Schutzbedarf nach IT-Grundschutz feststellen – Teil 5 der BSI-Reihe
Teil 5 der Video-Reihe „BSI IT-Grundschutz mit preeco“: Sie stufen den Schutzbedarf eines Assets je Schadensszenario und Schutzziel mit Begründung ein, nutzen Maximumprinzip, Kumulations- und Verteilungseffekt und dokumentieren manuelle Abweichungen nachvollziehbar.
Letzte Aktualisierung:
Transkript des Videos
In diesem Video stufen Sie den Schutzbedarf Ihrer Assets ein – mit Begründung und Vererbung.
Wie schlimm wäre es, wenn Vertraulichkeit, Integrität oder Verfügbarkeit verloren gehen? Das klärt die Schutzbedarfsfeststellung.
Das BSI beginnt bei Prozessen und Anwendungen und leitet daraus den Schutzbedarf der Systeme, Räume und Netze ab.
In der Asset-Tabelle sehen und filtern Sie den Schutzbedarf aller Assets.
Öffnen Sie das Ticketsystem.
Wechseln Sie in den Tab ‚Schutzbedarf‘.
Oben steht das Gesamtergebnis: hoch.
Darunter die Einstufung je Schutzziel: Vertraulichkeit normal, Integrität und Verfügbarkeit hoch.
Woher das kommt, zeigt die Matrix: jedes Schadensszenario mal jedes Schutzziel.
Mit ‚Bearbeiten‘ stufen Sie die Zellen ein.
Fällt das Ticketsystem aus, laufen keine Störungsmeldungen der Kunden mehr ein. Verfügbarkeit: hoch.
Darunter steht die Begründung. Jede Einstufung braucht eine – der Auditor fragt genau danach.
Manipulierte Tickets könnten zu SLA-Verstößen führen. Integrität: hoch.
Speichern Sie.
Die Zeile ‚Maximum‘ wendet das Maximumprinzip an: Pro Schutzziel zählt der höchste Wert.
Begründen Sie konkret. ‚Ausfallzeit über 24 Stunden ist tolerierbar‘ ist prüfbar. ‚Wichtig‘ ist es nicht.
Jetzt der Virtualisierungscluster. Hier laufen viele Systeme zugleich.
Unter ‚Quellen‘ sehen Sie, von welchen Assets der Cluster seinen Schutzbedarf erbt.
Alle vier Quellen stufen die Integrität hoch ein. Ab drei greift der Kumulationseffekt und hebt sie auf sehr hoch.
Das BSI-Beispiel: Ein Server, auf dem alle Kundendatenanwendungen laufen, ist kritischer als jede einzelne davon.
Der umgekehrte Fall: der Verteilungseffekt.
Der Cluster hat drei Hosts. Fällt einer aus, starten die virtuellen Maschinen auf den anderen neu.
Mit dem Verteilungseffekt senken Sie die Verfügbarkeit um eine Stufe.
Die Begründung ist Pflicht. Beschreiben Sie, warum die Redundanz trägt.
Die Absenkung steht als eigene Zeile da. Nachvollziehbar für jeden Prüfer.
Manchmal passt die abgeleitete Einstufung nicht, etwa bei den Notebooks der Beratung.
Dann stufen Sie die Schutzziele manuell ein.
Hier: Auf den Notebooks liegen Pentest-Ergebnisse der Kunden. Vertraulichkeit sehr hoch.
Die abgeleitete Einstufung bleibt in der Tabelle sichtbar. So erkennt jeder, wo und warum abgewichen wurde.
Für den ersten Entwurf hilft die KI, hier beim Firewall-Cluster: ‚Schutzbedarf einschätzen‘.
Geben Sie zusätzliche Hinweise mit. Die KI stuft jedes Schadensszenario mit Begründung ein, Ihr Team prüft das Ergebnis.
Die Einstufung exportieren Sie als PDF oder Word für Ihre Dokumentation.
Filtern Sie zum Schluss nach ‚sehr hoch‘. Diese Assets brauchen später auch eine Risikoanalyse.
Im nächsten Teil: Bausteine aus dem IT-Grundschutz-Kompendium zuordnen.
Wie schwer wöge es, wenn Vertraulichkeit, Integrität oder Verfügbarkeit eines Assets verloren gingen? Die Schutzbedarfsfeststellung nach BSI-Standard 200-2 beantwortet diese Frage für jedes Objekt Ihres Informationsverbunds – mit nachvollziehbarer Begründung. Dieser Artikel ist Teil 5 der Video-Reihe „BSI IT-Grundschutz mit preeco“.
Voraussetzungen
- Ihr Team verfügt über eine Lizenz für die Informationssicherheit (ISMS).
- Die Schutzbedarf-Methodik ist unter „Einstellungen → Schutzbedarf“ festgelegt (Teil 2 der Reihe).
- Ihre Assets sind erfasst und über „Übergeordnetes Asset“ verknüpft (Teil 4 der Reihe).
Schutzbedarf eines Assets einstufen
- Öffnen Sie unter „Steuerung“ die „Assets“. In der Tabelle sehen und filtern Sie den Schutzbedarf aller Assets.
- Öffnen Sie ein Asset und wechseln Sie in den Tab „Schutzbedarf“. Oben steht das Gesamtergebnis, darunter die Einstufung je Schutzziel.
- Klicken Sie im Bereich „Schadensszenarien“ auf „Bearbeiten“.
- Stufen Sie je Schadensszenario jedes Schutzziel als normal, hoch oder sehr hoch ein und tragen Sie darunter die Begründung ein.
- Speichern Sie. Die Zeile „Maximum – abgeleitete Einstufung“ wendet das Maximumprinzip an: Pro Schutzziel zählt der höchste Wert.
Begründen Sie konkret: „Ausfallzeit über 24 Stunden ist tolerierbar“ ist prüfbar, „wichtig“ ist es nicht. Genau danach fragt der Auditor.
Kumulationseffekt: vererbten Schutzbedarf anheben
- Öffnen Sie ein Asset, auf dem viele andere laufen, etwa einen Virtualisierungscluster.
- Die Tabelle „Quellen“ zeigt, von welchen untergeordneten Assets das Asset seinen Schutzbedarf erbt.
- Erreichen genug Quellen den eingestellten Schwellenwert, hebt die Zeile „Kumulationseffekt – korrigierte Einstufung“ das Schutzziel um eine Stufe an.
Verteilungseffekt: Schutzbedarf begründet absenken
- Klicken Sie im Tab „Schutzbedarf“ auf „Verteilungseffekt anwenden“.
- Wählen Sie das Schutzziel, meist die Verfügbarkeit, und „Um eine Stufe senken“.
- Tragen Sie die Pflicht-Begründung ein, zum Beispiel warum eine Redundanz den Ausfall auffängt, und speichern Sie.
- Die Absenkung erscheint als eigene Zeile „Verteilungseffekt – korrigierte Einstufung“. Der Verteilungseffekt senkt nur vererbte Werte, nie unter die eigenen Szenarien des Assets.
Schutzziele manuell einstufen
- Passt die abgeleitete Einstufung nicht, aktivieren Sie „Schutzziele manuell einstufen“.
- Wählen Sie je Schutzziel die Stufe und begründen Sie die Abweichung.
- Die abgeleitete Einstufung bleibt in der Tabelle sichtbar, sodass jede Abweichung nachvollziehbar bleibt.
Einstufung per KI vorschlagen lassen und exportieren
- Ist eine KI-Anbindung eingerichtet, schlägt „KI-Aktionen → Schutzbedarf einschätzen“ eine Einstufung je Schadensszenario mit Begründung vor. Über einen Schalter geben Sie zusätzliche Hinweise mit. Ihr Team prüft das Ergebnis. Bei manueller Einstufung wird die KI-Einschätzung nicht übernommen.
- Über „Aktionen → Download als PDF“ oder „Download als DOCX“ exportieren Sie die Einstufung für Ihre Dokumentation.
Nächster Schritt
Filtern Sie die Asset-Tabelle nach „Sehr hoch“: Diese Assets benötigen nach BSI-Standard 200-2 zusätzlich eine Risikoanalyse (Teil 8). Im nächsten Teil ordnen Sie den Assets Bausteine aus dem IT-Grundschutz-Kompendium zu.
Alle Teile der Reihe
← Teil 4: Strukturanalyse · Teil 6: Modellierung →
- Auftakt: IT-Grundschutz in neun Schritten
- Teil 1: Initiierung – Leitung, ISB und Leitlinie
- Teil 2: Schutzbedarf-Methodik festlegen
- Teil 3: Risikomethodik nach BSI-Standard 200-3
- Teil 4: Strukturanalyse
- Teil 5: Schutzbedarfsfeststellung (dieser Artikel)
- Teil 6: Modellierung
- Teil 7: IT-Grundschutz-Check im Cockpit
- Teil 8: Risikoanalyse nach BSI-Standard 200-3
- Teil 9: Audit vorbereiten