Wie deutsche Betriebe BSI-Grundschutz für Betriebsnetze umsetzen

Das Wichtigste auf einen Blick

• Betriebsnetze einrichten heißt im BSI-Grundschutz: Bausteine auswählen, modellieren, prüfen und dokumentieren.
• Das BSI IT-Grundschutz-Kompendium liefert dafür über 100 Bausteine, von APP.3.1 bis NET.1.1.
• Der Grundschutz-Check ist das zentrale Prüfverfahren, mit dem KMU den Ist-Zustand gegen Soll-Vorgaben abgleichen.
• Rechnerarbeitsplätze in KMU brauchen die Bausteine APP.3.1, NET.1.1 und INF.1.
• Ohne Dokumentation und Wiederholungsprüfungen verliert das Sicherheitskonzept nach zwölf Monaten seine Wirkung.

Warum BSI-Grundschutz für Betriebsnetze einrichten in KMU zum Standard wird

Der BSI IT-Grundschutz ist kein Gesetz, aber er ist der Maßstab, an dem Aufsichtsbehörden, Kunden und Versicherer IT-Sicherheit in deutschen Betrieben messen. Das BSI IT-Grundschutz-Kompendium bündelt alle Empfehlungen in einer öffentlich zugänglichen Sammlung. Wer Betriebsnetze einrichten will, findet dort konkrete Vorgaben statt allgemeiner Ratschläge.

Rechtlich relevant wird das über das IT-Sicherheitsgesetz 2.0. Es verpflichtet Betreiber kritischer Infrastrukturen zu angemessenen Schutzmaßnahmen, und als angemessen gilt, was dem Stand der Technik entspricht. Das BSI-Gesetz und die BSI-Verordnungen sind in der Teilliste B der Gesetze im Internet aufgeführt.

Auch wer nicht kritische Infrastruktur betreibt, orientiert sich daran, sobald Auftraggeber aus der Industrie Sicherheitsnachweise verlangen.

Für KMU kommt ein zweiter Treiber hinzu: die Auftraggeberhaftung. Große Unternehmen müssen ihre Lieferkette absichern und fragen bei Dienstleistern und Zulieferern nach einem Sicherheitskonzept. Ein Betriebsnetz, das nach Grundschutz aufgebaut und dokumentiert ist, beantwortet diese Frage ohne Sonderprüfung.

Hinzu kommt der Datenschutz. Die Landesdatenschutzbeauftragten und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit verlangen bei personenbezogenen Daten in Betriebsnetzen technische und organisatorische Maßnahmen. Der Grundschutz liefert diese Maßnahmen als Baukasten.

Die BSI-Publikationen zu Grundschutz und IT-Sicherheitsgesetz werden laufend aktualisiert. Wer heute ein Netz plant, plant also nicht nach einem statischen Regelwerk, sondern nach einem Stand, der sich jährlich ändert.

Aufbau des BSI IT-Grundschutz-Kompendiums: Bausteine, Schichten und Vorgehen

Das Kompendium ist in Schichten gegliedert. Ganz oben stehen übergreifende Bausteine wie ISMS und ORP, darunter die Infrastruktur, dann IT-Systeme, Anwendungen und zuletzt der organisatorische Rahmen. Jeder Baustein enthält eine Beschreibung der Gefährdungslage, Anforderungen und weiterführende Hinweise.

Die Schichten sind bewusst allgemein gehalten. Ein Baustein wie NET.1.1 beschreibt nicht, welchen Switch ein Betrieb kaufen soll, sondern welche Eigenschaften das Netz erfüllen muss und welche Anforderungen daraus folgen. Die konkrete Umsetzung bleibt Aufgabe des Betriebs.

Die Anforderungen sind in drei Kategorien eingeteilt: Basis, Standard und erhöhter Schutzbedarf. Basis-Anforderungen gelten für jeden, der den Baustein anwendet. Standard-Anforderungen gelten bei normalem Schutzbedarf, und Anforderungen für erhöhten Schutzbedarf kommen bei kritischen Daten oder besonderen Risiken hinzu.

Das Vorgehen folgt einem festen Ablauf. Zuerst wird der Geltungsbereich festgelegt, dann werden die Bausteine ausgewählt und modelliert, anschließend folgt der Grundschutz-Check, danach die Realisierung und zuletzt die Dokumentation. Dieser Ablauf ist kein einmaliges Projekt, sondern ein Zyklus.

Wer den Einstieg sucht, kann ein IT-Grundschutz-Profil nutzen. Das BSI bietet Profile für typische Einrichtungen an, die die Bausteinauswahl vorstrukturieren. Für kleine Betriebe ohne eigene Sicherheitsabteilung ist das der schnellste Weg zu einem belastbaren Sicherheitskonzept.

Relevante Bausteine für Betriebsnetze und Rechnerarbeitsplätze in KMU

Nicht alle Bausteine sind für jeden Betrieb gleich wichtig. Die folgende Tabelle zeigt die Bausteine, die für Betriebsnetze und Rechnerarbeitsplätze in KMU regelmäßig relevant sind, mit ihrer Funktion und dem typischen Aufwand.

Baustein	Thema	Relevanz für KMU	Typischer Aufwand
NET.1.1	Netzarchitektur und -design	Hoch, Grundlage jeder Segmentierung	Mittel bis hoch
NET.1.2	Netzkomponenten und -management	Hoch, betrifft Router, Switches, Firewalls	Mittel
NET.2.1	WLAN-Betrieb	Hoch, fast überall vorhanden	Mittel
NET.3.2	Firewall	Hoch, trennt Netze und Internet	Mittel
APP.3.1	Webanwendungen und Webserver	Mittel, nur bei eigenen Diensten	Mittel
INF.1	Allgemeines Gebäude	Hoch, Serverraum und Verkabelung	Niedrig bis mittel
ORP.4	Identitäts- und Berechtigungsmanagement	Hoch, Grundlage für Zugriffskontrolle	Mittel

NET.1.1 verlangt eine dokumentierte Netzstruktur mit getrennten Segmenten. In KMU heißt das meist: ein Segment für Server, eines für Arbeitsplätze, eines für Gäste und eines für Produktion oder Steuerungstechnik. Die Segmentierung ist die wirksamste Einzelmaßnahme, weil sie die Ausbreitung eines Angriffs begrenzt.

NET.1.2 betrifft die Geräte selbst. Dazu gehören aktuelle Firmware, zentrale Administration, Protokollierung und ein Änderungsmanagement. In kleinen Betrieben scheitert das oft daran, dass niemand die Passwörter der Switches kennt oder die Firmware seit Jahren nicht aktualisiert wurde.

NET.2.1 verlangt getrennte WLANs für Mitarbeitende und Gäste, starke Verschlüsselung und ein Konzept für Gastzugänge. Ein gemeinsames WLAN mit einem Passwort für alle ist der häufigste Verstoß in kleinen Betrieben.

NET.3.2 beschreibt die Firewall als Grenze zwischen Netzen. Entscheidend ist nicht das Produkt, sondern die Regelbasis: welche Verbindungen erlaubt sind, wer sie ändert und wie sie dokumentiert werden.

Für Rechnerarbeitsplätze in KMU sind APP.3.1, INF.1 und ORP.4 zentral. APP.3.1 betrifft nur Betriebe mit eigenen Webservern oder Webanwendungen, INF.1 jeden Serverraum und jede Verkabelung, ORP.4 die Verwaltung von Benutzerkonten und Rechten.

Von der Modellierung zur Prüfung: Grundschutz-Check und Realisierung

Die Modellierung ist der Schritt, in dem aus dem Kompendium ein betriebsspezifisches Sicherheitskonzept wird. Dabei werden die ausgewählten Bausteine den eigenen Systemen zugeordnet. Ein Server wird zu NET.1.1, NET.1.2 und je nach Rolle weiteren Bausteinen zugeordnet.

Der Grundschutz-Check ist das Prüfverfahren, mit dem der Ist-Zustand gegen die Soll-Vorgaben gestellt wird. Für jede Anforderung wird bewertet, ob sie erfüllt, teilweise erfüllt oder nicht erfüllt ist. Das Ergebnis ist eine Liste mit Lücken und Maßnahmen.

Der Check ist kein Fragebogen, den man einmal ausfüllt. Er ist ein strukturiertes Prüfverfahren, das mit Nachweisen arbeitet. Wer eine Anforderung als erfüllt markiert, sollte sagen können, woran man das erkennt: an einer Konfigurationsdatei, einem Protokoll oder einer Anweisung.

Nach dem Check folgt die Realisierung. Maßnahmen werden priorisiert, mit Verantwortlichen und Terminen versehen und abgearbeitet. Typische Reihenfolge in KMU: zuerst Netzsegmentierung und Firewall-Regeln, dann Berechtigungen, dann Protokollierung, zuletzt Dokumentation.

Das Prüfverfahren lässt sich mit internen Audits oder mit externer Begleitung durchführen. Eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ist möglich, aber für die meisten KMU nicht der erste Schritt. Der erste Schritt ist ein belastbarer Grundschutz-Check mit dokumentierten Ergebnissen.

Typische Lücken in kleinen Betrieben und wie man sie schließt

Die häufigste Lücke ist ein flaches Netz. Alle Geräte hängen an einem Switch, Gäste inklusive. Die Lösung ist eine Segmentierung mit VLANs und Firewall-Regeln zwischen den Segmenten. Das ist keine Frage der Größe, sondern der Konfiguration.

Die zweite Lücke sind veraltete Komponenten. Router und Switches laufen mit Firmware, die seit Jahren kein Update gesehen hat. Die Lösung ist ein Änderungsmanagement mit festen Wartungsfenstern und einer Liste aller Netzkomponenten mit Version und Supportende.

Die dritte Lücke sind geteilte Konten. Ein Administratorkonto für alles, Passwörter im Klartext auf einem Netzlaufwerk. Die Lösung ist ein Identitäts- und Berechtigungsmanagement nach ORP.4 mit persönlichen Konten, Mehrfaktor-Authentifizierung und regelmäßiger Rezertifizierung.

Die vierte Lücke ist fehlende Protokollierung. Ohne Logs lässt sich ein Vorfall weder erkennen noch aufklären. Die Lösung ist eine zentrale Protokollierung mit ausreichender Aufbewahrungsdauer und Zugriffsschutz auf die Logs.

Die fünfte Lücke ist die Dokumentation. Netze, die niemand dokumentiert hat, kann niemand prüfen. Die Lösung ist ein Netzplan, eine Bausteinliste und ein Maßnahmenregister, das bei jeder Änderung fortgeschrieben wird.

Der DIHK liefert mit Cybersicher, kurz und knapp Handlungsempfehlungen für Betriebsnetze, die sich an genau diese Lücken richten. Für den Einstieg in die Themen Digitalisierung und IT-Sicherheit im Mittelstand bieten die DIHK-Webinare GemeinsamDigital Veranstaltungen, die ohne Vorkenntnisse besuchbar sind.

Dokumentation, Nachweise und Wiederholungsprüfungen

Dokumentation ist im Grundschutz kein Selbstzweck. Sie ist der Nachweis, dass ein Sicherheitskonzept existiert und angewendet wird. Ohne sie ist jede Aussage über den Sicherheitszustand eine Behauptung.

Zur Mindestdokumentation gehören der Geltungsbereich, die Bausteinliste, der Netzplan, das Maßnahmenregister und die Ergebnisse des Grundschutz-Checks. Dazu kommen Betriebsanweisungen für wiederkehrende Tätigkeiten wie Patch-Einbau oder Kontenverwaltung.

Nachweise sind konkrete Artefakte: Konfigurationsauszüge, Protokolle, Ticketverläufe, Schulungsnachweise. Sie sollten versioniert und auffindbar abgelegt werden. In KMU reicht dafür oft eine strukturierte Ablage mit klaren Dateinamen und Verantwortlichkeiten.

Wiederholungsprüfungen sind Pflicht, weil sich Netze ändern. Neue Geräte, neue Dienste, neue Mitarbeitende. Ein sinnvoller Rhythmus ist ein vollständiger Grundschutz-Check pro Jahr und eine Teilprüfung der kritischen Bausteine alle sechs Monate.

Bei Änderungen am Netz sollte vor der Inbetriebnahme geprüft werden, ob die Anforderungen weiter erfüllt sind. Das verhindert, dass eine gut geprüfte Umgebung durch eine einzelne Änderung wieder Lücken bekommt.

Praxisfahrplan für die ersten 90 Tage

Der folgende Fahrplan ist für einen Betrieb mit 20 bis 100 Arbeitsplätzen ohne eigene Sicherheitsabteilung gedacht. Er setzt voraus, dass eine Person die Verantwortung übernimmt und etwa einen Tag pro Woche investiert.

1. Tag 1 bis 10: Geltungsbereich festlegen. Welche Standorte, welche Netze, welche Systeme gehören dazu. Liste aller Netzkomponenten mit Standort, Version und Supportende anlegen.
2. Tag 11 bis 25: Bausteine auswählen. Mit NET.1.1, NET.1.2, NET.2.1, NET.3.2, INF.1 und ORP.4 beginnen. Ein IT-Grundschutz-Profil als Vorlage nutzen, falls vorhanden.
3. Tag 26 bis 45: Modellierung und erster Grundschutz-Check. Ist-Zustand je Anforderung bewerten, Lückenliste erstellen, Maßnahmen priorisieren.
4. Tag 46 bis 70: Sofortmaßnahmen umsetzen. Netzsegmentierung, Firewall-Regeln, getrenntes Gast-WLAN, persönliche Konten mit Mehrfaktor-Authentifizierung.
5. Tag 71 bis 90: Dokumentation aufbauen und Wiederholungsprüfung planen. Netzplan, Maßnahmenregister und Prüftermine festlegen, offene Punkte mit Terminen versehen.

Nach 90 Tagen liegt ein dokumentierter Grundschutz-Check vor. Das ist kein fertiges ISMS, aber ein belastbarer Ausgangspunkt, auf dem weitere Bausteine aufbauen können.

Häufige Fragen

Ist BSI-Grundschutz für kleine Betriebe verpflichtend? Nein, eine allgemeine Pflicht gibt es nicht. Verpflichtend wird er über das IT-Sicherheitsgesetz 2.0 für kritische Infrastrukturen und über vertragliche Anforderungen von Auftraggebern.

Wie viele Bausteine muss ein KMU bearbeiten? Das hängt vom Geltungsbereich ab. Für ein typisches Büronetz mit 50 Arbeitsplätzen sind 15 bis 25 Bausteine realistisch, davon 6 bis 8 mit hoher Priorität.

Was kostet ein Grundschutz-Check? In Eigenleistung fallen vor allem Arbeitszeit und gegebenenfalls Schulung an. Mit externer Begleitung kommen Tagessätze hinzu, die je nach Umfang und Region unterschiedlich ausfallen.

Reicht eine Firewall für die Netzsegmentierung? Nein. Segmentierung braucht VLANs oder getrennte physische Netze plus Regeln zwischen den Segmenten. Eine Firewall allein am Internetzugang trennt keine internen Bereiche.

Wie oft muss der Grundschutz-Check wiederholt werden? Ein vollständiger Check pro Jahr ist üblich, Teilprüfungen der kritischen Bausteine alle sechs Monate. Nach wesentlichen Netzänderungen sollte vor der Inbetriebnahme geprüft werden.

Kann man Grundschutz und ISO 27001 kombinieren? Ja. Der Grundschutz kann als Basis für ein ISMS nach DIN EN ISO/IEC 27001 dienen. Die Zertifizierung ist ein späterer Schritt, der Grundschutz-Check der erste.