Der BSI IT-Grundschutz ist die deutsche Methodik für den Aufbau eines Informationssicherheitsmanagements mit Bausteinen, den Standards 200-1 bis 200-4 und einer Zertifizierung auf Basis von ISO 27001.
Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist die in Deutschland am weitesten verbreitete Methodik, um Informationssicherheit systematisch aufzubauen und nachzuweisen. Er besteht aus den BSI-Standards 200-1 (Managementsysteme für Informationssicherheit), 200-2 (IT-Grundschutz-Methodik), 200-3 (Risikomanagement) und 200-4 (Business Continuity Management) sowie dem jährlich aktualisierten IT-Grundschutz-Kompendium mit mehreren hundert Bausteinen.
Der Grundgedanke: Statt für jedes System eine individuelle Risikoanalyse zu erstellen, bietet das BSI für typische Komponenten – Server, Clients, Netze, Anwendungen, Gebäude, Prozesse – vorgefertigte Bausteine mit konkreten Anforderungen. Wer diese umsetzt, erreicht ein nachvollziehbares Sicherheitsniveau, das für die meisten Behörden und Unternehmen angemessen ist. Für Bereiche mit hohem Schutzbedarf ergänzt eine Risikoanalyse nach Standard 200-3 die Basisanforderungen.
Vorgehensweisen und Zertifizierung
Der Standard 200-2 kennt drei Vorgehensweisen, die sich im Umfang unterscheiden:
- Basis-Absicherung: Einstieg mit den wichtigsten Basisanforderungen über alle Bereiche hinweg.
- Kern-Absicherung: Konzentration auf die geschäftskritischen Werte („Kronjuwelen“), die zuerst vollständig abgesichert werden.
- Standard-Absicherung: vollständige Umsetzung von Basis- und Standardanforderungen, Voraussetzung für die Zertifizierung.
Das Zertifikat „ISO 27001 auf Basis von IT-Grundschutz“ vergibt das BSI nach Prüfung durch einen zertifizierten Auditor. Es kombiniert die internationale Anerkennung der ISO 27001 mit der Konkretheit der Grundschutz-Bausteine. Im Baustein DER.3.3 (Audits und Revisionen) und im Praxis-Leitfaden IS-Penetrationstest beschreibt das BSI, wie Penetrationstests als Nachweis der Wirksamkeit eingesetzt werden; zudem zertifiziert das BSI Penetrationstest-Dienstleister.
Bedeutung für Unternehmen
Für Behörden und KRITIS-Betreiber ist IT-Grundschutz oft gesetzt, für Unternehmen im NIS2-Anwendungsbereich eine bewährte Richtschnur, um „Stand der Technik“ konkret auszufüllen. Der Vorteil liegt in der Vollständigkeit: Wer das Kompendium abarbeitet, vergisst weder Notfallmanagement noch Personal oder Gebäude.
Der Nachteil ist derselbe wie bei jedem Kontrollrahmen: Die Umsetzung wird dokumentiert, nicht erlebt. Wir sehen regelmäßig zertifizierte Verbünde, in denen jeder Baustein erfüllt ist und trotzdem eine Phishing-Mail binnen Stunden zu Domain-Admin-Rechten führt, weil Anforderungen formal, aber nicht wirksam umgesetzt sind. Grundschutz definiert das Soll; ob das Ist standhält, zeigt erst ein Angriff.
Praxis-Hinweise
- Starten Sie mit der Kern-Absicherung für die wirklich kritischen Prozesse, statt die Organisation mit dem vollständigen Kompendium zu überfordern.
- Nutzen Sie den Praxis-Leitfaden IS-Penetrationstest des BSI als Grundlage für Scoping und Ausschreibung Ihrer Tests.
- Prüfen Sie Wirksamkeit, nicht nur Existenz: Ein Assumed-Breach-Test ergänzt das Audit um die Angreiferperspektive.
- Pflegen Sie die Strukturanalyse aktiv. Veraltete Verbunddokumentationen sind der häufigste Auditbefund und zugleich ein Hinweis auf Schatten-IT.