BSI IT-Grundschutz-Kompendium: Aufbau, Bausteine und wie du es nutzt

Was ist das BSI IT-Grundschutz-Kompendium?

Das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist das zentrale Nachschlagewerk für Informationssicherheit in Deutschland. Es wird jährlich aktualisiert und umfasst in der aktuellen Edition über 100 Bausteine, die konkrete Sicherheitsanforderungen für nahezu jeden Aspekt der Informationssicherheit definieren.

Im Gegensatz zur ISO 27001, die auf einer abstrakten Ebene formuliert ist und dem Unternehmen viel Interpretationsspielraum lässt, ist IT-Grundschutz konkret. Wo ISO 27001 sagt "Es müssen angemessene Zugangskontrollen implementiert werden", sagt IT-Grundschutz: "Hier ist ein Baustein für Windows-Server, ein Baustein für Linux-Server und ein Baustein für Active Directory, und in jedem Baustein stehen die konkreten Anforderungen, die du umsetzen musst."

Diese Konkretheit ist gleichzeitig die größte Stärke und die größte Herausforderung von IT-Grundschutz. Die Stärke: Du musst nicht selbst überlegen, welche Maßnahmen für einen Windows-Server angemessen sind, das BSI hat es für dich analysiert. Die Herausforderung: Der Gesamtumfang ist enorm, und die vollständige Umsetzung aller relevanten Bausteine erfordert erhebliche Ressourcen.

Die Vorgehensweise: Vom Standard zum Konzept

Bevor du dich in die Bausteine stürzt, musst du die BSI-Vorgehensweise verstehen. IT-Grundschutz ist nicht nur ein Maßnahmenkatalog, sondern ein methodischer Rahmen für den Aufbau und Betrieb eines ISMS.

BSI-Standard 200-1: Managementsysteme für Informationssicherheit

Der BSI-Standard 200-1 definiert die Grundlagen für ein ISMS. Er ist kompatibel mit ISO 27001 und beschreibt die allgemeinen Anforderungen an das Management der Informationssicherheit: Sicherheitsleitlinie, Organisation, Rollen, Ressourcen, Bewusstseinsbildung, Dokumentation und Revision.

Wenn du bereits ein ISMS nach ISO 27001 betreibst, wirst du in BSI-Standard 200-1 wenig Neues finden. Die Anforderungen sind weitgehend deckungsgleich, nur anders strukturiert.

BSI-Standard 200-2: IT-Grundschutz-Methodik

Der BSI-Standard 200-2 ist das Herzstück der Vorgehensweise. Er beschreibt drei Varianten für die Umsetzung:

Basis-Absicherung. Die Einstiegsvariante. Du setzt für alle relevanten Zielobjekte (IT-Systeme, Anwendungen, Räume, Prozesse) die Basis-Anforderungen der zugehörigen Bausteine um. Das ergibt ein grundlegendes Sicherheitsniveau und eignet sich als Einstieg für Organisationen, die noch kein ISMS haben.

Standard-Absicherung. Die empfohlene Variante für den Regelbetrieb. Du setzt für alle Zielobjekte sowohl die Basis- als auch die Standard-Anforderungen um. Das ergibt ein Sicherheitsniveau, das dem State of the Art entspricht und als Grundlage für eine Zertifizierung dient.

Kern-Absicherung. Eine fokussierte Variante, bei der du zunächst nur die kritischsten Geschäftsprozesse und deren IT-Infrastruktur absicherst. Die Kern-Absicherung ist sinnvoll, wenn du schnell ein hohes Sicherheitsniveau für die "Kronjuwelen" erreichen willst und den Rest später nachziehst.

BSI-Standard 200-3: Risikomanagement

Der BSI-Standard 200-3 beschreibt die Risikoanalyse als Ergänzung zur Grundschutz-Methodik. Er kommt zum Einsatz, wenn die Standard-Absicherung nicht ausreicht, also bei erhöhtem Schutzbedarf. Die Risikoanalyse identifiziert zusätzliche Bedrohungen und Schwachstellen jenseits der Standardszenarien und leitet daraus zusätzliche Maßnahmen ab.

BSI-Standard 200-4: Business Continuity Management

Der BSI-Standard 200-4 ergänzt das Grundschutz-Framework um Business Continuity Management. Er beschreibt die Vorgehensweise für BIA (Business Impact Analyse), BCM-Planung und Notfallmanagement.

Der Aufbau des Kompendiums: Die zehn Schichten

Das IT-Grundschutz-Kompendium organisiert seine Bausteine in zehn Schichten, die von abstrakten Prozessthemen bis zu konkreten technischen Systemen reichen.

Prozess-Schichten (Schicht 1 bis 4)

ISMS (Schicht 1) enthält den fundamentalen Baustein ISMS.1 (Sicherheitsmanagement), der die Grundlagen für das Management der Informationssicherheit definiert. Er ist für jede Organisation relevant und wird immer als erstes betrachtet.

ORP: Organisation und Personal (Schicht 2) umfasst Bausteine für organisatorische Sicherheitsaspekte: ORP.1 (Organisation), ORP.2 (Personal), ORP.3 (Sensibilisierung und Schulung), ORP.4 (Identitäts- und Berechtigungsmanagement), ORP.5 (Compliance Management).

CON: Konzepte (Schicht 3) enthält übergreifende Sicherheitskonzepte: CON.1 (Kryptokonzept), CON.2 (Datenschutz), CON.3 (Datensicherungskonzept), CON.6 (Löschen und Vernichten), CON.7 (Informationssicherheit auf Reisen), CON.8 (Software-Entwicklung), CON.9 (Informationsaustausch), CON.10 (Entwicklung von Webanwendungen), CON.11 (Geheimschutz).

OPS: Betrieb (Schicht 4) behandelt den operativen IT-Betrieb: OPS.1 umfasst den Eigenbetrieb (Ordnungsgemäße IT-Administration, Patch- und Änderungsmanagement, Schwachstellenmanagement, Logging, Software-Tests, Archivierung). OPS.2 behandelt den Betrieb durch Dritte (Cloud-Nutzung, IT-Outsourcing, Telearbeit). OPS.3 betrifft den Betrieb für Dritte (Bereitstellung von IT-Diensten).

System-Schichten (Schicht 5 bis 10)

APP: Anwendungen (Schicht 5) umfasst Bausteine für spezifische Anwendungstypen: Office-Produkte, Webbrowser, Webserver, DNS-Server, Datenbanksysteme, E-Mail-Clients und -Server, Verzeichnisdienste (Active Directory, LDAP), Relationale Datenbanken, SAP und weitere.

SYS: IT-Systeme (Schicht 6) behandelt konkrete Betriebssysteme und Systemtypen: Windows Server, Windows Client, Linux Server, macOS, Mobile Devices (iOS, Android), Virtualisierung, Container, Drucker und Multifunktionsgeräte.

NET: Netze und Kommunikation (Schicht 7) umfasst Netzwerkkomponenten und -konzepte: Netzarchitektur und -design, Firewall, VPN, WLAN, Router und Switches, Netzwerk-Management, Voice over IP.

INF: Infrastruktur (Schicht 8) behandelt die physische Sicherheit: Allgemeines Gebäude, Rechenzentrum, Büroraum, Serverraum, Häuslicher Arbeitsplatz, Datenträgerarchiv, Verkabelung.

DER: Detektion und Reaktion (Schicht 9) umfasst Bausteine für die Erkennung und Behandlung von Sicherheitsvorfällen: Detektion von sicherheitsrelevanten Ereignissen, Security Incident Management, Forensik, Bereinigung weitreichender Sicherheitsvorfälle.

IND: Industrielle IT (Schicht 10) behandelt die Sicherheit industrieller Steuerungssysteme: Prozessleit- und Automatisierungstechnik, Speicherprogrammierbare Steuerung (SPS), Sensoren und Aktoren, Maschinensicherheit.

Aufbau eines Bausteins

Jeder Baustein folgt einer einheitlichen Struktur, die das Arbeiten mit dem Kompendium erleichtert.

Einleitung und Zielsetzung. Beschreibt, was der Baustein adressiert und warum er relevant ist.

Gefährdungslage. Listet die typischen Bedrohungen und Schwachstellen auf, die den Gegenstand des Bausteins betreffen. Das gibt dir einen Überblick darüber, welche Risiken der Baustein adressiert.

Anforderungen. Der Kern des Bausteins. Die Anforderungen sind in drei Kategorien unterteilt:

• Basis-Anforderungen (MUSS): Diese Anforderungen müssen umgesetzt werden, um ein Mindestmaß an Sicherheit zu gewährleisten. Sie sind für die Basis-Absicherung erforderlich.
• Standard-Anforderungen (SOLLTE): Diese Anforderungen entsprechen dem Stand der Technik und sollten für die Standard-Absicherung umgesetzt werden. Abweichungen müssen begründet werden.
• Anforderungen bei erhöhtem Schutzbedarf (SOLLTE): Zusätzliche Anforderungen für Zielobjekte mit besonders hohen Sicherheitsanforderungen.

Weiterführende Informationen. Verweise auf relevante BSI-Dokumente, technische Richtlinien und andere Quellen.

Beispiel: Baustein SYS.1.1 Allgemeiner Server

Um die Struktur greifbar zu machen, hier ein vereinfachtes Beispiel. Der Baustein SYS.1.1 beschreibt die grundlegenden Sicherheitsanforderungen für Server, unabhängig vom Betriebssystem.

Basis-Anforderungen (Auszug):

• Geeignete Aufstellung (physisch geschützter Standort)
• Benutzerauthentisierung
• Restriktive Rechtevergabe
• Aktivierung des Rollenschutzes
• Schutz der Schnittstellen
• Deaktivierung nicht benötigter Dienste
• Sicherheitsrelevante Updates und Patches

Standard-Anforderungen (Auszug):

• Festlegung einer Sicherheitsrichtlinie für Server
• Planung der Server-Einsatzes
• Betriebsdokumentation
• Einrichten einer Referenzinstallation
• Protokollierung
• Systemüberwachung und Monitoring
• Regelmäßige Datensicherung

Anforderungen bei erhöhtem Schutzbedarf (Auszug):

• Festplattenverschlüsselung
• Redundanz
• Hochverfügbarkeit

Die spezifischeren Bausteine (SYS.1.2 für Windows Server, SYS.1.3 für Linux) ergänzen diese allgemeinen Anforderungen um betriebssystemspezifische Punkte.

IT-Grundschutz und ISO 27001: Kein Entweder-Oder

Eine der häufigsten Fragen ist: Soll ich ISO 27001 oder IT-Grundschutz verwenden? Die Antwort: Es ist kein Entweder-Oder. Beide Ansätze lassen sich kombinieren, und es gibt verschiedene Wege, das zu tun.

Variante 1: ISO-27001-Zertifizierung auf Basis von IT-Grundschutz (BSI-Zertifizierung)

Du kannst eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz erhalten. Diese Zertifizierung wird vom BSI vergeben und bestätigt, dass du ein ISMS nach ISO 27001 betreibst und die IT-Grundschutz-Methodik für die Maßnahmenauswahl verwendest.

Der Vorteil: Du bekommst eine international anerkannte ISO-27001-Zertifizierung und nutzt gleichzeitig den konkreten Maßnahmenkatalog des IT-Grundschutzes. Der Nachteil: Der Aufwand ist erheblich, weil du sowohl die ISO-27001-Anforderungen als auch die IT-Grundschutz-Methodik vollständig umsetzen musst. Diese Variante ist typischerweise für Behörden und große Organisationen relevant.

Variante 2: Klassische ISO-27001-Zertifizierung mit IT-Grundschutz als Maßnahmenkatalog

Du baust dein ISMS nach ISO 27001 auf und nutzt die IT-Grundschutz-Bausteine als Orientierung für die Auswahl und Implementierung von Maßnahmen. Du bist nicht an die vollständige IT-Grundschutz-Methodik gebunden, profitierst aber von den konkreten Empfehlungen der Bausteine.

Das ist der pragmatischste Ansatz für mittelständische Unternehmen. Du nutzt die IT-Grundschutz-Bausteine als Checkliste, um sicherzustellen, dass du bei der Umsetzung von Annex-A-Controls nichts Wesentliches übersehen hast, ohne die formale IT-Grundschutz-Modellierung durchführen zu müssen.

Variante 3: Reiner IT-Grundschutz ohne Zertifizierung

Du nutzt IT-Grundschutz als interne Methodik, um dein Sicherheitsniveau systematisch zu erhöhen, strebst aber keine Zertifizierung an. Das ist sinnvoll, wenn die Geschäftsführung oder Kunden kein Zertifikat verlangen, du aber einen strukturierten Ansatz für die Verbesserung deiner Informationssicherheit haben willst.

IT-Grundschutz pragmatisch nutzen: Ein Leitfaden

Die schiere Größe des Kompendiums kann abschreckend wirken. Über 100 Bausteine, Hunderte von Anforderungen, und das Gefühl, dass du Jahre brauchen wirst, um alles umzusetzen. Hier ist der pragmatische Weg.

Schritt 1: Strukturanalyse durchführen

Dokumentiere deine IT-Landschaft: Welche Geschäftsprozesse gibt es? Welche Anwendungen unterstützen diese Prozesse? Auf welchen IT-Systemen laufen die Anwendungen? Wie sind die Systeme vernetzt? In welchen Räumlichkeiten stehen sie?

Das Ergebnis ist ein Strukturplan, der deine IT-Landschaft in Zielobjekte gliedert: Anwendungen, IT-Systeme, Netzwerkkomponenten, Räume und Gebäude.

Schritt 2: Schutzbedarf feststellen

Bewerte für jeden Geschäftsprozess und jedes Zielobjekt den Schutzbedarf in den drei Grundwerten: Vertraulichkeit, Integrität und Verfügbarkeit. Das BSI definiert drei Schutzbedarfskategorien: normal, hoch und sehr hoch.

Der Schutzbedarf vererbt sich: Wenn ein Geschäftsprozess hohen Schutzbedarf hat, erben die unterstützenden Anwendungen und IT-Systeme diesen Schutzbedarf. Das vereinfacht die Bewertung, erfordert aber eine saubere Dokumentation der Abhängigkeiten.

Schritt 3: Modellierung

Ordne jedem Zielobjekt die passenden Bausteine aus dem Kompendium zu. Ein Windows-Server bekommt den Baustein SYS.1.1 (Allgemeiner Server) und SYS.1.2 (Windows Server). Der zugehörige Serverraum bekommt INF.2 (Rechenzentrum und Serverraum). Die darauf laufende Webanwendung bekommt APP.3.1 (Webanwendungen und Webservices).

Schritt 4: IT-Grundschutz-Check

Prüfe für jeden zugeordneten Baustein, welche Anforderungen bereits umgesetzt sind und wo Lücken bestehen. Das ist die eigentliche Fleißarbeit und erfordert technisches Know-how sowie Zugang zu den Systemen und ihrer Dokumentation.

Schritt 5: Risikoanalyse bei erhöhtem Schutzbedarf

Für Zielobjekte mit hohem oder sehr hohem Schutzbedarf reichen die Standard-Anforderungen möglicherweise nicht aus. Hier führst du eine ergänzende Risikoanalyse nach BSI-Standard 200-3 durch und leitest zusätzliche Maßnahmen ab.

Schritt 6: Umsetzung und Konsolidierung

Setze die identifizierten Maßnahmen um, priorisiert nach Schutzbedarf und Risiko. Beginne mit den Basis-Anforderungen für alle Zielobjekte (das gibt dir ein solides Fundament), und arbeite dann die Standard-Anforderungen ab.

IT-Grundschutz und NIS2

Für Unternehmen im Geltungsbereich von NIS2 ist IT-Grundschutz eine anerkannte Methode zum Nachweis der Sicherheitsanforderungen. Das NIS2-Umsetzungsgesetz sieht vor, dass Betreiber kritischer Infrastrukturen und besonders wichtige Einrichtungen branchenspezifische Sicherheitsstandards (B3S) anwenden können, die vom BSI anerkannt werden. IT-Grundschutz gilt als solcher Standard.

Konkret bedeutet das: Wenn du IT-Grundschutz nach der Standard-Absicherung umsetzt, erfüllst du die technischen und organisatorischen Maßnahmen, die NIS2 in Artikel 21 fordert. Die Zuordnung ist nicht eins zu eins, aber die Abdeckung ist hoch.

Die NIS2-spezifischen Anforderungen, die über IT-Grundschutz hinausgehen (insbesondere die Meldepflichten, die persönliche Haftung der Geschäftsführung und bestimmte Governance-Anforderungen), musst du separat adressieren.

Stärken und Grenzen von IT-Grundschutz

Stärken

Konkretheit. IT-Grundschutz sagt dir, was du tun sollst, nicht nur, dass du etwas tun sollst. Das ist besonders wertvoll für Unternehmen ohne tiefes Security-Know-how, die eine konkrete Anleitung brauchen.

Deutschsprachig und aktuell. Das Kompendium wird jährlich aktualisiert und spiegelt den aktuellen Stand der Technik wider. Neue Technologien (Container, Cloud, Mobile) werden zeitnah durch neue Bausteine abgedeckt.

Kostenlos verfügbar. Das gesamte Kompendium ist auf der BSI-Website kostenlos zugänglich. Es gibt keine Lizenzgebühren.

Anerkannt. IT-Grundschutz ist in Deutschland der De-facto-Standard für die öffentliche Verwaltung und wird von vielen Aufsichtsbehörden und Branchenverbänden als Nachweis akzeptiert.

Grenzen

Umfang. Die vollständige Umsetzung aller relevanten Bausteine erfordert erhebliche Ressourcen. Für kleine Unternehmen mit begrenztem Budget und Personal kann der Aufwand unverhältnismäßig sein.

Deutschlandfokus. IT-Grundschutz ist ein deutscher Standard. Für Unternehmen mit internationaler Ausrichtung ist ISO 27001 die breitere anerkannte Basis.

Formale Modellierung. Die vollständige IT-Grundschutz-Methodik (Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check) ist aufwändig und erfordert methodisches Vorgehen. Für eine formale BSI-Zertifizierung ist sie erforderlich, für die pragmatische Nutzung als Maßnahmenkatalog nicht.

Techniklastigkeit. IT-Grundschutz hat einen starken Technikfokus. Die organisatorischen und kulturellen Aspekte der Informationssicherheit werden zwar in den Prozess-Schichten adressiert, kommen aber im Vergleich zu den technischen Bausteinen kürzer.

Der pragmatische Mittelweg

Für mittelständische Unternehmen empfehle ich den pragmatischen Mittelweg: Nutze ISO 27001 als strukturelles Framework für dein ISMS und IT-Grundschutz als konkreten Maßnahmenkatalog. Du profitierst von der internationalen Anerkennung und der flexiblen Struktur der ISO 27001 und gleichzeitig von den konkreten, detaillierten Empfehlungen des IT-Grundschutzes.

In der Praxis sieht das so aus: Du baust dein ISMS nach ISO 27001 auf, mit Risikobewertung, Statement of Applicability und den Annex-A-Controls. In ISMS Lite lassen sich BSI-Grundschutz-Bausteine direkt den Assets zuordnen und der Umsetzungsstand pro Anforderung dokumentieren. Wenn du dann eine konkrete Maßnahme umsetzen willst (zum Beispiel "Wie sichere ich meinen Windows-Server ab?"), schlägst du den entsprechenden IT-Grundschutz-Baustein auf und nutzt die dortigen Anforderungen als Checkliste. So kommst du schneller zu konkreten Ergebnissen, ohne den gesamten formalen IT-Grundschutz-Prozess durchlaufen zu müssen.

Weiterführende Artikel

• ISMS aufbauen: Der komplette Leitfaden für Unternehmen mit 50 bis 500 Mitarbeitern
• NIS2 vs. ISO 27001: Gemeinsamkeiten, Unterschiede und Synergien
• ISMS-Frameworks im Vergleich: ISO 27001, BSI Grundschutz, NIST und mehr
• Schutzbedarfsfeststellung: Vertraulichkeit, Integrität und Verfügbarkeit bewerten
• Sicherheitskonzept erstellen: Von der Risikoanalyse zur Maßnahmenplanung