IT-Grundschutz-Profile finden und weiterverwenden

Das BSI beschreibt Profile auf seiner Themenseite so: „IT-Grundschutz-Profile sind Muster für Sicherheitskonzepte, die anhand eines Anwendungsbeispiels die IT-Grundschutz Vorgehensweise darstellen.“ Ein Profil dokumentiert laut derselben Seite die Schritte eines Sicherheitsprozesses für einen definierten Anwendungsbereich: Festlegung des Anwendungsbereichs, eine verallgemeinerte Strukturanalyse, Schutzbedarfsfeststellung und Modellierung, Auswahl und Anpassung der Bausteine sowie spezifische Anforderungen und Maßnahmen. Wer ähnliche Rahmenbedingungen hat, überträgt diese Arbeit auf die eigene Institution, statt sie neu zu leisten.

Geschrieben werden Profile von Branchenverbänden, Arbeitskreisen, Behörden, dem BSI selbst und Einzelpersonen in Abschlussarbeiten. Den Aufbau beschreibt das BSI in der Strukturbeschreibung „IT-Grundschutz-Profile“, Version 1.0 vom 28.09.2018: formale Aspekte, Management Summary, Geltungsbereich, Abgrenzung des Informationsverbunds, Referenzarchitektur, zu erfüllende Anforderungen und umzusetzende Maßnahmen, Restrisikobetrachtung, Anwendungshinweise, unterstützende Informationen und Anhang (Strukturbeschreibung Kap. 2). Wer zwei Profile vergleicht, findet die Angaben deshalb meist an derselben Stelle.

Methodisch stehen alle Profile der Tabelle auf dem klassischen IT-Grundschutz: Sie modellieren mit Bausteinen einer Edition des IT-Grundschutz-Kompendiums, die genannten Editionen reichen von 2019 bis 2023. Ein Profil, das auf Grundschutz++ aufbaut, haben wir in den ausgewerteten Quellen (Stand 2. November 2026) nicht gefunden.

Die Tabelle enthält 23 Profile mit Dokument von der Profilliste des BSI, einen Listeneintrag ohne Dokument, das öffentliche Hinweisblatt zum Profil i-Kfz, vier KRITIS-IT-Grundschutz-Profile, die KRITIS-Schablone und drei Abschlussarbeiten, zusammen 33 Zeilen. Englische Fassungen und Anlagen haben keine eigene Zeile. Jeder Titel führt auf die Download-Seite beim BSI.

Version und Stand stammen aus der Versions- oder Änderungshistorie des Dokuments, ersatzweise aus den Formalien. Daneben steht das Datum der BSI-Download-Seite. Beide Daten weichen teils um Monate ab: Das Flughafenprofil trägt Version 1.0 vom 12.11.2024, die BSI-Seite das Datum 19.02.2025; die Masterarbeit zu Versicherungsunternehmen trägt den 09.12.2021, die BSI-Seite den 15.01.2026. Die Kompendium-Edition steht so in der Tabelle, wie das Dokument sie nennt, meist in den Formalien, sonst auf der Titelseite, im Text oder im Literaturverzeichnis. Nennt es keine, steht dort „nicht angegeben“. Wo die zugehörige Profilseite die Edition aus der Bausteinliste erschlossen hat, steht das Ergebnis als „erschlossen“ dahinter; das ist eine Folgerung, keine Angabe des Dokuments.

Auf der Profilliste stehen Dokumente sehr unterschiedlicher Herkunft. Das BSI ist Herausgeber der beiden 5G-Profile und, gemeinsam mit Partnern, der Weltraumprofile; beim Chemie- und beim Flughafenprofil steht ein Copyright-Vermerk des BSI im Dokument. Andere Profile geben Verbände heraus (VDP, VHT, DHKT, Fachverband Leitstellen, UAV DACH, ZKI), eine Arbeitsgruppe der kommunalen Spitzenverbände, eine Bundesgesellschaft, ein Landesministerium oder Teilnehmende von Workshops mit dem BSI. Das Profil für die obersten Landesbehörden hat ein Einzelautor verfasst.

KRITIS-IT-Grundschutz-Profile sind eine eigene Reihe auf der KRITIS-Seite des BSI, alle vom BSI herausgegeben. Das BSI beschreibt sie als Dokumente, die „unter Berücksichtigung branchenspezifischer Besonderheiten und KRITIS-spezifischer Anforderungen den Stand der Technik für KRITIS in ihrem jeweiligen Geltungsbereich konkretisieren“. Die Vorgehensweise entspricht laut derselben Seite der Standard-Absicherung nach BSI-Standard 200-2 mit Ergänzungen, Grundlage ist das Kompendium 2022. Betreiber können ein passendes Profil verwenden, „müssen dieses jedoch noch an ihre jeweiligen spezifischen Gegebenheiten anpassen“. Seite und Profile begründen den Bedarf mit § 8a Abs. 1 BSIG; dieser Verweis bezieht sich auf das BSI-Gesetz in der alten Fassung.

Drei Dokumente liegen beim BSI im Bereich externer Abschlussarbeiten. Die Arbeit zu Versicherungsunternehmen sagt auf dem Titelblatt, das Profil sei „im Rahmen einer Masterarbeit erstellt“ worden; die Arbeit zu einem großen IT-Dienstleister führt das BSI als Masterarbeit, das Dokument selbst als Arbeitsentwurf mit dem Eintrag „Anerkennung durch BSI: in Diskussion“. Die dritte Arbeit erstellt ein Pilotprofil für die Wasserversorgung und Abwasserbeseitigung und erklärt die Methode dahinter.

BSI-Standard 300-1, Version 1.0, erwähnt IT-Grundschutz-Profile nicht; eine Volltextsuche nach „Profil“ ergibt im Standard keinen Treffer. Auch der Text von BSI-Standard 200-2 nennt sie nicht, Profile standen schon bisher neben den Standards. Für die Arbeit mit Grundschutz++ heißt das: Kein Kapitel von 300-1 sagt, wie ein Profil zu verwenden ist, und kein Profil ist Teil der Methodik.

Am nächsten liegt die Blaupause aus Kapitel 3.3: „Eine Blaupause ist ein vorgefertigter Katalog von Anforderungen.“ Blaupausen sind laut 300-1 auf Anwendungsszenarien zugeschnitten, treffen eine Vorauswahl von Anforderungen und geben Parameter vor; Auswahl, Version, Zuordnung und Anpassung sind nachvollziehbar zu dokumentieren. Das Wort Profil in der Stand-der-Technik-Bibliothek des BSI bezeichnet übrigens etwas anderes: das OSCAL-Dateiformat, mit dem dort Anforderungen aus Katalogen ausgewählt und angepasst werden. Mit IT-Grundschutz-Profilen hat es nichts zu tun.

Wer ein Profil nach Grundschutz++ überträgt, stößt zuerst auf die Kompendium-Edition. Der Mapping-Entwurf des BSI ordnet Anforderungen der Edition 2023 den Anforderungen des Anwenderkatalogs zu; er steht auf Status „draft“ (Stand 21.07.2026). Für 12 der 30 Profile mit Dokument nennt das Dokument die Edition 2023; die Bausteinliste des Chemieprofils entspricht trotz dieser Angabe dem Stand 2022. Bei den übrigen klären Sie zuerst, ob die modellierten Bausteine in der Edition 2023 noch unter derselben Kennung stehen.

Ein Beispiel: Das Profil für Reedereien im Schiffsbetrieb (Edition 2019) modelliert unter anderem „OPS.2.1 Outsourcing für Kunden“ und „SYS.2.2.2 Clients unter Windows 8.1“. Beide Bausteine sind laut Kompendium 2023 entfallen, OPS.2.1 wird dort durch „OPS.2.3 Nutzung von Outsourcing“ ersetzt (Kompendium 2023, Abschnitt „Neues im IT-Grundschutz-Kompendium“). Die Bausteine INF.3 und INF.4, die dieses Profil und das Profil für oberste Landesbehörden modellieren, stehen im Inhaltsverzeichnis der Edition 2023 nicht mehr; Verkabelung behandelt dort INF.12. Wer solche Kennungen ungeprüft in das Mapping gibt, findet keine Zuordnung und hält die Lücke womöglich für eine Lücke im Mapping.

Die Prüfliste ordnet die Arbeit in elf Punkte. Sie ersetzt keine Migration des ganzen ISMS; diese beschreibt die Seite Migration nach Grundschutz++, und wie Sie einzelne Zuordnungen fachlich prüfen, die Seite zum Mapping.

Für Profile auf der klassischen Methodik gibt es drei Hilfen. Die Strukturbeschreibung des BSI gibt Aufbau und Inhalte vor und erläutert jeden Abschnitt an einem Beispiel für eCommerce-Anbieter. Die Anleitungsseite des BSI nennt sie „zunächst als Community Draft“, das Dokument selbst führt Version 1.0 vom 28.09.2018 als finale Version. Laut derselben Seite hat es sich bewährt, „Branchenverbände und weitere übergeordnete Institutionen an dem Prozess zu beteiligen“; sie beschreibt außerdem ein Workshop-Konzept der Allianz für Cyber-Sicherheit und des IT-Grundschutz-Teams des BSI, mit dem Interessierte in drei Sitzungen ein Profil für ihre Branche erstellen. Mehrere Profile der Tabelle sind nach eigenen Angaben in Workshops entstanden, etwa Papierfabriken, Reedereien und Handwerkskammern.

Für KRITIS-Branchen gibt es die Schablone zur Erstellung von KRITIS-IT-Grundschutz-Profilen. Sie richtet sich an Betreiber, deren Verbände und das BSI, folgt der Standard-Absicherung nach BSI-Standard 200-2 mit KRITIS-spezifischen Ergänzungen und baut auf dem Kompendium 2022 auf. Als methodischen Hintergrund verlinkt das BSI die Masterarbeit von Sarah Fluchs (RWTH Aachen, 2017); laut BSI-Seite kann das darin entwickelte Pilotprofil „als Blaupause und Anleitung für die Erstellung von IT-Grundschutz-Profilen für weitere Branchen dienen“. Das Wort Blaupause ist dort umgangssprachlich gemeint, nicht im Sinn von 300-1, und die Arbeit stützt sich auf die Entwürfe der Standards von 2016 und 2017.

Alle drei Hilfen setzen BSI-Standard 200-2 und das Kompendium voraus. Eine Anleitung für Profile nach Grundschutz++ haben wir in den ausgewerteten Quellen nicht gefunden. Eine Branchenvorlage nach 300-1 bestünde im Kern aus Mustern für Geschäftsprozesse und Assets, begründeten Schutzbedarfen, der Zuordnung zu Zielobjektkategorien, ergänzenden Anforderungen und gesetzten Parametern. Das kommt der Blaupause aus Kapitel 3.3 nahe; ob das BSI solche Branchenvorlagen annimmt oder veröffentlicht, sagen die Quellen nicht.

Die Tabelle gibt den Stand der BSI-Seiten und der Dokumente am 2. November 2026 wieder. Profile, die das BSI nicht verlinkt, und Fassungen, die nur Mitgliedern eines Verbands oder einer Behörde zugänglich sind, fehlen; beim Profil i-Kfz haben wir nur das öffentliche Hinweisblatt gelesen. Mehrere Profile kündigen eine vertrauliche Fassung für einen engeren Kreis an.

Ob ein Profil für Ihre Institution rechtlich gefordert ist, ob es eine Pflicht nach dem BSI-Gesetz, einem Fachgesetz oder einer Aufsichtsvorgabe erfüllt und ob eine Behörde oder eine Prüfstelle es als Nachweis anerkennt, beantwortet diese Seite nicht. Rechtsverweise in älteren Profilen, etwa auf § 8a BSIG in der alten Fassung, geben den Stand ihrer Entstehung wieder. Profile haben unterschiedliche Rechteinhaber und Lizenzen, und die meisten schließen eine Haftung der Autorinnen und Autoren aus; wer Inhalte übernimmt, prüft die Bedingungen am Dokument.