Grundschutz pragmatisch
Jonathan BezdekCTO
8 Min. Lesezeit
Warum der Startpunkt über die Audit-Fähigkeit entscheidet
Viele IT-Grundschutz-Projekte beginnen mit einer langen Liste von Anforderungen. Das wirkt gründlich, führt aber schnell zu verstreuten Tabellen, uneinheitlichen Zuständigkeiten und Nachweisen, die erst kurz vor der Prüfung zusammengesucht werden.
Ein besserer Startpunkt ist ein sauberer Scope. Welche Organisationseinheiten, Prozesse, Anwendungen, IT-Systeme, Netze und Dienstleister gehören wirklich in das Sicherheitskonzept? Diese Entscheidung bestimmt, welche Bausteine relevant werden und welche Nachweise später prüfbar sein müssen.
- Scope schriftlich abgrenzen und Verantwortliche benennen
- Zielobjekte mit eindeutigen Namen, Kategorien und Eigentümern erfassen
- Beziehungen zwischen Prozessen, Daten, Anwendungen und Infrastruktur sichtbar machen
Modellierung ist kein Formular, sondern ein Arbeitsmodell
Die Modellierung verbindet reale Zielobjekte mit passenden Grundschutz-Bausteinen. Der Wert entsteht nicht durch die bloße Zuordnung, sondern durch die Frage, ob die Struktur des Informationsverbunds nachvollziehbar abgebildet ist.
Wenn ein kritischer Prozess auf eine Anwendung, ein Netzsegment und einen externen Dienstleister angewiesen ist, muss diese Abhängigkeit im Sicherheitskonzept sichtbar werden. Nur dann lassen sich Schutzbedarf, Maßnahmenstatus und Restrisiken belastbar erklären.
- Bausteinzuordnung pro Zielobjekt begründen
- Abhängigkeiten dokumentieren, bevor Maßnahmen bewertet werden
- Ausnahmen und Sonderfälle früh als offene Punkte markieren
Der sinnvolle Mindestumfang für den ersten Durchlauf
Für den ersten belastbaren Durchlauf reicht ein klarer, kleiner Scope oft mehr als ein breiter, unscharfer. Teams sollten mit einem repräsentativen Informationsverbund starten, dessen Prozesse, Anwendungen und Infrastruktur gut verstanden sind.
Danach lässt sich die Methode wiederholen: Zielobjekte ergänzen, Bausteine nachziehen, Schutzbedarf übertragen, offene Maßnahmen priorisieren und Nachweise nach Verantwortlichkeit bündeln.
- Ein erstes Sicherheitskonzept mit klarer Tiefe statt maximaler Breite bauen
- Offene Maßnahmen nach Risiko, Prüfrelevanz und Umsetzbarkeit priorisieren
- Nachweise dort verlinken, wo die jeweilige Anforderung bewertet wird
Compliance-Workflows prüfbar aufbauen
Secani verbindet Scopes, Nachweise, Aufgaben und KI-Agenten in einem gemeinsamen Arbeitskontext.
Weiterführende Beiträge
Alle BeiträgeIT-Grundschutz
IT-Grundschutz++ und OSCAL
Mit der Stand-der-Technik-Bibliothek verlässt der IT-Grundschutz das PDF: IT-Grundschutz++ erscheint als OSCAL-Katalog – und verändert, wie ISMS-Arbeit organisiert wird.
Regulatorik
NIS2: Die Nachfrist läuft ab
Nur gut ein Drittel der betroffenen Unternehmen hat sich fristgerecht beim BSI registriert. Bis Ende Juli 2026 lässt sich das nachholen – danach wird es teuer.
Digital Trust
Trust, Trustworthiness und Zero Trust: Warum Vertrauen in Zukunft überprüfbar sein muss
Vertrauen sollte nicht maximiert werden. Es muss verdient, durch Evidenz begründet und kontinuierlich an die tatsächliche Vertrauenswürdigkeit angepasst werden.