Thomas.will am 6. September 2026 um 13:02 Uhr

2026-09-06T13:02:15Z

Thomas.will: Die Seite wurde neu angelegt: „= Übung: IT-Grundschutz mit dem Simulator = == Worum es geht == *Wir modellieren eine kleine Online-Plattform nach IT-Grundschutz, bewerten den Umsetzungssta…“

2026-09-06T12:54:22Z

Die Seite wurde neu angelegt: „= Übung: IT-Grundschutz mit dem Simulator = == Worum es geht == *Wir modellieren eine kleine Online-Plattform nach IT-Grundschutz, bewerten den Umsetzungssta…“

Neue Seite

= Übung: IT-Grundschutz mit dem Simulator =

== Worum es geht ==
*Wir modellieren eine kleine Online-Plattform nach IT-Grundschutz, bewerten den Umsetzungsstand und exportieren das Ergebnis als CSV-Datei.
*Wir arbeiten dabei nicht mit Verinice, sondern mit einer Webseite, die denselben Ablauf abbildet.
*Es wird nichts installiert und nichts angemeldet. Alle Eingaben bleiben im Browser und sind nach dem Neuladen der Seite wieder weg.
*Aufruf: https://labs.xinux.net/it-grundschutz.html

== Das Szenario ==
*Die kit GmbH betreibt eine kleine Online-Plattform mit 12 Mitarbeitern.
*Zur Plattform gehören vier Objekte:
{| class="wikitable"
! Objekt !! Typ !! Was es ist
|-
| Webserver01 || IT-System || Apache-Webserver mit Testanwendungen, öffentlich erreichbar
|-
| WAF || IT-System || NGINX mit ModSecurity und OWASP Core Rule Set, TLS-Endpunkt
|-
| Firewall || IT-System || OPNsense vor der Plattform, Admin-Zugriff nur intern
|-
| Webshop || Anwendung || die öffentliche Webanwendung für Bestellungen
|}
*Ziel der Organisation: Verfügbarkeit und Sicherheit der Website sicherstellen.

== Die Bedienung der Seite ==
*Oben stehen fünf Schaltflächen — das sind die fünf Schritte:
**1 Organisation
**2 Systeme & Anwendungen
**3 Bausteine zuordnen
**4 Maßnahmen bewerten
**5 Ergebnis
*Man kann jederzeit oben direkt auf einen Schritt klicken oder unten mit "Weiter →" und "← Zurück" blättern.
*"Beispiel laden" füllt alle fünf Schritte mit dem vollständig bearbeiteten Szenario.
*"Zurücksetzen" leert alles wieder.
*Empfehlung für den Ablauf: erst leer durchgehen und selbst ausfüllen, am Ende einmal "Beispiel laden" zum Vergleich.

== Schritt 1 — Organisation ==
*Hier steht, für wen das Sicherheitskonzept gilt. Das ist der Geltungsbereich.
*Auszufüllende Felder:
{| class="wikitable"
! Feld !! Eintrag im Beispiel
|-
| Title || kit GmbH
|-
| Abbreviation || KIT
|-
| Organization || KIT
|-
| Tags || Demo, IT-Grundschutz
|-
| Number of employees || 12
|-
| Bearbeiter || eigener Name
|-
| Scope || Kleine Online-Plattform mit einem Webdienst für Kunden. Ziel ist es, Verfügbarkeit und Sicherheit der Website sicherzustellen.
|}
*Der Bearbeiter taucht später im Dateinamen der CSV-Datei auf.
*Das Feld "Scope" ist das wichtigste: es grenzt ab, was zum Konzept gehört und was nicht.
*In der Methode nach BSI-Standard 200-2 entspricht dieser Schritt der Festlegung des Informationsverbunds.

== Schritt 2 — Systeme und Anwendungen ==
*Hier wird erfasst, was überhaupt betrieben wird. Das ist die Strukturanalyse.
*Die vier Objekte sind bereits angelegt. Jede Karte hat drei Felder:
**Auswahlfeld für den Typ: IT-System oder Anwendung
**Name
**Beschreibung
*Alle drei Felder sind änderbar. Damit lässt sich statt des Beispiels auch eine eigene Umgebung bewerten.
*Die Unterscheidung IT-System und Anwendung ist keine Formsache: sie entscheidet, welche Bausteine im nächsten Schritt passen.
**IT-System ist die Maschine — Server, Firewall.
**Anwendung ist das, was darauf läuft und einen fachlichen Zweck hat — der Webshop.

== Schritt 3 — Bausteine zuordnen ==
*Hier wird festgelegt, welche Anforderungen für welches Objekt gelten. Das ist die Modellierung.
*Links steht der Katalog mit fünf Bausteinen, rechts für jedes Objekt eine Ablagefläche.
*Bedienung: einen Baustein links mit der Maus anfassen, auf das Objekt rechts ziehen und loslassen. Ein zugeordneter Baustein lässt sich über das "×" wieder entfernen.
*Mehrere Bausteine pro Objekt sind ausdrücklich vorgesehen und der Normalfall.
*Die verfügbaren Bausteine:
{| class="wikitable"
! Baustein !! Wofür
|-
| SYS.1.1 Allgemeiner Server || Grundanforderungen an jeden Server: Patchen, Logging, Monitoring
|-
| SYS.1.3 Server unter Linux und Unix || Linux-Besonderheiten: Rechte, sudo, SSH
|-
| APP.3.2 Webserver || Apache, NGINX, IIS: TLS, Module, Protokollierung
|-
| APP.3.1 Webanwendungen || die Anwendung selbst: Eingaben, Sessions, Tests
|-
| NET.3.2 Firewall || Regelwerk, Administration, Protokollierung der Firewall
|}
*Die Zuordnung im Beispiel:
{| class="wikitable"
! Objekt !! Bausteine
|-
| Webserver01 || SYS.1.1, SYS.1.3, APP.3.2
|-
| WAF || SYS.1.1, SYS.1.3, APP.3.2
|-
| Firewall || NET.3.2
|-
| Webshop || APP.3.1
|}
*Begründung der Zuordnung:
**Webserver01 ist ein Server (SYS.1.1), er läuft unter Linux (SYS.1.3) und er ist ein Webserver (APP.3.2) — drei Bausteine, weil drei Eigenschaften zutreffen.
**Die WAF bekommt dieselben drei: sie ist ebenfalls ein Linux-Server mit einem Webserver-Dienst, auch wenn sie keine eigenen Inhalte ausliefert.
**Die Firewall ist eine Appliance und bekommt nur NET.3.2.
**Der Webshop ist kein Server, sondern eine Anwendung — nur APP.3.1.
*Das ist der eigentliche Kern des IT-Grundschutzes: die Frage "was müssen wir hier tun" ist mit der Zuordnung beantwortet, ohne dass jemand selbst eine Risikoanalyse rechnen musste.

== Schritt 4 — Maßnahmen bewerten ==
*Hier wird für jede einzelne Anforderung festgehalten, ob sie umgesetzt ist. Das ist der IT-Grundschutz-Check, ein Soll-Ist-Vergleich.
*Die Seite listet jedes Objekt mit seinen Bausteinen und je Baustein die Maßnahmen auf.
*Jede Maßnahme hat eine Stufe:
**BASIC — Basis-Anforderung, muss in jedem Fall umgesetzt sein.
**STANDARD — Standard-Anforderung, Regelfall bei normalem Schutzbedarf.
*Je Maßnahme wird eine Ampel gesetzt:
**erfüllt
**teilweise
**nicht erfüllt
**unbewertet (der Ausgangszustand)
*Darunter steht ein Notizfeld für die Begründung. Das Feld ist der wichtigste Teil der Übung: eine Ampel ohne Begründung ist im Audit wertlos.
*Beispiele für brauchbare Notizen aus dem Beispieldatensatz:
**"nftables konfiguriert: nur Ports 22, 80, 443 offen."
**"Nur SSH mit Schlüssel-Authentisierung, Root-Login deaktiviert."
**"Ausgabe-Escaping vorhanden, Content-Security-Policy noch nicht konfiguriert."
*Die Maßnahmen je Baustein:
{| class="wikitable"
! Baustein !! Maßnahmen
|-
| SYS.1.1 || Geeignete Aufstellung; Benutzerauthentisierung an Servern; Deaktivierung nicht benötigter Dienste; Einsatz von Virenschutz-Programmen; Protokollierung; Einrichtung lokaler Paketfilter
|-
| SYS.1.3 || Sorgfältige Vergabe von IDs; kein automatisches Einbinden von Wechselaufwerken; Verwaltung von Benutzern und Gruppen; verschlüsselter Zugriff über Secure Shell
|-
| APP.3.2 || Absicherung der Webserver-Software; Konfiguration der Protokolle; Trennung von Webinhalten und Betriebssystem; Protokollierung von Webserver-Ereignissen; Minimierung von Modulen und Erweiterungen; Schutz vor bekannten Schwachstellen
|-
| APP.3.1 || Eingabevalidierung; Session-Management; Schutz vor Cross-Site-Scripting; Absicherung der Zahlungsabwicklung; regelmäßige Sicherheitstests
|-
| NET.3.2 || Regelbasierte Filterung; geregelte Administration; Protokollierung; Patchmanagement; regelmäßige Konfigurationsprüfung
|}
*Hier wird sichtbar, dass die Anforderungen nichts Fremdes sind: das ist die Liste dessen, was wir im Kurs ohnehin konfiguriert haben — nur mit einer Kennung davor.

== Schritt 5 — Ergebnis ==
*Für jedes Objekt erscheint eine Karte mit einer Gesamtampel und der Zählung der Bewertungen.
*Die Gesamtampel eines Objekts ergibt sich so:
**kritisch, sobald eine einzige Maßnahme auf "nicht erfüllt" steht
**teilweise, wenn es "teilweise" oder noch unbewertete Maßnahmen gibt
**erfüllt, wenn alle Maßnahmen erfüllt sind
*Ein einziger roter Punkt reißt also das ganze Objekt auf Rot. Das ist beabsichtigt und entspricht der Praxis.
*Darunter steht die Tabelle der offenen Punkte.
*Über "CSV exportieren" wird die Datei heruntergeladen.
**Dateiname: grundschutz_<Bearbeiter>_<Datum>.csv
**Spalten: Organisation; Objekt; Baustein; Massnahme; Level; Status; Notiz
**Trennzeichen ist das Semikolon, die Datei lässt sich direkt in einer Tabellenkalkulation öffnen.

== Die offenen Punkte im Beispiel ==
*Im vorbereiteten Beispiel bleiben genau diese Punkte offen:
{| class="wikitable"
! Objekt !! Maßnahme !! Status !! Grund
|-
| Firewall || Regelmäßige Konfigurationsprüfung || nicht erfüllt || Review der Firewall-Regeln ist nicht terminiert
|-
| Webshop || Regelmäßige Sicherheitstests || nicht erfüllt || letzter Penetrationstest liegt über 18 Monate zurück
|-
| Firewall || Protokollierung || teilweise || Logs werden gesammelt, aber nicht ausgewertet
|-
| WAF || Schutz vor bekannten Schwachstellen || teilweise || OWASP Core Rule Set wird unregelmäßig aktualisiert
|-
| Webshop || Schutz vor Cross-Site-Scripting || teilweise || keine Content-Security-Policy konfiguriert
|-
| Webserver01 || Einsatz von Virenschutz-Programmen || teilweise || ClamAV vorhanden, ergänzt durch IDS auf Netzebene
|}
*Keiner dieser Punkte ist exotisch. Es sind die Dinge, die im Tagesgeschäft liegen bleiben, weil sie niemandem zugeteilt sind.

== Was mit der CSV-Datei passiert ==
*Die Datei ist keine Ablage, sondern eine Aufgabenliste.
*Aus der Bewertung wird ein Realisierungsplan, indem drei Spalten ergänzt werden:
**Verantwortlicher
**Termin
**Aufwand
*Erst damit ist die Arbeit fertig. Eine Bewertung ohne Namen und Datum verändert nichts.
*Vorgelegt wird das Ergebnis der Geschäftsleitung als Begründung für Budget, dem Auditor bei einer Zertifizierung, dem BSI als Nachweis bei Nachweispflicht sowie Kunden und Versicherungen auf Nachfrage.

== Aufgabe für die Teilnehmer ==
*Wir setzen die Seite zurück und legen eine eigene Organisation an.
*Wir ersetzen in Schritt 2 die Objekte durch die Systeme aus unserer eigenen Kursumgebung.
*Wir ordnen die passenden Bausteine zu und begründen die Zuordnung.
*Wir bewerten die Maßnahmen ehrlich — mit dem, was wir im Kurs tatsächlich konfiguriert haben.
*Wir exportieren die CSV-Datei und benennen zu jedem roten und gelben Punkt einen Verantwortlichen und einen Termin.

@@ Zeile 1: / Zeile 1: @@
-= Übung: IT-Grundschutz mit dem Simulator =
+= Informationssicherheits-Managementsysteme (ISMS) Praxis =
-== Worum es geht ==
+== Werkzeuge ==
-*Wir modellieren eine kleine Online-Plattform nach IT-Grundschutz, bewerten den Umsetzungsstand und exportieren das Ergebnis als CSV-Datei.
+*Der Ablauf nach BSI-Standard 200-2 ist Verwaltungsarbeit: viele Objekte, viele Anforderungen, viele Statusangaben. Genau dafür gibt es Werkzeuge.
-*Wir arbeiten dabei nicht mit Verinice, sondern mit einer Webseite, die denselben Ablauf abbildet.
+;Verinice
-*Es wird nichts installiert und nichts angemeldet. Alle Eingaben bleiben im Browser und sind nach dem Neuladen der Seite wieder weg.
+*Das bekannteste Werkzeug im deutschsprachigen Raum, von der SerNet GmbH, Open Source und vom BSI lizenziert.
 *Aufruf: https://labs.xinux.net/it-grundschutz.html
 == Das Szenario ==
@@ Zeile 139: / Zeile 155: @@
 |}
 *Hier wird sichtbar, dass die Anforderungen nichts Fremdes sind: das ist die Liste dessen, was wir im Kurs ohnehin konfiguriert haben — nur mit einer Kennung davor.
 == Schritt 5 — Ergebnis ==
@@ Zeile 179: / Zeile 196: @@
 **Aufwand
 *Erst damit ist die Arbeit fertig. Eine Bewertung ohne Namen und Datum verändert nichts.
-*Vorgelegt wird das Ergebnis der Geschäftsleitung als Begründung für Budget, dem Auditor bei einer Zertifizierung, dem BSI als Nachweis bei Nachweispflicht sowie Kunden und Versicherungen auf Nachfrage.
+;Wem man das Ergebnis vorlegt
 == Aufgabe für die Teilnehmer ==

Informationssicherheits-Managementsysteme (ISMS) Praxis - Versionsgeschichte

Thomas.will am 6. September 2026 um 13:02 Uhr

Thomas.will: Die Seite wurde neu angelegt: „= Übung: IT-Grundschutz mit dem Simulator = == Worum es geht == *Wir modellieren eine kleine Online-Plattform nach IT-Grundschutz, bewerten den Umsetzungssta…“