Praxisorientierte Einordnung zu Strukturanalyse und Schutzbedarfsfeststellung verständlich erklärt: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für BSI IT-Grundschutz aufbauen.
Strukturanalyse und Schutzbedarfsfeststellung übersetzen das Geschäft eines Unternehmens in ein nachvollziehbares Sicherheitsmodell. Die Strukturanalyse beantwortet, welche Prozesse, Informationen, Anwendungen, Systeme, Verbindungen und Räume zum Informationsverbund gehören. Die Schutzbedarfsfeststellung erklärt anschließend, welche Schäden bei Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit entstehen können.
Beide Schritte greifen ineinander, erfüllen aber unterschiedliche Aufgaben. Die Strukturanalyse beschreibt Abhängigkeiten, ohne bereits Maßnahmen zu bewerten. Die Schutzbedarfsfeststellung priorisiert Schutz, ohne Risiken oder Kontrollen vorwegzunehmen. Ein durchgängiges Beispiel zeigt, wie aus Geschäftsleistungen belastbare technische Einstufungen entstehen.
Warum die Methode beim Geschäft beginnt
Technik ist für ein Unternehmen wichtig, weil sie Prozesse, Entscheidungen und Informationen unterstützt. Ein Datenbankserver besitzt deshalb nicht automatisch hohen Schutzbedarf; seine Bedeutung entsteht aus den Anwendungen und Leistungen, die von ihm abhängen. Wer direkt mit Serverlisten startet, verliert diesen Begründungsweg und erhält schwer erklärbare Prioritäten.
Das BSI sieht für die Strukturanalyse die Erhebung von Geschäftsprozessen und Fachaufgaben, Anwendungen, IT-Systemen, Netzen und Kommunikationsverbindungen sowie Räumen vor. Diese Zielobjekte werden miteinander verknüpft. So lässt sich später erkennen, an welcher Stelle ein Schaden entsteht und auf welche gemeinsam genutzten Ressourcen er sich auswirkt.
Das Praxisbeispiel: Nordhafen Logistik
Die fiktive Nordhafen Logistik GmbH beschäftigt 620 Personen an drei Standorten. Zu ihren Leistungen gehören Lagerung, temperaturgeführter Umschlag und zeitkritische Ersatzteillogistik. Kundenaufträge treffen über ein Portal und EDI-Schnittstellen ein, werden im Transportmanagement geplant und durch mobile Scanner sowie Lagertechnik ausgeführt.
Der betrachtete Informationsverbund umfasst Auftragsannahme, Disposition, Lagersteuerung und Abrechnung samt der dafür benötigten zentralen Dienste. Die Personalabrechnung bleibt zunächst außerhalb, zentrale Identitätsverwaltung und Netzwerkbetrieb liegen jedoch innerhalb, weil die Kernprozesse unmittelbar davon abhängen. Diese Abgrenzung ist schriftlich genehmigt und an den Schnittstellen beschrieben.
Schritt 1: Geschäftsprozesse und Informationen erheben
Das Team beginnt mit den Ergebnissen, die Kunden erhalten: ein angenommener Auftrag, eine korrekte Tour, eine nachvollziehbare Warenbewegung und eine belastbare Rechnung. Für jeden Prozess werden Eigentümer, Eingaben, Ausgaben, Beteiligte, Standorte, externe Partner und benötigte Informationen dokumentiert. Dabei geht es um eine geeignete Sicherheitsstruktur, nicht um eine vollständige Prozessoptimierung.
Für die Disposition werden beispielsweise Kundenstammdaten, Lieferadressen, Frachtinformationen, Gefahrguthinweise und Zeitfenster verarbeitet. Die Lagersteuerung benötigt Artikel-, Bestands- und Stellplatzdaten. Die Zuordnung von Informationen zu Prozessen macht spätere Auswirkungen konkreter als eine pauschale Aussage, alle Unternehmensdaten seien kritisch.
Eine Prozessliste mit Sicherheitsnutzen erstellen
Jeder Prozesseintrag besitzt eine stabile Kennung, einen verständlichen Namen und einen verantwortlichen Eigentümer. Ergänzt werden Geschäftsziel, wesentliche Informationen, beteiligte Organisationseinheiten, externe Abhängigkeiten und der Bezug zu Anwendungen. Unterprozesse werden nur getrennt, wenn ihre Schutzanforderungen oder technischen Abhängigkeiten wesentlich voneinander abweichen.
Bei Nordhafen wird „Auftrag bis Auslieferung“ in Auftragsannahme, Disposition, Lagerabwicklung und Zustellnachweis gegliedert. Eine noch feinere Zerlegung jedes Arbeitsschritts würde das Sicherheitsmodell aufblähen. Die gewählte Tiefe erlaubt dagegen, unterschiedliche Verfügbarkeits- und Integritätsfolgen zu beschreiben.
Schritt 2: Anwendungen den Prozessen zuordnen
Eine Anwendung ist die fachliche Funktion, die Informationen verarbeitet und Prozesse unterstützt. Sie ist von den technischen Systemen zu unterscheiden, auf denen sie betrieben wird. Diese Trennung verhindert, dass eine Anwendung mit mehreren Servern mehrfach bewertet oder eine gemeinsame Plattform nur aus Sicht einer einzelnen Anwendung betrachtet wird.
Nordhafen erfasst Kundenportal, EDI-Gateway, Transportmanagementsystem, Warehouse-Management-System, mobile Scan-Anwendung, Identitätsverwaltung und Finanzanwendung. Eine Prozess-Anwendungs-Matrix zeigt, welche Anwendung für welchen Prozess erforderlich ist. Auch Schnittstellen und manuelle Ersatzverfahren werden vermerkt.
Die Prozess-Anwendungs-Matrix lesen
| Prozess | Primäre Anwendungen | Wichtige Abhängigkeit |
|---|---|---|
| Auftragsannahme | Kundenportal, EDI-Gateway | Identitätsdienst, Internetzugang |
| Disposition | Transportmanagementsystem | Standortnetz, Kartendienst |
| Lagerabwicklung | Warehouse-Management, Scan-Anwendung | WLAN, lokale Druckdienste |
| Zustellnachweis | Mobile Anwendung, Dokumentenablage | Mobilfunk, zentrale API |
| Abrechnung | Finanzanwendung | Export aus Transportmanagement |
Die Matrix macht gemeinsame Abhängigkeiten früh sichtbar. Fällt der Identitätsdienst aus, sind nicht nur Anmeldungen am Portal betroffen, sondern auch Disposition und Lagerarbeitsplätze. Diese Konzentration wird später bei Schutzbedarfsvererbung und Kumulation berücksichtigt.
Schritt 3: Netzplan und Außenverbindungen erfassen
Der Netzplan zeigt Art und Vernetzung der IT-Systeme, wichtige Netzkomponenten und Außenverbindungen. Für das Sicherheitskonzept sind Segmentgrenzen, Übergänge, Administrationswege und Kopplungen zwischen Standorten oder Cloudumgebungen entscheidend. Ein schematischer Plan kann geeigneter sein als eine unübersichtliche Darstellung jedes einzelnen Ports.
Nordhafen dokumentiert Internetübergang, DMZ für Portal und EDI, zentrale Serverzone, Büro- und Lagersegmente, Scanner-WLAN, Standortverbindungen, Fernwartung und Cloudschnittstellen. Zusätzlich werden Kommunikationsbeziehungen in einer Tabelle beschrieben. Dadurch lassen sich Systeme und Verbindungen später passenden Bausteinen zuordnen.
Schritt 4: IT-, OT- und IoT-Systeme aufnehmen
Zu den IT-Systemen zählen Clients, Server, aktive Netzkomponenten und weitere verarbeitende Komponenten. Das BSI bezieht ausdrücklich auch industrielle Steuerungen und andere vernetzte Geräte ein. Für jedes System werden mindestens Typ und Einsatzzweck, Plattform, Standort, Status, Benutzer beziehungsweise Administratoren und unterstützte Anwendungen festgehalten.
Bei Nordhafen gehören virtuelle Server, Datenbankcluster, Firewalls, Switches, Scanner, Etikettendrucker, Temperaturfühler, Torsteuerungen und Leitstände zur Erhebung. Geräte ohne klassische Benutzeroberfläche dürfen nicht verschwinden. Gerade Scanner-WLAN, Gebäudeautomation und externe Wartungszugänge verbinden sonst Bereiche, die organisatorisch getrennt erscheinen.
Technische Discovery richtig einordnen
Inventarisierungswerkzeuge helfen, aktive Komponenten und Kommunikationsbeziehungen zu finden. Sie erkennen jedoch nicht zuverlässig den fachlichen Zweck, den Prozesseigentümer oder die tatsächliche Kritikalität. Ein Scan ist daher eine Datenquelle, keine fertige Strukturanalyse.
Nordhafen gleicht CMDB, Netzwerkmanagement, Cloudportal und Verzeichnisdienst miteinander ab. Unbekannte Geräte erhalten einen Klärstatus und werden einem Standortverantwortlichen zugewiesen. Erst nach fachlicher Bestätigung werden sie einer Gruppe oder einem Prozess zugeordnet.
Schritt 5: Räume und Infrastruktur zuordnen
Räume beeinflussen die Sicherheit der darin betriebenen Zielobjekte. Serverräume, Netzwerkverteiler, Leitstände, Archive, Technikflächen und Büros können unterschiedliche Anforderungen an Zutritt, Strom, Klima, Brand- oder Wasserschutz besitzen. Auch externe Standorte und Colocation benötigen eine dokumentierte Beziehung.
Nordhafen ordnet zentrale Server einem Technikraum, Lagerterminals ihren Hallen und Standortverteiler konkreten Räumen zu. Bei einer Begehung zeigt sich, dass ein Verteiler in einem frei zugänglichen Nebenraum steht. Dieser Befund ist noch keine Schutzbedarfsbewertung, verbessert aber die Struktur und fließt später in den Grundschutz-Check ein.
Schritt 6: Gleichartige Objekte sinnvoll gruppieren
Gruppierung reduziert den Aufwand, wenn mehrere Zielobjekte denselben Schutzbedarf und ähnliche Eigenschaften besitzen. Dazu gehören insbesondere Typ, Plattform, Netzanbindung, unterstützte Anwendungen, Administration und Einsatzbedingungen. Die bloße Anzahl von Geräten rechtfertigt keine Gruppe.
Nordhafen gruppiert 140 baugleiche Scanner je Standort, weil Konfiguration, Netzsegment, Nutzung und Verwaltung übereinstimmen. Zwei privilegierte Wartungstablets werden getrennt betrachtet. Sie besitzen andere Rechte, Zugriffswege und Auswirkungen als normale Scanner, obwohl beide mobil eingesetzt werden.
Wann eine Gruppe aufgeteilt werden muss
Eine Gruppe wird geteilt, wenn einzelne Objekte eine abweichende Exposition, Plattform, Aufgabe oder Schutzbedarfsbegründung besitzen. Ein öffentlich erreichbarer Server gehört nicht automatisch in dieselbe Gruppe wie ein interner Server desselben Betriebssystems. Auch unterschiedliche Standorte können wegen physischer Bedingungen eine Trennung erfordern.
Die Gruppenregel wird schriftlich festgehalten und stichprobenartig geprüft. Ändert sich ein Merkmal, wird die Zuordnung überprüft. Dadurch bleibt die Strukturanalyse wartbar, ohne sicherheitsrelevante Unterschiede zu verschleiern.
Das Ergebnis der Strukturanalyse
Am Ende stehen keine isolierten Inventarlisten, sondern verknüpfte Zielobjekte. Ein Prozess verweist auf seine Informationen und Anwendungen, eine Anwendung auf Systeme und Kommunikationsbeziehungen, ein System auf Standort und Administration. Externe Dienste und Schnittstellen sind ebenfalls erkennbar.
Für Nordhafen kann das Team nun vom Prozess „Lagerabwicklung“ bis zu Warehouse-Management, Datenbank, WLAN, Scannern, Etikettendruckern und Technikräumen navigieren. Diese Kette ermöglicht eine begründete Schutzbedarfsvererbung. Fehlende Beziehungen bleiben als offene Punkte sichtbar, statt durch pauschale Annahmen ersetzt zu werden.
Schutzbedarf beginnt mit eigenen Schadensszenarien
Die Kategorien normal, hoch und sehr hoch erhalten organisationsspezifische Bedeutung. Das BSI nennt als mögliche Schadensbereiche unter anderem Verstöße gegen Gesetze oder Verträge, Beeinträchtigung des informationellen Selbstbestimmungsrechts, Verletzung der persönlichen Unversehrtheit, Beeinträchtigung der Aufgabenerfüllung, negative Außenwirkung und finanzielle Folgen. Das Unternehmen konkretisiert diese Bereiche durch nachvollziehbare Schwellen und Beispiele.
Nordhafen definiert „normal“ als begrenzten Schaden, der im Tagesgeschäft mit vorhandenen Mitteln bewältigt werden kann. „Hoch“ bezeichnet erhebliche Störungen, Vertragsfolgen oder relevante Beeinträchtigungen mehrerer Kunden. „Sehr hoch“ ist für existenzbedrohende, langanhaltende oder die körperliche Unversehrtheit betreffende Auswirkungen vorgesehen.
Vertraulichkeit konkret bewerten
Vertraulichkeit ist beeinträchtigt, wenn Informationen Unbefugten zugänglich werden. Die Bewertung berücksichtigt Personenbezug, Geschäftsgeheimnisse, vertragliche Einschränkungen, Sicherheitsinformationen und mögliche Kombinationen. Nicht jede interne Information benötigt denselben Schutz.
Bei Nordhafen erhalten öffentliche Fahrplanauskünfte normalen Vertraulichkeitsbedarf. Kundenkonditionen und detaillierte Lieferprofile werden hoch eingestuft, weil eine Offenlegung Vertrags- und Wettbewerbsschäden verursachen kann. Zugangsdaten und kryptografische Schlüssel werden aufgrund ihrer Wirkung auf viele Systeme gesondert betrachtet.
Integrität anhand falscher Entscheidungen bewerten
Integrität bedeutet, dass Informationen und Funktionen korrekt, vollständig und unverändert sind. Die Leitfrage lautet nicht nur, ob Daten manipuliert werden könnten, sondern welche Handlungen auf einer falschen Grundlage folgen. Fehlerhafte Informationen können sich über Schnittstellen und automatisierte Prozesse schnell ausbreiten.
Manipulierte Temperaturgrenzen könnten bei Nordhafen verderbliche Waren gefährden, während falsche Lieferadressen erhebliche Fehltransporte verursachen. Die Lagerbestände erhalten hohen Integritätsbedarf, weil Fehler Disposition und Kundenverpflichtungen gleichzeitig beeinflussen. Ein rein statistischer Bericht mit leicht korrigierbaren Abweichungen bleibt dagegen normal.
Verfügbarkeit über Zeit und Wirkung bestimmen
Verfügbarkeit bewertet, ob Informationen, Anwendungen und Systeme rechtzeitig wie vorgesehen genutzt werden können. Ein pauschales „24/7“ ist keine ausreichende Begründung. Benötigt werden Zeitverlauf, betroffene Leistung, Ersatzverfahren und die Folgen zunehmender Unterbrechung.
Die Disposition kann bei Nordhafen für kurze Zeit mit vorbereiteten Listen weiterarbeiten, verliert aber schnell aktuelle Auftrags- und Verkehrsdaten. Das Warehouse-Management lässt sich nur begrenzt manuell ersetzen, weil Bestände und Stellplätze dynamisch sind. Deshalb steigt sein Verfügbarkeitsbedarf früher als der einer reinen Berichtsanwendung.
Schutzbedarf zunächst auf Prozessebene formulieren
Der Prozesseigentümer beschreibt mögliche Schäden für jedes Grundziel und begründet die Kategorie. Die Bewertung betrachtet auch Folgeschäden und betroffene Dritte. Sicherheitsteam und Risikomanagement moderieren, dürfen die fachliche Entscheidung aber nicht ohne Grundlage ersetzen.
Für die Lagerabwicklung lautet eine Verfügbarkeitsbegründung beispielsweise: Nach zwei Stunden entstehen Rückstaus, nach sechs Stunden werden zugesagte Abfahrten verfehlt und temperaturkritische Sendungen gefährdet. Diese Aussage ist prüfbarer als das einzelne Wort „hoch“. Sie hilft später bei Maßnahmen, Notfallplanung und Tests.
Anwendungen anhand der verarbeiteten Informationen bewerten
Anwendungen übernehmen den Schutzbedarf der unterstützten Prozesse und verarbeiteten Informationen. Dabei werden die drei Grundwerte getrennt betrachtet. Eine Anwendung kann hohe Integrität, aber nur normale Vertraulichkeit benötigen oder umgekehrt.
Das Warehouse-Management erhält bei Nordhafen hohen Integritäts- und Verfügbarkeitsbedarf, während die Vertraulichkeit für viele Bestandsdaten normal bleibt. Das Kundenportal verarbeitet dagegen personenbezogene und vertragliche Daten und erhält erhöhten Vertraulichkeitsbedarf. Die Begründungen verweisen auf konkrete Prozesse und Informationsarten.
Das Maximumprinzip bei technischen Systemen
Ein IT-System unterstützt häufig mehrere Anwendungen. Grundsätzlich übernimmt es für jeden Grundwert den höchsten Schutzbedarf der darauf angewiesenen Anwendungen. Dadurch wird verhindert, dass eine kritische Nutzung durch eine Vielzahl weniger kritischer Nutzungen verwässert wird.
Der zentrale Datenbankcluster von Nordhafen trägt Warehouse-Management, Transportmanagement und Abrechnung. Für Integrität und Verfügbarkeit ist der jeweils höchste Bedarf maßgeblich. Die Dokumentation nennt nicht nur das Ergebnis, sondern die Anwendungen, aus denen es abgeleitet wurde.
Kumulation: Viele normale Werte können gemeinsam hoch werden
Kumulation liegt vor, wenn ein Zielobjekt so viele Informationen oder Funktionen bündelt, dass ein gemeinsamer Verlust größeren Schaden verursacht. Ein Speichersystem mit zahlreichen normal vertraulichen Akten kann insgesamt einen höheren Schutzbedarf besitzen. Ebenso kann eine zentrale Plattform zum Engpass vieler Prozesse werden.
Bei Nordhafen erhält der Identitätsdienst hohen Verfügbarkeitsbedarf, obwohl einzelne angeschlossene Anwendungen kurze Ausfälle verkraften könnten. Der gleichzeitige Ausfall blockiert Anmeldung, Administration und mehrere Standorte. Diese Konzentrationswirkung wird als eigene Begründung erfasst.
Verteilung: Teilfunktionen können den Bedarf relativieren
Der Verteilungseffekt kann eine Vererbung relativieren, wenn ein System nur einen unwesentlichen Teil einer Anwendung ausführt oder die Leistung tatsächlich auf unabhängige Komponenten verteilt ist. Eine solche Abweichung darf nicht mit einer geplanten, aber ungeprüften Redundanz begründet werden. Architektur und Betrieb müssen die Verteilung tatsächlich tragen.
Nordhafen betreibt mehrere Scanner, deren einzelner Ausfall die Lagerabwicklung kaum beeinträchtigt. Der Verfügbarkeitsbedarf eines einzelnen Geräts kann deshalb normal bleiben, obwohl die Scan-Funktion insgesamt hoch verfügbar sein muss. Für den WLAN-Controller gilt diese Relativierung nicht, solange er einen gemeinsamen Ausfallpunkt bildet.
Abhängigkeiten und Übertragungseffekte prüfen
Schutzbedarf folgt nicht nur Hostingbeziehungen. Netze, Identitätsdienste, Administrationsplattformen, Räume und externe Anbieter können die Vertraulichkeit, Integrität oder Verfügbarkeit mehrerer Zielobjekte beeinflussen. Diese Übertragung wird entlang der in der Strukturanalyse dokumentierten Beziehungen geprüft.
Ein Standortverteiler übernimmt bei Nordhafen den hohen Verfügbarkeitsbedarf der Lagerprozesse, weil keine unabhängige Verbindung existiert. Der Administrationszugang erhält hohen Integritäts- und Vertraulichkeitsbedarf, da kompromittierte Berechtigungen zahlreiche Systeme verändern könnten. Solche Ableitungen sind gezielter als eine pauschale Höherstufung der gesamten Infrastruktur.
Eine Schutzbedarfsmatrix verständlich dokumentieren
| Zielobjekt | Vertraulichkeit | Integrität | Verfügbarkeit | Wesentliche Begründung |
|---|---|---|---|---|
| Kundenportal | hoch | hoch | hoch | Kunden- und Auftragsdaten; Eingang zeitkritischer Aufträge |
| Warehouse-Management | normal | hoch | hoch | Bestandsrichtigkeit und operative Lagersteuerung |
| Identitätsdienst | hoch | hoch | hoch | Privilegierte Konten und Kumulation vieler Anmeldungen |
| Einzelner Standardscanner | normal | normal | normal | Austauschbar; Verteilung auf zahlreiche Geräte |
| Scanner-WLAN | normal | hoch | hoch | Gemeinsame Kommunikationsbasis der Lagerabwicklung |
Die Matrix ist nur die Übersicht. Hinter jeder erhöhten oder abweichenden Einstufung steht eine referenzierte Begründung. Der Leser kann dadurch vom technischen Ergebnis zum betroffenen Prozess und Schadensszenario zurückverfolgen.
Schutzbedarf ist nicht dasselbe wie Risiko
Schutzbedarf beschreibt die Höhe möglicher Schäden, nicht die Wahrscheinlichkeit eines Angriffs und nicht die Wirksamkeit vorhandener Kontrollen. Ein gut abgesichertes System kann weiterhin sehr hohen Schutzbedarf besitzen. Die Maßnahmen reduzieren Risiko, ändern aber nicht automatisch die Bedeutung des Zielobjekts.
Diese Trennung verhindert problematische Herabstufungen nach dem Motto, ein aktuelles Backup mache Verfügbarkeit weniger wichtig. Das Backup kann das Risiko eines dauerhaften Datenverlusts mindern. Die geschäftlichen Auswirkungen eines zu langen Ausfalls bleiben dennoch bestehen und müssen getestet werden.
Hoher Schutzbedarf löst weitere Analyse aus
IT-Grundschutz bildet typische Einsatzszenarien und normalen Schutzbedarf mit den Bausteinen des Kompendiums ab. Bei hohem oder sehr hohem Schutzbedarf, fehlenden geeigneten Bausteinen oder besonderen Einsatzbedingungen ist eine ergänzende Risikoanalyse nach BSI-Standard 200-3 erforderlich. Sie betrachtet zusätzliche Gefährdungen und Maßnahmen.
Bei Nordhafen betrifft dies unter anderem die temperaturgeführte Lagerung und bestimmte externe Steuerungsschnittstellen. Das Sicherheitskonzept dokumentiert, warum eine Risikoanalyse notwendig ist. Die Schutzbedarfsfeststellung selbst wird dadurch nicht durch eine freie Risikobewertung ersetzt.
Qualität durch Workshops und Reviews sichern
Strukturanalyse und Schutzbedarf entstehen am besten in moderierten Workshops mit Prozess-, Anwendungs- und Betriebsverantwortlichen. Vorhandene Daten werden vorbereitet, offene Entscheidungen gezielt gestellt und Ergebnisse unmittelbar dokumentiert. Technische Teams erklären Abhängigkeiten, Fachbereiche begründen Auswirkungen.
Ein unabhängiges Review prüft Vollständigkeit, Konsistenz und Herleitungen. Stichproben laufen vom Prozess zur Technik und zurück. Werden Zielobjekte ohne Prozessbezug oder hohe Einstufungen ohne Schadensbeschreibung gefunden, geht der Eintrag zur Klärung an den Eigentümer.
Häufige Fehler und ihre Korrektur
- Ein CMDB-Export wird ungeprüft zur Strukturanalyse erklärt; Abgleich und fachliche Zuordnung fehlen.
- Anwendungen und Server werden vermischt; eine getrennte Prozess-Anwendungs-System-Matrix schafft Klarheit.
- Alle Daten erhalten vorsorglich hohen Schutzbedarf; konkrete Schadensszenarien differenzieren die Bewertung.
- Verfügbarkeit wird ohne Zeitbezug bewertet; Auswirkungen werden für zunehmende Unterbrechungsdauer beschrieben.
- Redundanz führt pauschal zur Herabstufung; nur nachgewiesene Verteilung und getestete Umschaltung zählen.
- Cloud und Lieferanten bleiben außerhalb; Nutzung, Schnittstellen und Verantwortungsgrenzen werden aufgenommen.
- Gruppen verbergen Ausnahmen; Aufnahmekriterien und Stichproben sichern Homogenität.
Die Korrektur beginnt nicht mit einer größeren Tabelle, sondern mit klareren Beziehungen und Entscheidungen. Jede zusätzliche Information sollte einen Zweck für Modellierung, Schutzbedarf oder spätere Prüfung besitzen. So bleibt der Informationsverbund verständlich und pflegbar.
Änderungen dauerhaft in das Modell übernehmen
Neue Anwendungen, Standorte, Schnittstellen und Outsourcing verändern die Struktur. Geänderte Prozesse, Datenarten oder Abhängigkeiten können den Schutzbedarf verschieben. Deshalb werden Architektur-, Beschaffungs- und Change-Prozesse mit dem ISMS verbunden.
Nordhafen verlangt bei neuen Cloudanwendungen eine Zuordnung zu Prozess, Informationseigentümer und Identitätsquelle. Bei wesentlichen Änderungen prüft der Sicherheitsbeauftragte die Schutzbedarfsvererbung erneut. Ein jährliches Gesamtreview ergänzt diese ereignisbezogene Pflege, ersetzt sie aber nicht.
Was das Management als Ergebnis erhalten sollte
Die Leitung benötigt keine Liste sämtlicher Geräte, sondern ein verständliches Bild kritischer Leistungen, konzentrierter Abhängigkeiten und offener Datenlücken. Eine Managementübersicht zeigt Informationsverbund, wesentliche Prozesse, Zielobjekte mit hohem oder sehr hohem Schutzbedarf sowie zentrale Kumulationspunkte. Entscheidungen und verbleibende Unsicherheiten werden sichtbar.
Für Nordhafen sind Identitätsdienst, Lager-WLAN und zentrale Datenbank besonders relevante Konzentrationspunkte. Die Übersicht erklärt, welche Geschäftsfolgen damit verbunden sind. Daraus lassen sich Prioritäten für Modellierung, Risikoanalyse, Notfallvorsorge und Maßnahmenplanung ableiten.
Fazit: Die Begründungskette ist das eigentliche Ergebnis
Eine gute Strukturanalyse bildet den Informationsverbund so ab, dass Beziehungen zwischen Leistung, Anwendung, Technik, Verbindung und Raum erkennbar bleiben. Eine gute Schutzbedarfsfeststellung verbindet diese Struktur mit konkreten Schadensszenarien für Vertraulichkeit, Integrität und Verfügbarkeit. Maximumprinzip, Kumulation und Verteilung sorgen für differenzierte technische Ableitungen.
BlackMount unterstützt Unternehmen bei Strukturanalyse und Schutzbedarfsfeststellung nach BSI IT-Grundschutz: von Scope und Datenerhebung über Workshops und Gruppierungsregeln bis zur nachvollziehbaren Schutzbedarfsvererbung. Das Ergebnis ist eine belastbare Grundlage für Modellierung, Grundschutz-Check und ergänzende Risikoanalyse.
