ITInformationssicherheit: Schutzziele, ISMS nach ISO 27001 und BSI IT-Grundschutz
Informationssicherheit schützt alle Informationen einer Organisation, digital wie auf Papier oder im Kopf der Beschäftigten, vor Verlust der Vertraulichkeit, Integrität und Verfügbarkeit. Gesteuert wird sie mit einem Informationssicherheits-Managementsystem (ISMS), dessen Anforderungen die internationale Norm ISO/IEC 27001 festlegt.
- Drei Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit.
- Ein ISMS steuert Risiken, Maßnahmen, Verantwortlichkeiten und Verbesserung dauerhaft.
- ISO/IEC 27001:2022 enthält in Anhang A 93 Maßnahmen in vier Themen.
- Der BSI IT-Grundschutz liefert konkrete Umsetzungshilfen und ist mit ISO 27001 kombinierbar.
Welche Schutzziele hat die Informationssicherheit?
| Schutzziel | Bedeutung | Beispiel für eine Verletzung |
|---|---|---|
| Vertraulichkeit | Nur Berechtigte haben Zugang zu Informationen | Kundendaten gelangen durch einen falsch adressierten E-Mail-Verteiler an Dritte |
| Integrität | Informationen und Systeme sind vollständig und unverfälscht | Bankverbindung in einer Rechnung wird von Angreifern manipuliert |
| Verfügbarkeit | Informationen und Systeme stehen bei Bedarf zur Verfügung | Ransomware verschlüsselt den Server, die Auftragsbearbeitung steht still |
Was ist ein ISMS?
Ein Informationssicherheits-Managementsystem (ISMS) ist die Gesamtheit aus Regeln, Verantwortlichkeiten, Prozessen und Maßnahmen, mit denen eine Organisation Informationssicherheit plant, umsetzt, überprüft und verbessert. Kern ist ein wiederkehrender Kreislauf: Werte und Risiken ermitteln, Maßnahmen auswählen, umsetzen, Wirksamkeit prüfen, verbessern.
Wie ist die ISO/IEC 27001:2022 aufgebaut?
Die ISO/IEC 27001 folgt der gemeinsamen Struktur der ISO-Managementsystemnormen. Die Anforderungen an das ISMS stehen in den Kapiteln 4 bis 10, der Maßnahmenkatalog in Anhang A. Die Übergangsfrist für Zertifikate nach der alten Fassung von 2013 ist am 31. Oktober 2025 abgelaufen.
| Teil | Inhalt |
|---|---|
| Kapitel 4 bis 10 | Kontext, Führung, Planung (Risikobeurteilung und -behandlung), Unterstützung, Betrieb, Bewertung (internes Audit, Managementbewertung), Verbesserung |
| Anhang A: Organisatorische Maßnahmen | 37 Maßnahmen, z. B. Richtlinien, Lieferantenbeziehungen, Vorfallmanagement, Business Continuity |
| Anhang A: Personenbezogene Maßnahmen | 8 Maßnahmen, z. B. Sicherheitsüberprüfung, Schulung, Verschwiegenheit |
| Anhang A: Physische Maßnahmen | 14 Maßnahmen, z. B. Zutrittskontrolle, Schutz von Geräten, sichere Entsorgung |
| Anhang A: Technologische Maßnahmen | 34 Maßnahmen, z. B. Zugriffsrechte, Kryptografie, Protokollierung, Datensicherung |
Welche Maßnahmen gelten, legt die Organisation in der Erklärung zur Anwendbarkeit fest und begründet Ausschlüsse anhand ihrer Risikobeurteilung.
Was leistet der BSI IT-Grundschutz?
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt mit den BSI-Standards 200-1 bis 200-4 und dem IT-Grundschutz-Kompendium eine sehr konkrete Methode: 200-1 regelt das ISMS, 200-2 die Vorgehensweise mit Basis-, Kern- und Standard-Absicherung, 200-3 die Risikoanalyse und 200-4 das Business Continuity Management. Gerade für Behörden und Organisationen, die schrittweise einsteigen wollen, ist das ein bewährter Weg.
Wo fängt man an?
- Geltungsbereich und Verantwortliche festlegen, Leitlinie zur Informationssicherheit verabschieden.
- Werte erfassen: Prozesse, Informationen, IT-Systeme, Räume, Dienstleister.
- Risiken beurteilen und Maßnahmen auswählen, beginnend mit den größten Risiken.
- Maßnahmen umsetzen, Beschäftigte schulen, Wirksamkeit messen.
- Internes Audit und Managementbewertung durchführen, Verbesserungen ableiten.
Für kleine Unternehmen unter 50 Beschäftigten bietet der CyberRisikoCheck nach DIN SPEC 27076 einen strukturierten Einstieg.
Häufige Fragen zur Informationssicherheit
Ist ISO 27001 Pflicht?
Nein, eine Zertifizierung nach ISO/IEC 27001 ist grundsätzlich freiwillig. Viele Kunden, Versicherer und Aufsichten verlangen aber ein nachweisbares ISMS; für NIS-2-Einrichtungen sind Risikomanagementmaßnahmen nach § 30 BSIG Pflicht, und ein ISMS nach ISO 27001 ist ein anerkannter Weg, sie umzusetzen.
Was ist der Unterschied zwischen ISO 27001 und BSI IT-Grundschutz?
Die ISO/IEC 27001 ist eine internationale Anforderungsnorm, die festlegt, was ein ISMS leisten muss. Der BSI IT-Grundschutz beschreibt mit den BSI-Standards und dem Kompendium sehr konkret, wie Absicherung umgesetzt werden kann. Eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz verbindet beides.
Was ist die DIN SPEC 27076?
Die DIN SPEC 27076 beschreibt den CyberRisikoCheck, eine standardisierte Erstberatung zur Informationssicherheit für kleine Unternehmen mit weniger als 50 Beschäftigten. Sie ersetzt kein ISMS, ist aber ein guter Einstieg.