IT-Grundschutz
IT-Grundschutz ist das Vorgehensmodell des Bundesamts für Sicherheit in der Informationstechnik zum Aufbau und Betrieb eines Informationssicherheits-Managementsystems.
Sein Grundgedanke ist eine Abkürzung: Für die allermeisten Umgebungen sind die Gefährdungen bekannt und die wirksamen Gegenmaßnahmen ebenfalls. Statt für jeden Server eine eigene Risikoanalyse zu führen, greift man auf einen Katalog zurück, der typische Bausteine bereits durchdacht hat. Eine individuelle Analyse bleibt denjenigen Bereichen vorbehalten, in denen der Bedarf über das Übliche hinausgeht.
Die vier Standards
Das Verfahren steht in vier BSI-Standards, die aufeinander aufbauen:
- 200-1 – Managementsysteme für Informationssicherheit. Was ein ISMS ausmacht, unabhängig von der gewählten Methode. Inhaltlich nahe an ISO 27001.
- 200-2 – IT-Grundschutz-Methodik. Das eigentliche Vorgehen: Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Prüfung, Umsetzung.
- 200-3 – Risikoanalyse. Für alles, was der Katalog nicht abdeckt oder was erhöhten Schutzbedarf hat.
- 200-4 – Business Continuity Management. Notfallvorsorge und Wiederanlauf.
Das Kompendium
Der Werkzeugkasten ist das IT-Grundschutz-Kompendium, eine jährlich fortgeschriebene Sammlung von Bausteinen. Jeder Baustein beschreibt einen abgegrenzten Gegenstand — ein Betriebssystem, ein Netzkoppelelement, einen Raum, einen Prozess — und listet die zugehörigen Anforderungen.
Die Schichten
Die Bausteine sind in Schichten geordnet, erkennbar am Kürzel:
| Kürzel | Schicht |
|---|---|
| ISMS, ORP, CON | Management, Organisation und Personal, Konzepte |
| OPS, DER | Betrieb, Detektion und Reaktion |
| APP, SYS | Anwendungen, IT-Systeme |
| IND, NET, INF | Industrielle IT, Netze, Infrastruktur |
Der Serverraum etwa wird über INF.2 „Rechenzentrum sowie Serverraum“ modelliert; für kleine Installationen mit höchstens zwei Servern greift stattdessen INF.5.
Drei Stufen je Anforderung
Innerhalb eines Bausteins sind die Anforderungen gestuft: Basis-Anforderungen sind vorrangig umzusetzen, Standard-Anforderungen bilden den Regelfall, Anforderungen bei erhöhtem Schutzbedarf sind Vorschläge für höhere Ansprüche.
Die drei Wege
Nicht jede Institution muss alles auf einmal tun. Standard 200-2 kennt drei Vorgehensweisen:
Basis-Absicherung setzt zunächst nur die Basis-Anforderungen über die gesamte Institution um — breit und flach. Der schnellste Einstieg.
Kern-Absicherung nimmt sich zuerst die wenigen Bereiche vor, deren Verlust existenzbedrohend wäre — schmal und tief.
Standard-Absicherung ist der vollständige Weg und die Voraussetzung für eine Zertifizierung.
Die Wahl ist keine Qualitätsfrage, sondern eine der Reihenfolge. Wer klein anfängt, soll nicht klein bleiben.
Schutzbedarfsfeststellung
Der Schritt, der über den Aufwand entscheidet. Für jedes Objekt wird bestimmt, welchen Schaden ein Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit anrichten würde — eingeteilt in normal, hoch und sehr hoch.
Dabei gelten drei Regeln, die sich im Betrieb regelmäßig als die eigentlichen Stolpersteine erweisen:
- Maximumprinzip. Der Schutzbedarf eines Systems richtet sich nach der höchsten Anforderung der Anwendungen, die darauf laufen. Eine kritische Anwendung zieht den ganzen Server hoch.
- Kumulationseffekt. Viele Anwendungen mit normalem Bedarf können auf einem System zusammen einen höheren Bedarf ergeben.
- Verteilungseffekt. Umgekehrt kann der Bedarf sinken, wenn eine Aufgabe über redundante Systeme verteilt ist.
Verhältnis zu ISO 27001
Die beiden stehen nicht im Wettbewerb. ISO 27001 beschreibt, was ein Managementsystem leisten muss; IT-Grundschutz liefert zusätzlich ein ausgearbeitetes Wie samt Maßnahmenkatalog.
Das BSI bietet deshalb eine „Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz“ an: ein ISO-Zertifikat, dessen Prüfung sich an den Bausteinen orientiert.
Der praktische Unterschied liegt im Einstieg. ISO 27001 lässt offen, welche Maßnahmen angemessen sind — das ist flexibel und für Einsteiger unbequem. IT-Grundschutz nimmt diese Entscheidung weitgehend ab und ist dafür umfangreicher.
Abgrenzung
Informationssicherheits-Managementsystem. Der Oberbegriff. IT-Grundschutz ist eine Methode, ein ISMS aufzubauen, nicht das ISMS selbst.
BSI-Gesetz. Rechtsnorm statt Methode. IT-Grundschutz ist ein gangbarer Weg, § 30 BSIG zu erfüllen, aber nicht vorgeschrieben.
BSI TR-02102. Technische Richtlinie zu kryptografischen Verfahren. Beantwortet eine Detailfrage, die der Grundschutz nur benennt.
Normen
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit
- BSI-Standard 200-2 – IT-Grundschutz-Methodik
- BSI-Standard 200-3 – Risikoanalyse auf der Basis von IT-Grundschutz
- BSI-Standard 200-4 – Business Continuity Management
- ISO/IEC 27001 – Informationssicherheits-Managementsysteme