WiBA: Weg in die Basis-Absicherung

Was WiBA ist

WiBA steht für «Weg in die Basis-Absicherung». Das BSI stellt damit themenspezifische Checklisten bereit, mit denen sich der Stand der Informationssicherheit ohne tiefe Kenntnis der IT-Grundschutz-Methodik erheben lässt. Aktuell sind die Dokumente als WiBA 2.0 veröffentlicht; eine Änderungsübersicht zwischen Version 1.0 und 2.0 liegt als Tabelle bei.

Grundlage der Prüffragen ist das IT-Grundschutz-Profil «Basis-Absicherung Kommunalverwaltung». WiBA deckt dessen wesentliche, vorrangig umzusetzende Aspekte ab. Eine Mappingtabelle zeigt, welche Profil-Anforderungen durch welche Prüffrage abgedeckt sind.

BSI WiBA im Überblick: die 19 Checklisten

Die Checklisten sind nach Themen geschnitten, nicht nach Bausteinen:

• Organisation und Personal
• Umgang mit Informationen
• Rollen, Berechtigungen, Authentisierung
• Vorbereitung für Sicherheitsvorfälle
• Backup
• IT-Administration
• Sicherheitsmechanismen
• Client
• Bürosoftware
• Mobile Endgeräte
• Netze
• Serversysteme
• Serverraum und Datenträgerarchiv
• Webserver und Webanwendungen
• Outsourcing und Cloud
• Drucker und Multifunktionsgeräte
• Telefonie und Fax
• Arbeit innerhalb der Institution, Haustechnik
• Arbeit außerhalb der Institution

Zu jeder Prüffrage gibt es Erläuterungen und Hinweise auf Hilfsmittel. Die Hilfsmittel sind laut BSI nicht verbindlich, gelten aber in der Regel als praxisbewährt.

Aufwandskategorien

Jede Prüffrage ist einer von vier Kategorien zugeordnet:

1. Quick Wins: meist innerhalb eines Tages mit wenig Aufwand erledigt.
2. Geringer Aufwand: meist in wenigen Wochen in Eigenregie umsetzbar.
3. Mittlerer Aufwand: einige Monate, eventuell mit externer Unterstützung.
4. Hoher Aufwand: langfristig, oft mit Expertenwissen und Hilfe Dritter.

Zusätzlich veröffentlicht das BSI eine empfohlene Bearbeitungsreihenfolge der Checklisten. Für die Planung ist die Kombination aus Reihenfolge und Aufwandskategorie praktisch: erst die Quick Wins in den vorrangigen Themen, dann die größeren Vorhaben.

Vorgehen in der Praxis

Vorbereitung

Klären Sie den Geltungsbereich (ganzer Betrieb oder ein Standort), benennen Sie eine verantwortliche Person und sammeln Sie vorhandene Unterlagen: Netzplan, Geräteliste, Verträge mit IT-Dienstleistern, bestehende Regelungen. Ohne eine Übersicht über Geräte und Dienste lassen sich viele Fragen nicht ehrlich beantworten.

Erhebung

Arbeiten Sie die Checklisten im Gespräch mit den Zuständigen durch, nicht allein am Schreibtisch. Dokumentieren Sie zu jeder Frage den Stand und eine kurze Begründung. Das BSI nennt für die Erstbewertung etwa zwei Tage mit relativ geringem Personalaufwand. Bearbeitet werden kann in den Word-Dokumenten; ein Excel-Werkzeug stellt das BSI über die Sicherheitsberatung für Länder und Kommunen bereit.

Umsetzungsplanung

Offene Punkte werden zu Maßnahmen mit Verantwortlichen und Terminen. Die Priorisierung ergibt sich aus Bearbeitungsreihenfolge und Aufwandskategorie. Wichtig ist eine regelmäßige Wiedervorlage, damit die Liste nicht nach dem ersten Durchgang liegen bleibt.

Was WiBA nicht ist

• Keine Zertifizierung: Eine Zertifizierung nach WiBA ist nicht möglich. Das BSI prüft nach eigener Aussage eine Bestätigung per Selbsterklärung, eine echte Zertifizierung ist nicht vorgesehen.
• Kein Ersatz für die vollständige Basis-Absicherung: WiBA ist der Einstieg. Danach empfiehlt das BSI, das Profil «Basis-Absicherung Kommunalverwaltung» vollständig umzusetzen und später zur Standard-Absicherung überzugehen, für die eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz möglich ist.
• Kein Risikomanagement: Die Prüffragen fragen den Umsetzungsstand ab. Eine Bewertung, welche Informationen besonders schützenswert sind, ersetzt WiBA nicht.

Einsatz in Unternehmen

WiBA ist auf Kommunen zugeschnitten, einzelne Fragen beziehen sich auf Verwaltungsabläufe. Kleine Unternehmen können die Checklisten trotzdem gut nutzen, wenn sie unpassende Fragen begründet als nicht zutreffend markieren. Das BSI weist darauf hin, dass für andere Organisationen zusätzliche Anforderungen gelten können, die für Kommunen nicht relevant sind, etwa branchenspezifische Vorgaben.

Typische Stolpersteine

Zu wohlwollend antworten

Eine Prüffrage gilt erst dann als erfüllt, wenn die Maßnahme tatsächlich wirkt und nachvollziehbar ist. «Wir machen Backups» reicht nicht, wenn niemand weiß, ob die Wiederherstellung funktioniert. Halten Sie im Zweifel «teilweise» fest und beschreiben Sie, was fehlt.

Dienstleister nicht einbeziehen

In kleinen Organisationen liegt ein großer Teil der Technik bei externen Dienstleistern. Fragen zu Servern, Firewall oder Updates lassen sich ohne sie nicht verlässlich beantworten. Planen Sie deshalb einen gemeinsamen Termin ein und klären Sie, welche Maßnahmen vertraglich abgedeckt sind.

Ergebnisse nicht festhalten

Die ausgefüllten Checklisten sind zugleich ein erster Teil der Sicherheitsdokumentation. Bewahren Sie sie versioniert auf, damit beim nächsten Durchgang sichtbar wird, was sich verbessert hat, und damit bei Personalwechsel nichts verloren geht.

Alles gleichzeitig wollen

Rund 250 Prüffragen lassen sich nicht in einem Monat abarbeiten. Wer mit den Quick Wins der vorrangigen Checklisten beginnt, erzielt schnell spürbare Verbesserungen und schafft Rückhalt für die aufwendigeren Vorhaben.

WiBA oder DIN SPEC 27076?

Beide richten sich an kleine Organisationen, verfolgen aber unterschiedliche Ansätze. Die DIN SPEC 27076 ist ein kurzes, standardisiertes Beratungsgespräch mit 27 Anforderungen und einem Ergebnisbericht. WiBA ist deutlich breiter, geht in die Tiefe einzelner Themen und ist als Arbeitsinstrument für die eigene Umsetzung gedacht. Ein sinnvoller Weg kann sein, mit dem CyberRisikoCheck eine erste Standortbestimmung zu machen und danach mit WiBA systematisch weiterzuarbeiten.