IT-Grundschutz-Tools im Vergleich

Warum diese Frage offen ist

Das BSI hat den Support für das eigene GSTOOL eingestellt und verweist seitdem auf alternative Werkzeuge, deren Anbieter einen Lizenzvertrag zum IT-Grundschutz-Kompendium schließen. Seitdem ist die Werkzeugwahl eine eigene Projektentscheidung: Open Source oder kommerziell, Eigenbetrieb oder betreut, nur Grundschutz oder ein System für mehrere Managementsysteme.

Dieser Leitfaden ordnet die vier Werkzeuge ein, die in deutschen Auswahlverfahren am häufigsten nebeneinander liegen.

Die Kandidaten

verinice: der Open-Source-Standard

verinice ist das deutsche ISMS-Werkzeug von SerNet, Open Source unter der AGPL und vom BSI für die IT-Grundschutz-Methodik lizenziert. Der klassische Java-Client wird durch verinice.veo abgelöst, vollständig webbasiert und als verinice.cloud oder verinice.onprem verfügbar, mit ISO 27001, IT-Grundschutz, Datenschutz, NIS2, TISAX und BCM.

Zwei Eigenschaften trägt nur verinice in dieser Reihe: Der Quellcode liegt öffentlich auf GitHub, was Beschaffungsregeln erfüllt, die prüfbare Software verlangen. Und der klassische Client läuft vollständig offline, was in eingestuften oder air-gapped Umgebungen zählt.

HiScout: Enterprise-GRC für große Behörden

HiScout ist eine deutsche Enterprise-GRC-Plattform aus Berlin, seit 2009 Tochter der HiSolutions AG. Die GRC Suite umfasst Grundschutz, Datenschutz, Informationssicherheit, BCM, Auditmanagement und Geheimschutz und ist in großen Behörden und bei KRITIS-Betreibern verbreitet. Die Auslegung: Organisationen mit Tausenden Assets und eigenem GRC-Team.

eramba: Open Source ohne Grundschutz

eramba ist eine internationale Open-Source-GRC-Plattform, die es seit 2007 gibt. Die Community-Edition ist kostenlos und ohne Nutzer- oder Datengrenzen, erweiterte Rollen und größere Automatisierung bleiben der Enterprise-Edition vorbehalten, die im Eigenbetrieb ab 2.500 Euro und gehostet ab 5.000 Euro im Jahr beginnt. BSI IT-Grundschutz und deutschsprachige Beratung fehlen: Wer Grundschutz will, modelliert das Kompendium selbst.

KaitoSec: Grundschutz auf einem Datenmodell mit BCMS, DSMS und AIMS

KaitoSec führt 110+ Bausteine des Kompendiums vorgeladen, die BSI-200-Reihe von 200-1 bis 200-4 und das Sicherheitskonzept in einem Werkzeug. Der Unterschied liegt im Schnitt: Grundschutz, ISO 27001 und NIS2 liegen auf demselben Datenmodell wie das BCMS, das Datenschutz- und das KI-Managementsystem. Eine Anforderung wird einmal umgesetzt und überall nachgewiesen, statt in vier Systemen viermal gepflegt. Die maschinenlesbaren Bausteine sind auf den Übergang zu Grundschutz++ vorbereitet.

Ausgelegt ist das auf schlanke Sicherheitsorganisationen: eine ISB, eine Vertretung und die Menschen, die die Prozesse verantworten, statt einer eigenen GRC-Abteilung.

Kostenlos und Open Source: was das im Betrieb heißt

Kostenlos heißt bei allen Werkzeugen dasselbe: Die Lizenzkosten entfallen, die Arbeit bleibt. Modellierung des Informationsverbunds, Pflege des Kompendiums über Editionswechsel, Betrieb, Updates und Berechtigungen sind Eigenleistung. Für ein Team mit technischer Tiefe und knappem Budget ist die eramba-Community-Edition ein Preisniveau, das kein anderer Anbieter dieser Reihe öffentlich unterbietet. Für eine ISB ohne eigenes Betriebsteam ist derselbe Betrieb der teuerste Teil der Rechnung.

Quellcode-Transparenz und Offline-Betrieb sind eigene Anforderungen, keine Nebeneffekte: Beides bietet in dieser Reihe nur verinice, KaitoSec bietet beides nicht.

Fünf Auswahlkriterien

1. Zertifizierungsziel und Qualifikationsstufe. Basis-, Standard- oder Kern-Absicherung, und soll am Ende die ISO-27001-Zertifizierung auf der Basis von IT-Grundschutz stehen? Das Werkzeug muss die 200-Reihe methodisch tragen, nicht nur die Bausteine listen.
2. Wer pflegt das Kompendium ein. Jede Edition ändert Bausteine und Anforderungen. Entweder liefert der Anbieter die Aktualisierung, oder das eigene Team modelliert nach.
3. Ein System oder vier. Wo ISMS, BCMS, Datenschutz und KI-Governance getrennte Werkzeuge sind, wird dieselbe Maßnahme mehrfach gepflegt. Ein gemeinsames Datenmodell macht aus vier Pflegeaufwänden einen.
4. Beschaffung und Betriebsmodell. Quellcode-Auflagen, Offline-Zwang, Cloud-Erlaubnis und die BSI-Lizenzliste entscheiden früh, welche Kandidaten überhaupt zulässig sind.
5. Teamgröße. Enterprise-Werkzeuge rechnen mit einer GRC-Abteilung. Wo eine ISB das Thema neben anderen Rollen trägt, muss das Werkzeug die Methodik führen, nicht nur abbilden.

Die direkten Vergleiche

Für die Entscheidung im Detail stehen auf dieser Website geprüfte Einzelvergleiche: KaitoSec vs. verinice, KaitoSec vs. HiScout und KaitoSec vs. eramba, jeweils mit Funktionsmatrix und den Punkten, an denen das jeweils andere Werkzeug vorn liegt.