IT-Grundschutz-Software ablösen: Migrationspfad, Aufwand und Fallstricke

Wenn Sie Ihre IT-Grundschutz-Software wechseln, müssen Sie auch Begründungen und Beziehungen übertragen: Weshalb wurde ein Schutzbedarf festgelegt, welche Anforderungen gehören zu welchem Objekt und worauf beruht eine Bewertung? Der Aufwand hängt von Datenqualität, Beziehungen und Nachweisen ab. Die reine Anzahl der Datensätze reicht zur Planung nicht aus.

Ein mittelständischer Betrieb mit 200 sauber gepflegten Zielobjekten kann einen anderen Aufwand haben als eine Verwaltung mit ebenso vielen Objekten und mehreren historischen Katalogständen. Die folgenden Schritte bilden einen eigenen Migrationsvorschlag. Zeitangaben im Rechenbeispiel dienen der Planung und sind keine Zusage für ein bestimmtes Produkt.

Den fachlichen Bestand vor dem Export verstehen

Benennen Sie zuerst einen fachlichen Verantwortlichen und eine Person für die technische Übertragung. Die erste Rolle entscheidet über die Bedeutung von Daten und Bewertungen. Die zweite setzt Export, Umwandlung und Import um. Wo diese Zuständigkeiten fehlen, werden fachliche Unterschiede oft durch technische Standardwerte ersetzt.

Erfassen Sie pro Informationsverbund den gültigen Katalogstand, die Vorgehensweise und die noch offenen Bewertungen. Halten Sie fest, welcher Bestand als verbindlich gilt. Die Bestandteile sind im Grundschutz-Überblick erklärt. Zur Abgrenzung Ihrer Objekte und Abhängigkeiten können Sie die Strukturanalyse heranziehen.

Ein Übertragungsprotokoll anlegen

Eine Zuordnungstabelle beschreibt für jedes relevante Quellfeld das Zielfeld und eine gegebenenfalls nötige Umwandlung. Geben Sie auch an, wie mit leeren Werten umgegangen wird. Ein fehlender Status darf zum Beispiel nicht automatisch zu „umgesetzt“ werden.

Datenbereich	Zu erhaltende Bedeutung	Prüfung nach dem Import
Zielobjekt	Identität, Typ, Geltungsbereich	Quell-ID lässt sich genau einem Ziel zuordnen
Schutzbedarf	Bewertung je Schutzziel und Begründung	Keine Zusammenfassung zu einem pauschalen Gesamtwert
Beziehung	Abhängigkeit zwischen Prozess, Anwendung und System	Beide Endpunkte vorhanden und korrekt verbunden
Anforderung	Katalogversion und Bezug zum Zielobjekt	Version und Anwendungsentscheidung stimmen
Bewertung	Status, Prüfer, Datum, Erläuterung	Ungeprüft bleibt von erfüllt unterscheidbar
Nachweis	Inhalt, Version und Verknüpfung	Datei oder Referenz ist mit den vorgesehenen Rechten erreichbar
Maßnahme	Aufgabe, Zuständigkeit, Frist	Offene Arbeit erscheint weiterhin als offen

Notieren Sie zusätzlich, welche historischen Informationen nicht in das Zielmodell passen. Ein lesbares Archiv kann sinnvoll sein, wenn es die alte Bewertung samt Zeitpunkt erklärt. Im aktuellen Bestand muss erkennbar bleiben, wann ein Nachweis nur historisch ist.

Den Aufwand an einem Pilot messen

Wählen Sie einen repräsentativen Ausschnitt statt ausschließlich leicht übertragbarer Datensätze. Er sollte verschiedene Objekttypen, mehrere Beziehungen, eine Ausnahme und Anhänge enthalten. Protokollieren Sie die Zeit für Vorbereitung, Übertragung, manuelle Korrektur und fachliche Abnahme getrennt.

Ein fiktives Rechenbeispiel: Der Pilot umfasst 20 von insgesamt 200 Objekten. Das Team benötigt fünf Stunden, um die allgemeine Übertragungslogik einzurichten, und vier weitere Stunden für objektspezifische Prüfung und Korrektur. Sind die übrigen Objekte vergleichbar komplex, ergeben sich fünf Stunden Einrichtung plus 40 Stunden variable Arbeit. Prüfen Sie diese Annahme, bevor Sie mit der Schätzung planen. Hinzu kommen Gesamtprüfung, Übergang und ein Puffer für bislang unbekannte Fehler.

Diese Rechnung ist eine erste Schätzung. Teilen sich die übrigen Objekte in einfache und schwierige Gruppen, kalkulieren Sie sie separat. Viele Anhänge, unklare Eigentümer oder gemischte Katalogstände verändern den Aufwand. Nennen Sie deshalb in der Planung Ihre Annahmen und halten Sie fest, welche davon im Pilot bestätigt wurden.

Technische Übertragung und fachliche Aktualisierung trennen

Ändern Sie nicht stillschweigend gleichzeitig das Datenmodell, den Katalog und sämtliche Bewertungen. Sonst lässt sich bei Abweichungen kaum erkennen, ob sie aus der Übertragung oder aus einer fachlichen Neubewertung stammen. Übertragen Sie den Bestand zunächst mit dokumentierten Regeln. Aktualisieren Sie ihn anschließend und begründen Sie die fachlichen Änderungen.

Für den zweiten Schritt hilft der IT-Grundschutz-Check. Dort wird aus einer Interviewantwort ein belegbarer Status. Der BSI-Kurs zur Schutzbedarfsfeststellung erläutert zudem, warum Abhängigkeiten und begründete Einschätzungen für die Auswahl der Sicherheitsmaßnahmen wichtig sind.

Prüfen Sie eine Ablösung mit KaitoSec im Mittelstand anhand des Pilotbestands und des Übertragungsprotokolls. Lassen Sie offene Fragen zur Datenübernahme vor einer verbindlichen Terminplanung beantworten.

Den Übergang und einen Rückfall vorbereiten

Legen Sie einen Zeitpunkt fest, ab dem das Altsystem keine fachlichen Änderungen mehr annimmt. Dokumentieren Sie den letzten gültigen Export und sichern Sie den Ausgangsbestand. Änderungen während des Übergangs brauchen ein eigenes Protokoll mit einer eindeutigen Übertragungsentscheidung.

Definieren Sie vorab, welche Abweichung den Wechsel stoppt. Beispielsweise kann eine fehlende Beziehung bei einem kritischen Prozess ein Abbruchkriterium sein. Für einen kleinen Darstellungsfehler können Sie möglicherweise einen Nacharbeitstermin vereinbaren. Der Rückfallplan beschreibt, wer entscheidet, welcher Ausgangsstand wieder führend wird und wie inzwischen entstandene Arbeit erhalten bleibt.

Die Abnahme sollte zwei Unterschriften oder entsprechend nachvollziehbare Freigaben enthalten: fachlich für Bedeutung und Vollständigkeit, technisch für Zugriff, Sicherung und Betrieb. Bewahren Sie das Protokoll mit den Prüfergebnissen auf. Damit kann auch eine später hinzukommende Person verstehen, was übertragen, korrigiert oder bewusst archiviert wurde.

Häufige Fragen zur Migration

Wie lange dauert die Ablösung?

Eine seriöse Schätzung beginnt mit einem Pilot. Objektzahl, Datenqualität, Abhängigkeiten, Anhänge und verfügbare Fachverantwortliche bestimmen den Aufwand gemeinsam.

Müssen sämtliche historischen Daten ins neue System?

Nicht zwingend in die aktive Bearbeitung. Entscheidend sind begründete Aufbewahrung, Zugänglichkeit und die klare Trennung historischer von aktuellen Nachweisen.

Kann man den Katalog beim Import gleich aktualisieren?

Das ist möglich, erhöht aber die Prüfarbeit. Dokumentieren Sie Übertragungsregeln und fachliche Änderungen getrennt, damit Bewertungen nicht ungeprüft auf neue Anforderungen übergehen.

Wann ist die Migration fertig?

Wenn fachliche und technische Abnahme vorliegen, der führende Bestand feststeht und verbleibende Abweichungen mit Verantwortung und Termin dokumentiert sind.

Stand: 5. September 2026. Übertragungsprotokoll und Aufwandsmodell sind eigene Arbeitsvorlagen.