Der BSI IT-Grundschutz ist eine vom Bundesamt für Sicherheit in der Informationstechnik entwickelte Methodik zum Aufbau und Betrieb eines Informationssicherheitsmanagementsystems (ISMS). Er verbindet die BSI-Standards der Reihe 200-x mit dem IT-Grundschutz-Kompendium, das konkrete Sicherheitsanforderungen in thematischen Bausteinen bündelt. Der IT-Grundschutz ist im deutschsprachigen Raum insbesondere in Behörden und bei Betreibern kritischer Infrastrukturen verbreitet und ermöglicht eine Zertifizierung nach ISO/IEC 27001 auf Basis von IT-Grundschutz.

Was ist der BSI IT-Grundschutz?

Der BSI IT-Grundschutz ist ein vollständiges Vorgehensmodell für Informationssicherheit, das zwei Ebenen zusammenführt, die andere Regelwerke getrennt behandeln. Die eine Ebene ist das Managementsystem: Wie wird Informationssicherheit organisiert, gesteuert und überprüft? Die andere Ebene ist der konkrete Maßnahmenkatalog: Was genau ist für einen Webserver, ein Rechenzentrum, ein Smartphone oder einen Cloud-Dienst umzusetzen? Genau diese Kombination unterscheidet den IT-Grundschutz von rein anforderungsorientierten Normen.

Der Grundgedanke des IT-Grundschutzes ist die Standardisierung wiederkehrender Bedrohungslagen. Statt für jede Organisation und jedes System eine vollständige Risikoanalyse durchzuführen, unterstellt der IT-Grundschutz für typische Einsatzszenarien eine typische Gefährdungslage und benennt die dafür angemessenen Sicherheitsanforderungen. Das reduziert den Aufwand erheblich. Erst wenn ein Zielobjekt aus diesem Raster fällt – wegen hohen Schutzbedarfs, wegen eines untypischen Einsatzszenarios oder weil kein passender Baustein existiert –, wird eine ergänzende Risikoanalyse erforderlich.

Der IT-Grundschutz blickt auf eine lange Entwicklung zurück. Aus dem IT-Grundschutzhandbuch der 1990er-Jahre wurden ab 2005 die BSI-Standards der Reihe 100-x; mit der Modernisierung im Jahr 2017 folgten die heute gültigen Standards der Reihe 200-x und das IT-Grundschutz-Kompendium, das die früheren Maßnahmenkataloge ablöste. Herausgeber ist das Bundesamt für Sicherheit in der Informationstechnik als nationale Cyber-Sicherheitsbehörde; sämtliche Dokumente sind kostenfrei verfügbar.

Welche BSI-Standards gehören zum IT-Grundschutz?

Zum IT-Grundschutz gehören vier BSI-Standards, die aufeinander aufbauen und jeweils einen eigenen Aspekt des Sicherheitsprozesses regeln:

Standard	Inhalt
BSI-Standard 200-1	Allgemeine Anforderungen an ein Managementsystem für Informationssicherheit (ISMS); kompatibel zu ISO/IEC 27001
BSI-Standard 200-2	IT-Grundschutz-Methodik: Vorgehensweisen, Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check
BSI-Standard 200-3	Risikoanalyse auf Basis des IT-Grundschutzes, ausgehend von den elementaren Gefährdungen
BSI-Standard 200-4	Business Continuity Management; Nachfolger des BSI-Standards 100-4, mit Stufenmodell vom Reaktiv- bis zum Standard-BCMS

Der BSI-Standard 200-2 ist dabei das Herzstück, weil er die eigentliche Vorgehensweise beschreibt. Der BSI-Standard 200-4 steht etwas eigenständiger daneben: Er behandelt die Aufrechterhaltung des Geschäftsbetriebs und greift dafür auf Instrumente wie die Business Impact Analyse zurück, lässt sich aber gut mit einem nach IT-Grundschutz aufgebauten ISMS verzahnen.

Was ist das IT-Grundschutz-Kompendium?

Das IT-Grundschutz-Kompendium ist die Sammlung aller Bausteine mit den konkreten Sicherheitsanforderungen des IT-Grundschutzes. Es wird vom BSI jährlich in einer neuen Edition veröffentlicht, damit veraltete Technologien entfallen und neue Themenfelder ergänzt werden können. Jeder Baustein beschreibt ein Zielobjekt oder einen Prozess, benennt dessen spezifische Gefährdungslage und listet die Anforderungen mit einer eindeutigen Kennung – etwa SYS.3.2.2.A1 für die erste Anforderung des Bausteins zur Verwaltung mobiler Geräte.

Die Bausteine des IT-Grundschutzes sind in zehn Schichten gegliedert. Fünf davon sind prozessorientiert: ISMS für das Sicherheitsmanagement, ORP für Organisation und Personal, CON für Konzeption und Vorgehensweise, OPS für den Betrieb sowie DER für Detektion und Reaktion. Die übrigen fünf sind systemorientiert und betreffen Anwendungen (APP), IT-Systeme (SYS), industrielle IT (IND), Netze und Kommunikation (NET) sowie die bauliche Infrastruktur (INF). Diese Gliederung steuert zugleich die Modellierung: Prozess-Bausteine werden dem Informationsverbund als Ganzem zugeordnet, System-Bausteine den einzelnen Zielobjekten.

Innerhalb der Bausteine unterscheidet der IT-Grundschutz drei Stufen von Anforderungen. Basis-Anforderungen sind vorrangig umzusetzen und mit „MUSS“ formuliert. Standard-Anforderungen entsprechen dem Stand der Technik für normalen Schutzbedarf und sind mit „SOLLTE“ gekennzeichnet; Abweichungen sind zulässig, müssen aber begründet und dokumentiert werden. Hinzu kommen exemplarische Anforderungen für erhöhten Schutzbedarf, die als Vorschläge zu verstehen sind. Ergänzt werden die Bausteine durch Umsetzungshinweise, die technisch konkretisieren, wie eine Anforderung erfüllt werden kann, sowie durch einen Katalog von 47 elementaren Gefährdungen (G 0.1 bis G 0.47), der als gemeinsame Grundlage für alle Risikobetrachtungen dient.

Welche Vorgehensweisen kennt der IT-Grundschutz?

Der IT-Grundschutz kennt drei Vorgehensweisen, die sich in Umfang und Tiefe unterscheiden und ausdrücklich kombiniert werden dürfen. Die Basis-Absicherung ist der Einstieg: Sie setzt zunächst nur die Basis-Anforderungen breit über den gesamten Informationsverbund um und erzeugt so schnell ein grundlegendes Sicherheitsniveau. Für eine Zertifizierung reicht sie nicht aus, wohl aber für ein Testat.

Die Kern-Absicherung verfolgt den umgekehrten Ansatz. Sie konzentriert sich auf wenige besonders wertvolle Zielobjekte – die sogenannten Kronjuwelen – und sichert diese vollständig ab, während der Rest der Organisation zunächst außen vor bleibt. Dieser Weg eignet sich für Organisationen, deren Risiko sich stark auf einzelne Verfahren konzentriert, etwa Forschungsdaten, Patientendaten oder Steuerungssysteme.

Die Standard-Absicherung entspricht dem klassischen IT-Grundschutz: vollständige Betrachtung des gesamten Informationsverbunds mit Basis- und Standard-Anforderungen sowie ergänzender Risikoanalyse, wo erforderlich. Nur dieser Weg führt zur Zertifizierung nach ISO/IEC 27001 auf Basis von IT-Grundschutz. In der Praxis bewährt sich häufig ein gestufter Ansatz: erst Basis-Absicherung für die Fläche, dann Kern-Absicherung für die kritischen Verfahren, später Ausbau zur Standard-Absicherung.

Wie läuft die Umsetzung des IT-Grundschutzes ab?

Die Umsetzung des IT-Grundschutzes folgt einem festen Ablauf, der im BSI-Standard 200-2 beschrieben ist und in dieser Reihenfolge durchlaufen wird:

Initiierung des Sicherheitsprozesses. Die Leitung erteilt den Auftrag, verabschiedet die Leitlinie zur Informationssicherheit, stellt Ressourcen bereit und benennt eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten (ISB).
Festlegung des Informationsverbunds. Der Informationsverbund ist der Geltungsbereich: die Gesamtheit der betrachteten Geschäftsprozesse, Anwendungen, IT-Systeme, Netze, Räume und Personen. Er muss sinnvoll abgegrenzt und begründet sein.
Strukturanalyse. Erfassung aller Zielobjekte des Informationsverbunds einschließlich ihrer Abhängigkeiten, ergänzt um einen Netzplan und die Zuordnung von Anwendungen zu IT-Systemen.
Schutzbedarfsfeststellung. Ermittlung des Schutzbedarfs je Zielobjekt in den Grundwerten Vertraulichkeit, Integrität und Verfügbarkeit.
Modellierung. Zuordnung der passenden Bausteine des IT-Grundschutz-Kompendiums zu den Zielobjekten. Das Ergebnis ist das Prüf- und Umsetzungsprogramm.
IT-Grundschutz-Check. Soll-Ist-Vergleich für jede modellierte Anforderung mit dem Umsetzungsstatus „ja“, „teilweise“, „nein“ oder „entbehrlich“ – Letzteres immer mit Begründung.
Realisierung und Aufrechterhaltung. Priorisierung und Umsetzung der Lücken, anschließend kontinuierliche Verbesserung, regelmäßige Überprüfung und Managementbewertung.

Zwischen Schritt 6 und 7 schiebt sich bei Bedarf die Risikoanalyse nach BSI-Standard 200-3. Erfahrungsgemäß entscheidet die Qualität der Schritte 2 und 3 über den Aufwand des gesamten Vorhabens: Ein zu weit gefasster Informationsverbund und eine unsaubere Strukturanalyse erzeugen einen Prüfumfang, der später kaum noch beherrschbar ist.

Was ist die Schutzbedarfsfeststellung im IT-Grundschutz?

Die Schutzbedarfsfeststellung ordnet jedem Zielobjekt im IT-Grundschutz eine von drei Kategorien zu: „normal“, „hoch“ oder „sehr hoch“. Maßgeblich ist der Schaden, der bei einer Verletzung von Vertraulichkeit, Integrität oder Verfügbarkeit entstehen würde – betrachtet unter anderem als Verstoß gegen Gesetze und Verträge, Beeinträchtigung des informationellen Selbstbestimmungsrechts, Gefahr für Leib und Leben, Beeinträchtigung der Aufgabenerfüllung, negative Außenwirkung und finanzielle Auswirkungen.

Der Schutzbedarf wird zunächst für die Geschäftsprozesse und Anwendungen bestimmt und anschließend auf die darunterliegenden Systeme, Netze und Räume vererbt. Drei Regeln steuern diese Vererbung. Nach dem Maximumprinzip bestimmt die Anwendung mit dem höchsten Schutzbedarf den Schutzbedarf des Systems. Der Kumulationseffekt hebt den Schutzbedarf an, wenn viele Anwendungen mit für sich genommen normalem Schutzbedarf auf einem System zusammenlaufen. Der Verteilungseffekt kann ihn senken, wenn eine Anwendung auf mehrere Systeme verteilt ist und der Ausfall eines einzelnen Systems verkraftbar bleibt.

Die Schutzbedarfsfeststellung ist die inhaltlich anspruchsvollste Phase, weil sie Fachwissen aus den Fachbereichen erfordert und nicht von der IT allein beantwortet werden kann. Wird sie zu großzügig vorgenommen, entsteht eine Vielzahl vermeidbarer Risikoanalysen; wird sie zu knapp bemessen, bleiben reale Risiken unbearbeitet.

Wann ist eine Risikoanalyse nach BSI-Standard 200-3 erforderlich?

Eine Risikoanalyse nach BSI-Standard 200-3 ist im IT-Grundschutz in drei Fällen erforderlich: wenn ein Zielobjekt einen hohen oder sehr hohen Schutzbedarf aufweist, wenn für ein Zielobjekt kein passender Baustein im IT-Grundschutz-Kompendium existiert, oder wenn ein Zielobjekt in einem Einsatzszenario betrieben wird, das der Baustein nicht abdeckt.

Methodisch geht der BSI-Standard 200-3 von den elementaren Gefährdungen aus und ergänzt sie bei Bedarf um zusätzliche, organisationsspezifische Gefährdungen. Für jede relevante Gefährdung werden Eintrittshäufigkeit und Schadenshöhe bewertet und daraus eine Risikoeinstufung abgeleitet. Anschließend entscheidet die Leitung über die Risikobehandlung: Risikovermeidung, Risikoreduktion durch zusätzliche Maßnahmen, Risikotransfer etwa über Versicherungen oder die bewusste Risikoakzeptanz. Die Akzeptanz von Risiken ist im IT-Grundschutz ausdrücklich vorgesehen – sie muss allerdings von der Leitungsebene getragen und dokumentiert werden, nicht stillschweigend auf Arbeitsebene erfolgen.

Wie unterscheidet sich der IT-Grundschutz von ISO/IEC 27001?

Der IT-Grundschutz und ISO/IEC 27001 verfolgen dasselbe Ziel, unterscheiden sich aber im Konkretisierungsgrad. ISO/IEC 27001 formuliert Anforderungen an ein Managementsystem und überlässt die Auswahl der Maßnahmen weitgehend der Organisation; der IT-Grundschutz liefert die Maßnahmen mit.

Aspekt	BSI IT-Grundschutz	ISO/IEC 27001
Charakter	Nationale Methodik mit umfangreichem Anforderungskatalog	Internationale Norm mit Anforderungen an das ISMS
Maßnahmen	Konkrete Bausteine und Umsetzungshinweise je Zielobjekt	Referenzmaßnahmen im Anhang A, Auswahl durch die Organisation
Ausgangspunkt	Standardisierte Gefährdungslage, Risikoanalyse nur bei Bedarf	Durchgängig risikobasierter Ansatz
Verbreitung	Deutschsprachiger Raum, öffentlicher Sektor, KRITIS	Weltweit, insbesondere in international tätigen Unternehmen
Nachweis	ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz, ausgestellt durch das BSI	ISO/IEC 27001-Zertifikat einer akkreditierten Zertifizierungsstelle

Praktisch bedeutet das: Der IT-Grundschutz nimmt Organisationen viele Einzelentscheidungen ab und ist deshalb gerade für Einsteiger und für Behörden gut geeignet, erzeugt aber einen höheren Dokumentationsaufwand. ISO/IEC 27001 ist schlanker und international besser anschlussfähig, verlangt dafür aber, dass die Organisation ihre Maßnahmenauswahl selbst herleitet und begründet. Ein Ausschluss ist es nicht: Wer nach IT-Grundschutz arbeitet, erfüllt die Normanforderungen mit.

Wie funktioniert die Zertifizierung nach IT-Grundschutz?

Die Zertifizierung nach IT-Grundschutz führt zu einem ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz, das vom BSI ausgestellt wird. Voraussetzung ist die Standard-Absicherung. Die Prüfung selbst übernimmt keine Behörde, sondern eine beim BSI zertifizierte Auditorin oder ein zertifizierter Auditor, die zunächst die Referenzdokumente des Informationsverbunds sichten und anschließend eine Vor-Ort-Prüfung durchführen. Der Auditbericht geht an das BSI, das über die Zertifikatserteilung entscheidet.

Ein solches Zertifikat ist in der Regel drei Jahre gültig und wird durch jährliche Überwachungsaudits begleitet; danach folgt eine Rezertifizierung. Für Organisationen, die zunächst nur die Basis-Absicherung umsetzen, bietet das BSI ein Testat an, das ein geringeres Prüfniveau abbildet und typischerweise kürzer gültig ist. Der Aufwand liegt dabei weniger im Audit als in der Vorbereitung: Der Informationsverbund muss vollständig dokumentiert, die Modellierung nachvollziehbar und der Umsetzungsstatus jeder Anforderung belegbar sein.

Für wen ist der BSI IT-Grundschutz verbindlich?

Verbindlich ist der BSI IT-Grundschutz in erster Linie für die Bundesverwaltung. Der Umsetzungsplan Bund verpflichtet Bundesbehörden zur Anwendung der Methodik, ergänzt um die Mindeststandards, die das BSI auf Grundlage des BSI-Gesetzes für einzelne Themenfelder herausgibt. Zahlreiche Länder und Kommunen haben vergleichbare Vorgaben erlassen, sodass der IT-Grundschutz in der öffentlichen Verwaltung faktisch den Referenzrahmen bildet.

Für Betreiber kritischer Infrastrukturen gilt der IT-Grundschutz nicht unmittelbar, wohl aber mittelbar: Der geforderte Nachweis angemessener Vorkehrungen nach dem Stand der Technik lässt sich über den IT-Grundschutz erbringen, und viele branchenspezifische Sicherheitsstandards greifen auf seine Systematik zurück. Mit der Ausweitung der Pflichten durch NIS-2 auf deutlich mehr Einrichtungen gewinnt diese Anschlussfähigkeit an Bedeutung, weil Organisationen ohne etabliertes ISMS eine belastbare Vorgehensweise benötigen. Hinzu kommen Auftragnehmer der öffentlichen Hand, denen der IT-Grundschutz häufig vertraglich auferlegt wird, sowie Organisationen, die Verschlusssachen der Einstufung VS-NfD verarbeiten und dafür ohnehin in einem BSI-geprägten Regelwerk arbeiten.

Welche Rolle spielt Kommunikation im IT-Grundschutz?

Kommunikation ist im IT-Grundschutz an zwei Stellen relevant: als zu schützendes Objekt und als Voraussetzung für die Reaktion auf Sicherheitsvorfälle. Die Schichten NET und APP behandeln Kommunikationsinfrastruktur und -anwendungen als Zielobjekte mit eigenen Anforderungen an Verschlüsselung, Trennung und Protokollierung. Die Schicht DER richtet den Blick auf Detektion und Reaktion und verlangt definierte Melde- und Eskalationswege, benannte Zuständigkeiten sowie eine nachvollziehbare Dokumentation der Vorfallbearbeitung.

Sicherheitsrelevant wird die Kommunikation vor allem bei weitreichenden Vorfällen. Ist ein Netz möglicherweise kompromittiert – etwa bei einem Ransomware-Angriff oder einem länger unentdeckten Eindringen –, dürfen Abstimmung und Bereinigung nicht über dieselbe Infrastruktur laufen, die der Angreifer kontrollieren könnte. Der IT-Grundschutz trägt dem in der DER-Schicht Rechnung und verlangt für solche Lagen unabhängige Kommunikationswege. Denselben Gedanken verfolgt der BSI-Standard 200-4, der Alarmierung und Stabsarbeit als eigene Ressource behandelt, deren Verfügbarkeit im Notfallplan vorgesehen und in Übungen geprüft werden muss. Fehlen freigegebene Alternativen, weichen Beteiligte in der Praxis auf private Messenger aus – mit Folgen für Vertraulichkeit, Nachweisführung und Krisenkommunikation.

Organisationen lösen diese Anforderung in der Regel über vorab freigegebene, von der Regelinfrastruktur unabhängige Kommunikationslösungen mit definierten Alarmierungs- und Meldewegen, deren Verfügbarkeit regelmäßig geübt und im Sicherheitskonzept dokumentiert wird.

Wie sich sichere dienstliche Kommunikation mit voller organisatorischer Kontrolle abbilden lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Welche typischen Fehler treten bei der Umsetzung des IT-Grundschutzes auf?

Der häufigste Fehler beim IT-Grundschutz ist ein zu groß gewählter Informationsverbund: Wer im ersten Anlauf die gesamte Organisation abbilden will, erzeugt einen Prüfumfang, der Jahre bindet und selten zum Abschluss kommt. Weitere Schwachstellen aus der Praxis:

Bausteine als Checkliste abgearbeitet, ohne die Gefährdungslage und die eigene Situation zu bewerten
Schutzbedarf pauschal von der IT festgelegt, statt ihn mit den Fachbereichen aus den Geschäftsprozessen herzuleiten
Anforderungen als „entbehrlich“ markiert, ohne die verlangte nachvollziehbare Begründung zu dokumentieren
Strukturanalyse einmalig erstellt und danach nicht gepflegt, sodass Modellierung und Realität auseinanderlaufen
Risikoanalysen aufgeschoben, obwohl Zielobjekte mit hohem Schutzbedarf identifiziert wurden
Sicherheitskonzept ohne Rückhalt der Leitung erstellt, wodurch Ressourcen und Entscheidungen zur Risikoakzeptanz fehlen
Aktualisierung der Kompendium-Edition nicht eingeplant, obwohl Bausteine jährlich hinzukommen, wegfallen oder überarbeitet werden

Zusammenfassung: Wichtige Punkte zum BSI IT-Grundschutz

Der BSI IT-Grundschutz ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik zum Aufbau und Betrieb eines Informationssicherheitsmanagementsystems (ISMS).
Er besteht aus den BSI-Standards 200-1 bis 200-4 und dem jährlich aktualisierten IT-Grundschutz-Kompendium mit den konkreten Anforderungen.
Der Kerngedanke ist die standardisierte Gefährdungslage: Für typische Einsatzszenarien sind die Anforderungen vorgegeben, eine eigene Risikoanalyse wird nur bei Bedarf erforderlich.
Die Bausteine sind in zehn Schichten gegliedert (ISMS, ORP, CON, OPS, DER, APP, SYS, IND, NET, INF) und unterscheiden Basis-, Standard- und erhöhte Anforderungen.
Der IT-Grundschutz kennt drei Vorgehensweisen: Basis-Absicherung als Einstieg, Kern-Absicherung für besonders schützenswerte Zielobjekte und Standard-Absicherung als vollständige Umsetzung.
Der Sicherheitsprozess verläuft von der Initiierung durch die Leitung über Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und IT-Grundschutz-Check bis zur Realisierung und kontinuierlichen Verbesserung.
Die Schutzbedarfsfeststellung unterscheidet „normal“, „hoch“ und „sehr hoch“ und vererbt den Schutzbedarf über Maximumprinzip, Kumulations- und Verteilungseffekt.
Eine Risikoanalyse nach BSI-Standard 200-3 ist bei hohem oder sehr hohem Schutzbedarf, fehlendem Baustein oder untypischem Einsatzszenario erforderlich.
Die Standard-Absicherung ermöglicht ein ISO/IEC 27001-Zertifikat auf Basis von IT-Grundschutz, das vom BSI ausgestellt wird und in der Regel drei Jahre gilt.
Verbindlich ist der IT-Grundschutz vor allem für die Bundesverwaltung; für KRITIS-Betreiber und Einrichtungen im Anwendungsbereich von NIS-2 dient er als anerkannter Weg zum Nachweis angemessener Vorkehrungen.