GSTOOL-Nachfolge 2026: Grundschutz-Software auswählen und den Wechsel vorbereiten

Mit einer GSTOOL-Nachfolge müssen Sie Zielobjekte zuordnen, Schutzbedarf begründen, Anforderungen bewerten und Nachweise wiederfinden können. Für die Auswahl zählt deshalb, ob sich ein eigener Informationsverbund vollständig bearbeiten und wieder exportieren lässt. Eine überzeugende Demonstration allein beantwortet diese Frage noch nicht.

Wer 2026 einen Altbestand übernimmt, sollte zwei Aufgaben getrennt planen: die Übertragung vorhandener Daten und die fachliche Aktualisierung des Sicherheitskonzepts. Ein technisch korrekter Import kann veraltete Zuordnungen enthalten. Der Auswahlplan ist ein Arbeitsvorschlag für Behörden und mittelständische Unternehmen.

Den Auftrag vor der Produktsuche festlegen

Schreiben Sie auf einer Seite zusammen, weshalb der Wechsel nötig ist. Fehlen Änderungsnachweise? Können Fachverantwortliche ihre Bewertungen nicht selbst pflegen? Kostet jeder Bericht mehrere Tage? Formulieren Sie daraus prüfbare Ziele. „Der Informationssicherheitsbeauftragte kann jede Bewertung ihrem Zielobjekt, Verantwortlichen und Nachweis zuordnen“ ist genauer als „bessere Übersicht“.

Ergänzen Sie den Geltungsbereich: Welche Standorte, Prozesse und Informationsbestände gehören hinein? Welche Daten sind nur Archivmaterial? Wie viele Personen bearbeiten Inhalte, wie viele lesen ausschließlich? Wählen Sie die Software passend zu Ihrer Methodik und zum benötigten Betriebsmodell. Die fachlichen Grundlagen finden Sie im Überblick zum BSI IT-Grundschutz.

Eine Bewertungsmatrix mit Ausschlusskriterien verwenden

Bewerten Sie Angebote erst, nachdem unverzichtbare Voraussetzungen erfüllt sind. Ein fehlender vollständiger Export lässt sich nicht durch eine hübsche Berichtsvorlage ausgleichen. Die folgende Matrix enthält eigene Prüfempfehlungen, keine offizielle Produktzertifizierung.

Prüffeld	Konkreter Test	Abnahmekriterium
Datenhoheit	Einen Testverbund exportieren und unabhängig öffnen	Objekte, Beziehungen, Bewertungen und Nachweisreferenzen bleiben auswertbar
Methodik	Ein Objekt vom Prozess bis zur Anforderung verfolgen	Schutzbedarf und Modellierung sind nachvollziehbar
Katalogpflege	Einen Versionswechsel mit geänderten Anforderungen simulieren	Änderungen und offene Neubewertungen werden erkennbar
Zusammenarbeit	Eine Bewertung bearbeiten, prüfen und freigeben	Bearbeiter, Entscheidung und Zeitpunkt bleiben zugeordnet
Berechtigungen	Mit einer eingeschränkten Rolle anmelden	Vertrauliche Inhalte und Schreibrechte sind passend begrenzt
Betrieb	Sicherung und Wiederherstellung eines Testbestands nachweisen	Verantwortung und Wiederherstellungsablauf sind geklärt
Kosten	Drei Jahre einschließlich Migration und Ausstieg kalkulieren	Einmalige und laufende Leistungen sind getrennt ausgewiesen

Gewichten Sie danach die verbleibenden Kriterien. Für eine Verwaltung mit mehreren getrennten Informationsverbünden kann die Rechtevergabe besonders wichtig sein. Ein kleiner Betrieb mit einer verantwortlichen Person braucht möglicherweise zuerst eine zuverlässige Wiedervorlage. Legen Sie die Gewichtung im Team anhand dieser Bedürfnisse fest.

Den Test mit eigenen Daten durchführen

Wählen Sie einen kleinen, schwierigen Ausschnitt: einen Prozess mit hohem Verfügbarkeitsbedarf, eine gemeinsam genutzte Anwendung und eine offene Maßnahme mit Anhang. Ergänzen Sie eine nicht anwendbare Anforderung samt Begründung. Damit prüfen Sie Beziehungen und Ausnahmen, die in vorbereiteten Produktvorführungen leicht fehlen.

Ein mögliches Beispiel ist die Bearbeitung von Zahlungsaufträgen mit Anwendung, Identitätsdienst und Kommunikationsverbindung. Legen Sie vorab fest, welche Datensätze und Verknüpfungen am Ende vorhanden sein müssen. Die Strukturanalyse hilft, diesen Ausschnitt verständlich abzugrenzen. Nutzen Sie bereinigte Testdaten, wenn echte Sicherheitskonzepte für die Auswahlphase nicht erforderlich sind.

Lassen Sie Fachbereich und IT dieselbe Aufgabe durchführen. Ein Tool kann für Administratoren verständlich sein und bei gelegentlichen Bearbeitern trotzdem scheitern. Notieren Sie deshalb auch, wo Rückfragen entstehen und welche Arbeit außerhalb des Systems weitergeführt werden müsste.

Bestandsdaten vor der Migration sortieren

Teilen Sie den Bestand in weiterführen, fachlich prüfen und archivieren. Führen Sie aktuelle Objekte und belegte Bewertungen weiter. Prüfen Sie unklare Beziehungen, veraltete Katalogreferenzen und Maßnahmen ohne Verantwortliche. Archivmaterial bleibt mit seinem historischen Kontext zugänglich, wird aber nicht als aktueller Umsetzungsnachweis behandelt.

Dokumentieren Sie jede Übersetzungsregel zwischen Quell- und Zielfeld. Der Status „bearbeitet“ kann im Altsystem etwas anderes bedeuten als „umgesetzt“. Ohne diese Klärung wird aus einer offenen Prüfung beim Import versehentlich eine abgeschlossene Maßnahme. Wie Anforderungen und Zielobjekte zusammengehören, lesen Sie in der Grundschutz-Modellierung.

Prüfen Sie KaitoSec für den Mittelstand anhand Ihres eigenen Testfalls. Fordern Sie für benötigte Funktionen einen konkreten Nachweis im vereinbarten Umfang an. Die Auswahlmatrix lässt sich auch für ein erstes Gespräch verwenden.

Den Übergang mit klarer Abnahme abschließen

Planen Sie einen Probeimport und einen abschließenden Übertragungszeitpunkt. Sammeln und korrigieren Sie beim Probeimport die gefundenen Fehler. Vor der endgültigen Übernahme legen Sie fest, wo neue Änderungen eingetragen werden und wie zwischenzeitliche Bearbeitungen nachgezogen werden. Eine unbefristete doppelte Pflege macht den führenden Datenstand unklar.

Zur Abnahme gehören Mengenabgleich, Prüfung aller Pflichtbeziehungen und eine inhaltliche Stichprobe durch die Verantwortlichen. Ein Beispielkriterium lautet: Jede als umgesetzt übernommene Anforderung besitzt dieselbe Begründung und denselben erreichbaren Nachweis wie im freigegebenen Ausgangsbestand. Benennen Sie für offene Abweichungen einen Verantwortlichen und einen Termin. Erst dann bestätigen Informationssicherheitsbeauftragter und Betrieb den Wechsel.

Häufige Fragen zur GSTOOL-Nachfolge

Gibt es einen einzigen verpflichtenden Nachfolger?

Dieser Auswahlplan setzt keinen bestimmten Nachfolger voraus. Welche Lösung zulässig ist, ergibt sich aus Ihren fachlichen, betrieblichen und gegebenenfalls behördlichen Vorgaben. Prüfen Sie diese vor der Bewertung.

Kann ein alter Umsetzungsstatus unverändert übernommen werden?

Nur wenn Bedeutung, Bezugsobjekt und Anforderung weiterhin übereinstimmen. Bei geänderten Anforderungen braucht die Bewertung eine fachliche Prüfung.

Reicht die Anzahl importierter Objekte als Erfolgskriterium?

Nein. Zusätzlich müssen Beziehungen, Begründungen, Anhänge, Verantwortlichkeiten und die Nutzbarkeit von Nachweisen stimmen.

Was ist der erste praktische Schritt?

Benennen Sie die fachliche Verantwortung und erstellen Sie aus einem eigenen Informationsverbund einen kleinen Abnahmedatensatz. Er macht Angebote und später den Migrationserfolg vergleichbar.

Methodische Grundlage: BSI: Schutzbedarfsfeststellung. Auswahlmatrix, Testfälle und Abnahmekriterien sind eigene Praxisvorschläge. Stand: 5. September 2026.