Grundschutz++ Beispiel, Teil 5: Verbesserung und Abschluss des ersten Zyklus

Was bisher geschah: Der IT-Zweckverband Musterregion (IZM) hat für den Portalprozess GP-A Kontext, Schutzbedarf und Rollen erhoben (Teil 1), ein Paket mit 930 Einträgen gebildet (Teil 2), den Status erhoben, vier Risiken behandelt und 60 Maßnahmen geplant (Teil 3). Im internen Audit in Teil 4 kamen acht Feststellungen heraus: unter anderem ein Gruppenkonto, das als nicht vorhanden galt (FS-01), eine unvollständige Datensicherung mit 31 Stunden Wiederherstellungszeit (FS-02), ein Patchbericht ohne fünf Systeme (FS-03) und zwei zu Unrecht leere Zielobjektkategorien (FS-05). Die Geschäftsleitung hat in MB-01 den Korrektur- und Verbesserungsplan beauftragt (EV-08) und entschieden, die Praktik DEV auf die Formularlogik anzuwenden (EV-09).

Drei systemische Schwächen. SW-1: Inventare enthalten nur zentral verwaltete Objekte. SW-2: Status „erfüllt“ und „nicht anwendbar“ wurden auf Selbstauskunft der Teams übernommen, ohne Gegenprobe durch eine andere Rolle. Das berührt PERS.2.3.3, das eine Rollentrennung zwischen der Umsetzung von Sicherheitsanforderungen und ihrer Überprüfung verlangt. SW-3: Fristen entstehen ohne die Bereiche, die sie halten müssen. Nach Kapitel 6.1 ist zu prüfen, ob solche Schwächen grundlegende Anpassungen des ISMS erfordern. Für SW-2 hat der IZM das bejaht und das Verfahren der Statuserhebung geändert (KV-05).

VP-04 und VP-05 sind ohne eigenen KV-Eintrag geblieben: VP-04 geht in KV-03 und KV-05 auf, VP-05 wurde als Friständerung der bestehenden Maßnahme zu KONF.13.5.1 umgesetzt.

KV-02 zeigt, warum die Evaluation ein eigener Schritt ist. Die Maßnahme ist umgesetzt, die Lücke in der Sicherung geschlossen, und trotzdem ist das Ziel verfehlt. Die neue Ursache: Die Rücksicherung läuft über eine Verbindung mit zu geringer Bandbreite vom Sicherungsspeicher. Nach Kapitel 6 lösen solche Erkenntnisse einen Zyklus der Risikobetrachtung aus.

Offene Entscheidung OF-07: RR-05 ist nach den Akzeptanzkriterien hinnehmbar, Ziel Z-03 aus der Leitlinie ist aber verfehlt. Beides passt nicht zusammen. Die Geschäftsleitung muss entweder in eine schnellere Rücksicherung investieren oder Z-03 ändern. Die Frage hängt an OF-01, der Einstufung der Verfügbarkeit von GP-A, und steht deshalb auf der Tagesordnung der Managementbewertung MB-02 zu Beginn des zweiten Zyklus. Die Risikobetrachtung als Ganzes überprüft der IZM wie vorgesehen mindestens jährlich und bei wesentlichen Änderungen (Anhang 3, Kriterium 35).

Was sich hinter den Zahlen verbirgt. Die offenen MUSS-Anforderungen sind die fünf Verfahrensanforderungen der Praktik DEV für die Formularlogik (KV-10), PERF.5.1, weil das Verfahren zu neuen Bedrohungen noch fehlt, NOT.1.1 und GC.1.1 (siehe unten). Von den 39 Einträgen „nicht anwendbar“ aus Teil 3 sind vier geblieben: KONF.3.3, NOT.4.5 und für die Formularlogik DEV.3.4 (keine Passwortverarbeitung) und DEV.4.7 (kein Binärcode, die Skripte werden interpretiert). DEV.4.6 gilt laut Erläuterung bei interpretierten Sprachen analog für die Optionen des Interpreters und ist deshalb anwendbar, im Fall nicht erfüllt. Die übrigen 35 sind weggefallen, 3 durch das Audit und 32 durch die Entscheidung EV-09. Bei den KANN-Anforderungen sind die vier aus der Risikobehandlung gewählten umgesetzt (BER.4.1.2, DET.6.2.1, TEST.3.1.11, TEST.4.1.1); NOT.4.12 bleibt nicht erfüllt, weil die Kopie bei K05 nicht georedundant im Sinne der Erläuterung ist. Unter den 40 temporär nicht erfüllten SOLLTE-Anforderungen stehen weiter NOT.4.16.1 und NOT.4.1: Der IZM wertet sie erst nach einem zweiten vollständigen Halbjahrestest mit dem korrigierten Sicherungsjob als erfüllt; das verfehlte Zeitziel aus KV-02 ist davon getrennt als RR-05 erfasst. Dazu kommen GC.3.1.3 (Vereinbarung mit K11 fehlt), EIG-02 und 20 Anforderungen der Praktik DEV. Die beiden dauerhaften sind unverändert GEB.1.4 und TEST.3.1.5.

Ist der erste Zyklus abgeschlossen? Die Erläuterung zu GC.1.1 sagt: Die Anforderung „ist erst dann als erfüllt anzusehen, wenn die komplette Vorgehensweise mindestens einmal vollständig durchlaufen wurde“. Der IZM hat alle fünf Prozessschritte für GP-A durchlaufen. Die Erläuterung verlangt außerdem, dass die Anforderungen an das ISMS „standardkonform umgesetzt“ sind. Solange sieben weitere MUSS-Anforderungen offen sind, ist das nicht belegt. Der IZM führt GC.1.1 deshalb in der vorsichtigen Lesart weiter als nicht erfüllt und prüft den Status neu, sobald KV-10, PERF.5.1 und NOT.1.1 erledigt sind. Ob „vollständig“ zudem den ganzen Anwendungsbereich meint, also auch GP-B bis GP-D, lässt die Erläuterung offen. Der IZM hat das als Auslegungsfrage OF-08 vermerkt.

Ob der IZM eine Zertifizierung nach ISO 27001 auf Basis von Grundschutz++ anstrebt, ist nicht entschieden. Diese Fallakte ist kein Zertifizierungsnachweis. Was ein Audit im Verfahren verlangt, beschreibt die Seite Zertifizierung.

1. Erhebung und Planung
2. Anforderungsanalyse
3. Realisierung
4. Überwachung
5. Verbesserung (diese Seite)

Methodik: BSI-Standard 300-1, Anforderungen bewerten und Abweichungen dokumentieren, Risikoanalyse, Sicherheitskonzept.

Blackfort Technology unterstützt bei der Fortschreibung des Umsetzungsplans, der Validierung der Anforderungen und der Vorbereitung der nächsten Managementbewertung, siehe Beratung.

Rechtehinweis: Fundstellen aus BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 vom 20.10.2026, © Bundesamt für Sicherheit in der Informationstechnik 2026, Quelle: BSI-Seite zu Grundschutz++. Sie stehen nicht unter CC BY-SA 4.0; der Lizenzhinweis am Seitenende gilt nur für die Auszüge aus den Katalogdaten.