Der BSI IT-Grundschutz bietet ein umfassendes, modulares Sicherheitsrahmenwerk mit über 100 Bausteinen — vom ISMS-Aufbau bis zur Absicherung einzelner Netzkomponenten und Anwendungen.
Grundlagen des BSI IT-Grundschutz
Der BSI IT-Grundschutz wurde erstmals 1994 als IT-Grundschutzhandbuch veröffentlicht und hat sich seitdem zum umfassendsten deutschsprachigen Sicherheitsrahmenwerk entwickelt. Im Zentrum steht das IT-Grundschutz-Kompendium, das jährlich aktualisiert wird und konkrete Sicherheitsanforderungen für typische IT-Umgebungen beschreibt. Die zugehörigen BSI-Standards 200-1 bis 200-4 definieren die methodische Vorgehensweise: BSI-Standard 200-1 beschreibt die allgemeinen Anforderungen an ein ISMS, BSI-Standard 200-2 die IT-Grundschutz-Methodik, BSI-Standard 200-3 die Risikoanalyse auf Basis von IT-Grundschutz und BSI-Standard 200-4 das Notfallmanagement (Business Continuity Management). Zusammen bilden diese Dokumente ein geschlossenes System, das Organisationen jeder Größe befähigt, ein angemessenes Sicherheitsniveau aufzubauen und dauerhaft aufrechtzuerhalten.
Ein häufiges Missverständnis ist die Verwechslung von BSI IT-Grundschutz mit ISO 27001. Tatsächlich ergänzen sich beide Ansätze: ISO 27001 ist ein internationaler Standard, der die Anforderungen an ein ISMS auf abstrakter Ebene definiert — er sagt, was umgesetzt werden muss, lässt aber das Wie weitgehend offen. Der BSI IT-Grundschutz hingegen liefert konkrete, detaillierte Maßnahmen und Umsetzungsempfehlungen für jede Ebene der IT-Infrastruktur. Es gibt daher zwei Zertifizierungswege: die ISO 27001-Zertifizierung auf Basis von IT-Grundschutz (ausgestellt durch das BSI) und die reine ISO 27001-Zertifizierung (ausgestellt durch akkreditierte Zertifizierungsstellen). Die BSI-Variante gilt in Deutschland als besonders wertvoll, da sie die Einhaltung konkreter technischer Maßnahmen nachweist und nicht nur die Existenz eines Management-Systems.
Für den deutschen Markt hat der IT-Grundschutz eine besondere Relevanz: Er wird von Bundesbehörden verpflichtend angewendet, ist der empfohlene Rahmen für KRITIS-Betreiber und wird im Kontext der NIS2-Richtlinie als anerkannter Nachweis für die Umsetzung von Cybersicherheitsmaßnahmen akzeptiert. Darüber hinaus nutzen viele Landesbehörden und kommunale Einrichtungen den IT-Grundschutz als verbindliches Sicherheitsrahmenwerk. Für Unternehmen, die mit öffentlichen Auftraggebern zusammenarbeiten, kann eine IT-Grundschutz-Zertifizierung daher ein entscheidender Wettbewerbsvorteil sein.
- BSI-Standard 200-1 (ISMS): Definiert die allgemeinen Anforderungen an ein Informationssicherheits-Managementsystem, einschließlich Sicherheitsleitlinie, Organisationsstruktur, Ressourcenbereitstellung und kontinuierlicher Verbesserung nach dem PDCA-Zyklus (Plan-Do-Check-Act).
- BSI-Standard 200-2 (IT-Grundschutz-Methodik): Beschreibt die drei Vorgehensweisen — Basis-Absicherung, Standard-Absicherung und Kern-Absicherung — sowie die Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und den IT-Grundschutz-Check als zentrale Methodenschritte.
- BSI-Standard 200-3 (Risikoanalyse): Ergänzt den IT-Grundschutz um eine systematische Risikoanalyse für Bereiche mit erhöhtem Schutzbedarf, die über die Standard-Anforderungen des Kompendiums hinausgehen. Die Methodik ist kompatibel mit ISO 27005.
- BSI-Standard 200-4 (Notfallmanagement): Beschreibt den Aufbau und Betrieb eines Business-Continuity-Management-Systems (BCMS) inklusive Notfallvorsorge, Notfallbewältigung, Wiederanlaufplanung und regelmäßiger Notfallübungen.
- IT-Grundschutz-Kompendium: Enthält die eigentlichen Bausteine mit konkreten Sicherheitsanforderungen. Jeder Baustein adressiert einen bestimmten Aspekt der IT-Sicherheit (z. B. Server, Netzwerk, Anwendungen) und unterscheidet zwischen Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf.
Bausteine & Module — die 10 Schichten des Kompendiums
Das IT-Grundschutz-Kompendium organisiert seine Bausteine in zehn thematische Schichten, die zusammen die gesamte Informationssicherheit einer Organisation abdecken. Jeder Baustein folgt einem einheitlichen Aufbau: Er beginnt mit einer Beschreibung des Gegenstands und der Zielsetzung, gefolgt von einer Gefährdungslage und den konkreten Anforderungen — unterteilt in Basis-Anforderungen (MUSS), Standard-Anforderungen (SOLLTE) und Anforderungen bei erhöhtem Schutzbedarf (SOLLTE bei erhöhtem Schutzbedarf). Diese Dreistufigkeit ermöglicht eine skalierbare Anwendung: Kleine Unternehmen können mit den Basis-Anforderungen starten, während Organisationen mit höherem Schutzbedarf sukzessive die weiterführenden Anforderungen umsetzen.
Die Modellierung eines konkreten Informationsverbundes erfolgt durch die Zuordnung relevanter Bausteine zu den identifizierten Zielobjekten (Server, Clients, Netzkomponenten, Räume, Anwendungen, Prozesse). Dieser Vorgang wird als Modellierung nach IT-Grundschutz bezeichnet und bildet die Basis für den anschließenden IT-Grundschutz-Check — den Soll-Ist-Vergleich zwischen den Anforderungen der zugeordneten Bausteine und dem tatsächlichen Umsetzungsstand. Das Ergebnis ist ein maßgeschneidertes Sicherheitskonzept, das genau auf die Organisation zugeschnitten ist, ohne dass jedes Risiko von Grund auf analysiert werden muss.
Die zehn Schichten des Kompendiums decken dabei sowohl organisatorische als auch technische Aspekte ab. Während die ersten vier Schichten (ISMS, ORP, CON, OPS) primär prozessuale und organisatorische Themen behandeln, adressieren die Schichten APP, SYS, IND, NET und INF konkrete technische Systeme und Infrastrukturen. Die Schicht DER (Detektion und Reaktion) bildet die Brücke zwischen beiden Welten und stellt sicher, dass Sicherheitsvorfälle erkannt, gemeldet und behandelt werden.
- ISMS (Sicherheitsmanagement): Enthält den Baustein ISMS.1 „Sicherheitsmanagement“ als übergeordneten Rahmen. Er definiert die Anforderungen an die Sicherheitsorganisation, die Sicherheitsleitlinie, die Verantwortlichkeiten der Leitungsebene und den kontinuierlichen Verbesserungsprozess. Dieser Baustein ist für jede Grundschutz-Modellierung zwingend erforderlich und bildet das Fundament aller weiteren Maßnahmen.
- ORP (Organisation und Personal): Umfasst Bausteine für organisatorische Rahmenbedingungen wie ORP.1 „Organisation“, ORP.2 „Personal“, ORP.3 „Sensibilisierung und Schulung“ sowie ORP.4 „Identitäts- und Berechtigungsmanagement“. Hier werden Verantwortlichkeiten, Vertretungsregelungen, Einarbeitungs- und Austrittsverfahren sowie das gesamte Zugriffsmanagement geregelt.
- CON (Konzepte und Vorgehensweisen): Beinhaltet übergreifende Sicherheitskonzepte wie CON.1 „Kryptokonzept“, CON.2 „Datenschutz“, CON.3 „Datensicherungskonzept“, CON.6 „Löschen und Vernichten“ und CON.7 „Informationssicherheit auf Auslandsreisen“. Diese Bausteine definieren organisationsweite Richtlinien, die auf alle technischen Systeme ausstrahlen.
- OPS (Betrieb): Deckt den laufenden IT-Betrieb ab, einschließlich OPS.1.1.2 „Ordnungsgemäße IT-Administration“, OPS.1.1.3 „Patch- und Änderungsmanagement“, OPS.1.1.4 „Schutz vor Schadprogrammen“ und OPS.1.2.5 „Fernwartung“. Zudem enthält die Schicht Bausteine für den Betrieb durch Dritte (Outsourcing, Cloud-Nutzung).
- DER (Detektion und Reaktion): Umfasst DER.1 „Detektion von sicherheitsrelevanten Ereignissen“, DER.2.1 „Behandlung von Sicherheitsvorfällen“, DER.3.1 „Audits und Revisionen“ und DER.4 „Notfallmanagement“. Diese Schicht ist entscheidend für die Erfüllung der NIS2-Meldepflichten und stellt sicher, dass Vorfälle systematisch erkannt und bearbeitet werden.
- APP (Anwendungen): Enthält Bausteine für Büroanwendungen (APP.1.1), Webbrowser (APP.1.2), Webserver (APP.3.2), Datenbanken (APP.4.3), Active Directory (APP.2.2), DNS-Server (APP.3.6) und viele weitere Anwendungstypen. Jeder Baustein beschreibt die spezifischen Gefährdungen und Sicherheitsanforderungen der jeweiligen Anwendungsklasse.
- SYS (IT-Systeme): Adressiert Server (SYS.1.1), Clients (SYS.2.1) und mobile Endgeräte. Spezialisierte Bausteine existieren für Windows Server (SYS.1.2.3), Linux-Server (SYS.1.3), Virtualisierungsserver (SYS.1.5), Container (SYS.1.6), Windows-Clients (SYS.2.2.3) und macOS-Clients (SYS.2.4). Die Bausteine decken Härtung, Patchmanagement und sichere Konfiguration ab.
- IND (Industrielle IT / OT): Speziell für industrielle Steuerungssysteme (ICS/SCADA) und operative Technologie. Bausteine wie IND.1 „Prozessleit- und Automatisierungstechnik“, IND.2.1 „Allgemeine ICS-Komponente“ und IND.2.7 „Safety-Instrumented Systems“ adressieren die besonderen Anforderungen von Produktionsumgebungen und kritischen Infrastrukturen.
- NET (Netze und Kommunikation): Umfasst NET.1.1 „Netzarchitektur und -design“, NET.1.2 „Netzmanagement“, NET.2.1 „WLAN-Betrieb“, NET.2.2 „WLAN-Nutzung“, NET.3.1 „Router und Switches“, NET.3.2 „Firewall“ und NET.3.3 „VPN“. Die Netzwerk-Bausteine sind besonders relevant für die Segmentierung und Absicherung hybrider Infrastrukturen.
- INF (Infrastruktur): Deckt die physische Sicherheit ab: INF.1 „Allgemeines Gebäude“, INF.2 „Rechenzentrum sowie Serverraum“, INF.5 „Raum sowie Schrank für technische Infrastruktur“, INF.6 „Datenträgerarchiv“ und INF.7 „Büroarbeitsplatz“. Oft unterschätzt, sind diese Bausteine essenziell: Ohne physische Zutrittskontrolle und Umgebungssicherung nützen die besten logischen Schutzmaßnahmen wenig.
Zertifizierung & Umsetzung in der Praxis
Die ISO 27001-Zertifizierung auf Basis von IT-Grundschutz ist das höchste Qualitätssiegel, das das BSI für Informationssicherheit vergibt. Das Zertifizierungsverfahren umfasst eine Dokumentenprüfung (Phase 1) und ein Vor-Ort-Audit (Phase 2) durch einen vom BSI zertifizierten Auditor. Der Auditor prüft, ob die in den BSI-Standards beschriebene Methodik korrekt angewendet wurde, die Modellierung des Informationsverbundes vollständig ist, die Sicherheitsanforderungen der zugeordneten Bausteine umgesetzt sind und das ISMS wirksam betrieben wird. Das Zertifikat ist drei Jahre gültig, wobei jährliche Überwachungsaudits die fortlaufende Konformität sicherstellen. Für Bundesbehörden und KRITIS-Betreiber ist diese Zertifizierung häufig verpflichtend oder wird als bevorzugter Nachweis gegenüber Aufsichtsbehörden akzeptiert.
Der IT-Grundschutz bietet drei abgestufte Vorgehensweisen, die den Einstieg für Organisationen unterschiedlicher Größe und Reife ermöglichen. Die Basis-Absicherung richtet sich an Organisationen, die schnell ein Mindestmaß an Sicherheit erreichen wollen — sie umfasst nur die MUSS-Anforderungen der relevanten Bausteine und eignet sich als Einstieg für kleine und mittlere Unternehmen ohne bestehendes ISMS. Die Standard-Absicherung stellt die vollständige Umsetzung aller Basis- und Standard-Anforderungen sicher und ist die Vorgehensweise für eine ISO 27001-Zertifizierung auf Basis von IT-Grundschutz. Die Kern-Absicherung konzentriert sich auf die schützenswertesten Geschäftsprozesse und Systeme („Kronjuwelen“) und bietet einen fokussierten Einstieg für Organisationen, die mit begrenzten Ressourcen maximalen Schutz für ihre kritischsten Assets erreichen möchten. In der Praxis starten viele Unternehmen mit der Kern-Absicherung und erweitern den Geltungsbereich schrittweise auf die Standard-Absicherung.
Für kleine und mittlere Unternehmen (KMU) bietet der IT-Grundschutz einen besonders pragmatischen Ansatz. Anders als bei einer reinen ISO 27001-Implementierung müssen Organisationen nicht jedes Risiko individuell analysieren — die Bausteine des Kompendiums liefern bereits vorgefertigte Gefährdungsszenarien und Maßnahmenempfehlungen für typische IT-Umgebungen. Das spart erheblich Zeit und Beratungskosten. Der IT-Grundschutz-Check (Soll-Ist-Vergleich) kann mit dem kostenfreien Tool GSTOOL oder dem Nachfolger Verinice durchgeführt werden. Darüber hinaus stellt das BSI umfangreiche Hilfsmittel bereit: Umsetzungshinweise für jeden Baustein, Kreuzreferenztabellen zur ISO 27001, Formulare für die Strukturanalyse und Schutzbedarfsfeststellung sowie Schulungsangebote über die BSI-Akademie. Für Unternehmen, die sich auf die NIS2-Anforderungen vorbereiten, bietet der IT-Grundschutz einen idealen Rahmen — das BSI hat ein offizielles Mapping zwischen IT-Grundschutz-Anforderungen und NIS2-Pflichten veröffentlicht, das die Zuordnung erheblich erleichtert.
- Strukturanalyse: Erfassung aller relevanten IT-Systeme, Anwendungen, Netzverbindungen, Räume und Geschäftsprozesse im definierten Informationsverbund. Jedes Zielobjekt wird dokumentiert und später mit den passenden Bausteinen verknüpft. Eine saubere Strukturanalyse ist die Grundlage für ein vollständiges Sicherheitskonzept.
- Schutzbedarfsfeststellung: Bewertung der Vertraulichkeit, Integrität und Verfügbarkeit jedes Zielobjekts in drei Stufen: normal, hoch und sehr hoch. Die Schutzbedarfsfeststellung bestimmt, welche Anforderungsstufe der Bausteine umgesetzt werden muss und ob eine ergänzende Risikoanalyse nach BSI-Standard 200-3 erforderlich ist.
- Modellierung: Zuordnung der passenden IT-Grundschutz-Bausteine zu den identifizierten Zielobjekten. Jeder Windows-Server erhält beispielsweise die Bausteine SYS.1.1 (Allgemeiner Server) und SYS.1.2.3 (Windows Server), jede Firewall den Baustein NET.3.2. Die Modellierung bildet das individuelle Sicherheitsprofil der Organisation ab.
- IT-Grundschutz-Check (Soll-Ist-Vergleich): Systematische Überprüfung, welche Anforderungen der zugeordneten Bausteine bereits umgesetzt („ja“), teilweise umgesetzt („teilweise“) oder nicht umgesetzt („nein“) sind. Das Ergebnis ist ein detaillierter Maßnahmenplan mit priorisierten Handlungsempfehlungen für die verbleibenden Lücken.
- Basis-Absicherung für KMU: Unternehmen mit 10 bis 250 Mitarbeitern starten idealerweise mit der Basis-Absicherung. Sie umfasst nur die MUSS-Anforderungen, reduziert den Dokumentationsaufwand erheblich und liefert dennoch ein solides Sicherheitsfundament. Ein typischer Zeitrahmen für die Basis-Absicherung eines mittelständischen Unternehmens liegt bei 3 bis 6 Monaten — ohne externe Beratung bei guter interner IT-Kompetenz.
- Standard-Absicherung und Zertifizierung: Die vollständige Standard-Absicherung erfordert die Umsetzung aller Basis- und Standard-Anforderungen, eine dokumentierte Risikoanalyse für Bereiche mit erhöhtem Schutzbedarf sowie ein nachweislich betriebenes ISMS. Der Weg zur ISO 27001-Zertifizierung auf Basis von IT-Grundschutz dauert typischerweise 12 bis 18 Monate und umfasst Dokumentenprüfung, Vor-Ort-Audit und ggf. Nachbesserungen.
- Kern-Absicherung als Einstieg: Die Kern-Absicherung ist der strategisch sinnvollste Einstieg für Organisationen mit begrenzten Ressourcen. Man identifiziert die geschäftskritischsten Prozesse und Systeme, wendet die volle Grundschutz-Methodik nur auf diesen begrenzten Geltungsbereich an und erweitert später schrittweise. Dieses Vorgehen schützt die „Kronjuwelen“ sofort und vermeidet die Überforderung durch ein zu großes Projekt.
- NIS2-Mapping: Das BSI hat eine offizielle Kreuzreferenztabelle veröffentlicht, die die IT-Grundschutz-Anforderungen den zehn Risikomanagementmaßnahmen aus Artikel 21 der NIS2-Richtlinie zuordnet. Unternehmen, die den IT-Grundschutz umsetzen, können damit nachweisen, dass sie die NIS2-Anforderungen systematisch erfüllen — ein erheblicher Vorteil gegenüber der reinen Selbsterklärung.
Sie benötigen Unterstützung?
Der Aufbau eines ISMS nach BSI IT-Grundschutz erfordert fundiertes Know-how — von der Strukturanalyse über die Schutzbedarfsfeststellung bis zur Zertifizierungsvorbereitung. Unsere Experten begleiten Sie durch den gesamten Prozess: GAP-Analyse, Baustein-Modellierung, Dokumentation und Audit-Begleitung — praxisnah und auf Ihren Informationsverbund zugeschnitten.
Security & Firewall ansehen →
