Das IT-Grundschutz-Profil für Handwerkskammern

Das Profil geht von der Rolle der Kammern als Körperschaften des öffentlichen Rechts aus. Es nennt als hoheitliche Aufgaben das Führen der Lehrlings- und der Handwerksrolle, die Regelung der Berufsausbildung und das fachliche Prüfungswesen im Kammerbezirk (Kap. 1). Den Informationsverbund leitet es aus einem einzigen Beispielprozess ab, „Der (digitale) Weg zum Meister“ (Kap. 5). In der offenen Fassung betrachtet es „in erster Linie die hoheitlichen Aufgaben“ dieses Wegs mit den Prozessen Zulassung, Anmeldung und Prüfung.

Die Abbildung der Geschäftsprozesse in Kapitel 6 gliedert diese drei Prozesse in 18 Teilschritte, von der Prüfung der Zulassungsvoraussetzungen über Prüfungsgebühr, Prüfungsplanung und Erstellung von Prüfungsaufgaben bis zu Bewertung, Zeugnis, Statistik und Akteneinsicht. Darüber steht, gestrichelt abgesetzt, eine zweite Gruppe allgemeiner Kursprozesse: Akquise, Lehrlingsrolle, Lehrgangsplanung, Lehrgangsmanagement, Anmeldung der Teilnehmenden, Meister-BAföG, Lehrgangsdurchführung und Rechnungslegung.

Auf technischer Ebene gehören nach Kapitel 5 in der Regel der Web-Auftritt, die Datenbanken, E-Mail- und sonstige Kommunikationsserver, die Netzinfrastruktur und weitere für den Prozess wesentliche IT-Systeme dazu. Die Referenzarchitektur in Kapitel 6 zählt 8 Infrastrukturobjekte (vom Gebäude über Serverraum, Werkstätten und den Prüfungsraum für die theoretische Prüfung bis zur Videoüberwachung), 10 Netzobjekte (von Firewall und VoIP bis zur Provider-Standleitung) und 19 IT-Systeme (von Citrix-Anwendungen und Dokumentenmanagement-Server über Telefonanlage und Fax bis zu Cloud-Server und Web-Server).

Ausdrücklich nicht abgedeckt ist die Gesamtorganisation der Kammer. Bestandteile seien übertragbar: „Im Bedarfsfall sind hierfür jedoch zusätzliche Schutzmaßnahmen auszuwählen.“ (Kap. 3) Für Kammern, die Teile ihrer Technik von Dritten betreiben lassen, empfiehlt das Profil, es als Grundlage der Zusammenarbeit zu verwenden und seine Anforderungen in die Vertragsbedingungen aufzunehmen (Kap. 5).

Grundlage ist die modernisierte Methodik, nicht mehr die alten IT-Grundschutz-Kataloge. Das Profil verweist auf die BSI-Standards 200-2 und 200-3, verwendet Bausteine und Anforderungskennungen wie ISMS.1.A4 und enthält keine Maßnahmenkennungen nach dem Muster „M 2.1“. Eine Edition des Kompendiums nennt es nicht. Wir haben die Bausteinliste aus Kapitel 7 deshalb gegen das Inhaltsverzeichnis der Edition 2018 abgeglichen, der ersten Edition nach der Modernisierung (Stand Februar 2018, 80 Bausteine): Die Liste enthält 79 dieser 80 Bausteine mit ihren damaligen Titeln, etwa „Server unter Unix“ oder „Betriebs- und Steuerungstechnik“. Es fehlt nur DER.3.2, die IS-Revision für Bundesbehörden. Bausteine, die erst später erschienen sind, kommen nicht vor.

Daraus folgt der wichtigste Befund für die Praxis: Kapitel 7 ist keine Auswahl. Das Profil übernimmt das gesamte Kompendium 2018, ordnet die Bausteine keinem Objekt der Referenzarchitektur zu und schließt nichts begründet aus. In der Liste stehen deshalb auch Bausteine, die für eine Kammer nur unter Umständen passen, etwa iOS und Android nebeneinander, Clients unter Windows 8.1 und Unix, Outsourcing für Dienstleister, Informationssicherheit auf Auslandsreisen und fünf Bausteine der industriellen IT bis hin zu Speicherprogrammierbaren Steuerungen, Sensoren und Aktoren. Auf Anforderungsebene aufgeschlüsselt ist nur ISMS.1 Sicherheitsmanagement, und zwar vollständig mit A1 bis A17, einschließlich der beiden Anforderungen für erhöhten Schutzbedarf.

Schutzbedarf: Das Profil legt ein Niveau fest, das der Standard-Absicherung entspricht, und geht für die hoheitlichen Prozesse „grundsätzlich“ von normalem Schutzbedarf aus; eine individuelle Schutzbedarfsfeststellung wird „dringend empfohlen“ (Kap. 4, 9). Angaben zu Teilen mit erhöhtem Schutzbedarf sollen nur im vertraulichen Dokument stehen (Kap. 4). Als mögliche Schäden nennt es Verlust oder Diebstahl von Betriebs-, Lehrlings- und Prüfungsdaten, Reputationsverlust, Schadenersatzforderungen und Bußgelder nach DSGVO (Kap. 9). Die drei Schutzbedarfstabellen setzen tolerierbare Ausfallzeiten von 24 bis 72 Stunden für normal, einer bis 24 Stunden für hoch und unter einer Stunde für sehr hoch an (Tab. 1 bis 3).

Beim Übernehmen fallen sechs Stellen auf, an denen das Profil ungenau ist oder sich widerspricht: Kapitel 7 leitet die Liste mit dem Satz „Die folgenden obligatorischen Prozess-Bausteine sind anzuwenden.“ ein, listet aber auch alle System-Bausteine, und Kapitel 4 bezeichnet dieselben Anforderungen als „Empfehlungen“. Text und Abbildung ordnen die Prozesse unterschiedlich: Kapitel 1 und 9 zählen die Lehrlingsrolle zu den hoheitlichen Aufgaben, die Abbildung führt sie bei den allgemeinen Kursprozessen; die Handwerksrolle nennt Kapitel 9 an erster Stelle, in der Abbildung kommt sie nicht vor. Das Feld „Nicht berücksichtigte Objekte“ in Kapitel 5 nennt das, was betrachtet wird. Die Videoüberwachung steht in der Raumliste (R8), und die Management Summary spricht von „Standardsicherung“, gemeint ist die Standard-Absicherung.

Objekte ohne Baustein: Für mehrere Objekte der Referenzarchitektur gab es 2018 keinen passenden Baustein, darunter Telefonanlage, VoIP und Fax, Cloud-Server, Citrix und Desktop-Virtualisierung, Dokumentenmanagement und Videoüberwachung. Kapitel 8 nennt genau diesen Fall als Anlass für eine zusätzliche Analyse, das Profil führt sie für diese Objekte aber nicht durch. Die Tabelle weiter unten zeigt, was es dafür heute gibt.

Die Tabelle nimmt die Objekte der Referenzarchitektur, bei denen sich zwischen 2018 und heute etwas geändert hat oder für die das Profil keinen Baustein bereithielt. Gehen Sie sie mit Ihrer Strukturaufnahme durch: Gibt es das Objekt bei Ihnen? Wenn ja, zeigt die dritte Spalte den Baustein im Kompendium 2023 und die vierte, wo es in Grundschutz++ landet. Die vierte Spalte nennt Zielobjektkategorien nach BSI-Standard 300-1 Anhang 1 und einzelne Anforderungen aus dem Anwenderkatalog; die Zuordnung ist unser Vorschlag, soweit nicht der Mapping-Entwurf genannt ist.

Zwischen dem Kammerprofil und Grundschutz++ liegen zwei Schritte: das Kompendium von 2018, dessen Bausteinliste sich bis 2023 an elf Kennungen geändert hat, und der Wechsel der Methodik von BSI-Standard 200-2 auf 300-1. Eine Grundschutz++-Fassung des Profils haben wir am 02.11.2026 nicht gefunden. Der Übertrag geht deshalb über zwei Stufen: zuerst von der Edition 2018 auf die Edition 2023, weil nur für diese ein Mapping-Entwurf existiert, dann vom Kompendium 2023 nach Grundschutz++.

Der Prozessteil des Profils lässt sich gut weiterverwenden. Grundschutz++ stellt den Schutzbedarf für Geschäftsprozesse fest, für die Kammer also für die Teilschritte des Prüfungsprozesses, und kennt nur normal und hoch (300-1 Kap. 2.6). Für Behörden und Anstalten des öffentlichen Rechts nennt 300-1 die gesetzlichen Aufträge als Quelle für die Geschäftsprozesse (Kap. 2.5). Die 18 hoheitlichen Teilschritte des Profils sind eine brauchbare erste Prozessliste; jeder davon bekommt eine eigene Schutzbedarfsfeststellung. Die Stufen hoch und sehr hoch des Profils fallen in Grundschutz++ zusammen in die Kategorie hoch, und für diese Prozesse ist eine Risikobetrachtung erforderlich (Kap. 2.11). Die Ausfallzeiten aus den Tabellen 1 bis 3 können Sie als Begründung Ihrer Einstufung übernehmen.

Der Bausteinteil ist der schwächere. Vor dem Zählen haben wir jede Kennung aus Kapitel 7 gegen die Edition 2023 geprüft. 68 der 79 Bausteine gibt es dort unter derselben Kennung, teils mit neuem Titel und überarbeitetem Text. Elf Kennungen gibt es nicht mehr:

Welche Rechtsvorschriften die Aufgaben einer Handwerkskammer regeln und welche Anforderungen an Informationssicherheit sich daraus ergeben, legen wir nicht aus. Das gilt auch für die Frage, ob das BSI-Gesetz in seiner heutigen Fassung, Landesrecht oder Vorgaben einer Aufsicht für Ihre Kammer gelten. Das Profil selbst nennt als Rechtsbezug nur Bußgelder nach der DSGVO (Kap. 9); den Datenschutz behandeln wir hier nicht.

Das Profil sagt in Kapitel 4, die Standard-Absicherung sei zur ISO 27001 kompatibel. Ob und wie eine Kammer eine Zertifizierung anstrebt, entscheidet diese Seite nicht. Die Umsetzung des Profils ist weder ein Nachweis gegenüber einer Behörde noch eine Zertifizierung. Dass das BSI das Profil bereitstellt und an seiner Entstehung mitgewirkt hat, macht es nicht zu einer Vorgabe für Ihre Kammer.

Die vertrauliche Fassung des Profils und das Profil für Handwerksbetriebe haben wir nicht gesehen. Aussagen über deren Inhalt treffen wir nicht.