Strukturanalyse: den Informationsverbund erfassen
Strukturanalyse nach IT-Grundschutz: Geschäftsprozesse, Anwendungen, Systeme, Netze und Räume erfassen, sinnvoll gruppieren und dokumentieren.
Wer eine Strukturanalyse IT-Grundschutz-konform durchführt, erstellt eine geordnete Bestandsaufnahme: Welche Abläufe hat der Betrieb, welche Daten und Programme gehören dazu, auf welchen Geräten laufen sie, wie sind sie verbunden und in welchen Räumen stehen sie? Diese Übersicht ist die Grundlage für alle weiteren Schritte.
Warum das wichtig ist
Schützen kann man nur, was man kennt. In vielen Betrieben weiß niemand genau, welche Geräte im Netz hängen, welche Cloud-Dienste genutzt werden oder wo wichtige Daten liegen. Die Strukturanalyse bringt das auf den Tisch. Oft fallen dabei schon Dinge auf, die man sofort abstellen kann, etwa ein vergessenes altes Gerät oder ein Zugang eines ehemaligen Dienstleisters.
Wie aufwendig ist das?
Weniger als befürchtet, wenn man es geschickt macht. Gleichartige Dinge werden zusammengefasst: Zwölf gleich eingerichtete Büro-PCs zählen als eine Gruppe, nicht als zwölf Einträge. Vorhandene Listen, etwa aus der Buchhaltung oder vom IT-Dienstleister, können Sie weiterverwenden.
Was am Ende vorliegt
Eine Liste der wichtigsten Abläufe und Anwendungen, eine Übersicht der Geräte und Räume und ein einfacher Plan des Netzes. Diese Unterlagen helfen nicht nur der Sicherheit, sondern auch im Alltag und im Notfall.
Der nächste Schritt
Bitten Sie Ihren IT-Dienstleister um eine aktuelle Geräte- und Netzübersicht und ergänzen Sie sie um die Abläufe, die für Ihren Betrieb unverzichtbar sind.
Ziel der Strukturanalyse
Die Strukturanalyse dient laut BSI-Standard 200-2 der Vorerhebung aller Informationen, die für das Sicherheitskonzept benötigt werden. Erfasst werden die Bestandteile des Informationsverbunds: Geschäftsprozesse, Informationen, Anwendungen, IT-, ICS- und IoT-Systeme, Räume und Kommunikationsnetze. Die Ergebnisse sind Eingangsgröße für Schutzbedarfsfeststellung und Modellierung. Sie ist Teil der Standard- und der Kern-Absicherung; bei der Basis-Absicherung genügt eine einfachere Übersicht der Zielobjekte.
Teilaufgaben
1. Geschäftsprozesse, Anwendungen und Informationen
Zuerst werden die wesentlichen Geschäftsprozesse im Geltungsbereich ermittelt, mit den zugehörigen Informationen und Anwendungen. Sind die Prozesse nicht dokumentiert, helfen Organigramme, Aufgabenbeschreibungen oder Interviews mit den Fachbereichen. Pro Anwendung werden unter anderem Bezeichnung, Verantwortliche, Nutzende und die verarbeiteten Informationen festgehalten, ebenso die Abhängigkeiten zwischen Prozessen und Anwendungen.
200-2 weist darauf hin, dass es in manchen Fällen einfacher ist, zuerst die IT-Systeme zu erheben und die Anwendungen davon abzuleiten. Beide Reihenfolgen sind zulässig.
2. Netzplanerhebung
Ein Netzplan stellt die Komponenten und ihre Verbindungen grafisch dar: Server, Clients, Netzkoppelelemente wie Router, Switches und Firewalls, Verbindungen nach außen (Internet, VPN, Fernwartung) und Netzsegmente. Er muss nicht schön sein, aber aktuell und vollständig für den Geltungsbereich. Vorhandene Pläne des IT-Dienstleisters sind ein guter Startpunkt und werden auf Aktualität geprüft.
3. IT-, ICS- und IoT-Systeme sowie sonstige Geräte
Für jedes System oder jede Gruppe werden eindeutige Bezeichnung, Typ und Plattform, Standort, Anzahl, Status (in Betrieb, in Planung), Verantwortliche und die darauf laufenden Anwendungen erfasst. Dazu gehören auch Drucker, Multifunktionsgeräte, Telefonanlage, Kameras, Smartphones, Tablets und Geräte der Haustechnik. Gerade diese werden häufig vergessen.
4. Räume und Gebäude
Erfasst werden Gebäude, Serverraum oder Technikschrank, Büros, Archive und gegebenenfalls häusliche Arbeitsplätze, jeweils mit den darin befindlichen Systemen. Für den ICS-Bereich gehören auch Produktionsräume dazu.
Komplexitätsreduktion durch Gruppenbildung
Der wichtigste Hebel für den Aufwand ist die Gruppenbildung. Nach 200-2 können Objekte zu einer Gruppe zusammengefasst werden, wenn sie
- vom gleichen Typ sind,
- ähnliche Aufgaben haben,
- ähnlichen Rahmenbedingungen unterliegen und
- den gleichen Schutzbedarf aufweisen.
Bei technischen Objekten kommen ähnliche Konfiguration, ähnliche Netzanbindung, ähnliche administrative Rahmenbedingungen und ähnliche Anwendungen hinzu. Ein Nebeneffekt: Konsequente Standardisierung erleichtert die Administration und verringert die Zahl möglicher Schwachstellen. Gruppen werden mit der Anzahl der enthaltenen Objekte dokumentiert, damit spätere Stichproben im Check gezielt möglich sind.
Datenquellen nutzen
Viele Informationen existieren bereits:
- Inventarlisten oder Anlagenverzeichnis aus der Buchhaltung,
- Daten aus Endpoint-Management, Monitoring oder Netzwerkscans,
- Lizenzübersichten und Verträge mit Cloud-Anbietern und Dienstleistern,
- Prozessbeschreibungen aus dem Qualitätsmanagement.
200-2 empfiehlt ausdrücklich, solche Synergien zu nutzen. Eine Strukturanalyse, die an ein ohnehin gepflegtes Inventar gekoppelt ist, bleibt eher aktuell.
Typische Lücken
- Cloud-Dienste: Microsoft 365, Branchensoftware als SaaS, Online-Banking oder Terminbuchung gehören als Anwendungen in die Analyse, auch wenn keine eigene Hardware dazugehört.
- Schatten-IT: private Geräte, eigenmächtig genutzte Dienste, alte NAS-Systeme.
- Externe Zugänge: Fernwartungszugänge von Herstellern und Dienstleistern.
- Abhängigkeiten: Welche Prozesse fallen aus, wenn ein bestimmter Server oder die Internetverbindung ausfällt?
Beispiel aus einem kleinen Betrieb
Ein Steuerbüro mit acht Arbeitsplätzen könnte die Strukturanalyse so zusammenfassen:
| Objekt | Art | Anzahl | Bemerkung |
|---|---|---|---|
| Mandantenbuchhaltung | Geschäftsprozess | 1 | zentral für den Betrieb |
| Kanzleisoftware | Anwendung | 1 | läuft auf dem Server, Datenbank lokal |
| E-Mail und Kalender | Anwendung | 1 | Cloud-Dienst |
| Büro-PCs Windows | IT-System, Gruppe | 8 | gleiche Konfiguration |
| Server | IT-System | 1 | im Technikschrank |
| Router mit Firewall | Netzkomponente | 1 | vom Provider |
| Multifunktionsgerät | sonstiges Gerät | 1 | Scan-to-Mail aktiv |
| Büroetage | Raum | 1 | Technikschrank abschließbar |
Dazu kommen ein einfacher Netzplan und eine Liste der externen Zugänge, etwa die Fernwartung des Softwareherstellers. Die Tabelle ist bewusst knapp; Details wie Seriennummern oder Lizenzen können im Inventar bleiben, auf das verwiesen wird.
Dokumentation und Pflege
Die Ergebnisse werden in Tabellen oder in einem Werkzeug festgehalten, mit Datum und Verantwortlichen. Für jede spätere Änderung im Informationsverbund, etwa neue Systeme oder neue Dienstleister, wird die Strukturanalyse fortgeschrieben. Sie ist kein Einmalprojekt, sondern Teil des laufenden Sicherheitsprozesses und wird im Rahmen der regelmäßigen Überprüfung aktualisiert.
Übergang zur Schutzbedarfsfeststellung
Mit der fertigen Strukturanalyse liegt fest, welche Objekte betrachtet werden. Im nächsten Schritt wird für Geschäftsprozesse und Anwendungen der Schutzbedarf bestimmt und auf Systeme, Räume und Verbindungen übertragen. Je sauberer die Abhängigkeiten in der Strukturanalyse erfasst sind, desto leichter fällt diese Vererbung.
Häufige Fragen
Was gehört in eine Strukturanalyse nach IT-Grundschutz?
Geschäftsprozesse, Informationen, Anwendungen, IT-, ICS- und IoT-Systeme, Räume und Kommunikationsverbindungen des Geltungsbereichs, inklusive Netzplan.
Muss jedes Gerät einzeln erfasst werden?
Nein. Gleichartige Objekte mit ähnlicher Aufgabe, Konfiguration und gleichem Schutzbedarf werden zu Gruppen zusammengefasst.
Wie oft muss die Strukturanalyse aktualisiert werden?
Bei jeder wesentlichen Änderung im Informationsverbund und im Rahmen der regelmäßigen Überprüfung des Sicherheitsprozesses.