Wenn Sie als Geschäftsführer eines mittelständischen Unternehmens anfangen, sich mit IT-Sicherheit und Cybersicherheit zu beschäftigen, stoßen Sie schnell auf zwei Namen: ISO 27001 und BSI Grundschutz. Während ISO 27001 der internationale Standard ist, hat Deutschland mit dem BSI Grundschutz ein eigenes, äußerst detailliertes Framework entwickelt – und für viele KMU ist es der bessere Einstieg. Das Bundesamt für Sicherheit in der Informationstechnik stellt dafür umfangreiche Ressourcen bereit.
Warum? Weil der BSI Grundschutz Ihnen konkrete Maßnahmen an die Hand gibt, statt nur Anforderungen zu formulieren. Während ISO 27001 sagt "Sie müssen Risiken bewerten und angemessene Maßnahmen treffen", sagt der BSI Grundschutz: "Hier ist eine detaillierte Liste von Bedrohungen für Ihren Fileserver – und hier sind die konkreten Maßnahmen, die Sie umsetzen sollten." Der modular aufgebaute Standard macht es notwendig, sich systematisch mit der Informationssicherheit auseinanderzusetzen.
In diesem Artikel erklären wir, was BSI Grundschutz ist, wie er sich von ISO 27001 unterscheidet, welche Varianten es gibt und wie Sie als KMU pragmatisch einsteigen können – mit Hinweisen auf kostenlose Broschüren und Ressourcen der Behörde.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Behörde für IT-Sicherheit und Cybersicherheit in Deutschland. Der BSI Grundschutz ist eine vom BSI entwickelte Methodik zur Identifizierung und Umsetzung von Sicherheitsmaßnahmen für IT-Systeme, Netzwerke und digitale Anwendungen.
Das Kernstück ist das IT-Grundschutz-Kompendium – eine umfangreiche Sammlung von modular aufgebauten Bausteinen, die für verschiedene Aspekte der IT-Sicherheit konkrete Anforderungen und Umsetzungshinweise liefern. Die Behörde stellt das Kompendium als wichtige Ressource kostenlos zur Verfügung.
Die Grundidee ist bestechend einfach: Für die allermeisten IT-Systeme und digitale Geschäftsprozesse in Unternehmen sind die Bedrohungen bekannt und vorhersagbar. Ein Windows-Server wird immer denselben grundlegenden Bedrohungen ausgesetzt sein – unabhängig davon, ob er in einem Handwerksbetrieb oder in einem Versicherungskonzern steht. Also kann man die Schutzmaßnahmen standardisieren und das Sicherheitsniveau systematisch verbessern.
Statt dass jedes Unternehmen von Grund auf eine individuelle Risikoanalyse durchführen muss, liefert der BSI Grundschutz vorgefertigte Risikoanalysen und Maßnahmensets – die sogenannte Standard-Absicherung. Das spart enorm viel Aufwand und Ressourcen, besonders für Unternehmen ohne eigene Sicherheitsexperten. Der modulare Aufbau macht es notwendig, nur die für das eigene Unternehmen relevanten Bausteine umzusetzen.
Das Kompendium wird jährlich aktualisiert und umfasst aktuell rund 110 modular aufgebaute Bausteine in zehn Schichten. Die Vorgaben des BSI sind dabei verbindlich für Behörden und wichtig als Leitfaden für KMU:
ISMS – Sicherheitsmanagement:
ORP – Organisation und Personal:
CON – Konzepte:
OPS – Betrieb:
DER – Detektion und Reaktion:
APP – Anwendungen:
SYS – IT-Systeme:
NET – Netze:
INF – Infrastruktur:
Jeder Baustein enthält: eine Beschreibung des Gegenstands, eine Gefährdungslage (welche Bedrohungen existieren), Anforderungen (was muss umgesetzt werden) und Umsetzungshinweise (wie setzt man es konkret um). Die Broschüre "Cybersicherheit für KMU" der Behörde bietet zusätzliche Ressourcen für den Einstieg.
Beide Standards verfolgen dasselbe Ziel – systematische Informationssicherheit – gehen aber unterschiedlich vor:
ISO 27001 ist ein High-Level-Framework: Es beschreibt, WAS Sie tun müssen (Risiken bewerten, Maßnahmen treffen, dokumentieren), aber nicht im Detail WIE. Die 93 Controls in Anhang A sind Referenzmaßnahmen auf abstraktem Niveau.
BSI Grundschutz ist ein detailliertes Handbuch: Für jeden Baustein erhalten Sie konkrete, teilweise sehr technische Anforderungen. Der Baustein SYS.1.1 (Allgemeiner Server) enthält beispielsweise Anforderungen wie "Der Server MUSS vor unberechtigtem physischen Zugriff geschützt werden" oder "Es MUSS sichergestellt sein, dass nur die vorgesehenen Ports des Servers erreichbar sind."
ISO 27001 verlangt eine individuelle Risikoanalyse: Sie identifizieren Ihre spezifischen Risiken und leiten daraus Maßnahmen ab. Das ist flexibel, erfordert aber Erfahrung.
BSI Grundschutz bietet eine vorgefertigte Risikoanalyse über die Standard-Absicherung: Die Bedrohungen und passenden Maßnahmen sind pro Baustein bereits definiert. Eine individuelle Risikoanalyse ist nur für Bereiche mit erhöhtem Schutzbedarf erforderlich.
ISO 27001 ist der international anerkannte Standard. Kunden und Partner weltweit kennen und akzeptieren eine ISO 27001-Zertifizierung.
BSI Grundschutz ist primär im deutschsprachigen Raum und im öffentlichen Sektor verbreitet. In Deutschland ist er bei Behörden, KRITIS-Betreibern und Unternehmen mit öffentlichen Auftraggebern weit verbreitet. Die Vorgaben der Behörde sind notwendig, um die Cybersicherheit im digitalen Zeitalter zu verbessern. International ist er weniger bekannt.
Beide Standards ermöglichen eine Zertifizierung. Interessanterweise ist eine BSI-Grundschutz-Zertifizierung kompatibel mit ISO 27001: Ein ISO 27001-Zertifikat auf Basis von IT-Grundschutz bescheinigt die Konformität mit beiden Standards gleichzeitig.
Für ein KMU ist der Aufwand beim BSI Grundschutz in der vollständigen Standard-Absicherung tendenziell höher als bei ISO 27001, weil mehr Einzelanforderungen umgesetzt und dokumentiert werden müssen. Dafür ist die Basis-Absicherung (s.u.) deutlich einsteigerfreundlicher als ISO 27001 und erfordert weniger Ressourcen. Es ist wichtig, den richtigen Standard für Ihr Unternehmen zu wählen.
Das BSI hat erkannt, dass die vollständige Standard-Absicherung für viele KMU zu aufwändig ist, und bietet deshalb drei Stufen an:
Die Basis-Absicherung ist der ideale Einstieg für KMU, um die Informationssicherheit im Unternehmen systematisch aufzubauen. Sie konzentriert sich auf die wichtigsten Sicherheitsmaßnahmen und lässt Details bewusst weg. Das Ziel: ein solides Mindestmaß an Sicherheit in überschaubarer Zeit und mit begrenzten Ressourcen.
Was Sie tun:
Vorteile:
Nachteile:
Die Standard-Absicherung setzt alle Anforderungen und Vorgaben des IT-Grundschutz-Kompendiums um – auch die mit "SOLLTE" und "SOLLTE NICHT" gekennzeichneten. Sie ist die Basis für eine ISO 27001-Zertifizierung auf Grundlage von IT-Grundschutz und verbessert das Sicherheitsniveau umfassend.
Was Sie zusätzlich tun:
Aufwand: Für ein KMU mit 20–50 MA rechnen Sie mit 6–12 Monaten.
Die Kern-Absicherung konzentriert sich auf die kritischsten Geschäftsprozesse und IT-Systeme (die "Kronjuwelen"). Sie bietet hohes Schutzniveau für den wichtigsten Bereich, ohne das gesamte Unternehmen abdecken zu müssen — eine notwendige Maßnahme, wenn die Ressourcen begrenzt sind.
Wann sinnvoll:
Basierend auf unserer Beratungserfahrung empfehlen wir KMU folgenden Einstieg, um die Informationssicherheit im Unternehmen schrittweise zu verbessern:
IT-Landschaft erfassen: Erstellen Sie eine einfache Übersicht Ihrer IT-Systeme. Sie brauchen keine detaillierte CMDB – eine Excel-Liste reicht:
Relevante Bausteine identifizieren: Wählen Sie aus dem Kompendium die Bausteine aus, die zu Ihrer IT-Landschaft passen. Für ein typisches KMU mit Windows-Clients, Microsoft 365 und einer Firewall sind das etwa 15–25 Bausteine.
Konzentrieren Sie sich auf die MUSS-Anforderungen der relevanten Bausteine. Typische Quick-Wins:
Zugriffskontrolle:
Patch-Management:
Datensicherung:
Netzwerksicherheit:
Schadprogramm-Schutz:
Schulung und Awareness:
Nach der Basis-Absicherung bewerten Sie, ob Sie weiter in Richtung Standard-Absicherung gehen möchten. Typische nächste Schritte:
Für ein KMU mit 20–50 Mitarbeitenden rechnen Sie mit:
Die Behörde stellt zahlreiche kostenfreie Ressourcen bereit, die für KMU besonders wichtig und notwendig sind:
Nutzen Sie diese Ressourcen der Behörde – sie sind mit Steuergeldern finanziert und für genau diesen Zweck gedacht. Sie verbessern Ihre Informationssicherheit im Unternehmen spürbar.
Die Entscheidung zwischen BSI Grundschutz und ISO 27001 hängt von Ihren spezifischen Anforderungen und Ressourcen ab:
BSI Grundschutz (Basis-Absicherung) ist ideal, wenn Sie:
ISO 27001 ist ideal, wenn Sie:
Tipp: Starten Sie mit der BSI Basis-Absicherung und bauen Sie später in Richtung ISO 27001 oder BSI Standard-Absicherung aus. Die Basis-Absicherung ist nicht verschwendet – sie ist eine solide Grundlage, die in beide Richtungen weiterentwickelt werden kann und Ihre digitale Sicherheit verbessert.
Der BSI Grundschutz mag auf den ersten Blick wie ein Bürokratie-Monster wirken – und ja, die vollständige Standard-Absicherung ist umfangreich. Aber die Basis-Absicherung ist ein realistischer, pragmatischer Einstieg, der auch für kleine Unternehmen machbar ist und die Cybersicherheit spürbar verbessert.
Der größte Fehler, den wir bei KMU sehen, ist nicht die falsche Wahl des Standards. Es ist das Nichtstun. Jede umgesetzte Maßnahme – sei es die Aktivierung von MFA, die Einrichtung eines funktionierenden Backups oder die erste Mitarbeiterschulung – verbessert Ihre Sicherheitslage erheblich. Und der modular aufgebaute BSI Grundschutz gibt Ihnen einen strukturierten Fahrplan, welche Maßnahmen in welcher Reihenfolge notwendig und wichtig sind. Die Vorgaben der Behörde sind klar, die Ressourcen stehen bereit.
Wir unterstützen Sie beim Einstieg – von der ersten Bestandsaufnahme bis zur vollständigen Umsetzung. Als Berater für IT-Sicherheit in Hamburg kennen wir die Herausforderungen des Mittelstands und wissen, wie man BSI Grundschutz ohne Overhead umsetzt. Wenn Sie parallel über eine ISO 27001-Zertifizierung nachdenken, beraten wir Sie ehrlich, welcher Weg für Ihre Situation der richtige ist. Und als Partner für Informationssicherheit begleiten wir Sie langfristig — damit die Informationssicherheit im Unternehmen dauerhaft auf einem hohen Niveau bleibt.
Buchen Sie ein kostenloses Erstgespräch – wir schauen uns gemeinsam Ihre digitale IT-Landschaft an und empfehlen Ihnen den richtigen Einstieg in den BSI Grundschutz. Pragmatisch, ehrlich und ohne unnötigen Overhead.
"Als Handwerksbetrieb dachten wir, IT-Sicherheit sei nur etwas für große Firmen. Nils hat uns in drei Monaten durch die BSI Basis-Absicherung geführt. Die wichtigsten Maßnahmen – MFA, Backup-Konzept, Mitarbeiterschulung – waren schneller umgesetzt, als wir dachten. Und als unser größter Kunde dann einen Sicherheitsnachweis verlangte, hatten wir alles parat."
"Wir standen vor der Wahl: BSI Grundschutz oder ISO 27001? Nils hat uns beraten, mit der Basis-Absicherung zu starten und parallel die ISO-Zertifizierung vorzubereiten. Das hat uns viel Doppelarbeit erspart und wir hatten nach sechs Monaten beides – ein solides Sicherheitsniveau und die Roadmap zum Zertifikat."
Inhaltsverzeichnis
MFA im Unternehmen einführen: Methoden, DSGVO-Anforderungen und Schritt-für-Schritt-Anleitung für KMU.
WeiterlesenProxy-Server für Unternehmen: Forward vs. Reverse Proxy, Einsatzzwecke und wie KMU ihren Internetverkehr absichern.
WeiterlesenSicherheitsbewertung für Unternehmen: Methoden, Ablauf und Checkliste zur systematischen Identifikation von IT- und physischen Sicherheitslücken.
Weiterlesen Über den Autor
Datenschutzberater & Geschäftsführer
Nils ist zertifizierter Datenschutzbeauftragter und Geschäftsführer der frag.hugo Informationssicherheit GmbH. Er berät mittelständische Unternehmen zu DSGVO, NIS2 und IT-Sicherheit – praxisnah und verständlich.
Vereinbaren Sie ein unverbindliches Erstgespräch mit unseren Experten. Wir beraten Sie persönlich zu Datenschutz, NIS2 und IT-Sicherheit.
