Schutzbedarfsanalyse

Q: Was ist der Unterschied zwischen einer Risikoanalyse und einer Schutzbedarfsanalyse?

Bei der Schutzbedarfsanalyse geht es um die Bestimmung, wie schützenswert Informationen, Prozesse und Systeme sind und welche Folgen ein Verlust hätte. Eine Risikoanalyse betrachtet dagegen konkrete Bedrohungen und Schwachstellen und schafft damit die Grundlage für die Auswahl und Umsetzung geeigneter Maßnahmen.

Eine Schutzbedarfsanalyse macht sichtbar, wo Informationen, Anwendungen und IT-Systeme besonderen Schutz benötigen und wo Standardmaßnahmen ausreichen. Der Artikel richtet sich an Verantwortliche aus IT, Informationssicherheit und Management und zeigt, wie Schutzbedarf nachvollziehbar bestimmt, dokumentiert und in passende Maßnahmen überführt wird.

Schutzbedarfsanalyse – Auf einen Blick

Worum geht es bei einer Schutzbedarfsanalyse?

Unternehmen ermitteln damit, wie stark Geschäftsprozesse, sensible Daten, Softwarelösungen und die IT-Infrastruktur geschützt werden müssen.

Wie wird der Schutzbedarf ermittelt?

Mögliche Folgen für die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit werden bewertet und anschließend auf die betroffenen Schutzobjekte übertragen.

Warum ist die Schutzbedarfsanalyse für ein ISMS wichtig?

Ihre Ergebnisse helfen dabei, Sicherheitsanforderungen und Maßnahmen am tatsächlichen Schutzbedarf auszurichten und Risiken gezielter zu bewerten.

Wann sollte der Schutzbedarf neu bewertet werden?

Eine Überprüfung erfolgt regelmäßig in festgelegten Abständen sowie anlassbezogen bei wesentlichen Änderungen an Prozessen, Anwendungen oder IT-Systemen.

Was ist eine Schutzbedarfsanalyse?

Eine Schutzbedarfsanalyse ermittelt, wie stark Geschäftsprozesse, Anwendungen und Daten geschützt werden müssen. Bewertet werden mögliche Schäden, die durch den Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit entstehen können. Dabei folgt die Schutzbedarfsanalyse einem strukturierten Ablauf von der Erfassung der Schutzobjekte bis zur dokumentierten Bewertung des Schutzbedarfs.

Im IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) wird für diesen Schritt der Fachbegriff „Schutzbedarfsfeststellung“ verwendet. Die Ergebnisse werden nachvollziehbar dokumentiert und bilden später eine Grundlage für die Einstufung in Schutzbedarfskategorien sowie für weiterführende Risikoanalysen.

Auf dieser Basis können Unternehmen Sicherheitsanforderungen und Schutzmaßnahmen passend zum tatsächlichen Schutzbedarf festlegen. So erhalten besonders sensible Informationen und kritische Prozesse ein höheres Sicherheitsniveau als weniger schutzbedürftige Bereiche.

Ziele der Schutzbedarfsfeststellung

Ziel der Schutzbedarfsfeststellung ist ein angemessener Schutz für Informationen, Prozesse und Systeme entsprechend ihrer Bedeutung für das Unternehmen. Sicherheitsmaßnahmen lassen sich dadurch dort priorisieren, wo mögliche Auswirkungen besonders schwer wiegen. Für das Informationssicherheitsmanagement entsteht damit eine belastbare Grundlage, um Schutz und Aufwand sinnvoll auszurichten.

Die Ergebnisse schaffen vor allem eine Grundlage, um:

Sicherheitsanforderungen festlegen: Der Schutzbedarf zeigt, wie stark Daten, Anwendungen und IT-Systeme abgesichert werden müssen.
Über- und Unterschutz vermeiden: Nicht jeder Bereich braucht dieselbe Tiefe an Maßnahmen. Kritische Prozesse erhalten mehr Schutz, weniger sensible Bereiche entsprechend weniger.
Schäden begrenzen: Mögliche Folgen von Ausfällen, Manipulationen oder unbefugten Zugriffen werden früh bewertet und bei der Auswahl geeigneter Schutzmaßnahmen berücksichtigt.
Ressourcen sinnvoll einsetzen: Budget und Aufwand lassen sich stärker auf die Bereiche konzentrieren, bei denen ein Vorfall besonders schwerwiegende Folgen hätte.
Risiken besser einordnen: Die Ergebnisse liefern eine wichtige Grundlage für die spätere ISO-27001-Risikobewertung oder eine weiterführende Risikoanalyse.
Compliance-Anforderungen im Blick behalten: Auch gesetzliche Vorgaben, Verträge und regulatorische Anforderungen können den Schutzbedarf beeinflussen.

Klarheit vor der Maßnahme

Machen Sie aus Einschätzungen belastbare Entscheidungen. CSM Consulting begleitet Sie von der Schutzbedarfsfeststellung bis zur passenden Sicherheitsmaßnahme.

Schutzziele für IT-Sicherheit und Sicherheit in der Informationstechnik

Die Schutzbedarfsanalyse bewertet mögliche Schäden immer mit Blick auf drei grundlegende Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit. Je stärker ein Verlust oder eine Beeinträchtigung dieser Eigenschaften den Geschäftsbetrieb treffen würde, desto höher fällt der Schutzbedarf aus.

Schutzziel	Worum geht es?	Mögliches Schadensszenario
Vertraulichkeit	Informationen dürfen nur berechtigten Personen zugänglich sein.	Kundendaten oder interne Unterlagen gelangen in falsche Hände.
Integrität	Daten und Systeme müssen korrekt und vor unbefugter Veränderung geschützt bleiben.	Produktions- oder Finanzdaten werden manipuliert.
Verfügbarkeit	Systeme, Dienste und Informationen müssen für Anwender bei Bedarf zur Verfügung stehen.	Ein wichtiger Service fällt aus und Geschäftsprozesse kommen zum Stillstand.

Dabei kann ein Schutzobjekt je Schutzziel unterschiedlich bewertet werden. Eine öffentlich zugängliche Anwendung hat beispielsweise nur geringe Anforderungen an die Vertraulichkeit ihrer Inhalte, während ihre Verfügbarkeit für das Unternehmen durchaus kritisch sein kann. Die Schutzziele schaffen damit eine einheitliche Grundlage für die spätere Einstufung.

Die Schutzbedarfsanalyse in der Praxis

In der Praxis läuft die Schutzbedarfsanalyse Schritt für Schritt von den relevanten Geschäftsprozessen und Informationen bis zu den betroffenen IT‑Systemen. Maßgeblich sind mögliche Schäden und eine nachvollziehbare Dokumentation.

1. Geschäftsprozesse und Informationen erfassen

Zuerst werden schützenswerte Prozesse und Aktivitäten erfasst. Dazu gehören etwa Kunden- und Personaldaten, Produktionsinformationen oder geschäftskritische Anwendungen. Identifiziert wird dabei auch, welche Daten, Softwarelösungen und IT-Systeme für die Aufgabenerfüllung notwendig sind.

2. Schutzbedarf anhand möglicher Schäden bewerten

Anschließend wird geprüft, welche Folgen eine Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit hätte. Mögliche Schäden reichen von Betriebsunterbrechungen und finanziellen Verlusten bis zu rechtlichen Konsequenzen. Auch Gesetze, Vorschriften und vertragliche Anforderungen können die Einstufung beeinflussen.

3. Schutzbedarf auf IT-Systeme und die IT-Landschaft übertragen

Der ermittelte Schutzbedarf wird auf Applikationen, IT-Systeme und weitere Bestandteile der IT-Landschaft übertragen. Im IT-Grundschutz greift dabei unter anderem das Maximumprinzip. Unterstützt ein System mehrere Softwarelösungen, richtet sich sein Schutzbedarf in der Regel nach dem höchsten relevanten Wert. Auch das Vererbungsprinzip kann bei Abhängigkeiten eine Rolle spielen.

4. Ergebnisse dokumentieren und regelmäßig überprüfen

Einstufungen sollten begründet und nachvollziehbar dokumentiert werden. Neue Anwendungen, veränderte Prozesse oder Änderungen der IT-Infrastruktur können die Bewertung verschieben, weshalb die Ergebnisse regelmäßig überprüft und bei Bedarf angepasst werden.

Welche Schutzbedarfskategorien gibt es?

Im IT-Grundschutz des BSI wird der Schutzbedarf in die drei Kategorien „normal“, „hoch“ und „sehr hoch“ eingestuft. Ausschlaggebend ist, wie schwer die möglichen Folgen einer Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit wären. Die Einstufung muss zum jeweiligen Schutzobjekt und Schadensszenario passen.

Diese drei Schutzbedarfskategorien gibt es:

Normal: Mögliche Schäden bleiben begrenzt und überschaubar. Die üblichen Anforderungen des IT-Grundschutzes reichen in der Regel aus.
Hoch: Eine Beeinträchtigung kann erhebliche Folgen für Personen, Prozesse oder das Unternehmen haben.
Sehr hoch: Es drohen besonders schwere bis existenzbedrohende Auswirkungen, die zusätzliche Sicherheitsmaßnahmen erforderlich machen können.

Schutzbedarfsanalyse im ISMS und IT-Grundschutz

Eine Schutzbedarfsanalyse unterstützt das Informationssicherheitsmanagement dabei, Informationen, Anwendungen und IT-Infrastrukturen angemessen abzusichern. Ihre Ergebnisse unterstützen die Festlegung passender Sicherheitsanforderungen und zeigen, wo ein höheres Sicherheitsniveau erforderlich ist.

Für ein ISMS nach ISO 27001 liefert die Analyse wichtige Ergebnisse für die Bewertung von Risiken der Informationssicherheit. ISO 27001 schreibt dafür kein bestimmtes Verfahren zur Schutzbedarfsfeststellung vor. Die Methode des BSI kann jedoch als strukturierte Grundlage dienen.

Im IT-Grundschutz ist die Schutzbedarfsfeststellung fest in die Methodik eingebunden. Ihre Ergebnisse fließen in die Auswahl passender Anforderungen aus dem IT-Grundschutz-Kompendium ein. Bei erhöhtem Schutzbedarf können zusätzliche Risikoanalysen erforderlich werden.

Je nach Organisation begleitet der CISO die Schutzbedarfsanalyse gemeinsam mit den verantwortlichen Fach- und IT-Bereichen und sorgt dafür, dass die Ergebnisse in das ISMS einfließen.

Best Practice: Schutzbedarf nachvollziehbar festlegen

Eine Schutzbedarfsanalyse bringt wenig, wenn nahezu jedes System vorsorglich als „hoch“ oder „sehr hoch“ eingestuft wird. Gute Ergebnisse entstehen erst, wenn die Bewertung auf konkreten Schadensszenarien und den tatsächlichen Auswirkungen auf Geschäftsprozesse basiert.

Der häufigste Fehler: Vorsicht ersetzt die Bewertung

Aus Unsicherheit wählen Unternehmen häufig eine höhere Schutzbedarfskategorie. Das wirkt zunächst sicher, führt aber schnell zu überzogenen Sicherheitsmaßnahmen, höheren Kosten und einer IT-Landschaft, in der kaum noch zwischen wirklich kritischen und weniger sensiblen Bereichen unterschieden werden kann.

Der Lösungsweg: Auswirkungen konkret beschreiben

Bewerten Sie den Schutzbedarf anhand nachvollziehbarer Folgen. Dafür reichen oft wenige konkrete Fragen:

Welche Geschäftsprozesse wären bei einem Ausfall betroffen?
Welche Folgen hätte der Verlust oder die Manipulation der Daten?
Sind Personen, Verträge oder gesetzliche Anforderungen betroffen?
Wie lange könnte das Unternehmen die Beeinträchtigung verkraften?

Die Begründung sollte anschließend kurz dokumentiert werden. So bleiben Einschätzungen auch später nachvollziehbar und neue Anwendungen oder veränderte Prozesse lassen sich leichter neu bewerten.

Häufige Fragen und Antworten

Wie funktioniert eine Schutzbedarfsanalyse?

Für die Durchführung werden zunächst relevante Geschäftsprozesse, Informationen und Anwendungen erfasst. Danach folgt die Bewertung möglicher Schäden, bevor der Schutzbedarf festgelegt und auf IT-Systeme sowie weitere Schutzobjekte übertragen wird.

Wie oft sollte eine Schutzbedarfsanalyse durchgeführt werden?

Ein festes Intervall ist nicht allgemein vorgeschrieben. ISO 27001 und der BSI-IT-Grundschutz sehen jedoch eine regelmäßige Überprüfung sowie eine anlassbezogene Neubewertung bei wesentlichen Änderungen vor. Dazu zählen etwa neue Software, veränderte Geschäftsprozesse, Änderungen an IT-Systemen oder eine andere Nutzung von Daten.

Was ist der Unterschied zwischen einer Risikoanalyse und einer Schutzbedarfsanalyse?

Bei der Schutzbedarfsanalyse geht es um die Bestimmung, wie schützenswert Informationen, Prozesse und Systeme sind und welche Folgen ein Verlust hätte. Eine Risikoanalyse betrachtet dagegen konkrete Bedrohungen und Schwachstellen und schafft damit die Grundlage für die Auswahl und Umsetzung geeigneter Maßnahmen.