verbindungen, über die vertrauliche Daten übertragen werden, und Verbindungen, deren Ausfall wichtige Prozesse unterbricht. Ein Netzplan aus der Strukturanalyse ist dafür die Grundlage.

Beispiel aus einem kleinen Betrieb

Ein Steuerbüro mit acht Mitarbeitenden betrachtet seine Kanzleisoftware:

• Vertraulichkeit: sehr hoch, weil Mandantendaten und Berufsgeheimnis betroffen sind und ein Bekanntwerden das Vertrauen und die Existenz gefährden kann.
• Integrität: hoch, weil verfälschte Buchungen oder Bescheide zu Fristversäumnissen und Haftung führen können.
• Verfügbarkeit: hoch in Fristzeiten, sonst normal. Das Büro legt fest, dass ein Ausfall von mehr als einem Arbeitstag beträchtliche Folgen hat.

Nach dem Maximumprinzip erben der Server oder Cloud-Dienst, auf dem die Software läuft, und der Raum mit dem Server diesen Schutzbedarf. Weil hoher und sehr hoher Schutzbedarf vorliegt, folgt für diese Objekte später eine Risikoanalyse.

Schlussfolgerungen

Am Ende steht eine Übersicht mit dem Schutzbedarf je Objekt und Grundwert. Sie zeigt,

• wo die Standard-Anforderungen der Bausteine ausreichen (normaler Schutzbedarf),
• wo zusätzlich Anforderungen für erhöhten Schutzbedarf und eine Risikoanalyse nach BSI-Standard 200-3 nötig sind,
• welche Objekte besonders sorgfältig überwacht und gesichert werden müssen.

Praktische Hinweise

• Die Einschätzung treffen Fachverantwortliche und Geschäftsführung, die IT liefert Informationen zu Abhängigkeiten.
• Lieber wenige Objekte sauber bewerten als viele oberflächlich. Gruppen gleichartiger Objekte, etwa alle Büro-PCs, werden gemeinsam bewertet.
• Die Ergebnisse sollten mit dem Datenschutz abgeglichen werden, da personenbezogene Daten häufig hohen Vertraulichkeitsbedarf begründen.
• Bei Änderungen, etwa einer neuen Anwendung oder einem neuen Dienstleister, wird die Bewertung ergänzt.