Der IT-Grundschutz des BSI ist die deutsche Methodik für den systematischen Aufbau von Informationssicherheit: Die BSI-Standards (200-1 bis 200-4) beschreiben Vorgehen und Risikomanagement, das IT-Grundschutz-Kompendium liefert Bausteine mit konkreten Anforderungen für typische Komponenten — vom Server über Netze bis zu Prozessen.
Der Charme liegt in der Konkretheit: Statt abstrakter Ziele nennt der Grundschutz umsetzbare Anforderungen je Baustein. Er ist Grundlage vieler Behörden-Vorgaben und über ISO 27001 auf Basis von IT-Grundschutz auch zertifizierungsfähig.
Wie der IT-Grundschutz aufgebaut ist
Die Methodik führt über Strukturanalyse und Schutzbedarfsfeststellung zur Modellierung: Der Informationsverbund wird aus Bausteinen des Kompendiums zusammengesetzt, deren Anforderungen dann umzusetzen und zu prüfen sind. Drei Absicherungsvarianten skalieren den Aufwand — Basis für den Einstieg, Standard für normalen Schutzbedarf, Kern für die Konzentration auf besonders kritische Werte.
Für Netzwerk und Betrieb besonders relevant sind die NET-Bausteine (Netzarchitektur, Segmentierung, WLAN, Router und Switches), OPS-Bausteine für den IT-Betrieb sowie ORP- und ISMS-Bausteine für Organisation und Management — inklusive der Anforderung, Netze nach Schutzbedarf zu trennen.
Grundschutz praktisch nutzen
- Als Anforderungskatalog: konkrete Prüffragen je Komponente statt Papierziele.
- Als Reifegradmesser: Basis-, Standard-, Kern-Absicherung je nach Risiko.
- Als Zertifizierungsweg: ISO 27001 auf Basis von IT-Grundschutz für Behörden-Kontexte.
- Als Argumentationshilfe: BSI-Empfehlungen tragen in Audits und Budgetrunden.