Schutzbedarfsfeststellung

Die Schutzbedarfsfeststellung ordnet jedem Objekt einer Institution — Anwendungen, IT-Systemen, Räumen, Verbindungen — einen Schutzbedarf zu. Sie ist der zweite Schritt der IT-Grundschutz-Methodik nach BSI-Standard 200-2 und entscheidet darüber, welche Anforderungen anschließend gelten.

Ihr Ergebnis bestimmt den Aufwand für alles Weitere. Wer hier großzügig ist, baut sich ein Programm, das niemand abarbeitet; wer zu knapp ansetzt, schützt das Falsche.

Die drei Grundwerte

Bewertet wird getrennt nach den drei Schutzzielen, und das wird regelmäßig übersprungen:

• Vertraulichkeit — was passiert, wenn Unbefugte Kenntnis erlangen?
• Integrität — was passiert, wenn Daten unbemerkt verändert werden?
• Verfügbarkeit — was passiert, wenn das Objekt ausfällt?

Ein öffentlich einsehbarer Fahrplan hat bei Vertraulichkeit normalen, bei Integrität und Verfügbarkeit aber möglicherweise sehr hohen Bedarf. Eine pauschale Einstufung je Objekt verliert diese Unterscheidung und damit die Begründung für die Maßnahmen.

Die drei Kategorien

Die Einstufung erfolgt nicht nach Bauchgefühl, sondern anhand von Schadensszenarien. Der IT-Grundschutz nennt dafür unter anderem Verstöße gegen Gesetze oder Verträge, die Beeinträchtigung des informationellen Selbstbestimmungsrechts, Gefahren für Leib und Leben, die Beeinträchtigung der Aufgabenerfüllung, negative Außenwirkung und finanzielle Auswirkungen.

Welcher Betrag „beträchtlich“ ist, legt die Institution selbst fest — und muss es auch, weil dieselbe Summe für ein Handwerksunternehmen und einen Konzern Verschiedenes bedeutet. Diese Festlegung gehört dokumentiert, sonst ist die gesamte Bewertung nicht nachvollziehbar.

Wie sich der Bedarf vererbt

Objekte hängen voneinander ab, und der Schutzbedarf wandert entlang dieser Abhängigkeiten. Drei Regeln beschreiben das — und sie sind in der Praxis die eigentlichen Stolpersteine:

Maximumprinzip. Der Schutzbedarf eines Systems richtet sich nach der höchsten Anforderung aller Anwendungen, die darauf laufen. Eine einzige kritische Anwendung zieht den ganzen Server hoch — mitsamt dem Raum, in dem er steht, und dem Netz, über das er erreichbar ist.

Kumulationseffekt. Viele Anwendungen mit jeweils normalem Bedarf können auf einem System zusammen einen höheren Bedarf ergeben. Der Ausfall einer einzelnen Fachanwendung ist verkraftbar, der gleichzeitige Ausfall von dreißig nicht.

Verteilungseffekt. Die Gegenrichtung: Ist eine Aufgabe über mehrere unabhängige Systeme verteilt, kann der Bedarf des einzelnen Systems sinken. Er wird am häufigsten vergessen, weil er als einziger den Aufwand senkt — und er gilt nur, wenn die Verteilung tatsächlich unabhängig ist.

Warum am Ende alles „hoch“ ist

Das häufigste Ergebnis einer ersten Schutzbedarfsfeststellung ist, dass fast alles in der mittleren oder oberen Kategorie landet. Dafür gibt es zwei Gründe, und beide sind vermeidbar:

Niemand traut sich zu „normal“. Wer ein System als unkritisch einstuft, steht im Schadensfall schlecht da. Dagegen hilft nur, dass die Einstufung von den Verantwortlichen des Fachprozesses kommt und nicht von der IT — und dass die Kriterien vorher festliegen.

Das Maximumprinzip wird nicht begrenzt. Wenn die eine kritische Anwendung auf demselben Server liegt wie dreißig unkritische, zieht sie alles mit. Die Antwort darauf ist keine andere Bewertung, sondern eine andere Architektur: Trennung der kritischen Systeme. Genau dafür ist das Ergebnis gut — es macht sichtbar, wo sich Trennung lohnt.

Was daraus folgt

Bei normalem Schutzbedarf gelten die Basis- und Standard-Anforderungen der jeweiligen Bausteine; das Verfahren ist damit abgeschlossen.

Bei hohem oder sehr hohem Bedarf schließt sich eine Risikoanalyse nach BSI-Standard 200-3 an, die über den Katalog hinausgeht.

Die Schutzbedarfsfeststellung ist damit auch eine Weiche: Sie bestimmt, für welchen Teil der Institution der abgekürzte Weg des Grundschutzes genügt und wo einzeln nachgedacht werden muss.

Abgrenzung

Risikoanalyse. Setzt dort an, wo der Schutzbedarf über das Normale hinausgeht. Die Schutzbedarfsfeststellung sagt, ob genauer hingesehen werden muss, die Risikoanalyse sagt was zu tun ist.

VS-Nur für den Dienstgebrauch. Eine amtliche Einstufung nach Geheimschutzrecht. Sie wird zugewiesen, nicht ermittelt, und betrifft nur die Vertraulichkeit.

Klassifizierung von Daten. Bezieht sich auf Informationen, die Schutzbedarfsfeststellung auf Objekte. Beide hängen zusammen, sind aber nicht dasselbe.

Normen

• BSI-Standard 200-2 – IT-Grundschutz-Methodik
• BSI-Standard 200-3 – Risikoanalyse auf der Basis von IT-Grundschutz