BSI-IT-Grundschutz – test.nodsb.de

INFORMATIONSSICHERHEIT · METHODIK · PRAXIS

BSI-IT-Grundschutz: Informationssicherheit systematisch gestalten

Wie lässt sich Informationssicherheit so organisieren, dass sie nicht nur aus einzelnen technischen Maßnahmen besteht? Der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) bietet dafür eine etablierte Vorgehensweise: Risiken erkennen, Schutzbedarf bestimmen, angemessene Anforderungen umsetzen und die Wirksamkeit regelmäßig überprüfen.

Kurz erklärt

IT-Grundschutz ist ein methodischer Werkzeugkasten für ein Informationssicherheitsmanagementsystem (ISMS). Er verbindet Management, Organisation, Personal, Prozesse, Technik und Notfallvorsorge. Nicht jede Institution benötigt sofort eine Zertifizierung.

1. Was ist IT-Grundschutz?

Informationssicherheit betrifft alle Informationen, die eine Organisation für ihre Aufgaben benötigt – unabhängig davon, ob sie digital verarbeitet werden oder auf Papier vorliegen. Der IT-Grundschutz des BSI unterstützt Einrichtungen dabei, einen angemessenen Schutz aufzubauen und dauerhaft zu erhalten.

Sein Ausgangspunkt ist nicht die Frage, welche Sicherheitssoftware angeschafft werden soll. Zunächst wird geklärt, welche Geschäftsprozesse, Informationen, Anwendungen und Systeme geschützt werden müssen und welche Folgen ein Ausfall, eine Veränderung oder ein unbefugter Zugriff hätte.

2. Welche Ziele verfolgt der IT-Grundschutz?

Vertraulichkeit: Informationen stehen nur Berechtigten zur Verfügung.
Integrität: Informationen und Systeme bleiben korrekt und vor unbefugter Veränderung geschützt.
Verfügbarkeit: Erforderliche Informationen und Leistungen stehen rechtzeitig zur Verfügung.

Ergänzend spielen beispielsweise Authentizität und Nachvollziehbarkeit eine Rolle. Der Grundschutz hilft, diese Ziele nicht isoliert, sondern in einem abgestimmten Sicherheitskonzept zu erreichen.

3. Welche BSI-Standards gehören dazu?

BSI-Standard 200-1 – Managementsysteme für Informationssicherheit

Er legt die grundlegenden Anforderungen an ein ISMS fest. Entscheidend sind die Verantwortung der Leitung, Sicherheitsziele, Ressourcen, Rollen, Prozesse und die kontinuierliche Verbesserung.

BSI-Standard 200-2 – IT-Grundschutz-Methodik

Er beschreibt die praktische Vorgehensweise: von der Festlegung des Geltungsbereichs über Strukturanalyse, Schutzbedarfsfeststellung und Modellierung bis zu Prüfung, Umsetzungsplanung und fortlaufender Pflege.

BSI-Standard 200-3 – Risikoanalyse auf Basis von IT-Grundschutz

Wo die grundlegenden Anforderungen nicht ausreichen oder besondere Risiken bestehen, unterstützt dieser Standard eine vertiefte Risikoanalyse. So können zusätzliche oder alternative Sicherheitsmaßnahmen begründet werden.

BSI-Standard 200-4 – Business Continuity Management

Er behandelt das Management der Aufrechterhaltung wichtiger Geschäftsprozesse bei gravierenden Störungen. Dabei steht die organisatorische Resilienz im Mittelpunkt: kritische Abläufe erkennen, Vorsorge treffen und Wiederanlauf planen.

Wichtig

Ein ISMS nach IT-Grundschutz ist mehr als eine Sammlung ausgefüllter Checklisten. Verantwortung, Umsetzung, Nachweise und fortlaufende Überprüfung müssen tatsächlich gelebt werden.

4. Das IT-Grundschutz-Kompendium

Das Kompendium besteht aus thematischen Bausteinen. Sie behandeln beispielsweise Organisation und Personal, IT-Betrieb, Anwendungen, Netzwerke, Systeme, Infrastruktur und die Behandlung sicherheitsrelevanter Ereignisse.

Ein Baustein beschreibt seinen Anwendungsbereich, typische Gefährdungen und Sicherheitsanforderungen. Die Institution wählt anhand ihrer konkreten Prozesse und technischen Umgebung die passenden Bausteine aus. Welche Anforderungen anzuwenden sind, hängt unter anderem von der gewählten Vorgehensweise und dem Schutzbedarf ab.

Einzelne Bausteine und ihre Kennungen können mit neuen Editionen geändert werden. Deshalb sollte bei Projekten und Prüfungen immer die verwendete Kompendium-Edition dokumentiert werden.

5. Drei Wege zur Absicherung

Basis-Absicherung

Ein pragmatischer Einstieg, um grundlegende Sicherheitsanforderungen möglichst breit umzusetzen. Besonders geeignet, wenn bislang kein umfassendes Sicherheitsmanagement etabliert ist. Sie ist für sich genommen nicht gleichbedeutend mit einer ISO-27001-Zertifizierung.

Standard-Absicherung

Eine systematische, umfassende Vorgehensweise zur Absicherung des betrachteten Informationsverbundes. Sie ist der typische Weg zu einem vollständigen ISMS nach IT-Grundschutz und kann die Grundlage für eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz bilden.

Kern-Absicherung

Sie konzentriert sich zunächst auf die besonders schutzbedürftigen Geschäftsprozesse und die hierfür unverzichtbaren Informationen und Systeme – die sogenannten „Kronjuwelen“. Ein weitergehender Ausbau bleibt erforderlich.

6. Wie läuft die Umsetzung praktisch ab?

1. Verantwortung festlegen: Die Leitung beschließt die Sicherheitsziele, benennt Rollen und stellt Ressourcen bereit.
2. Geltungsbereich bestimmen: Welche Organisationseinheiten, Aufgaben, Prozesse und Systeme werden betrachtet?
3. Strukturanalyse durchführen: Informationsverbund, Anwendungen, IT-Systeme, Räume und Verbindungen erfassen.
4. Schutzbedarf feststellen: Folgen für Vertraulichkeit, Integrität und Verfügbarkeit beurteilen.
5. Modellieren: Geeignete Bausteine des Kompendiums zuordnen.
6. IT-Grundschutz-Check: Bereits umgesetzte und fehlende Anforderungen feststellen.
7. Risiken vertieft analysieren: Soweit nach Methode und Risikolage erforderlich.
8. Maßnahmen umsetzen und überprüfen: Verantwortliche, Fristen, Nachweise und regelmäßige Kontrollen festlegen.

Praxisbeispiel

Eine Kommune betreibt ein digitales Bürgerbüro. Bei der Schutzbedarfsfeststellung werden nicht nur die Server berücksichtigt, sondern auch die Verfügbarkeit des Fachverfahrens, die Zugriffsrechte der Beschäftigten, Schnittstellen zu anderen Stellen, Datensicherungen und ein Notbetrieb bei längeren Ausfällen.

7. IT-Grundschutz für Kommunalverwaltungen

Kommunen erfüllen viele unverzichtbare öffentliche Aufgaben und verarbeiten große Mengen personenbezogener und anderer schutzbedürftiger Informationen. Informationssicherheit muss deshalb IT-Betrieb und Fachverfahren ebenso berücksichtigen wie Personal, Gebäude, Dienstleister und Krisenmanagement.

Für diesen Bereich gibt es das IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“. Es erleichtert den strukturierten Einstieg und berücksichtigt Besonderheiten kommunaler Aufgaben. Das Profil ist als fachliche Unterstützung zu verstehen; es ersetzt weder eine organisationsspezifische Schutzbedarfsprüfung noch gegebenenfalls erforderliche zusätzliche Maßnahmen.

Hilfreich ist insbesondere die Verbindung mit bestehenden Verzeichnissen der Fachverfahren, dem Notfallmanagement, der Dokumentation technischer und organisatorischer Maßnahmen und der Verantwortungsverteilung zwischen Fachämtern und IT.

8. Was hat IT-Grundschutz mit Datenschutz zu tun?

Datenschutz schützt die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten. Informationssicherheit verfolgt ein breiteres Schutzziel und bezieht auch sonstige vertrauliche, geschäftskritische oder öffentliche Informationen ein.

Die Methodik des IT-Grundschutzes kann bei der Umsetzung und Bewertung technischer und organisatorischer Maßnahmen nach Artikel 32 DSGVO wesentlich helfen. Sie liefert jedoch nicht automatisch eine datenschutzrechtliche Rechtsgrundlage, eine Prüfung der Zweckbindung oder eine Datenschutz-Folgenabschätzung.

Auch ein nach IT-Grundschutz gut abgesichertes System kann datenschutzrechtlich unzulässig sein. Umgekehrt kann eine rechtmäßige Datenverarbeitung unzureichend geschützt sein. Beide Perspektiven müssen deshalb zusammengeführt werden.

9. Zertifizierung: Was bedeutet sie – und was nicht?

Für geeignete Geltungsbereiche ist eine ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz möglich. Dafür gelten gesonderte Prüfungsgrundlagen, Verfahrensregeln und Nachweisanforderungen. Eine Zertifizierung bezieht sich auf einen definierten Geltungsbereich und ist kein Beleg für absolute Sicherheit oder eine pauschale DSGVO-Konformität.

Das BSI veröffentlicht verbindliche Prüfungsgrundlagen und Übergangsregelungen für Zertifizierungen. Die maßgebliche Fassung richtet sich nach den hierfür vorgesehenen Vorgaben; eine ältere Kompendium-Edition kann für ein konkretes Audit noch relevant sein.

10. So gelingt der Einstieg

Beginnen Sie mit Unterstützung der Leitung und einer klaren Zuständigkeit für Informationssicherheit.
Wählen Sie einen überschaubaren Geltungsbereich und dokumentieren Sie wichtige Prozesse und Systeme.
Nutzen Sie die Basis-Absicherung für einen strukturierten ersten Maßnahmenplan.
Priorisieren Sie besonders sensible Informationen und kritische Leistungen.
Prüfen Sie frühzeitig, wie Datenschutz, IT-Betrieb, Fachbereiche und Notfallmanagement zusammenarbeiten.
Planen Sie regelmäßige Reviews und Wiederherstellungstests ein.

Merksatz

Der IT-Grundschutz bietet keine Sicherheit „auf Knopfdruck“. Er macht Sicherheitsrisiken, Verantwortlichkeiten und Schutzmaßnahmen nachvollziehbar – und schafft so die Grundlage für eine dauerhaft verbesserte Informationssicherheit.

11. Amtliche Quellen und weiterführende Informationen

BSI – Bundesamt für Sicherheit in der Informationstechnik – zentrale amtliche Einstiegsseite.
BSI – IT-Grundschutz – Methodik, Standards und Kompendium.
BSI-Standard 200-1 (PDF) – Grundlagen des ISMS.
Leitfaden zur Basis-Absicherung (PDF) – verständlicher Einstieg.
IT-Grundschutz-Profil Basis-Absicherung Kommunalverwaltung (PDF) – kommunaler Anwendungsfall.
BSI – Prüfungsgrundlagen zur Zertifizierung (PDF) – verbindliche Dokumentstände prüfen.

Redaktioneller Hinweis: Die Seite vermittelt eine Einführung. Für eine konkrete Prüfung sind der jeweils einschlägige BSI-Standard, die aktuelle Kompendium-Edition und gegebenenfalls branchenspezifische Vorgaben heranzuziehen. Stand der redaktionellen Fassung: November 2026.