FachgrundlageSprint 2fachsystematisch⏱ 5 h

Wie der IT-Grundschutz des BSI vorgeht: vom Überblick über den Bestand über den Schutzbedarf bis zur Risikoanalyse, und wie man Risiken einstuft, behandelt und in Euro bewertet.

Der wichtigste Satz auf dieser Seite: Der Schutzbedarf fragt, wie schlimm ein Schaden wäre. Das Risiko fragt zusätzlich, wie wahrscheinlich er ist. Erst beides zusammen sagt, wo das Geld hingehört.

Wozu diese Lektion?

Im Auftrag arbeitest du am Fall der Halle. Hier steht das Gerüst, das über den Fall hinaus trägt: Begriffe, Regeln und Zusammenhänge, so wie sie in jedem Betrieb und in der Technikerprüfung gelten. Lies sie, wenn du sie brauchst, und komm zurück, wenn du unsicher bist.

Schutzziele

Informationssicherheit schützt drei Grundwerte. Vertraulichkeit: Nur Befugte können Informationen lesen. Integrität: Informationen und Systeme sind korrekt und unverändert, Änderungen sind erkennbar. Verfügbarkeit: Informationen und Systeme stehen bereit, wenn sie gebraucht werden.

Für jedes Schutzziel wird der Schutzbedarf getrennt festgestellt. Die Videoaufzeichnung an der Rampe etwa braucht hohe Vertraulichkeit, weil sie Fahrer zeigt (Teil 1), ihre Verfügbarkeit ist aber eher normal. Beim Frachtsystem ist es umgekehrt: Seine Daten sind nicht geheimer als andere, aber ohne es steht die Halle.

IT-Grundschutz: Standards und Vorgehensweisen

Das BSI beschreibt Informationssicherheit in vier Standards: 200-1 Managementsysteme für Informationssicherheit (ISMS, Teil 6), 200-2 IT-Grundschutz-Methodik, 200-3 Risikoanalyse auf der Basis von IT-Grundschutz, 200-4 Business Continuity Management (Teil 3).

BSI-Standard 200-2 kennt drei Vorgehensweisen:

Die Standard-Absicherung läuft in festen Schritten: Initiierung und Organisation, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check, Risikoanalyse nach 200-3 für alles, was hohen oder sehr hohen Schutzbedarf hat, Umsetzungsplanung, Aufrechterhaltung. Teil 2 deckt die fett gesetzten Schritte ab.

Strukturanalyse

Die Strukturanalyse beantwortet: Was gibt es, und was hängt wovon ab? Erfasst werden die Geschäftsprozesse, die Anwendungen, die sie unterstützen, die IT-Systeme (Server, virtuelle Maschinen, Clients, Netzkomponenten), die Räume und Gebäude, die Kommunikationsverbindungen und die Informationen selbst.

Gleichartige Objekte mit gleicher Aufgabe, gleicher Konfiguration und gleichem Schutzbedarf werden zu Gruppen zusammengefasst: 85 Handscanner sind ein Zielobjekt, nicht 85. Grundlage ist ein bereinigter Netzplan: wer mit wem verbunden ist, über welches Netz, an welchem Standort.

Schutzbedarfsfeststellung

Zuerst legt die Leitung fest, was „normal“, „hoch“ und „sehr hoch“ für den eigenen Betrieb bedeutet. BSI-Standard 200-2 gibt die drei Kategorien und die Schadensszenarien vor, die Grenzen setzt jede Organisation selbst.

Bewertet wird für jedes Schutzziel entlang von sechs Schadensszenarien: Verstoß gegen Gesetze, Vorschriften oder Verträge; Beeinträchtigung des informationellen Selbstbestimmungsrechts; Beeinträchtigung der persönlichen Unversehrtheit; Beeinträchtigung der Aufgabenerfüllung; negative Innen- oder Außenwirkung; finanzielle Auswirkungen. Es zählt das schlimmste realistische Szenario.

Die Bewertung beginnt bei den Geschäftsprozessen und Anwendungen und wird dann auf die Objekte übertragen, auf denen sie laufen. Dabei gelten drei Regeln:

Räume erben vom höchsten System darin, Netzverbindungen von den Systemen, die über sie kommunizieren. Verbindungen nach außen, durch unsichere Netze oder zu hochschutzbedürftigen Systemen werden als kritisch markiert.

Modellierung mit Bausteinen

Bei der Modellierung wird jedem Zielobjekt der passende Baustein aus dem IT-Grundschutz-Kompendium zugeordnet. Jeder Baustein enthält Gefährdungen und Anforderungen (Basis, Standard, erhöhter Schutzbedarf). Gültig ist das Kompendium in der Edition 2023.

Seit 2026 führt das BSI schrittweise Grundschutz++ ein: dieselbe Idee, aber als maschinenlesbares Regelwerk, das sich mit Werkzeugen prüfen lässt. Der bisherige IT-Grundschutz bleibt bis Ende 2028 gültig, deshalb arbeiten die meisten Betriebe vorerst weiter mit dem Kompendium 2023. Für eure Arbeit gilt: Bausteine nach Kompendium 2023 benennen und notieren, dass es eine Nachfolge gibt.

Risikoanalyse nach BSI-Standard 200-3

Für Zielobjekte mit hohem oder sehr hohem Schutzbedarf reicht der Grundschutz allein nicht; für sie wird eine Risikoanalyse durchgeführt. Sie läuft in vier Schritten:

1. Gefährdungsübersicht: Für jedes Zielobjekt werden aus den 47 elementaren Gefährdungen (G 0.1 Feuer bis G 0.47 Schädliche Seiteneffekte IT-gestützter Angriffe) die zutreffenden ausgewählt, ergänzt um zusätzliche Gefährdungen, die nur hier gelten.
2. Einstufung: Jede Gefährdung wird nach Eintrittshäufigkeit und Auswirkung eingestuft, zuerst ohne die geplanten Maßnahmen.
3. Bewertung: Aus beiden ergibt sich über die Risikomatrix die Risikokategorie. Die Leitung legt fest, welche Kategorie sie hinnimmt.
4. Behandlung: Für jedes nicht hinnehmbare Risiko wird eine Behandlungsoption gewählt und das Restrisiko ausgewiesen.

Einige elementare Gefährdungen, die ihr für den Hub braucht:

Risikomatrix

BSI-Standard 200-3 schlägt vier Klassen je Achse vor. Die Grenzen legt die Organisation fest. Für HLG hat die Geschäftsleitung als Unterrichtswerte bestimmt: Häufigkeit selten unter 0,2 je Jahr (seltener als alle fünf Jahre), mittel 0,2 bis unter 1, häufig 1 bis unter 12, sehr häufig ab 12 je Jahr. Auswirkung vernachlässigbar unter 10.000 €, begrenzt 10.000 € bis unter 100.000 €, beträchtlich 100.000 € bis unter 1 Mio. €, existenzbedrohend ab 1 Mio. € je Ereignis.

Die Matrix ist ein Werkzeug zum Sortieren, keine Rechenmaschine. Zwei Risiken in derselben Zelle können sich um das Zehnfache unterscheiden. Deshalb rechnet ihr zusätzlich in Euro.

Risiko in Euro: erwarteter jährlicher Schaden

Wer Häufigkeit und Schadenshöhe kennt, kann den Schaden schätzen, mit dem im Mittel je Jahr zu rechnen ist. Das ist keine Vorhersage, sondern ein Maß, um Risiken und Maßnahmen zu vergleichen:

E = f · S

mit E erwarteter jährlicher Schaden in €, f Eintrittshäufigkeit je Jahr, S Schaden je Ereignis in €. Wenn ein Ereignis die Frachtannahme für die Dauer t stoppt, gilt S = t · Ausfallkosten je Stunde.

Eine Maßnahme ist wirtschaftlich, wenn der Schaden, den sie im Jahr vermeidet, größer ist als das, was sie im Jahr kostet. Einmalige Kosten werden dafür auf die Nutzungsdauer verteilt:

K_Jahr = einmalige KostenNutzungsdauer in Jahren + laufende Kosten je Jahr

lohnt sich, wenn E_vorher minus E_nachher > K_Jahr

Ein seltenes Ereignis mit katastrophalem Schaden hat oft einen kleineren Erwartungswert als ein häufiges ärgerliches, kann aber den Betrieb beenden. Darum entscheidet die Leitung nicht allein nach dem Erwartungswert.

Risiko behandeln und Restrisiko tragen

Was nach der Behandlung übrig bleibt, ist das Restrisiko. Es verschwindet nie. Die Leitung muss es kennen und schriftlich übernehmen, nicht die IT. Übertragen heißt nicht, dass der Schaden ausbleibt: Die Halle steht trotzdem, nur zahlt jemand anderes einen Teil.

Verfügbarkeit in Prozent

Verfügbarkeit ist der Anteil der Zeit, in der ein System nutzbar ist:

V = Betriebszeit minus AusfallzeitBetriebszeit · 100 %

erlaubte Ausfallzeit = (1 minus V) · Betriebszeit

Ein Jahr hat 365 · 24 h = 8.760 h. Wer eine Verfügbarkeit zusagt oder einkauft, sollte sie immer in Stunden je Jahr übersetzen und fragen: Darf diese Zeit am Stück fehlen, und auch in der Spitze von 20 bis 23 Uhr?

So steigt der Anspruch in Teil 2