Schutzbedarf feststellen und Maßnahmen begründen

Was du nach dieser Lektion kannst

Die Nordlicht Kurier GmbH vermittelt Fahrradkuriere an Apotheken und kleine Unternehmen. Eine neue Anwendung namens “TourPilot” nimmt Aufträge an, plant Touren und zeigt der Disposition die aktuellen Positionen der Kuriere. Vor dem Start sollst du begründen, wie stark die beteiligten Informationen und Systeme geschützt werden müssen.

Eine pauschale Antwort wie “alles ist sehr wichtig” hilft dabei nicht. Sie würde weder Prioritäten noch angemessene Maßnahmen liefern. Stattdessen untersuchst du, welcher Schaden entstehen kann, wenn Informationen offengelegt, verändert oder nicht verfügbar sind.

Nach dieser Lektion kannst du:

• Schutzobjekte und ihre Abhängigkeiten erfassen,
• mögliche Schäden für die drei Grundwerte begründen,
• Schutzbedarf als normal, hoch oder sehr hoch einstufen,
• das Ergebnis auf beteiligte Systeme und Verbindungen übertragen,
• passende Maßnahmenrichtungen nennen und erkennen, wann eine Risikoanalyse folgt.

Die Lektion gehört zu Lernfeld 4. Der erste Teil der Abschlussprüfung kann die Schutzbedarfsanalyse für Anwendungen, IT-Systeme, Räume, Infrastruktur und Kommunikationsverbindungen aufgreifen. Die genaue Aufgabenform ist nicht vorgegeben.

Schutzbedarf beginnt beim Geschäftsprozess

Der Schutzbedarf beschreibt, wie viel Schutz ein Objekt bezüglich Vertraulichkeit, Integrität und Verfügbarkeit benötigt. Maßstab sind die möglichen Schäden für die Organisation und betroffene Personen. Das Objekt kann zum Beispiel ein Geschäftsprozess, eine Anwendung, ein Server, ein Raum oder eine Netzwerkverbindung sein.

Für TourPilot reicht deshalb keine reine Geräteliste. Zuerst klärst du den beruflichen Zusammenhang:

1. Welche Aufgabe erledigt der Betrieb?
2. Welche Informationen und Anwendungen tragen diese Aufgabe?
3. Welche Systeme, Räume und Verbindungen benötigen die Anwendungen?
4. Was geschieht, wenn ein Grundwert beeinträchtigt wird?

Der betrachtete Informationsverbund umfasst die zusammengehörigen Prozesse, Informationen und technischen Objekte. In unserem vereinfachten Beispiel gehören dazu:

• die Auftragsannahme und Tourenplanung,
• TourPilot und seine Auftragsdatenbank,
• der Anwendungsserver und der Rechner der Disposition,
• das Büro der Disposition,
• die verschlüsselte Verbindung zu den Mobilgeräten.

Drei Grundwerte, drei verschiedene Fragen

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, betrachtet bei der Schutzbedarfsfeststellung mindestens die drei Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit.

Die Grundwerte werden getrennt bewertet. Eine Anwendung kann bei der Vertraulichkeit einen hohen, bei der Verfügbarkeit aber nur einen normalen Schutzbedarf haben. Ein einzelnes Gesamtetikett würde diese Information verdecken.

Kategorien brauchen betriebliche Grenzen

Der BSI-Standard 200-2 arbeitet mit drei qualitativen Schutzbedarfskategorien. Die Organisation definiert vor der Bewertung, was die Kategorien in ihrem Umfeld bedeuten.

Diese Kurzdefinitionen sind der Rahmen. Für eine wiederholbare Bewertung braucht Nordlicht konkrete Grenzen. Der Betrieb könnte zum Beispiel festlegen, welche Betriebsunterbrechung noch überbrückt werden kann und wann Verpflichtungen gegenüber Kundinnen und Kunden erheblich verletzt würden. Solche Grenzen stammen aus betrieblichen Vorgaben. Du erfindest sie nicht während der Einstufung.

Bei der Begründung helfen typische Schadensszenarien. Dazu zählen nach der IT-Grundschutz-Methodik unter anderem:

• Verstöße gegen Gesetze, Vorschriften oder Verträge,
• Beeinträchtigungen des Rechts auf informationelle Selbstbestimmung,
• Beeinträchtigungen der persönlichen Unversehrtheit,
• Einschränkungen bei der Aufgabenerfüllung,
• negative Außen- oder Innenwirkung,
• finanzielle Auswirkungen.

Nicht jedes Szenario passt zu jedem Objekt. Wähle die nachvollziehbare Folge, statt möglichst viele Schlagwörter aufzuzählen.

Vom Schaden zur begründeten Einstufung

Nordlicht hat die eigenen Kategorien bereits definiert. Für die Anwendung TourPilot bewertest du nun jeden Grundwert. Eine belastbare Begründung verbindet vier Teile:

Objekt + beeinträchtigter Grundwert + konkrete Folge + betriebliche Kategorie

Für die Vertraulichkeit könnte die Dokumentation so aussehen:

TourPilot, Vertraulichkeit: hoch. Die Anwendung verarbeitet Lieferadressen und laufende Standortdaten. Eine unbefugte Offenlegung würde Rechte betroffener Personen beeinträchtigen und vertragliche Pflichten verletzen. Nach der betrieblichen Definition sind diese Auswirkungen beträchtlich.

Die Kategorie folgt aus der beschriebenen Auswirkung. Sie folgt nicht allein aus Wörtern wie “personenbezogen”, “Cloud” oder “kritisch”.

Für unser Lernszenario ergibt die Abstimmung mit Prozessverantwortlichen diese Bewertung:

Die Ersatzlösung begründet hier die Kategorie “normal” für die Verfügbarkeit. Wäre ein manueller Betrieb nicht möglich und stünde die Organisation dadurch vor existenziellen Folgen, könnte die Kategorie anders ausfallen. Die Einstufung hängt also vom konkreten Prozess ab.

Schutzbedarf folgt den Abhängigkeiten

Nach den Anwendungen bewertest du die technischen Zielobjekte. Der Schutzbedarf einer Anwendung wird auf die Systeme, Räume und Verbindungen übertragen, von denen sie abhängt. Im IT-Grundschutz heißt dieser Schritt Vererbung.

Für IT-Systeme gilt im einfachen Fall das Maximumprinzip: Nutzt ein Server mehrere Anwendungen, übernimmt er je Grundwert den höchsten benötigten Schutz. Läuft auf demselben Server zusätzlich ein öffentliches Speiseplan-Wiki mit normalem Schutzbedarf, bleibt die Vertraulichkeit des Servers wegen TourPilot trotzdem hoch.

Zwei Besonderheiten verlangen eine Begründung:

• Beim Kumulationseffekt kann die Ansammlung vieler für sich weniger kritischer Daten den Schutzbedarf erhöhen. Viele einzelne Lieferdatensätze ergeben zusammen zum Beispiel ein aussagekräftiges Bewegungsmuster.
• Beim Verteilungseffekt kann Redundanz den Verfügbarkeitsbedarf eines einzelnen Systems verringern. Das gilt nur, wenn andere Systeme die Aufgabe tatsächlich übernehmen können.

Du überträgst Kategorien deshalb nicht blind. Du dokumentierst Abhängigkeiten und begründest Abweichungen.

Maßnahmen aus dem Ergebnis ableiten

Der festgestellte Schutzbedarf gibt eine Zielrichtung vor. Er sagt noch nicht, welche einzelne technische Lösung gekauft oder eingerichtet werden muss.

Aus der TourPilot-Bewertung lassen sich zum Beispiel diese Richtungen ableiten:

Die konkrete Auswahl erfolgt anhand der betrieblichen Vorgaben und der passenden Anforderungen aus dem IT-Grundschutz-Kompendium. Auch organisatorische und personelle Maßnahmen können nötig sein, etwa geregelte Freigaben, Einweisungen oder ein geübtes Ersatzverfahren.

Wann die Risikoanalyse folgt

Der BSI-Standard 200-3 beschreibt die Risikoanalyse auf Basis von IT-Grundschutz. Sie wird insbesondere relevant, wenn ein Zielobjekt in mindestens einem Grundwert hohen oder sehr hohen Schutzbedarf hat, wenn es sich nicht ausreichend mit vorhandenen IT-Grundschutz-Bausteinen modellieren lässt oder wenn es in einem dort nicht vorgesehenen Einsatzszenario betrieben wird.

Die Abgrenzung kannst du dir so merken:

Da TourPilot bei Vertraulichkeit und Integrität einen hohen Schutzbedarf hat, reicht “hoch” als Abschluss nicht aus. Das Ergebnis stößt die weiterführende Betrachtung an. In dieser Lektion endet die Aufgabe jedoch bei der begründeten Schutzbedarfsfeststellung und den daraus ableitbaren Maßnahmenrichtungen.

Wende das Vorgehen auf eine neue Situation an

Das Wichtigste in Kürze

• Schutzbedarf wird für Vertraulichkeit, Integrität und Verfügbarkeit getrennt festgestellt.
• Die Kategorie folgt aus möglichen Schäden und betrieblich festgelegten Grenzen, nicht aus einem technischen Schlagwort.
• Du beginnst bei Geschäftsprozessen und Anwendungen und überträgst den Schutzbedarf auf abhängige Systeme, Räume und Verbindungen.
• Das Maximumprinzip ist der Regelfall. Kumulations- und Verteilungseffekte brauchen eine eigene Begründung.
• Aus dem Schutzbedarf folgen Sicherheitsanforderungen und Maßnahmenrichtungen. Eine Risikoanalyse untersucht zusätzlich konkrete Gefährdungen und Eintrittshäufigkeiten.

Quellenbasis und Abgrenzung

Die Zuordnung zu Lernfeld 4 stammt aus dem KMK-Rahmenlehrplan. Die Berufsbildposition A6 und die Handlung “Sicherheitsanforderungen analysieren und Maßnahmen umsetzen” stützen sich auf die Fachinformatikerausbildungsverordnung. Der AP1-Prüfungskatalog trägt die Themenbreite von Anwendungen über IT-Systeme und Räume bis zu Kommunikationsverbindungen. Die Beispielprüfung aus Herbst 2021 wurde nur genutzt, um die Aufgabenform “Kategorie begründen” zu abstrahieren. Szenario, Daten und Lösungen dieser Lektion sind neu.

Die fachliche Methode folgt dem BSI-Standard 200-2, Kapitel 8.2. Die Abgrenzung zur Risikoanalyse folgt dem BSI-Standard 200-3. Die genannten Maßnahmen sind bewusst Maßnahmenrichtungen. Sie ersetzen weder eine vollständige IT-Grundschutz-Modellierung noch eine Risikoanalyse oder die betrieblich verantwortete Auswahl konkreter Sicherheitsmaßnahmen. Quellenstand ist der 10. Juli 2026.

Belegmatrix