Thomas.will: Die Seite wurde neu angelegt: „= Informationssicherheits-Managementsysteme (ISMS) Theorie = == Was ein ISMS ist == *Ein ISMS ist kein Produkt und keine Software, sondern ein geregeltes Verf…“

2026-09-06T13:00:33Z

Die Seite wurde neu angelegt: „= Informationssicherheits-Managementsysteme (ISMS) Theorie = == Was ein ISMS ist == *Ein ISMS ist kein Produkt und keine Software, sondern ein geregeltes Verf…“

Neue Seite

= Informationssicherheits-Managementsysteme (ISMS) Theorie =

== Was ein ISMS ist ==
*Ein ISMS ist kein Produkt und keine Software, sondern ein geregeltes Verfahren.
*Es beantwortet vier Fragen dauerhaft und nachvollziehbar:
**Was haben wir? (Systeme, Anwendungen, Daten)
**Was kann passieren? (Gefährdungen)
**Was tun wir dagegen? (Maßnahmen)
**Woher wissen wir, dass es noch stimmt? (Prüfung und Nachbesserung)
*Der Unterschied zu "wir machen ja Sicherheit" ist die Nachvollziehbarkeit: Entscheidungen sind schriftlich festgehalten und mit Datum und Verantwortlichem versehen.
*Technische Maßnahmen bleiben dieselben — Firewall, Patchen, Logging. Das ISMS sorgt dafür, dass sie vollständig, begründet und überprüfbar sind.

== Wer ein ISMS braucht und warum ==
;Gesetzlich verpflichtet
*Betreiber kritischer Anlagen (KRITIS) und die von NIS2 erfassten Einrichtungen.
*Das NIS2-Umsetzungsgesetz gilt seit dem 06.12.2025 ohne Übergangsfrist und betrifft rund 29.000 Unternehmen in Deutschland.
*Die Geschäftsleitung haftet persönlich und muss selbst regelmäßig geschult werden.
;Vertraglich verpflichtet
*Zulieferer und Dienstleister großer Kunden.
*Ausschreibungen und Lieferantenfragebögen verlangen belastbare Angaben zum Sicherheitsstand.
*Ohne Nachweis fällt man aus dem Verfahren, unabhängig vom tatsächlichen Sicherheitsniveau.
;Freiwillig
*Unternehmen, die Ordnung in eine gewachsene Umgebung bringen wollen.
*Unternehmen, die nach einem Vorfall zeigen müssen, dass sie das Thema im Griff haben.
;Der praktische Nutzen
*Eine vollständige Liste dessen, was man betreibt — die es erfahrungsgemäß vorher nicht gibt.
*Eine begründete Liste der offenen Punkte, mit der man Budget beantragen kann.
*Ein Nachweis nach außen.
*Entlastung im Schadensfall: dokumentierte, terminierte offene Punkte sind etwas anderes als Unwissenheit.

== Funktionsweise ==
*Ein ISMS läuft als Kreislauf, nicht als einmaliges Projekt (PDCA-Zyklus).
**Plan: Geltungsbereich festlegen, Werte erfassen, Risiken bewerten, Maßnahmen auswählen.
**Do: Maßnahmen umsetzen, Verantwortliche und Termine festlegen.
**Check: prüfen, ob die Maßnahmen umgesetzt sind und wirken (interne Audits, Messungen).
**Act: nachbessern, Erkenntnisse zurück in die Planung geben.
*PDCA (''Plan-Do-Check-Act''): Regelkreis für ständige Verbesserung, in allen Managementsystem-Normen identisch.
*Der Kreislauf läuft mindestens jährlich, zusätzlich nach jeder größeren Änderung und nach jedem Sicherheitsvorfall.

== Die Landschaft: was es gibt und was was ist ==

=== Der wichtigste Satz vorweg ===
*Das Gesetz fordert den Nachweis.
*Die Norm liefert die Methode.
*Der IT-Grundschutz liefert zusätzlich die fertige Maßnahmenliste.
*Diese drei Ebenen werden ständig durcheinandergeworfen. Sie sind nicht dasselbe und schließen sich nicht aus.

=== IT-Grundschutz (BSI) ===
*Methode plus fertiger Maßnahmenkatalog, herausgegeben vom Bundesamt für Sicherheit in der Informationstechnik.
*Man muss nicht selbst herleiten, was zu tun ist: man sucht den passenden Baustein und arbeitet dessen Anforderungen ab.
*Deutschsprachig, sehr detailliert, frei verfügbar.
*Verbreitet in Behörden, im öffentlichen Umfeld und bei deren Zulieferern.
*Nachteil: großer Umfang, ohne Werkzeug schwer zu handhaben.

=== Die BSI-Standards 200-x ===
;BSI-Standard 200-1 – Managementsysteme für Informationssicherheit
*Beschreibt, was ein ISMS ist und welche Anforderungen es erfüllen muss.
*Regelt Verantwortlichkeiten, Leitlinie, Rollen und den Verbesserungsprozess.
*Kompatibel zur ISO/IEC 27001 aufgebaut.
;BSI-Standard 200-2 – IT-Grundschutz-Methodik
*Der eigentliche Arbeitsablauf: wie man von der Bestandsaufnahme zum Sicherheitskonzept kommt.
*Bietet drei Vorgehensweisen:
**Basis-Absicherung: schneller Einstieg, nur die Basis-Anforderungen, für alles gleichzeitig.
**Kern-Absicherung: zuerst die wenigen wirklich kritischen Bereiche ("Kronjuwelen").
**Standard-Absicherung: der vollständige Weg, Voraussetzung für eine Zertifizierung.
;BSI-Standard 200-3 – Risikoanalyse
*Kommt erst zum Einsatz, wenn die Standardmaßnahmen nicht ausreichen.
*Fälle: hoher oder sehr hoher Schutzbedarf, kein passender Baustein vorhanden, ungewöhnlicher Einsatzzweck.
*Für den Normalfall gilt: der Baustein ist die Risikoanalyse, sie wurde vom BSI bereits erledigt.
;BSI-Standard 200-4 – Business Continuity Management
*Notfall- und Wiederanlaufplanung, eigenes Thema neben dem ISMS.

=== IT-Grundschutz-Kompendium ===
*Die Sammlung der Bausteine, jährlich in einer neuen Edition veröffentlicht.
*Baustein: ein Themenpaket zu einem Objekttyp, mit Gefährdungslage und einer Liste konkreter Anforderungen.
*Die Kennungen folgen dem Schichtenmodell:
**SYS = IT-Systeme (Server, Clients, Netzkomponenten)
**APP = Anwendungen (Webserver, Webanwendungen, Datenbanken)
**NET = Netze und Netzkomponenten
**CON = übergreifende Konzepte (Kryptographie, Datenschutz)
**OPS = Betrieb (Administration, Protokollierung, Patchmanagement)
**ORP, INF, IND, DER = Organisation/Personal, Infrastruktur, Industrielle IT, Detektion und Reaktion
*Jede Anforderung hat eine Stufe:
**Basis-Anforderung: muss in jedem Fall umgesetzt werden.
**Standard-Anforderung: Regelfall für normalen Schutzbedarf.
**Anforderung bei erhöhtem Schutzbedarf: nur wenn die Schutzbedarfsfeststellung das ergibt.
*Die früheren IT-Grundschutz-Kataloge sind durch das Kompendium abgelöst.

=== ISO/IEC 27001 ===
*Internationale Norm für Managementsysteme der Informationssicherheit, aktuelle Fassung von 2022.
*Legt fest, dass Risiken systematisch bewertet und behandelt werden müssen — nicht, mit welchen Maßnahmen.
*Anhang A enthält 93 Controls in vier Themenbereichen (organisatorisch, personell, physisch, technologisch).
*Control: eine Sicherheitsmaßnahme in der Sprache der Norm.
*Statement of Applicability (SoA, Erklärung zur Anwendbarkeit): Übersicht, welche Controls gelten, welche nicht, und die Begründung dafür. Das Kernstück jedes Audits.
*Zertifikate nach der Vorgängerfassung von 2013 sind seit Oktober 2025 nicht mehr gültig.
*Vorteil: international anerkannt, in Ausschreibungen die übliche Währung.
*Nachteil: liefert keine fertigen Maßnahmen, die Arbeit der Risikoanalyse bleibt beim Unternehmen.

=== ISO/IEC 27701 ===
*Norm für ein Datenschutz-Managementsystem (PIMS, ''Privacy Information Management System'').
*Behandelt den Umgang mit personenbezogenen Daten, nicht die Informationssicherheit allgemein.
*Seit der Fassung von 2025 eine eigenständige, für sich zertifizierbare Norm — eine ISO/IEC 27001-Zertifizierung ist nicht mehr Voraussetzung.
*Enthält 78 Datenschutz-Controls; Anhang D ordnet sie den Artikeln der DSGVO zu.
*Für Organisationen mit einem Zertifikat nach der Fassung von 2019 läuft eine Übergangsfrist bis Oktober 2028.

=== NIST Cybersecurity Framework (CSF) ===
*Rahmenwerk des US-amerikanischen National Institute of Standards and Technology, aktuelle Fassung 2.0.
*Gliedert Sicherheit in sechs Funktionen: Govern, Identify, Protect, Detect, Respond, Recover.
*Deutlich grober als der IT-Grundschutz, keine Maßnahmenliste auf Umsetzungsebene.
*Nicht zertifizierbar — es gibt kein NIST-Zertifikat.
*Nutzen: gemeinsame Sprache gegenüber der Geschäftsführung und in internationalen Konzernstrukturen.
*In Deutschland begegnet es einem meist als Konzernvorgabe, nicht als eigenständiger Weg.

=== KRITIS und NIS2 ===
*Keine Methode, sondern geltendes Recht.
*Rechtsgrundlage in Deutschland ist das BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungsgesetzes, in Kraft seit 06.12.2025.
*KRITIS (kritische Infrastruktur): Anlagen, deren Ausfall die Versorgung der Bevölkerung gefährdet — Energie, Wasser, Gesundheit, Transport, Finanzen, IT und Telekommunikation, Ernährung, Abfall.
*NIS2 erweitert den Kreis erheblich auf weitere Branchen ab bestimmten Größenschwellen.
*Pflichten im Überblick:
**Registrierung beim BSI.
**Risikomanagementmaßnahmen nach § 30 BSIG.
**Meldung erheblicher Sicherheitsvorfälle: Erstmeldung innerhalb von 24 Stunden, Zwischenmeldung nach 72 Stunden, Abschlussbericht nach einem Monat.
**Betreiber kritischer Anlagen weisen die Umsetzung alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nach.
**Schulungspflicht für die Geschäftsleitung, die persönlich haftet.
*Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
*Das Gesetz schreibt keine bestimmte Methode vor. Genau deshalb greift man zu IT-Grundschutz oder ISO/IEC 27001 — man braucht etwas, das man vorlegen kann.

=== Abgrenzung auf einen Blick ===
{| class="wikitable"
! Was !! Herkunft !! Was es ist !! Fertige Maßnahmen? !! Zertifizierbar?
|-
| IT-Grundschutz || BSI (Deutschland) || Methode + Katalog || ja, sehr detailliert || ja (auf Basis ISO 27001)
|-
| ISO/IEC 27001 || international || Methode || nein, nur Control-Ziele || ja
|-
| ISO/IEC 27701 || international || Methode für Datenschutz || Datenschutz-Controls || ja, seit 2025 eigenständig
|-
| NIST CSF || USA || Ordnungsraster || nein || nein
|-
| KRITIS / NIS2 || Gesetz (DE/EU) || Pflicht zum Nachweis || nein || Nachweispflicht statt Zertifikat
|}

== Rahmenbedingungen und entscheidende Faktoren ==
;Ohne diese Voraussetzungen scheitert es
*Rückendeckung der Leitung. Ein ISMS greift in Abläufe anderer Abteilungen ein — ohne Mandat setzt sich niemand durch.
*Ein benannter Verantwortlicher (Informationssicherheitsbeauftragter) mit zugeteilter Arbeitszeit.
*Ein realistisch geschnittener Geltungsbereich. Lieber ein Dienst vollständig als das ganze Unternehmen halb.
*Aktuelle Bestandsdaten. Was nicht erfasst ist, wird nicht geschützt.
;Was in der Praxis den Ausschlag gibt
*Klein anfangen: Basis-Absicherung für alles oder Kern-Absicherung für das Wichtigste, statt sofort den vollständigen Weg.
*Bewertungen ehrlich vergeben. Ein Konzept, in dem alles grün ist, ist wertlos und fällt im Audit auf.
*Offene Punkte mit Verantwortlichem und Termin versehen. Ohne beides passiert nichts.
*Pflegbar halten. Ein Sicherheitskonzept, das nach einem Jahr niemand mehr anfasst, ist Papier.
;Typische Fehler
*Zu großer Geltungsbereich im ersten Anlauf.
*Werkzeugauswahl vor der Methodenentscheidung.
*Dokumentation als Selbstzweck, ohne dass jemals eine Maßnahme daraus umgesetzt wird.

== Aufbau eines Sicherheitskonzepts nach IT-Grundschutz ==
*Die Reihenfolge nach BSI-Standard 200-2:
;1. Geltungsbereich festlegen (Informationsverbund)
*Welche Standorte, Systeme, Anwendungen und Prozesse gehören dazu — und was ausdrücklich nicht.
;2. Strukturanalyse
*Erfassung aller Objekte im Geltungsbereich: IT-Systeme, Anwendungen, Räume, Netze, Kommunikationsverbindungen.
;3. Schutzbedarfsfeststellung
*Für jedes Objekt wird der Schaden abgeschätzt, getrennt nach Vertraulichkeit, Integrität und Verfügbarkeit.
*Ergebnis ist eine Einstufung als normal, hoch oder sehr hoch.
;4. Modellierung
*Jedem Objekt werden die passenden Bausteine des Kompendiums zugeordnet.
;5. IT-Grundschutz-Check
*Soll-Ist-Vergleich: für jede Anforderung wird festgehalten, ob sie umgesetzt ist — entbehrlich, ja, teilweise oder nein, jeweils mit Begründung.
;6. Risikoanalyse nach 200-3
*Nur für die Objekte mit hohem oder sehr hohem Schutzbedarf oder ohne passenden Baustein.
;7. Realisierungsplan
*Die offenen Punkte werden priorisiert, mit Verantwortlichem, Termin und Aufwand versehen.
;8. Prüfen und wiederholen
*Umsetzung kontrollieren, Konzept fortschreiben — zurück zu Schritt 1.

== Kernaussagen ==
*Das Gesetz fordert den Nachweis, die Norm liefert die Methode, der IT-Grundschutz liefert zusätzlich die Maßnahmenliste.
*Ein ISMS erzeugt keine neue Technik, sondern Vollständigkeit und Nachvollziehbarkeit.
*Der Baustein ersetzt im Regelfall die eigene Risikoanalyse.
*Ein Sicherheitskonzept, in dem alles grün ist, ist entweder falsch oder wertlos.
*Der Wert entsteht erst mit Verantwortlichem und Termin an jedem offenen Punkt.

Informationssicherheits-Managementsysteme (ISMS) Theorie - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „= Informationssicherheits-Managementsysteme (ISMS) Theorie = == Was ein ISMS ist == *Ein ISMS ist kein Produkt und keine Software, sondern ein geregeltes Verf…“