Die Schutzbedarfsfeststellung klärt, wie gut Informationen, Anwendungen und Systeme geschützt werden müssen. Dafür wird für jedes Objekt bewertet, welcher Schaden entstünde, wenn Vertraulichkeit, Integrität oder Verfügbarkeit verletzt würden. Das Ergebnis ist eine Einstufung in normal, hoch oder sehr hoch.
Klingt nach Formalie, ist aber die wichtigste Weiche im ganzen Sicherheitskonzept. Wer den Schutzbedarf zu niedrig ansetzt, schützt die entscheidenden Systeme zu schwach. Wer alles als „sehr hoch“ einstuft, verteilt das Budget mit der Gießkanne. Dieser Beitrag zeigt das Vorgehen nach BSI-Standard 200-2, die Regeln für die Vererbung und ein durchgerechnetes Beispiel.
Was ist eine Schutzbedarfsfeststellung?
Die Schutzbedarfsfeststellung ist ein Schritt der IT-Grundschutz-Methodik des BSI. Sie folgt auf die Bestandsaufnahme, die sogenannte Strukturanalyse, und geht der Auswahl der Sicherheitsmaßnahmen voraus. Bewertet wird nicht, wie wahrscheinlich ein Schaden ist, sondern wie schwer er wöge. Die Wahrscheinlichkeit kommt erst in der IT-Risikoanalyse ins Spiel.
Auch ohne IT-Grundschutz lohnt sich der Schritt. ISO/IEC 27001 verlangt eine Klassifizierung von Informationen, die DSGVO Schutzmaßnahmen, die dem Risiko für die Betroffenen angemessen sind. Die Schutzbedarfsfeststellung liefert für beides die Grundlage.
Die drei Schutzziele
Der Schutzbedarf wird für jedes der drei Schutzziele getrennt bestimmt. Ein System kann bei der Vertraulichkeit „normal“ und bei der Verfügbarkeit „sehr hoch“ sein.
- Vertraulichkeit: Nur Berechtigte dürfen Informationen einsehen. Beispiele: Gehaltsdaten, Patientendaten, Konstruktionspläne.
- Integrität: Informationen müssen korrekt und unverändert sein. Beispiele: Bankverbindungen, Rezepturen, Steuerungsparameter einer Anlage.
- Verfügbarkeit: Systeme und Daten müssen bereitstehen, wenn sie gebraucht werden. Beispiele: Warenwirtschaft im Versand, Kassensystem, Produktionssteuerung.
Die Schutzbedarfskategorien nach BSI
Das BSI unterscheidet drei Kategorien. Wo genau die Grenzen liegen, legt jedes Unternehmen selbst fest.
| Kategorie | Bedeutung |
|---|---|
| normal | Die Schadensauswirkungen sind begrenzt und überschaubar. |
| hoch | Die Schadensauswirkungen können beträchtlich sein. |
| sehr hoch | Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß erreichen. |
Das BSI weist selbst darauf hin, dass sich nicht pauschal sagen lässt, wo eine Kategorie beginnt. Deshalb sollten Sie die Kategorien mit Beispielen aus Ihrem Unternehmen hinterlegen, bevor die eigentliche Bewertung startet.
Schadensszenarien: Woran sich der Schutzbedarf bemisst
Um den Schaden greifbar zu machen, betrachtet der BSI-Standard 200-2 sechs Schadensszenarien. Für jedes legen Sie fest, ab wann ein Schaden „hoch“ oder „sehr hoch“ ist. Die folgenden Prüffragen helfen dabei:
| Schadensszenario | Prüffrage für Ihr Unternehmen |
|---|---|
| Verstoß gegen Gesetze, Vorschriften oder Verträge | Drohen Bußgelder, Vertragsstrafen oder der Verlust einer Zulassung? |
| Beeinträchtigung des informationellen Selbstbestimmungsrechts | Sind personenbezogene Daten betroffen, und wie sensibel sind sie? |
| Beeinträchtigung der persönlichen Unversehrtheit | Könnten Menschen verletzt werden, etwa durch eine fehlgesteuerte Maschine? |
| Beeinträchtigung der Aufgabenerfüllung | Wie lange darf der Prozess ausfallen, bevor Lieferungen, Produktion oder Service stocken? |
| Negative Innen- oder Außenwirkung | Würden Kunden, Partner oder Presse davon erfahren, und mit welcher Folge? |
| Finanzielle Auswirkungen | Ab welchem Betrag ist ein Schaden für Ihr Unternehmen beträchtlich, ab welchem existenzbedrohend? |
Unser Tipp aus Projekten: Legen Sie für die finanziellen Auswirkungen und die Ausfallzeit konkrete Schwellen fest, zum Beispiel einen Euro-Betrag oder eine Stundenzahl. Das beendet die meisten Diskussionen, bevor sie beginnen.
Schutzbedarfsfeststellung in fünf Schritten
Das Vorgehen folgt der Struktur des Unternehmens von oben nach unten: erst die Geschäftsprozesse und Informationen, dann die Technik, auf der sie laufen.
- Kategorien definieren: Für jedes Schadensszenario festlegen, was „normal“, „hoch“ und „sehr hoch“ bei Ihnen bedeutet.
- Geschäftsprozesse und Anwendungen bewerten: Mit den Fachbereichen für jedes Schutzziel einschätzen, welcher Schaden entstünde. Die Fachbereiche kennen die Folgen eines Ausfalls besser als die IT.
- IT-Systeme ableiten: Server, Clients, Netzkomponenten und Cloud-Dienste erben den Schutzbedarf der Anwendungen, die darauf laufen.
- Räume und Kommunikationsverbindungen ableiten: Serverraum, Technikräume und Verbindungen zwischen Standorten erben den Schutzbedarf der Systeme darin oder darüber.
- Begründen und dokumentieren: Jede Einstufung bekommt eine kurze Begründung. Ohne sie ist die Bewertung bei der nächsten Prüfung nicht nachvollziehbar.
Vererbung: Maximumprinzip, Kumulation und Verteilung
Der Schutzbedarf eines Systems ergibt sich aus den Anwendungen, die es trägt. Dafür gelten drei Regeln.
Maximumprinzip
Ein System übernimmt den höchsten Schutzbedarf aller Anwendungen, die darauf laufen. Liegen auf einem Server eine unkritische Intranetseite und die Lohnbuchhaltung, gilt für die Vertraulichkeit des Servers der Schutzbedarf der Lohnbuchhaltung.
Kumulationseffekt
Viele Anwendungen mit normalem Schutzbedarf können zusammen einen höheren Schutzbedarf ergeben. Fällt ein Virtualisierungshost aus, auf dem zwanzig für sich genommen unkritische Dienste laufen, kann der Gesamtschaden beträchtlich sein. Der Host wird dann höher eingestuft als jede einzelne Anwendung.
Verteilungseffekt
Umgekehrt kann der Schutzbedarf sinken, wenn eine Anwendung redundant verteilt ist. Läuft eine Anwendung mit hohem Verfügbarkeitsbedarf auf zwei unabhängigen Servern, kann für jeden einzelnen Server ein niedrigerer Verfügbarkeitsbedarf genügen. Das gilt nur für die Verfügbarkeit: Für die Vertraulichkeit schützt Redundanz nicht.
Beispiel: Schutzbedarf in einem mittelständischen Unternehmen
Die folgende Tabelle zeigt eine vereinfachte, ausgedachte Bewertung für drei typische Anwendungen eines Produktionsbetriebs. Sie soll das Vorgehen veranschaulichen, nicht Ihre eigene Bewertung ersetzen.
| Anwendung | Vertraulichkeit | Integrität | Verfügbarkeit | Begründung |
|---|---|---|---|---|
| Warenwirtschaft (ERP) | hoch | hoch | sehr hoch | Ohne ERP stehen Versand und Fakturierung nach wenigen Stunden still, falsche Preise oder Mengen wirken direkt auf Umsatz und Kunden. |
| Lohnbuchhaltung | sehr hoch | hoch | normal | Gehaltsdaten sind besonders schutzwürdig, ein Ausfall von einigen Tagen lässt sich überbrücken. |
| Intranet mit Kantinenplan | normal | normal | normal | keine sensiblen Daten, Ausfall ohne Folgen für den Betrieb |
Laufen ERP und Lohnbuchhaltung auf demselben Virtualisierungshost, erbt dieser nach dem Maximumprinzip: Vertraulichkeit sehr hoch, Integrität hoch, Verfügbarkeit sehr hoch. Für den Host ist damit eine vertiefte Risikoanalyse fällig.
Was aus dem Ergebnis folgt
- Normaler Schutzbedarf: Die Standardanforderungen aus dem IT-Grundschutz-Kompendium genügen in der Regel.
- Hoher oder sehr hoher Schutzbedarf: Zusätzliche Anforderungen werden fällig, und nach BSI-Standard 200-3 ist eine Risikoanalyse erforderlich.
- Priorisierung: Maßnahmen für Systeme mit sehr hohem Schutzbedarf kommen zuerst, etwa getrennte Backups, Multi-Faktor-Authentifizierung und Überwachung.
Alle Ergebnisse fließen in das IT-Sicherheitskonzept ein, in dem Schutzbedarf, Risiken und Maßnahmen zusammengeführt werden.
Vorlage: So dokumentieren Sie die Schutzbedarfsfeststellung
Eine Tabelle genügt, wenn sie vollständig ist und begründet. Diese Spalten haben sich bewährt:
| Spalte | Inhalt |
|---|---|
| Objekt | Geschäftsprozess, Anwendung, System, Raum oder Verbindung |
| Verantwortliche Person | wer fachlich für das Objekt zuständig ist |
| Vertraulichkeit, Integrität, Verfügbarkeit | je eine Einstufung: normal, hoch oder sehr hoch |
| Begründung | ein bis zwei Sätze je Schutzziel, mit Bezug auf das maßgebliche Schadensszenario |
| Vererbt von | bei Systemen und Räumen: aus welchen Anwendungen der Schutzbedarf stammt, und ob Kumulation oder Verteilung berücksichtigt wurde |
| Datum und Freigabe | wann bewertet und von wem bestätigt |
Die Tabelle lebt mit dem Unternehmen. Prüfen Sie sie mindestens einmal im Jahr und immer dann, wenn neue Anwendungen, Cloud-Dienste oder Standorte hinzukommen.
Schutzbedarfsfeststellung und Datenschutz
Für personenbezogene Daten verlangt die DSGVO Schutzmaßnahmen, die dem Risiko für die betroffenen Personen angemessen sind. Die Schutzbedarfsfeststellung liefert dafür eine gute Grundlage, denn das Schadensszenario „Beeinträchtigung des informationellen Selbstbestimmungsrechts“ bildet genau diese Perspektive ab. Gesundheitsdaten, Gehaltsdaten oder Daten über Kinder führen in der Regel zu hohem oder sehr hohem Schutzbedarf bei der Vertraulichkeit.
Ersetzt wird die datenschutzrechtliche Bewertung dadurch nicht. Bei Verarbeitungen mit voraussichtlich hohem Risiko für die Betroffenen ist zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig. Stimmen Sie beide Bewertungen mit dem Datenschutzbeauftragten ab, damit sie sich nicht widersprechen.
Typische Fehler bei der Schutzbedarfsfeststellung
- Alles „sehr hoch“: Wer nicht abstuft, kann nicht priorisieren. Am Ende fehlt das Budget für die wirklich kritischen Systeme.
- Bewertung nur durch die IT: Die IT kennt die Technik, aber nicht die Folgen eines Ausfalls im Vertrieb oder in der Produktion. Fachbereiche gehören an den Tisch.
- Keine Begründung: Eine Einstufung ohne Begründung wird bei der nächsten Prüfung neu diskutiert.
- Vererbung vergessen: Gerade Virtualisierungshosts, Speichersysteme und zentrale Netzkomponenten werden oft zu niedrig eingestuft.
- Einmal erstellt, nie geprüft: Neue Anwendungen, Cloud-Dienste oder Standorte ändern den Schutzbedarf. Eine jährliche Prüfung ist Pflicht für ein lebendiges Konzept.
Wer führt die Schutzbedarfsfeststellung durch?
Die Verantwortung liegt bei der Geschäftsleitung, koordiniert wird die Bewertung meist vom Informationssicherheitsbeauftragten. Inhaltlich braucht es drei Perspektiven: die Fachbereiche für die Folgen eines Schadens, die IT für die technischen Abhängigkeiten und, wenn personenbezogene Daten betroffen sind, den Datenschutzbeauftragten. Ein gemeinsamer Workshop pro Bereich ist oft effizienter als lange Fragebögen.
Wenn Ihnen die Zeit oder die Erfahrung für die Moderation fehlt, übernehmen wir das im Rahmen unserer IT-Sicherheitsberatung, auch als externer Informationssicherheitsbeauftragter.
Fazit: Die Schutzbedarfsfeststellung entscheidet über das Budget
Die Schutzbedarfsfeststellung bestimmt, welche Systeme besonderen Schutz brauchen und wo die Standardmaßnahmen genügen. Mit klar definierten Kategorien, den sechs Schadensszenarien des BSI und sauber angewandter Vererbung entsteht eine Bewertung, die nachvollziehbar ist und das Sicherheitsbudget dorthin lenkt, wo es wirkt.
Sie möchten den Schutzbedarf in Ihrem Unternehmen strukturiert bewerten? Wir moderieren die Workshops, dokumentieren die Ergebnisse und überführen sie in Ihr Sicherheitskonzept. Sprechen Sie uns über unsere IT-Sicherheitsberatung an.
