Ein IT-Sicherheitskonzept ist das Dokument, in dem ein Unternehmen festhält, welche Informationen und Systeme es schützen muss, welche Risiken bestehen und mit welchen Maßnahmen es diese Risiken beherrscht. Es beantwortet drei Fragen: Was ist schützenswert, wovor, und wer kümmert sich darum?
In der Praxis sehen wir zwei Extreme. Manche Unternehmen haben einen Ordner mit 200 Seiten, den seit Jahren niemand geöffnet hat. Andere haben gar nichts Schriftliches, obwohl Kunden, Versicherer oder seit Dezember 2025 auch das BSI genau danach fragen. Dieser Beitrag zeigt, was in ein brauchbares Konzept gehört, welche Vorgehensweise zu welcher Unternehmensgröße passt und wie Sie es in sieben Schritten erstellen.
Was ist ein IT-Sicherheitskonzept?
Das IT-Sicherheitskonzept beschreibt den Soll-Zustand der Informationssicherheit und den Weg dorthin. Es enthält eine Bestandsaufnahme der IT, eine Bewertung, wie schutzbedürftig Daten und Systeme sind, eine Analyse der Risiken und die daraus abgeleiteten technischen und organisatorischen Maßnahmen. Dazu kommen Zuständigkeiten, Fristen und Regeln, wie das Konzept geprüft und fortgeschrieben wird.
Wichtig ist der Unterschied zwischen Konzept und Umsetzung. Ein Konzept, das eine Firewall vorsieht, schützt noch nichts. Es sorgt aber dafür, dass Entscheidungen nachvollziehbar sind und nicht davon abhängen, wer gerade in der IT sitzt.
IT-Sicherheitskonzept, ISMS, Datenschutzkonzept und Notfallhandbuch
Die Begriffe werden oft durcheinandergeworfen. So lassen sie sich abgrenzen:
| Dokument | Worum es geht | Verhältnis zum IT-Sicherheitskonzept |
|---|---|---|
| IT-Sicherheitskonzept | Schutzbedarf, Risiken und Maßnahmen für IT und Informationen | der Kern |
| ISMS | das Managementsystem, das Informationssicherheit dauerhaft steuert, prüft und verbessert | Das Konzept ist ein zentrales Ergebnis des ISMS. |
| Datenschutzkonzept | Umgang mit personenbezogenen Daten nach DSGVO | überschneidet sich bei den technischen und organisatorischen Maßnahmen |
| IT-Notfallhandbuch | konkrete Abläufe, wenn Systeme ausfallen oder angegriffen werden | ergänzt das Konzept für den Ernstfall |
Wer ein ISMS aufbaut, erstellt das Sicherheitskonzept also nicht einmalig, sondern pflegt es im Rahmen dieses Systems weiter.
Ist ein IT-Sicherheitskonzept Pflicht?
Ein Gesetz, das wörtlich „IT-Sicherheitskonzept“ für alle Unternehmen vorschreibt, gibt es nicht. In der Sache kommen die meisten Unternehmen trotzdem nicht daran vorbei:
- DSGVO: Nach Art. 32 DSGVO muss jedes Unternehmen, das personenbezogene Daten verarbeitet, angemessene technische und organisatorische Maßnahmen treffen und deren Wirksamkeit regelmäßig überprüfen. Ohne schriftliche Grundlage lässt sich das kaum belegen.
- NIS2: Besonders wichtige und wichtige Einrichtungen müssen nach § 30 Abs. 2 Nr. 1 BSIG ausdrücklich „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“ haben. Die Geschäftsleitung muss die Maßnahmen nach § 38 BSIG umsetzen und ihre Umsetzung überwachen.
- Kritische Infrastrukturen: Betreiber müssen ihre Vorkehrungen gegenüber dem BSI nachweisen, ein dokumentiertes Konzept ist dafür die Grundlage.
- Kunden und Versicherer: Großkunden, Automobilhersteller und Cyberversicherer fragen Sicherheitsmaßnahmen per Fragebogen ab. Wer ein aktuelles Konzept hat, beantwortet diese Fragen in Stunden statt in Wochen.
Ob Ihr Unternehmen unter NIS2 fällt und was dann konkret gilt, zeigt unsere NIS2-Checkliste.
Die drei Schutzziele als Grundlage
Jedes Sicherheitskonzept orientiert sich an drei Schutzzielen. Sie tauchen in der Schutzbedarfsfeststellung ebenso auf wie in der Risikoanalyse.
- Vertraulichkeit: Nur Berechtigte können Informationen einsehen, etwa Gehaltsdaten, Konstruktionspläne oder Kundendaten.
- Integrität: Daten und Systeme sind korrekt und unverändert. Eine manipulierte Bankverbindung in einer Rechnung verletzt die Integrität.
- Verfügbarkeit: Systeme und Daten stehen zur Verfügung, wenn sie gebraucht werden. Ransomware greift vor allem dieses Ziel an.
Was gehört in ein IT-Sicherheitskonzept? Die Muster-Gliederung
Die folgende Gliederung hat sich in mittelständischen Unternehmen bewährt. Sie orientiert sich an der IT-Grundschutz-Methodik des BSI, ist aber schlank genug für Unternehmen ohne eigene Sicherheitsabteilung.
| Kapitel | Inhalt |
|---|---|
| 1. Geltungsbereich und Ziele | Welche Standorte, Prozesse und Systeme umfasst das Konzept, welches Sicherheitsniveau wird angestrebt? |
| 2. Rollen und Verantwortlichkeiten | Geschäftsleitung, Informationssicherheitsbeauftragter, IT, Datenschutz, Dienstleister |
| 3. Bestandsaufnahme | Geschäftsprozesse, Anwendungen, Server, Clients, Netze, Cloud-Dienste, Räume, Dienstleister |
| 4. Schutzbedarfsfeststellung | Einstufung in normal, hoch oder sehr hoch für Vertraulichkeit, Integrität und Verfügbarkeit |
| 5. Risikoanalyse | Gefährdungen, Eintrittswahrscheinlichkeit, mögliche Schäden, Risikobewertung |
| 6. Maßnahmen | technische und organisatorische Maßnahmen mit Soll-Ist-Abgleich |
| 7. Umsetzungsplan | Prioritäten, Verantwortliche, Termine, Budget |
| 8. Notfallvorsorge | Wiederanlauf, Datensicherung, Verweis auf das Notfallhandbuch, siehe unsere IT-Notfallplan Vorlage |
| 9. Schulung und Sensibilisierung | Wer wird wie oft zu welchen Themen geschult? |
| 10. Prüfung und Fortschreibung | Prüfzyklus, Auslöser für Aktualisierungen, Versionsstand, Freigabe |
Welche Vorgehensweise passt zu Ihrem Unternehmen?
Nicht jedes Unternehmen braucht den vollen Umfang. Der BSI-Standard 200-2 kennt drei Vorgehensweisen, dazu kommen der CyberRisikoCheck für kleine Betriebe und die Norm ISO/IEC 27001. Diese Übersicht hilft bei der Einordnung:
| Vorgehen | Passt zu | Ergebnis |
|---|---|---|
| CyberRisikoCheck nach DIN SPEC 27076 | kleine Unternehmen ohne eigene IT-Abteilung | Standortbestimmung mit 27 Anforderungen und Handlungsempfehlungen |
| Basis-Absicherung (BSI 200-2) | Unternehmen, die mit Informationssicherheit beginnen | breite Grundabsicherung aller wichtigen Prozesse |
| Kern-Absicherung (BSI 200-2) | Unternehmen mit wenigen, besonders kritischen Prozessen | vertiefter Schutz der „Kronjuwelen“ |
| Standard-Absicherung (BSI 200-2) | Unternehmen mit hohem Schutzbedarf oder NIS2-Pflichten | vollständiges Sicherheitskonzept, Grundlage für ein Zertifikat |
| ISO/IEC 27001 | Unternehmen, die ein international anerkanntes Zertifikat brauchen | zertifizierbares ISMS mit Risikobehandlung |
Ein häufiger Weg im Mittelstand: mit der Basis-Absicherung starten, die kritischen Prozesse vertiefen und das Konzept später zur Standard-Absicherung oder zu ISO 27001 ausbauen. Was die Norm im Einzelnen verlangt, beschreiben wir im Beitrag zu den ISO 27001 Anforderungen.
IT-Sicherheitskonzept erstellen in sieben Schritten
Die Schritte folgen der IT-Grundschutz-Methodik des BSI. Für ein mittelständisches Unternehmen sollten Sie mit einigen Wochen rechnen, abhängig davon, wie gut die IT bereits dokumentiert ist.
1. Geltungsbereich festlegen
Legen Sie fest, was das Konzept abdeckt: das ganze Unternehmen oder zunächst einen Standort, einen Geschäftsbereich oder die Produktion. Das BSI spricht vom Informationsverbund. Ein zu großer Geltungsbereich lähmt, ein zu kleiner lässt Lücken. Schreiben Sie auch auf, warum Sie etwas ausklammern.
2. Bestandsaufnahme (Strukturanalyse)
Erfassen Sie Geschäftsprozesse, Anwendungen, IT-Systeme, Netzverbindungen, Räume und Dienstleister. Wichtig ist die Verbindung: Welche Anwendung unterstützt welchen Prozess, und auf welchem System läuft sie? Ein aktueller Netzplan spart hier viel Zeit. Erfahrungsgemäß fallen in diesem Schritt die ersten vergessenen Systeme auf, etwa ein alter Server, den keiner mehr zuordnen kann.
3. Schutzbedarf feststellen
Für jede Anwendung und die verarbeiteten Informationen wird bewertet, welcher Schaden entstünde, wenn Vertraulichkeit, Integrität oder Verfügbarkeit verletzt würden. Das BSI unterscheidet drei Kategorien:
| Schutzbedarf | Bedeutung | Beispiel |
|---|---|---|
| normal | Schadensauswirkungen sind begrenzt und überschaubar | interne Telefonliste |
| hoch | Schadensauswirkungen können beträchtlich sein | Kundendatenbank, Warenwirtschaft |
| sehr hoch | Schadensauswirkungen können existenzbedrohend sein | Produktionssteuerung, Gesundheitsdaten |
Der Schutzbedarf vererbt sich: Läuft eine Anwendung mit hohem Schutzbedarf auf einem Server, hat auch dieser Server mindestens hohen Schutzbedarf. Wie die Bewertung im Detail abläuft, zeigt unser Beitrag zur Schutzbedarfsfeststellung.
4. Risiken analysieren
Nun geht es um Gefährdungen: Ransomware, Phishing, Ausfall eines Dienstleisters, Fehlbedienung, Brand oder Wasserschaden. Für jedes relevante Szenario schätzen Sie ab, wie wahrscheinlich es ist und welcher Schaden entstehen würde. Das BSI beschreibt das Verfahren im Standard 200-3, Schritt für Schritt erklärt in unserem Beitrag zur IT-Risikoanalyse. Für Systeme mit normalem Schutzbedarf genügen in der Regel die Standardanforderungen aus dem IT-Grundschutz-Kompendium, eine eigene Risikoanalyse brauchen vor allem Bereiche mit hohem oder sehr hohem Schutzbedarf.
5. Maßnahmen festlegen und Soll-Ist abgleichen
Aus Schutzbedarf und Risiken ergeben sich die Maßnahmen. Gleichen Sie ab, was schon umgesetzt ist, was teilweise vorhanden ist und was fehlt. Ein ehrlicher Soll-Ist-Abgleich ist der wertvollste Teil des Konzepts, denn er zeigt die tatsächlichen Lücken. Eine Übersicht über bewährte Maßnahmen finden Sie in unserem Beitrag zu IT-Sicherheitsmaßnahmen für Unternehmen.
6. Umsetzungsplan mit Verantwortlichen aufstellen
Jede offene Maßnahme bekommt eine verantwortliche Person, einen Termin und, wo nötig, ein Budget. Priorisieren Sie nach Risiko und Aufwand: Maßnahmen mit großer Wirkung und geringem Aufwand zuerst, etwa Multi-Faktor-Authentifizierung oder getestete Backups.
7. Freigeben, kommunizieren und fortschreiben
Die Geschäftsleitung gibt das Konzept frei und trägt die Verantwortung für die Umsetzung. Danach müssen die Betroffenen wissen, was für sie gilt, etwa über Richtlinien und Schulungen. Legen Sie fest, wann das Konzept das nächste Mal geprüft wird.
Technische und organisatorische Maßnahmen im Überblick
Die meisten Konzepte enthalten eine Mischung aus beiden Arten. Typische Beispiele:
Technische Maßnahmen
- Firewall und Netzsegmentierung
- Multi-Faktor-Authentifizierung für E-Mail, VPN und Cloud-Dienste
- Patch-Management für Betriebssysteme, Anwendungen und Firmware
- Schutz von Endgeräten und Überwachung auf Angriffe
- Datensicherung nach der 3-2-1-Regel mit getesteter Wiederherstellung
- Verschlüsselung von Datenträgern und Verbindungen
Organisatorische Maßnahmen
- Berechtigungskonzept nach dem Prinzip der geringsten Rechte
- Richtlinien für Passwörter, mobile Geräte und Homeoffice
- Regeln für den Ein- und Austritt von Mitarbeitenden
- Auswahl und Kontrolle von Dienstleistern
- regelmäßige Awareness-Schulungen
- Notfallplan und Meldewege für Sicherheitsvorfälle
Wer ist für das IT-Sicherheitskonzept verantwortlich?
Die Gesamtverantwortung liegt bei der Geschäftsleitung. Sie kann Aufgaben delegieren, die Verantwortung aber nicht. In der Praxis verteilt sich die Arbeit so:
- Geschäftsleitung: legt Ziele fest, stellt Ressourcen bereit, gibt das Konzept frei und überwacht die Umsetzung.
- Informationssicherheitsbeauftragter: koordiniert die Erstellung, hält das Konzept aktuell und berichtet an die Geschäftsleitung. Diese Rolle kann auch extern besetzt werden.
- IT-Abteilung oder IT-Dienstleister: liefert die Bestandsaufnahme und setzt technische Maßnahmen um.
- Fachbereiche: bewerten, wie wichtig ihre Prozesse und Daten sind. Ohne sie lässt sich der Schutzbedarf nicht sinnvoll bestimmen.
- Datenschutzbeauftragter: stimmt die Maßnahmen mit den Anforderungen der DSGVO ab.
Woran Auditoren, Versicherer und Aufsicht ein Konzept messen
Ein Konzept, das gut klingt, aber nicht gelebt wird, fällt bei jeder ernsthaften Prüfung auf. Diese Punkte schauen sich Prüfer erfahrungsgemäß als Erstes an:
- Freigabe und Datum: Ist das Konzept von der Geschäftsleitung freigegeben, und wann wurde es zuletzt geprüft?
- Versionsstand: Lassen sich Änderungen nachvollziehen?
- Umsetzungsstatus: Gibt es zu den Maßnahmen Belege, etwa Protokolle von Wiederherstellungstests, Schulungsnachweise oder Berichte über eingespielte Updates?
- Konsistenz: Passen Bestandsaufnahme und Wirklichkeit zusammen? Stichproben im Netz decken schnell auf, ob Systeme fehlen.
- Umgang mit Restrisiken: Sind bewusst akzeptierte Risiken dokumentiert und von der Geschäftsleitung abgezeichnet?
Für NIS2-Einrichtungen ist das mehr als eine Formalie: Das BSI kann Nachweise anfordern, und die Geschäftsleitung muss die Umsetzung der Maßnahmen überwachen.
Wie oft muss das Konzept aktualisiert werden?
Bewährt hat sich eine Prüfung mindestens einmal im Jahr. Dazu kommen Anlässe, bei denen Sie nicht bis zum nächsten Termin warten sollten:
- Einführung neuer Systeme oder Umzug in die Cloud
- neue Standorte, Zukäufe oder Umstrukturierungen
- Wechsel wichtiger Dienstleister
- neue gesetzliche Pflichten oder Kundenanforderungen
- ein Sicherheitsvorfall, auch ein glimpflich verlaufener
Das Prinzip dahinter ist ein Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern. Ein Konzept ist nie fertig, es ist immer auf einem Stand.
Typische Fehler bei IT-Sicherheitskonzepten
- Kopierte Vorlage ohne Anpassung: Ein Muster hilft beim Aufbau, ersetzt aber nicht die Bestandsaufnahme im eigenen Haus.
- Nur Technik, keine Organisation: Viele Vorfälle beginnen mit einer Phishing-Mail oder einem Konto, das nach dem Austritt nicht gesperrt wurde.
- Keine Verantwortlichen: Maßnahmen ohne Namen und Termin werden nicht umgesetzt.
- Dienstleister vergessen: Cloud-Anbieter, Fernwartung und externe IT gehören in die Bestandsaufnahme.
- Einmal erstellt, nie geprüft: Nach zwei Jahren beschreibt ein ungepflegtes Konzept eine IT, die es so nicht mehr gibt.
Was kostet ein IT-Sicherheitskonzept?
Der Aufwand hängt vor allem von der Größe des Geltungsbereichs, vom Schutzbedarf und davon ab, wie gut die IT bereits dokumentiert ist. Wer selbst erstellt, investiert vor allem interne Arbeitszeit von IT, Fachbereichen und Geschäftsleitung. Mit externer Unterstützung kommen Beratungstage hinzu, dafür geht es meist schneller und das Ergebnis hält Prüfungen besser stand.
Ein günstiger Einstieg ist eine Bestandsaufnahme durch Fachleute. Unser IT Security Audit zum Festpreis von 1.499 Euro zuzüglich Mehrwertsteuer liefert Schwachstellen, Reifegrad und einen priorisierten Maßnahmenplan, also genau die Bausteine, auf denen ein Sicherheitskonzept aufsetzt. Für manche Vorhaben gibt es zudem Fördermittel, mehr dazu im Beitrag zur Förderung für IT-Sicherheit.
Mindestinhalt-Check: 12 Fragen an Ihr Konzept
Mit diesen Fragen prüfen Sie ein bestehendes Konzept in wenigen Minuten. Jedes Nein zeigt, wo nachgearbeitet werden muss.
- Ist der Geltungsbereich klar beschrieben?
- Sind alle Geschäftsprozesse, Anwendungen und Systeme erfasst, auch Cloud-Dienste?
- Ist der Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit bewertet?
- Gibt es eine Risikoanalyse für Bereiche mit hohem Schutzbedarf?
- Ist für jede Maßnahme dokumentiert, ob sie umgesetzt ist?
- Hat jede offene Maßnahme eine verantwortliche Person und einen Termin?
- Sind Dienstleister und ihre Zugänge erfasst?
- Gibt es ein Berechtigungskonzept, und wird es regelmäßig überprüft?
- Ist die Datensicherung beschrieben, und wurde die Wiederherstellung getestet?
- Gibt es Regeln für den Notfall und Meldewege für Sicherheitsvorfälle?
- Ist das Konzept von der Geschäftsleitung freigegeben?
- Wurde es in den letzten zwölf Monaten geprüft?
Gibt es eine Vorlage für das IT-Sicherheitskonzept?
Ja, und für den Aufbau sind Vorlagen hilfreich. Das BSI stellt mit dem Leitfaden zur Basis-Absicherung eine kompakte Anleitung bereit, das IT-Grundschutz-Kompendium liefert die Anforderungen im Detail. Die Muster-Gliederung oben können Sie direkt als Inhaltsverzeichnis übernehmen. Für die Prüfung der einzelnen Bereiche eignet sich unsere IT Audit Checkliste.
Eine Vorlage spart Arbeit bei der Struktur. Die Inhalte, also Bestandsaufnahme, Schutzbedarf und Risiken, kann sie Ihnen nicht abnehmen.
Fazit: Ein gutes Konzept ist kurz genug, um gelesen zu werden
Ein IT-Sicherheitskonzept muss nicht dick sein. Es muss zeigen, was schützenswert ist, welche Risiken bestehen, welche Maßnahmen umgesetzt sind und wer sich um die offenen Punkte kümmert. Wer mit einer ehrlichen Bestandsaufnahme beginnt, die Vorgehensweise an die eigene Größe anpasst und das Konzept jährlich prüft, erfüllt damit auch die Anforderungen von DSGVO, NIS2, Kunden und Versicherern.
Sie wollen wissen, wo Ihr Unternehmen steht? Starten Sie mit unserem kostenlosen Selbstcheck oder lassen Sie Ihre IT im IT Security Audit zum Festpreis prüfen. Bei der Erstellung und Pflege Ihres Konzepts unterstützt Sie unsere IT-Security-Beratung.
