In einem Satz. BSI IT-Grundschutz ist die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelte Methodik, die in den Standards 200-1 (ISMS), 200-2 (Vorgehensweise), 200-3 (Risikoanalyse) und 200-4 (BCMS) sowie dem IT-Grundschutz-Kompendium (über 100 Bausteine) Informationssicherheit von der Strukturanalyse bis zur ISO-27001-Zertifizierung systematisiert.
IT-Grundschutz ist das deutsche Pendant zu ANSSI’s PSSI in Frankreich, aber stärker formalisiert und mit eigener Zertifizierung. Für DSGVO Artikel 32 ist IT-Grundschutz der etablierte Goldstandard zum Nachweis “geeigneter technischer und organisatorischer Maßnahmen” — insbesondere die Bausteine SYS, NET, APP und DER.
Für die Verfügbarkeitsdimension siehe Business Continuity Plan DSGVO BSI. Für DSGVO-Sicherheit insgesamt DSGVO Artikel 32 Sicherheit.
Wichtige Punkte
- BSI-Standards 200-1/2/3/4 lösten die 100er-Serie seit 2017 ab; alle aktuellen Versionen.
- IT-Grundschutz-Kompendium (Edition 2023) enthält über 100 Bausteine in 10 Schichten.
- Drei Vorgehensweisen: Basis-Absicherung, Standard-Absicherung, Kern-Absicherung.
- ISO-27001-Zertifizierung auf Basis von IT-Grundschutz ist BSI-akkreditiert.
- Für Bundesbehörden und KRITIS-Betreiber faktisch verbindlich.
1. Die vier BSI-Standards im Überblick
| Standard | Titel | Funktion |
|---|---|---|
| 200-1 | Managementsystem für Informationssicherheit (ISMS) | Rahmenkonzept, Rollen, Leitlinien |
| 200-2 | IT-Grundschutz-Methodik | Strukturanalyse, Schutzbedarf, Modellierung |
| 200-3 | Risikoanalyse auf Basis IT-Grundschutz | Bedrohungen, Schwachstellen, Risiken |
| 200-4 | Business Continuity Management | BCMS, BCP, Wiederanlauf |
Diese Standards ergänzen sich; eine vollständige Implementierung nutzt alle vier.
2. Die drei Vorgehensweisen
Basis-Absicherung — Einstiegsniveau, nur Basis-Bausteine. Geeignet für KMU, schnell umsetzbar.
Standard-Absicherung — Vollständige Modellierung, alle relevanten Bausteine. Pfad zur ISO-27001-Zertifizierung.
Kern-Absicherung — Fokus auf “Kronjuwelen”, besonders schutzwürdige Werte. Für gezielte Risikobetrachtung.
3. Strukturanalyse (Schritt 1)
Erfassung des Informationsverbunds:
- Geschäftsprozesse und unterstützende IT
- Anwendungen (eigen + eingekauft)
- IT-Systeme (Server, Endgeräte, Netze)
- Räume (Serverraum, Büro, Rechenzentrum)
- Kommunikationsverbindungen intern/extern
Ergebnis: Ein dokumentierter Informationsverbund mit Abhängigkeiten.
4. Schutzbedarfsfeststellung (Schritt 2)
Für jeden Wert wird der Schutzbedarf in drei Kategorien bewertet:
| Kategorie | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|
| Normal | Standardanforderung | Standardanforderung | Standardanforderung |
| Hoch | Schaden begrenzbar | Beträchtlich | Mehrtägige Ausfälle problematisch |
| Sehr hoch | Existenzbedrohend | Existenzbedrohend | Stundenausfälle existenzbedrohend |
Bei “hoch” und “sehr hoch” wird zwingend eine Risikoanalyse nach 200-3 ergänzt.
5. Modellierung mit dem IT-Grundschutz-Kompendium
Das Kompendium gliedert Bausteine in 10 Schichten:
- ISMS, ORP (Organisation/Personal), CON (Konzepte), OPS (Betrieb)
- DER (Detektion/Reaktion), APP (Anwendungen), SYS (IT-Systeme)
- IND (Industrielle IT), NET (Netze), INF (Infrastruktur)
Jeder Baustein enthält Basis-, Standard- und erhöhte Anforderungen. Beispiele: SYS.1.1 (Allg. Server), APP.5.3 (Webanwendungen), CON.1 (Kryptokonzept).
6. IT-Grundschutz-Check
Soll-Ist-Vergleich: Welche Anforderungen sind bereits umgesetzt? Vier Status:
- Entbehrlich — Begründung warum nicht relevant
- Ja — vollständig umgesetzt
- Teilweise — partiell, mit Maßnahmenplan
- Nein — nicht umgesetzt, mit Maßnahmenplan
Output: Eine Defizitliste mit Priorisierung.
7. Risikoanalyse nach BSI 200-3
Bei hohem/sehr hohem Schutzbedarf oder atypischen Komponenten:
- Gefährdungsübersicht — relevante Bedrohungen
- Risikoeinstufung — Eintrittswahrscheinlichkeit x Schadenshöhe
- Risikobehandlung — Vermeiden, Reduzieren, Transferieren, Akzeptieren
- Konsolidierung des Sicherheitskonzepts
8. ISO-27001-Zertifizierung auf Basis IT-Grundschutz
BSI ist akkreditierte Zertifizierungsstelle. Vorteile gegenüber “reiner” ISO 27001:
- Konkretere Maßnahmenkataloge (das Kompendium)
- Höherer Reifegrad-Nachweis
- Anerkennung bei Bundesbehörden und KRITIS-Audits
Auditzyklus: 3 Jahre, mit jährlichen Überwachungsaudits.
9. IT-Grundschutz und DSGVO Artikel 32
Artikel 32 fordert “geeignete TOMs unter Berücksichtigung des Stands der Technik”. BSI IT-Grundschutz erfüllt diese Anforderung wenn sauber implementiert. Zuordnung:
| DSGVO Anforderung | IT-Grundschutz-Antwort |
|---|---|
| Pseudonymisierung/Verschlüsselung | CON.1 Kryptokonzept |
| Verfügbarkeit | BSI 200-4 BCMS |
| Belastbarkeit | OPS.1.2.4 Notfallmanagement |
| Regelmäßige Überprüfung | DER.1, OPS.1.1.4 |
10. Praktische Umsetzungs-Reihenfolge
Empfehlung BSI für Neueinstieg:
- Geltungsbereich festlegen (ein Geschäftsprozess als Pilot)
- Basis-Absicherung in 6-9 Monaten
- Ausweitung auf Standard-Absicherung
- Externe Zertifizierungsvorbereitung 12-18 Monate
- Audit
11. Werkzeuge
Legiscope integriert IT-Grundschutz-Bausteine als Maßnahmenkatalog in die TOM-Dokumentation und gleicht sie mit DSGVO Artikel 32-Pflichten ab.
Weitere DE-Leitfäden: DSGVO Artikel 32 Sicherheit, Business Continuity Plan DSGVO BSI, NIS2 Umsetzung Deutschland.
Fazit
IT-Grundschutz wirkt zunächst überdimensioniert für Mittelstand-Verhältnisse — bietet aber als einziges deutsches Framework eine vollständig dokumentierte, behördlich anerkannte Methodik. Die Investition zahlt sich bei Aufsichtskontrollen und ISO-27001-Zertifizierung aus.
FAQ
Ist BSI IT-Grundschutz für privatwirtschaftliche Unternehmen Pflicht?
Nein, aber für KRITIS-Betreiber und Bundesbehörden faktisch verbindlich. Für andere ein anerkannter “Stand der Technik”-Nachweis im Sinne von DSGVO Artikel 32.
Wie lange dauert eine ISO-27001-Zertifizierung auf Basis IT-Grundschutz?
Für ein mittelständisches Unternehmen typischerweise 12-24 Monate von Kick-off bis Erstzertifizierung, abhängig vom Reifegrad.
Was ist der Unterschied zwischen Basis- und Standard-Absicherung?
Basis-Absicherung umfasst nur Basis-Anforderungen (Mindestschutz). Standard-Absicherung deckt alle Standard- und ggf. erhöhte Anforderungen ab — Voraussetzung für ISO-27001-Zertifizierung.
Welche Versionen der BSI-Standards sind aktuell?
200-1 (Version 2.0), 200-2 (Version 1.0), 200-3 (Version 1.0), 200-4 (Version 1.0, 2023). IT-Grundschutz-Kompendium: Edition 2023.
Kann man IT-Grundschutz selbst umsetzen oder braucht es einen Auditor?
Implementierung intern möglich, Zertifizierung nur durch BSI-akkreditierten Auditor. Viele Unternehmen ziehen für die Erstaufstellung externe Beratung hinzu.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial