Betriebsnetze einrichten nach BSI-Grundschutz

Das Wichtigste auf einen Blick

Warum BSI-Grundschutz für Betriebsnetze einrichten in KMU zum Standard wird

Der BSI IT-Grundschutz ist kein Gesetz, aber er ist der Maßstab, an dem Aufsichtsbehörden, Kunden und Versicherer IT-Sicherheit in deutschen Betrieben messen. Das BSI IT-Grundschutz-Kompendium bündelt alle Empfehlungen in einer öffentlich zugänglichen Sammlung. Wer Betriebsnetze einrichten will, findet dort konkrete Vorgaben statt allgemeiner Ratschläge.

Rechtlich relevant wird das über das IT-Sicherheitsgesetz 2.0. Es verpflichtet Betreiber kritischer Infrastrukturen zu angemessenen Schutzmaßnahmen; ob ein Betreiber als KRITIS gilt, richtet sich nach den Sektoren und Schwellenwerten der BSI-Kritisverordnung (BSI-KritisV). Das BSI-Gesetz und die BSI-Verordnungen sind in der Teilliste B der Gesetze im Internet aufgeführt.

Auch wer nicht kritische Infrastruktur betreibt, orientiert sich daran, sobald Auftraggeber aus der Industrie Sicherheitsnachweise verlangen.

Für KMU kommt ein zweiter Treiber hinzu: die Auftraggeberhaftung. Große Unternehmen müssen ihre Lieferkette absichern und fragen bei Dienstleistern und Zulieferern nach einem Sicherheitskonzept. Ein Betriebsnetz, das nach Grundschutz aufgebaut und dokumentiert ist, beantwortet diese Frage ohne Sonderprüfung.

Hinzu kommt der Datenschutz. Die Landesdatenschutzbeauftragten und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit verlangen bei personenbezogenen Daten in Betriebsnetzen technische und organisatorische Maßnahmen. Der Grundschutz liefert diese Maßnahmen als Baukasten.

Die BSI-Publikationen zu Grundschutz und IT-Sicherheitsgesetz werden laufend aktualisiert. Wer heute ein Netz plant, plant also nicht nach einem statischen Regelwerk, sondern nach einem Stand, der sich jährlich ändert.

Aufbau des BSI IT-Grundschutz-Kompendiums: Bausteine, Schichten und Vorgehen

Das Kompendium ist in Schichten gegliedert. Ganz oben stehen übergreifende Bausteine wie ISMS und ORP, darunter die Infrastruktur, dann IT-Systeme, Anwendungen und zuletzt der organisatorische Rahmen. Jeder Baustein enthält eine Beschreibung der Gefährdungslage, Anforderungen und weiterführende Hinweise.

Die Schichten sind bewusst allgemein gehalten. Ein Baustein wie NET.1.1 beschreibt nicht, welchen Switch ein Betrieb kaufen soll, sondern welche Eigenschaften das Netz erfüllen muss und welche Anforderungen daraus folgen. Die konkrete Umsetzung bleibt Aufgabe des Betriebs.

Die Anforderungen sind in drei Kategorien eingeteilt: Basis, Standard und erhöhter Schutzbedarf. Basis-Anforderungen gelten für jeden, der den Baustein anwendet. Standard-Anforderungen gelten bei normalem Schutzbedarf, und Anforderungen für erhöhten Schutzbedarf kommen bei kritischen Daten oder besonderen Risiken hinzu.

Das Vorgehen folgt den BSI-Standards 200-1 für das ISMS, 200-2 für die IT-Grundschutz-Methodik und 200-3 für die Risikoanalyse. Zuerst wird der Geltungsbereich festgelegt und der Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit festgestellt; danach werden die Bausteine ausgewählt und modelliert. Auf den Grundschutz-Check folgen die Realisierung und Dokumentation, bei erhöhtem Schutzbedarf ergänzt um eine Risikoanalyse. Dieser Ablauf ist kein einmaliges Projekt, sondern ein Zyklus.

Wer den Einstieg sucht, kann ein IT-Grundschutz-Profil nutzen. Ein konkretes Beispiel ist das IT-Grundschutz-Profil für kleine und mittlere Unternehmen (KMU); Profile strukturieren die Bausteinauswahl für typische Einrichtungen vor. Für kleine Betriebe ohne eigene Sicherheitsabteilung ist das ein möglicher Einstieg in ein belastbares Sicherheitskonzept.

Relevante Bausteine für Betriebsnetze und Rechnerarbeitsplätze in KMU

Nicht alle Bausteine sind für jeden Betrieb gleich wichtig. Die folgende Tabelle zeigt die Bausteine, die für Betriebsnetze und Rechnerarbeitsplätze in KMU regelmäßig relevant sind, mit ihrer Funktion und dem typischen Aufwand.

NET.1.1 verlangt eine dokumentierte Netzstruktur mit getrennten Segmenten. In KMU heißt das meist: ein Segment für Server, eines für Arbeitsplätze, eines für Gäste und eines für Produktion oder Steuerungstechnik. Die Segmentierung ist die wirksamste Einzelmaßnahme, weil sie die Ausbreitung eines Angriffs begrenzt.

NET.1.2 betrifft die Geräte selbst. Dazu gehören aktuelle Firmware, zentrale Administration, Protokollierung und ein Änderungsmanagement. In kleinen Betrieben scheitert das oft daran, dass niemand die Passwörter der Switches kennt oder die Firmware seit Jahren nicht aktualisiert wurde.

NET.2.1 verlangt getrennte WLANs für Mitarbeitende und Gäste, starke Verschlüsselung und ein Konzept für Gastzugänge. Ein gemeinsames WLAN mit einem Passwort für alle ist der häufigste Verstoß in kleinen Betrieben.

NET.3.2 beschreibt die Firewall als Grenze zwischen Netzen. Entscheidend ist nicht das Produkt, sondern die Regelbasis: welche Verbindungen erlaubt sind, wer sie ändert und wie sie dokumentiert werden.

Für Rechnerarbeitsplätze in KMU sind APP.3.1, INF.1 und ORP.4 zentral. APP.3.1 betrifft nur Betriebe mit eigenen Webservern oder Webanwendungen, INF.1 jeden Serverraum und jede Verkabelung, ORP.4 die Verwaltung von Benutzerkonten und Rechten.

Von der Modellierung zur Prüfung: Grundschutz-Check und Realisierung

Die Modellierung ist der Schritt, in dem aus dem Kompendium ein betriebsspezifisches Sicherheitskonzept wird. Dabei werden die ausgewählten Bausteine den eigenen Systemen zugeordnet. Ein Server wird zu NET.1.1, NET.1.2 und je nach Rolle weiteren Bausteinen zugeordnet.

Der Grundschutz-Check ist das Prüfverfahren, mit dem der Ist-Zustand gegen die Soll-Vorgaben gestellt wird. Für jede Anforderung wird bewertet, ob sie erfüllt, teilweise erfüllt oder nicht erfüllt ist. Das Ergebnis ist eine Liste mit Lücken und Maßnahmen.

Der Check ist kein Fragebogen, den man einmal ausfüllt. Er ist ein strukturiertes Prüfverfahren, das mit Nachweisen arbeitet. Wer eine Anforderung als erfüllt markiert, sollte sagen können, woran man das erkennt: an einer Konfigurationsdatei, einem Protokoll oder einer Anweisung.

Nach dem Check folgt die Realisierung. Maßnahmen werden priorisiert, mit Verantwortlichen und Terminen versehen und abgearbeitet. Typische Reihenfolge in KMU: zuerst Netzsegmentierung und Firewall-Regeln, dann Berechtigungen, dann Protokollierung, zuletzt Dokumentation.

Das Prüfverfahren lässt sich mit internen Audits oder mit externer Begleitung durchführen. Die Zertifizierung heißt ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz. Das BSI ist die Zertifizierungsstelle; das Audit wird durch vom BSI zugelassene Auditorinnen und Auditoren durchgeführt. Für die meisten KMU ist die Zertifizierung nicht der erste Schritt: Zunächst zählt ein belastbarer Grundschutz-Check mit dokumentierten Ergebnissen.

Typische Lücken in kleinen Betrieben und wie man sie schließt

Die häufigste Lücke ist ein flaches Netz. Alle Geräte hängen an einem Switch, Gäste inklusive. NET.1.1 verankert die Anforderungen an Netzarchitektur und Segmentierung im Grundschutz; praktisch werden getrennte VLANs oder Netze mit passenden Firewall-Regeln zwischen den Segmenten eingerichtet. Das begrenzt die Ausbreitung eines Angriffs.

Die zweite Lücke sind veraltete Komponenten. Router und Switches laufen mit Firmware, die seit Jahren kein Update gesehen hat. NET.1.2 behandelt Anforderungen an Netzkomponenten; dazu passt ein Änderungsmanagement mit festen Wartungsfenstern und einer Liste aller Netzkomponenten mit Version und Supportende.

Die dritte Lücke sind geteilte Konten. Ein Administratorkonto für alles, Passwörter im Klartext auf einem Netzlaufwerk. Die Lösung ist ein Identitäts- und Berechtigungsmanagement nach ORP.4 mit persönlichen Konten, Mehrfaktor-Authentifizierung und regelmäßiger Rezertifizierung.

Die vierte Lücke ist fehlende Protokollierung. Ohne Logs lässt sich ein Vorfall weder erkennen noch aufklären. Der Baustein OPS.1.1.5 Protokollierung verankert das Thema im Grundschutz; praktisch braucht es eine zentrale Protokollierung mit ausreichender Aufbewahrungsdauer und Zugriffsschutz auf die Logs.

Die fünfte Lücke ist die Dokumentation. Netze, die niemand dokumentiert hat, kann niemand prüfen. Die Lösung ist ein Netzplan, eine Bausteinliste und ein Maßnahmenregister, das bei jeder Änderung fortgeschrieben wird.

Der DIHK liefert mit Cybersicher, kurz und knapp Handlungsempfehlungen für Betriebsnetze, die sich an genau diese Lücken richten. Für den Einstieg in die Themen Digitalisierung und IT-Sicherheit im Mittelstand bieten die DIHK-Webinare GemeinsamDigital Veranstaltungen, die ohne Vorkenntnisse besuchbar sind.

Dokumentation, Nachweise und Wiederholungsprüfungen

Dokumentation ist im Grundschutz kein Selbstzweck. Sie ist der Nachweis, dass ein Sicherheitskonzept existiert und angewendet wird. Ohne sie ist jede Aussage über den Sicherheitszustand eine Behauptung.

Zur Mindestdokumentation gehören der Geltungsbereich, die Bausteinliste, der Netzplan, das Maßnahmenregister und die Ergebnisse des Grundschutz-Checks. Dazu kommen Betriebsanweisungen für wiederkehrende Tätigkeiten wie Patch-Einbau oder Kontenverwaltung.

Nachweise sind konkrete Artefakte: Konfigurationsauszüge, Protokolle, Ticketverläufe, Schulungsnachweise. Sie sollten versioniert und auffindbar abgelegt werden. In KMU reicht dafür oft eine strukturierte Ablage mit klaren Dateinamen und Verantwortlichkeiten.

Wiederholungsprüfungen sind Pflicht, weil sich Netze ändern. Neue Geräte, neue Dienste, neue Mitarbeitende. Ein sinnvoller Rhythmus ist ein vollständiger Grundschutz-Check pro Jahr und eine Teilprüfung der kritischen Bausteine alle sechs Monate.

Bei Änderungen am Netz sollte vor der Inbetriebnahme geprüft werden, ob die Anforderungen weiter erfüllt sind. Das verhindert, dass eine gut geprüfte Umgebung durch eine einzelne Änderung wieder Lücken bekommt.

Praxisfahrplan für die ersten 90 Tage

Der folgende Fahrplan ist für einen Betrieb mit 20 bis 100 Arbeitsplätzen ohne eigene Sicherheitsabteilung gedacht. Er setzt voraus, dass eine Person die Verantwortung übernimmt und etwa einen Tag pro Woche investiert.

Auftakt: Die Geschäftsführung benennt eine verantwortliche Person und stimmt mit dem IT-Dienstleister den Geltungsbereich ab. Diese Person erstellt mit der IT ein Inventar von Netzkomponenten, Clients, Servern, WLANs und wichtigen Datenflüssen und wählt passende Bausteine oder ein KMU-Profil aus.

Analyse: Die Verantwortlichen stellen den Schutzbedarf der Geschäftsprozesse fest und ordnen die Bausteine den Systemen zu. Die zuständige Person prüft die Anforderungen anhand vorhandener Dokumente und Gespräche mit den Systemverantwortlichen, führt den Grundschutz-Check durch und hält Nachweise sowie Lücken fest.

Umsetzung: Geschäftsführung und Verantwortliche priorisieren die Lücken. Die IT oder der Dienstleister setzt Maßnahmen wie Netzsegmentierung, die Überprüfung von Firewall-Regeln und persönliche Administrationskonten um; jede Maßnahme erhält eine verantwortliche Person und einen Termin.

Abschluss vor Ablauf der 90 Tage: Die verantwortliche Person führt die Ergebnisse und Nachweise zusammen, dokumentiert offene Maßnahmen mit Zuständigkeiten und Terminen und stimmt die nächsten Schritte mit der Geschäftsführung ab. So liegt ein dokumentierter Grundschutz-Check als Ausgangspunkt für die weitere Umsetzung vor.

Nach 90 Tagen liegt ein dokumentierter Grundschutz-Check vor. Das ist kein fertiges ISMS, aber ein belastbarer Ausgangspunkt, auf dem weitere Bausteine aufbauen können.

Häufige Fragen