BSI elementare Gefährdungen: aus G 0.1 bis G 0.47 prüfbare Szenarien bilden

Anhang 4 von BSI-Standard 300-1 schreibt den elementaren Gefährdungen zwei Aufgaben zu. Das BSI hat aus ihnen die Anforderungen des Anwenderkatalogs hergeleitet; für den normalen Schutzbedarf steckt darin eine vom BSI vorgenommene, implizite Risikobewertung. Und Anwender nutzen sie als Ausgangspunkt für eigene Risikobetrachtungen, etwa bei hohem Schutzbedarf. Eine Gefährdung ist nach der dort zitierten BSI-Definition „eine Bedrohung, die konkret über eine Schwachstelle auf ein Objekt einwirkt“. Eine fehlende Maßnahme ist dagegen „grundsätzlich keine elementare Gefährdung“ (300-1, Anhang 4).

Im Katalog ist die Verbindung sichtbar: Das Feld threats einer Anforderung nennt die G0-Kennungen, denen sie entgegenwirken soll. Im Build vom 29.10.2026 haben 901 der 1.000 Anforderungen dieses Feld, zusammen mit 2.009 Zuordnungen; die 99 Anforderungen der Methodik und des Risikomanagements haben keines (eigene Zählung). Die ausführliche Beschreibung jeder Gefährdung mit Beispielen steht in der Datei basethreats.csv der Stand-der-Technik-Bibliothek, zusammen mit einer UUID je Gefährdung.

Drei Stellen in 300-1 machen die Gefährdungen für die eigene Arbeit verbindlich oder nützlich. Kapitel 2.11 erlaubt, die in den Metadaten hinterlegten Gefährdungen für die eigene Risikobetrachtung zu verwenden. Mindestkriterium 10 in Anhang 3 verlangt, die methodische Grundlage der Risikoidentifikation festzulegen, und nennt als Beispiele „Bedrohungen und Schwachstellen oder Risikoszenarien“. Mindestkriterium 17 schreibt vor, bei dauerhaft nicht erfüllten SOLLTE-Anforderungen die zugeordneten elementaren Gefährdungen in der Risikobetrachtung zu berücksichtigen.

Die Nummern G 0.1 bis G 0.47 sind in allen Quellen dieselben, die Titel nicht ganz. Die wichtigste Abweichung betrifft G 0.11. Im IT-Grundschutz-Kompendium Edition 2023 heißt sie „Ausfall oder Störung von Dienstleistungsunternehmen“. BSI-Standard 300-1 (Anhang 4) und die Datei basethreats.csv der Bibliothek schreiben „Ausfall oder Störung von Dienstleistern“, ebenso Tabelle 1 in BSI-Standard 200-3 von 2017. Die Beschreibung ist in Aufbau, Ursachen und Beispielen gleich geblieben; geändert ist die Wortwahl, etwa „Unterauftragnehmer“ in der Bibliothek, wo das Kompendium „Subunternehmen“ schreibt. Für alle übrigen 46 Gefährdungen stimmen die Titel im Kompendium 2023 und in 300-1 überein.

BSI-Standard 200-3 weicht bei sechs weiteren Titeln von Kompendium 2023 und 300-1 ab, teils nur in der Schreibweise, bei G 0.20 auch im Inhalt („oder Produkte“). Wer eine alte Risikoanalyse nach 200-3 oder dem Kompendium übernimmt und Gefährdungen über den Titel sucht, findet deshalb nicht alles. Verknüpfen Sie über die Kennung, in Werkzeugen besser über die UUID aus basethreats.csv.

Ein Gefährdungstitel wie „Datenverlust“ lässt sich nicht prüfen. Prüfbar ist eine Aussage über ein bestimmtes Asset, die man mit einem Nachweis bejahen oder verneinen kann. Das folgende Schema ist unsere Arbeitsform; es bindet die Mindestkriterien aus Anhang 3, die bei der Risikoidentifikation gelten, an jedes Szenario.

Alle drei Ketten spielen in derselben fiktiven Institution: einem Softwarehaus, das eine Fachanwendung für öffentliche Auftraggeber im eigenen Rechenzentrum betreibt. Untersuchungsobjekt ist der Geschäftsprozess „Betrieb der Fachanwendung“ mit hohem Schutzbedarf bei Vertraulichkeit und Verfügbarkeit. Die Prüfergebnisse sind erfunden und zeigen, wie ein negatives Ergebnis weiterverarbeitet wird.

SZ-01, Ablauf: Eine Administratorin erhält eine gefälschte Mail im Namen eines Dienstleisters und gibt ihre Zugangsdaten auf einer nachgebauten Seite ein. Mit diesen Daten meldet sich ein Angreifer am Fernzugang an, bringt Schadsoftware auf einen Server und verschlüsselt Daten und erreichbare Sicherungen. Betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit.

SZ-02, Ablauf: Die Institution lässt die Dokumentenablage der Fachanwendung bei einem externen Rechenzentrumsbetreiber laufen. Der Betreiber meldet Insolvenz an und stellt den Betrieb nach kurzer Frist ein. Die Ablage ist nicht mehr erreichbar, und es gibt keinen geübten Weg, Daten und Betrieb zurückzuholen. Betroffen ist vor allem die Verfügbarkeit.

SZ-03, Ablauf: Nach Starkregen dringt Wasser über einen Bodenablauf in den Serverraum im Untergeschoss. Zwei Hostsysteme fallen aus. Der Sicherungsspeicher steht im selben Raum und ist ebenfalls betroffen. Betroffen sind Verfügbarkeit und Integrität.

Die Tabelle nennt Kennung und Titel nach BSI-Standard 300-1, Anhang 4, gleichlautend mit basethreats.csv. Die dritte Spalte ist unsere Auszählung: wie viele Anforderungen des Builds vom 29.10.2026 die Kennung im Feld threats nennen. Eine Anforderung kann mehreren Gefährdungen zugeordnet sein, deshalb ergibt die Summe mehr als 901. Die Zahl ist kein Maß für Häufigkeit oder Schwere einer Gefährdung, nur für ihren Anteil an der Herleitung des Katalogs. G 0.18 „Fehlplanung oder fehlende Anpassung“ steht an 385 Anforderungen, G 0.4, G 0.12 und G 0.13 an je einer einzigen.

Die Szenarioketten auf dieser Seite ersetzen keine Risikobetrachtung. Sie liefern die Risikoidentifikation; Bewertung von Eintrittshäufigkeit und Schadensauswirkung, Abgleich mit den Akzeptanzkriterien und Behandlung folgen nach dem eigenen Verfahren (300-1, Kap. 4.2). Erforderlich ist eine explizite Risikobetrachtung in den drei Fällen aus Kapitel 2.11: bei hohem Schutzbedarf eines Geschäftsprozesses, bei Assets, die die Zielobjektkategorien nicht hinreichend abdecken, und bei dauerhaft nicht erfüllten SOLLTE-Anforderungen. Für eingeplante, aber noch nicht erfüllte SOLLTE-Anforderungen verlangt Kapitel 2.11 außerdem eine Restrisikobetrachtung.

Die 47 Gefährdungen sind bewusst abstrakt und produktneutral. Mindestkriterium 10 lässt offen, ob Sie mit Bedrohungen und Schwachstellen oder mit Risikoszenarien arbeiten; eigene, feinere Szenarien neben den 47 sind damit möglich, solange die Methode dokumentiert und von der Institutionsleitung autorisiert ist (Kriterien 3 und 9).

Blackfort Technology unterstützt beim Aufbau der Risikomethode nach Anhang 3 und bei der Prüfung bestehender Gefährdungsübersichten aus 200-3 auf Grundschutz++. Die Leistungen stehen auf der Seite Beratung.