IT-Sicherheitskonzept: Schutzbedarfsanalyse
Nicht jede Information ist gleich schützenswert – und nicht jede IT-Komponente braucht dieselbe Sicherheitsstufe. Eine Schutzbedarfsanalyse fragt systematisch: Was haben wir? Was würde passieren, wenn es verloren geht, manipuliert wird oder nicht verfügbar ist? Die Antworten darauf bestimmen den Schutzbedarf – und der Schutzbedarf bestimmt, welche Sicherheitsmaßnahmen ergriffen werden müssen. Ohne diese Analyse tappt IT-Sicherheit im Dunkeln.
1) Was ist eine Schutzbedarfsanalyse?
Die Schutzbedarfsanalyse (SBA) ist ein zentraler Schritt im BSI-Grundschutz-Prozess. Sie bewertet für jedes schützenswerte Objekt (Asset), welchen Schaden ein Sicherheitsvorfall anrichten würde – bezogen auf die drei CIA-Schutzziele. Das Ergebnis ist eine Einordnung in drei Schutzbedarfsstufen: normal, hoch oder sehr hoch.
| Schutzbedarfsstufe | Schadenspotenzial | Beispiel |
|---|---|---|
| NORMAL | Begrenzt – kein existenzieller Schaden für die Organisation, kein erheblicher Schaden für Dritte | Interner Monatskalender, öffentliche Marketing-Website |
| HOCH | Erheblich – spürbare Konsequenzen: finanzielle Schäden, Reputationsverlust, Vertragsverletzungen | Kundendatenbank, Buchhaltungssystem, ERP |
| SEHR HOCH | Existenzbedrohend – katastrophale Folgen: existenzielle Bedrohung, massive Rechtsverletzungen, Gesundheitsschäden | Patientendaten, Kernsysteme kritischer Infrastruktur |
2) Schutzbedarfsanalyse in der Praxis
Die SBA bewertet jeden Asset separat nach Vertraulichkeit, Integrität und Verfügbarkeit. Der höchste Einzelwert bestimmt den Gesamt-Schutzbedarf (Maximumprinzip). Beispiel: Ein System hat normalen Bedarf bei Vertraulichkeit, aber sehr hohen bei Verfügbarkeit → Gesamt: sehr hoch.
| Asset | Vertraulichkeit | Integrität | Verfügbarkeit | Gesamt | Begründung |
|---|---|---|---|---|---|
| Kunden-Datenbank | HOCH | HOCH | HOCH | HOCH | DSGVO-Relevanz, Reputationsschaden bei Datenleck |
| ERP-System (Aufträge) | NORMAL | HOCH | SEHR HOCH | SEHR HOCH | Ausfall = Betriebsstillstand; Fehlbuchungen = finanzieller Schaden |
| E-Mail-Server | HOCH | NORMAL | HOCH | HOCH | Vertragliche Kommunikation, Ausfall beeinträchtigt Betrieb |
| Interne Marketingmaterialien | NORMAL | NORMAL | NORMAL | NORMAL | Kein personenbezogener Inhalt, kein kritischer Betriebsprozess |
| Produktionslinie-Steuerung | HOCH | SEHR HOCH | SEHR HOCH | SEHR HOCH | Manipulation = Produktionsausfall oder Sicherheitsrisiko |
3) Von der Analyse zu Maßnahmen
Die Schutzbedarfsanalyse ist der Eingang – das Ergebnis fließt in das gesamte IT-Sicherheitskonzept. Assets mit normalem Schutzbedarf werden mit BSI-Basis- und Standardmaßnahmen abgedeckt. Bei hohem Schutzbedarf kommen risikobasierte Zusatzmaßnahmen hinzu. Bei sehr hohem Schutzbedarf ist eine vollständige Datenschutzfolgenabschätzung (DSFA) und individuelle Sicherheitsmaßnahmen erforderlich.
Zusammenfassung
Die Schutzbedarfsanalyse bestimmt für jedes Asset den Schutzbedarf in den drei CIA-Dimensionen: normal, hoch, sehr hoch. Das Maximumprinzip bestimmt den Gesamt-Schutzbedarf. Ergebnisse steuern die Auswahl der Sicherheitsmaßnahmen: BSI-Basisschutz für normal, Risikoanalyse für hoch, individuelle Maßnahmen für sehr hoch. Die SBA ist ein Pflichtschritt im BSI-Grundschutz-Prozess und Grundlage für das gesamte IT-Sicherheitskonzept. Wirksamkeit der Maßnahmen prüfen in Wirksamkeit von Sicherheitsmaßnahmen prüfen.