Schutzbedarfsfeststellung ohne Tabellenchaos: Vorgehen für 200 Zielobjekte

Bei der Schutzbedarfsfeststellung bewerten Sie die möglichen Schäden, wenn Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigt werden. Daraus leiten Sie Anforderungen an den Schutz von Prozessen, Informationen und Technik ab. Bei 200 Zielobjekten kommt es vor allem auf nachvollziehbare Abhängigkeiten und wiederverwendbare Bewertungsregeln an. Jede einzelne Maschine in einem eigenen Workshop zu besprechen, ist dafür selten sinnvoll.

Ein mittelständischer Betrieb mit 150 Beschäftigten und einer nebenberuflichen Sicherheitsrolle braucht einen Ablauf, den Fachbereiche mittragen können. Vereinbaren Sie dafür einen gemeinsamen Bewertungsmaßstab, bilden Sie fachliche Objektgruppen und prüfen Sie Ausnahmen gezielt. Die 200 Zielobjekte bilden ein Planungsbeispiel und keine methodische Grenze.

Schadensmaßstäbe vor der Einstufung vereinbaren

Die Kategorien normal, hoch und sehr hoch müssen in Ihrer Organisation eine verständliche Bedeutung erhalten. Legen Sie anhand konkreter Schadensszenarien fest, welche Auswirkungen noch begrenzt, erheblich oder existenzbedrohend wären. Berücksichtigen Sie dabei neben finanziellen Folgen auch Beeinträchtigungen von Aufgaben, Personen und rechtlichen Verpflichtungen.

Beginnen Sie mit dem Schadensereignis, bevor Sie passende finanzielle Grenzen festlegen: Unbefugte lesen Personalinformationen, Zahlungsdaten werden verändert oder eine zeitkritische Bearbeitung fällt aus. Quantitative Grenzen können die Einordnung ergänzen, sofern Geschäftsleitung und Fachbereiche sie nachvollziehen können. Das Vorgehen ist in der BSI-Lektion zur Schutzbedarfsfeststellung erläutert.

Halten Sie drei Beispielentscheidungen schriftlich fest. Sie dienen im späteren Workshop als gemeinsamer Maßstab. Wenn zwei Fachbereiche dasselbe Szenario unterschiedlich bewerten, klären Sie zuerst den Unterschied in den Folgen. Eine Abstimmung über die beliebteste Kategorie ersetzt diese Begründung nicht.

Bei Prozessen und Informationen beginnen

Die IT kann Abhängigkeiten beschreiben, kennt aber nicht allein die wirtschaftlichen oder fachlichen Folgen eines Ausfalls. Beginnen Sie daher bei den Verantwortlichen für die Geschäftsprozesse. Fragen Sie getrennt nach Offenlegung, Veränderung und Nichtverfügbarkeit. So entsteht keine pauschale Einstufung, die alle Schutzziele gleichsetzt.

Im fiktiven Beispiel hat ein öffentliches Informationsangebot normalen Vertraulichkeitsbedarf. Eine unbemerkte Veränderung seiner Inhalte kann dennoch erheblichen Schaden verursachen. Der Fachbereich kann den Integritätsbedarf deshalb höher einstufen. Wie Sie diese Unterschiede begründen, lesen Sie in der ausführlichen Schutzbedarfsfeststellung. Zum weiteren Vorgehen führt der Grundschutz-Rahmen.

200 Zielobjekte sinnvoll aufteilen

Erstellen Sie aus dem Inventar eine Arbeitsliste mit Objekttyp, Einsatzkontext und fachlicher Verantwortung. Ein mögliches Beispiel umfasst 120 Arbeitsplatzgeräte, 35 Server oder virtuelle Systeme, 20 Anwendungen, 15 Netzkomponenten und zehn Räume. Diese Zusammensetzung ist frei gewählt; Ihre tatsächliche Liste kann ganz anders aussehen.

Gruppieren Sie nur Objekte mit vergleichbaren Eigenschaften und vergleichbarem Einsatz. 80 ähnlich betriebene Arbeitsplatzgeräte können eine gemeinsame Bewertungsvorlage nutzen. Geräte für besonders vertrauliche Aufgaben benötigen gegebenenfalls eine eigene Gruppe. Dokumentieren Sie das Gruppierungskriterium und behalten Sie die Einzelmitglieder nachvollziehbar.

Planen Sie Fachgespräche für Prozesse und auffällige Gruppen. Die IT prüft anschließend die technischen Abhängigkeiten. Nutzen Sie die Strukturanalyse, damit gemeinsam genutzte Dienste nicht zwischen mehreren Einzelgesprächen verloren gehen.

Vererbung prüfen und Ausnahmen begründen

Leiten Sie den Schutzbedarf abhängiger Objekte aus den unterstützten Prozessen und Anwendungen ab. Berücksichtigen Sie dabei das Maximumprinzip sowie gegebenenfalls Kumulations- und Verteilungseffekte. Das beschreibt BSI-Standard 200-2, Kapitel 8.2. Eine automatische Übertragung braucht deshalb eine fachliche Plausibilitätsprüfung.

Ein eigenes Beispiel für Kumulation: Mehrere für sich begrenzt kritische Anwendungen fallen gleichzeitig aus, weil sie denselben Raum nutzen. Der gemeinsame Schaden kann höher sein als jeder Einzelschaden. Prüfen Sie bei Redundanz umgekehrt, ob die behauptete Verteilung wirklich unabhängig funktioniert. Zwei Systeme mit derselben Stromversorgung oder administrativen Fehlerquelle liefern dafür keinen ausreichenden Beleg.

Das BSI erläutert solche Raumabhängigkeiten in der Lerneinheit zur Schutzbedarfsfeststellung für Räume. Nennen Sie bei jeder abweichenden Einstufung die zugrunde liegende Annahme.

Eine Arbeitsvorlage für Entscheidungen verwenden

Feld	Eintrag im fiktiven Beispiel
Zielobjekt und Gruppe	APP-07, Zahlungsbearbeitung
Fachliche Verantwortung	Leitung Finanzbereich
Vertraulichkeit	Hoch; Offenlegung vertraulicher Zahlungsinformationen
Integrität	Hoch; manipulierte Aufträge können erhebliche Fehlzahlungen auslösen
Verfügbarkeit	Hoch; kritische Zahlungstermine müssen eingehalten werden
Abhängigkeiten	Identitätsdienst, Datenhaltung, Kommunikationsverbindung
Begründung und Annahmen	Bewertung anhand vereinbarter Schadensszenarien und des betrachteten Zahlungslaufs
Freigabe und Wiedervorlage	Freigebende Rolle, Datum und nächster Prüfanlass

Prüfen Sie die Kategorien anhand Ihres Betriebs, bevor Sie die Vorlage übernehmen. Wenn Zuständigkeiten und Änderungen bei vielen Objekten schwer zu verfolgen sind, prüfen Sie KaitoSec für den Mittelstand anhand einer eigenen Objektgruppe und ihrer Freigabewege.

Freigabe und spätere Änderungen einplanen

Lassen Sie den Fachbereich die Schadensannahmen bestätigen und die IT die Abhängigkeiten prüfen. Offene Annahmen bleiben sichtbar, statt einen scheinbar endgültigen Wert zu erhalten. Prüfen Sie die betroffenen Beziehungen erneut, wenn eine Anwendung oder ein Standort hinzukommt oder sich die Kritikalität eines Prozesses ändert.

Schließen Sie die Runde mit einer Liste fehlender Informationen und der daraus folgenden Arbeit ab. Halten Sie insbesondere fest, welche kritischen Abhängigkeiten noch ungeklärt sind und wer sie untersucht.

Häufige Fragen

Ist Schutzbedarf dasselbe wie Risiko?

Nein. Schutzbedarf betrachtet mögliche Schäden bei beeinträchtigten Schutzzielen. Eine Risikobewertung bezieht zusätzlich die betrachteten Gefährdungen und deren Eintritt ein.

Darf die IT alle Kategorien allein vergeben?

Sie kann technische Abhängigkeiten bewerten. Die Folgen für Geschäftsprozesse sollten die dafür verantwortlichen Fachbereiche begründen und bestätigen.

Reicht eine Kategorie für das ganze Objekt?

Bewerten Sie Vertraulichkeit, Integrität und Verfügbarkeit getrennt. Die möglichen Schäden unterscheiden sich je Schutzziel.

Müssen alle 200 Objekte einzeln besprochen werden?

Eine begründete Gruppierung reduziert Wiederholungen. Unterschiedliche Einsatzzwecke und kritische Ausnahmen benötigen weiterhin eine eigene Prüfung.

Stand: 5. September 2026. Arbeitsablauf, Größenbeispiel und Vorlage sind eigene Praxisvorschläge.