BSI IT-Grundschutz einfach erklärt – und wie Open Source dabei hilft
BSI IT-Grundschutz einfach erklärt – und wie Open Source dabei hilft
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit dem IT-Grundschutz einen bewährten Leitfaden für Informationssicherheit geschaffen. Behörden arbeiten damit, viele Unternehmen orientieren sich daran – und auch für kleine Betriebe steckt darin eine Menge guter Ideen. Hier bekommst du einen freundlichen Überblick.
Was ist der IT-Grundschutz?
Der IT-Grundschutz ist eine Methode, um Informationssicherheit Schritt für Schritt aufzubauen. Er besteht aus zwei Teilen:
- BSI-Standards (zum Beispiel 200-1, 200-2 und 200-3): Sie beschreiben das Vorgehen – also wie man ein Sicherheitsmanagement aufbaut und Risiken bewertet.
- IT-Grundschutz-Kompendium: Eine Sammlung von „Bausteinen" für typische Themen, etwa Backups, Cloud-Nutzung, Server, Büroarbeitsplätze oder Notfallvorsorge.
Jeder Baustein beschreibt, worauf man achten sollte. Das Schöne: Die Texte sind praxisnah und kostenlos beim BSI verfügbar.
Ein paar Beispiele für Bausteine
| Baustein | Worum es geht |
|---|---|
| CON.3 Datensicherungskonzept | Wie werden Daten gesichert, und klappt die Wiederherstellung? |
| OPS.2.2 Cloud-Nutzung | Worauf achtet man bei der Auswahl und Nutzung von Cloud-Diensten? |
| ORP.4 Identitäts- und Berechtigungsmanagement | Wer darf worauf zugreifen? |
| DER.4 Notfallmanagement | Was passiert, wenn mal etwas ausfällt? |
Gerade beim Baustein zur Cloud-Nutzung geht es um Fragen, die sich jeder Betrieb stellen kann: Wo liegen die Daten? Wie kommt man an sie heran, wenn man den Anbieter wechseln möchte? Gibt es einen Plan für einen Ausfall?
Und was ist C5?
C5 steht für „Cloud Computing Compliance Criteria Catalogue". Das ist ein Kriterienkatalog des BSI speziell für Cloud-Anbieter. Viele Anbieter lassen sich danach prüfen. Ein C5-Testat ist ein hilfreicher Baustein bei der Auswahl eines Cloud-Dienstes – ersetzt aber nicht die eigene Überlegung, welche Daten man wo haben möchte.
Wie Open Source beim Grundschutz hilft
Der IT-Grundschutz schreibt keine bestimmte Software vor. Open Source kann viele Anforderungen aber angenehm einfach machen:
- Backups: Du bestimmst selbst, wie und wohin gesichert wird.
- Standort: Du wählst das Rechenzentrum oder betreibst den Server bei dir vor Ort.
- Wechselmöglichkeit: Offene Formate und Standards machen einen späteren Umzug leichter.
- Nachvollziehbarkeit: Der Code ist offen, und Einstellungen lassen sich gut dokumentieren.
- Berechtigungen: Mit Werkzeugen wie Keycloak lässt sich die Anmeldung zentral und übersichtlich verwalten.
Für kleine Betriebe: lieber pragmatisch
Niemand muss gleich eine Zertifizierung anstreben. Für kleine Betriebe reicht es meist, die wichtigsten Grundideen umzusetzen:
- Wissen, welche Daten und Systeme es gibt
- Zugänge mit Zwei-Faktor-Anmeldung schützen
- Regelmäßig Updates einspielen
- Backups machen und testen
- Einen kleinen Notfallplan aufschreiben
Das BSI bietet dafür auch Einstiegshilfen speziell für kleinere Organisationen an.
Kurz erklärt: Schutzbedarf
Ein zentraler Gedanke im IT-Grundschutz ist der Schutzbedarf. Für jede Art von Daten fragt man sich drei Dinge:
| Schutzziel | Frage | Beispiel |
|---|---|---|
| Vertraulichkeit | Wie schlimm wäre es, wenn Unbefugte die Daten sehen? | Patientenakten, Mandantendaten |
| Integrität | Wie schlimm wäre es, wenn die Daten unbemerkt verändert würden? | Rechnungen, Verträge |
| Verfügbarkeit | Wie schlimm wäre es, wenn die Daten eine Zeit lang nicht erreichbar wären? | Terminkalender, E-Mail |
Je nach Antwort spricht man von normalem, hohem oder sehr hohem Schutzbedarf. Daraus ergibt sich, welche Maßnahmen sinnvoll sind. Für einen Familienkalender reicht etwas anderes als für eine Steuerkanzlei.
Ein Beispiel aus einem kleinen Büro
Ein Architekturbüro mit acht Personen geht die Grundideen durch. Es stellt fest: Die Pläne und Verträge haben hohen Schutzbedarf bei Integrität und Verfügbarkeit, die Kundendaten bei Vertraulichkeit. Daraus folgen ein paar klare Schritte:
- Tägliche, verschlüsselte Backups der Projektordner, eine Kopie an einem zweiten Ort.
- Zwei-Faktor-Anmeldung für alle Zugänge.
- Ein Passwort-Manager für das ganze Team.
- Eine Seite Notfallplan mit den wichtigsten Kontakten.
Die Projektdaten liegen in einer Nextcloud bei einem deutschen Rechenzentrum. Backups, Updates und Zugänge sind so dokumentiert, dass auch eine Vertretung im Urlaub den Überblick behält.
Fazit
Der IT-Grundschutz ist ein hilfreicher Kompass für mehr Sicherheit. Mit Open-Source-Werkzeugen, bei denen du Standort, Backups und Zugänge selbst in der Hand hast, lassen sich viele Anforderungen gut und verständlich umsetzen. Als externer Informationssicherheitsbeauftragter unterstütze ich dich gern dabei – mehr unter Beratung.
Wenn du das auch ausprobieren magst, helf ich dir gern dabei – schreib mir einfach.
NIS2 und DSGVO entspannt erklärt – was kleine Betriebe wissen sollten
NIS2 und DSGVO klingen nach viel Papier. Hier erfährst du ruhig und verständlich, worum es geht und wie Open Source beim Ordnunghalten hilft.
KI-Assistenten im Büro – so behältst du den Überblick über deine Daten
Copilot und andere KI-Assistenten sind praktisch. Worauf du bei Einstellungen und Datenverarbeitung achten kannst – und welche offenen Alternativen es gibt.