Die Schutzbedarfsfeststellung beantwortet für jedes Objekt eines Informationsverbunds eine Frage: Wie schwer wäre der Schaden, wenn hier die Vertraulichkeit, die Integrität oder die Verfügbarkeit verloren ginge? Das Ergebnis ist eine Einstufung in eine von drei Kategorien und die Grundlage dafür, wie viel Aufwand ein Objekt rechtfertigt. Der Begriff stammt aus dem IT-Grundschutz des BSI, nicht aus ISO 27001.
Der Ablauf
Zuerst wird der Informationsverbund abgegrenzt und strukturiert: Geschäftsprozesse, Anwendungen, IT-Systeme, Netze, Räume, Personal. Dann wird der Schutzbedarf zunächst für die Geschäftsprozesse und Informationen bestimmt — dort entsteht der Schaden. Von da aus vererbt er sich nach unten auf Anwendungen, Systeme und Räume.
Die Einstufung erfolgt über Schadensszenarien: Verstöße gegen Gesetze oder Verträge, Beeinträchtigung des Rechts auf informationelle Selbstbestimmung, Gefahr für Leib und Leben, Beeinträchtigung der Aufgabenerfüllung, negative Innen- oder Außenwirkung und finanzielle Auswirkungen. Für jedes Szenario wird beschrieben, ab welcher Schwere „hoch“ und ab welcher „sehr hoch“ gilt. Diese Schwellen sind organisationsspezifisch und müssen vor der Einstufung feststehen — dieselbe Logik wie bei den Kriterien der Risikobewertung.
Vererbung ist die eigentliche Arbeit
Drei Regeln steuern, wie sich der Bedarf nach unten überträgt.
Maximumprinzip. Ein Server erbt den höchsten Schutzbedarf aller Anwendungen, die auf ihm laufen. Eine einzige kritische Fachanwendung hebt das gesamte System an.
Kumulationseffekt. Laufen viele Anwendungen mit normalem Bedarf auf einem System, kann der Gesamtschaden bei Ausfall trotzdem hoch sein. Die Summe wird bedeutender als jeder Einzelfall.
Verteilungseffekt. Wird eine Anwendung redundant auf mehrere Systeme verteilt, kann der Bedarf des einzelnen Systems niedriger liegen als der der Anwendung. Der Effekt gilt nur, wenn die Redundanz tatsächlich wirksam ist — ein zweiter Server im selben Raum an derselben Stromversorgung erfüllt die Bedingung nicht.
Verhältnis zu ISO 27001
Beide Wege führen zu Maßnahmen, kommen aber aus unterschiedlichen Richtungen. Der IT-Grundschutz stuft Objekte ein und leitet daraus vorkonfigurierte Bausteine ab. ISO 27001 verlangt eine Risikobeurteilung mit Bedrohungen, Auswirkungen und Wahrscheinlichkeiten und lässt die Methode offen.
Die Kombination ist verbreitet und zulässig: Die Schutzbedarfsfeststellung dient als Vorstufe, die Risikobeurteilung setzt darauf auf. Wichtig ist, dass die Verbindung erklärbar bleibt. Ein Auditor fragt, wie aus einer hohen Einstufung die konkrete Maßnahme und das dokumentierte Restrisiko wurden. Wer nur die Einstufung vorlegt, hat die Anforderung der Norm nicht erfüllt — die Kategorie ersetzt die Risikobeurteilung nicht.
Woran es scheitert
Alles wird „hoch“. Der häufigste Ausgang. Niemand möchte im Nachhinein derjenige sein, der ein System als unkritisch eingestuft hat. Eine Einstufung, in der nahezu alles hoch ist, steuert nichts mehr und erzeugt nur Aufwand.
Verfügbarkeit wird am System bestimmt. Gefragt ist, wie lange der Geschäftsprozess ohne die Information auskommt, nicht wie lange die Hardware ausfallen darf. Diese Zeitangabe gehört zur Business Impact Analyse und sollte mit ihr abgeglichen sein.
Papier und Wissen fehlen. Der Verbund umfasst nicht nur IT. Ausgedruckte Prüfprotokolle, Musterteile und Wissen einzelner Personen tragen ebenso Schutzbedarf und tauchen in kaum einer Aufstellung auf.