IT-Grundschutz einfach erklärt
Wer ein Haus baut, muss die Statik nicht neu erfinden. Es gibt bewährte Baupläne, Normen und Checklisten. Der IT-Grundschutz funktioniert ähnlich für die Informationssicherheit. Das BSI hat für typische Systeme und Abläufe beschrieben, welche Gefahren drohen und welche Schutzmaßnahmen angemessen sind – vom Server über die Telefonanlage bis zur Zusammenarbeit mit Dienstleistern.
Statt jedes Risiko einzeln zu analysieren, prüft eine Organisation, welche dieser Bausteine auf sie zutreffen, und setzt die zugehörigen Anforderungen um. Für den normalen Schutzbedarf hat das BSI die Risikobewertung also bereits vorab erledigt. Eine zusätzliche Risikoanalyse ist vor allem dort nötig, wo der Schutzbedarf hoch ist oder kein passender Baustein existiert.
Besonders verbreitet ist der IT-Grundschutz in Behörden, Kommunen und Hochschulen. Aber auch viele Unternehmen nutzen die Bausteine als praxisnahe Checkliste – ganz ohne Zertifizierungsabsicht.
So funktioniert der IT-Grundschutz
Der IT-Grundschutz hat zwei Kernstücke:
- Die BSI-Standards 200-1 bis 200-4: Standard 200-1 beschreibt die Anforderungen an ein ISMS, also ein Managementsystem für Informationssicherheit. 200-2 erklärt das Vorgehen nach IT-Grundschutz, 200-3 die Risikoanalyse. 200-4 behandelt das Business Continuity Management – die Vorsorge, damit der Betrieb auch in Notfällen und Krisen weiterläuft.
- Das IT-Grundschutz-Kompendium: Es enthält die Bausteine, gegliedert in Schichten – vom Sicherheitsmanagement über Betrieb und Angriffserkennung bis zu Anwendungen, IT-Systemen, Netzen, Gebäuden und industrieller IT. Jeder Baustein nennt typische Gefährdungen und Anforderungen, unterteilt in Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf.
Das Vorgehen folgt festen Schritten. Zuerst wird der betrachtete Bereich festgelegt, der sogenannte Informationsverbund. Dann werden Geschäftsprozesse, Anwendungen und Systeme erfasst und ihr Schutzbedarf bewertet: normal, hoch oder sehr hoch. Anschließend ordnet man jedem Objekt die passenden Bausteine zu und prüft in einem Soll-Ist-Vergleich, was bereits umgesetzt ist – dem IT-Grundschutz-Check.
Für den Einstieg gibt es drei Varianten. Die Basis-Absicherung schafft schnell ein Fundament. Die Kern-Absicherung schützt zuerst die wertvollsten Bereiche besonders gründlich. Die Standard-Absicherung deckt den gesamten Informationsverbund umfassend ab. Wer die Umsetzung belegen möchte, kann sich nach ISO 27001 auf der Basis von IT-Grundschutz zertifizieren lassen; das Zertifikat vergibt das BSI.
Derzeit überführt das BSI den IT-Grundschutz schrittweise in „Grundschutz++“: prozessorientiert und mit einem digitalen, maschinenlesbaren Regelwerk, das sich besser mit Software-Werkzeugen umsetzen lässt und das IT-Grundschutz-Kompendium ablösen soll. Der bisherige IT-Grundschutz bleibt während einer mehrjährigen Übergangszeit nutzbar.
Ein Beispiel aus der Praxis
Eine Kreisverwaltung möchte ihre Informationssicherheit auf ein solides Fundament stellen, hat aber nur ein kleines IT-Team. Sie startet mit der Basis-Absicherung und nutzt dafür ein IT-Grundschutz-Profil für Kommunalverwaltungen – eine Mustervorlage, die typische Strukturen einer Kommune bereits berücksichtigt. Nach und nach werden Grundlagen wie Rechtevergabe, Datensicherung und Notfallplanung geregelt. Beim Baustein für Webanwendungen fällt auf, dass das Bürgerportal von einem externen Dienstleister betrieben und nie unabhängig getestet wurde. Ein Penetrationstest – ein autorisierter, simulierter Angriff – deckt dort eine veraltete Softwarekomponente mit bekannter Sicherheitslücke auf. Die Erkenntnisse fließen in die nächste Stufe ein: die Standard-Absicherung für die wichtigsten Fachverfahren.
Warum ist das für Unternehmen wichtig?
Der IT-Grundschutz übersetzt abstrakte Sicherheitsziele in konkrete, überprüfbare Anforderungen. Das spart Zeit, denn niemand muss bei null anfangen. Wer die Standard-Absicherung umsetzt, erreicht nach Angaben des BSI ein Sicherheitsniveau, das für normalen Schutzbedarf angemessen und ausreichend ist. Das schafft einen anerkannten Maßstab gegenüber Prüfern, Aufsicht und Geschäftspartnern.
Für den öffentlichen Sektor ist der IT-Grundschutz oft der zentrale Rahmen. Auch Unternehmen, die unter NIS2 fallen, finden darin eine strukturierte Grundlage für das geforderte Risikomanagement. Eine wichtige Grenze gilt jedoch: Ein ausgefüllter Grundschutz-Check zeigt, was geplant und dokumentiert ist – nicht, ob die Maßnahmen einem echten Angriff standhalten.
Was Unternehmen jetzt tun sollten
- Einstieg wählen: Beginnen Sie mit der Basis-Absicherung, wenn Sie schnell ein solides Fundament brauchen.
- Vorlagen nutzen: Prüfen Sie, ob es für Ihre Branche oder Organisationsform ein passendes IT-Grundschutz-Profil gibt.
- Schutzbedarf ehrlich bewerten: Bestimmen Sie die Prozesse und Daten, deren Ausfall oder Offenlegung den größten Schaden anrichten würde.
- Den Check regelmäßig wiederholen: Systeme und Anforderungen ändern sich – Ihr Soll-Ist-Vergleich sollte Schritt halten.
- Umsetzung praktisch prüfen: Lassen Sie mit Penetrationstests und Schwachstellenanalysen testen, ob Ihre Maßnahmen wirken.
- Umstieg einplanen: Verfolgen Sie die Überführung in „Grundschutz++“ und planen Sie den Wechsel innerhalb der Übergangszeit.
Wie Rootsektor unterstützt
Rootsektor prüft, ob die Maßnahmen aus Ihrem Sicherheitskonzept in der Praxis wirken – vom Bürgerportal über das interne Netz bis zum Active Directory. Dabei orientieren wir uns am BSI-Leitfaden „Durchführungskonzept für Penetrationstests“; die Ergebnisse lassen sich direkt in Sicherheitskonzept, Revision und Risikobewertung übernehmen. Welche Prüfungen sich für Verwaltungen, Schulen und Hochschulen besonders eignen, lesen Sie unter Öffentlicher Sektor & Bildung. Ihr Festpreisangebot erhalten Sie nach dem Scoping über das Pentest-Angebot.