BSI Standard · Deutschland
BSI IT-Grundschutz: Der deutsche Sicherheitsstandard
Das IT-Grundschutz-Kompendium des BSI ist das umfassendste Regelwerk für Informationssicherheit im deutschen Raum. Mit 111 Bausteinen (Edition 2023), drei Absicherungsstufen und einer anerkannten Zertifizierung bildet es das Rückgrat der Informationssicherheit in Behörden, KRITIS-Unternehmen und zunehmend auch im Mittelstand.
- 111
- Bausteine
- 3
- Absicherungsstufen
- §31
- BSIG-Pflicht
- BSI
- Herausgeber
Grundlagen
Was ist BSI IT-Grundschutz?
BSI IT-Grundschutz ist ein vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickeltes Rahmenwerk für Informationssicherheit. Es wurde Anfang der 1990er Jahre eingeführt und seither kontinuierlich weiterentwickelt. Das Rahmenwerk kombiniert ein methodisches Vorgehensmodell (den "Weg zur Informationssicherheit") mit einem umfangreichen Katalog konkreter Sicherheitsmaßnahmen - dem IT-Grundschutz-Kompendium.
Im Gegensatz zu ISO 27001, das primär ein Management-Framework definiert, liefert IT-Grundschutz auch detaillierte, praxisorientierte Handlungsempfehlungen. Für jede Systemkomponente, jeden Prozess und jede Infrastrukturkomponente gibt es einen spezifischen Baustein mit konkreten Anforderungen und Umsetzungshinweisen - von der E-Mail-Sicherheit über die Absicherung von Windows-Servern bis hin zur physischen Sicherheit von Serverräumen.
IT-Grundschutz ist gesetzlich verankert: §31 BSIG n.F. verpflichtet KRITIS-Betreiber zur Umsetzung "des Stands der Technik entsprechender technischer und organisatorischer Maßnahmen" - und das BSI erkennt IT-Grundschutz ausdrücklich als geeigneten Nachweis dafür an. Auch für Bundesbehörden ist IT-Grundschutz über die BSI-Grundschutz-Mindestanforderungen verbindlich.
Kernkomponenten des IT-Grundschutzes
IT-Grundschutz-Kompendium
111 Bausteine (Edition 2023) mit Anforderungen und Umsetzungshinweisen, in zehn Schichten gegliedert. Jährlich aktualisiert.
Vorgehensmodell
Strukturierter Prozess von der Sicherheitskonzeption über Modellierung und IT-Grundschutz-Check bis zur Zertifizierung.
Prüfschema & Zertifizierung
BSI-zertifizierte Auditoren prüfen die Umsetzung; bei Erfolg ISO-27001-Zertifikat auf Basis IT-Grundschutz.
Hilfsmittel & Tools
z.B. verinice (Open-Source, SerNet GmbH), BSI-Leitfäden, Musterrichtlinien, Checklisten - kostenfrei verfügbar.
Herausgeber & Pflege
Bundesamt für Sicherheit in der Informationstechnik, Bonn. Regelmäßige Updates, transparente Änderungshistorie.
Aufbau
IT-Grundschutz-Kompendium: Die 10 Schichten
Das IT-Grundschutz-Kompendium ist in zehn Schichten gegliedert, die zusammen alle relevanten Aspekte der Informationssicherheit einer Organisation abdecken - von ISMS-Prozessen bis zur Gebäudesicherheit.
Sicherheitsmanagement
Übergreifende ISMS-Prozesse: Sicherheitspolitik, Organisation, Konzepte, Revision.
Organisation und Personal
Aufbauorganisation, Personal, Datenschutz, Identitäts- und Berechtigungsmanagement.
Konzepte und Vorgehensweisen
Kryptokonzept, Datenschutz, Datensicherung, Software-Entwicklung, Outsourcing.
Betrieb
Ordnungsgemäßer IT-Betrieb, Patch-Management, Schutz vor Schadsoftware, Protokollierung.
Detektion und Reaktion
Detektion von sicherheitsrelevanten Ereignissen, Sicherheitsvorfälle, Forensik, Notfallmanagement.
Anwendungen
E-Mail, Webanwendungen, Bürokommunikation, ERP-Systeme, Datenbanken, Identitätsmanagement.
IT-Systeme
Server unter Linux/Windows, Desktop-Systeme, mobile Endgeräte, IoT, Drucker, Speichersysteme.
Industrielle IT
ICS/SCADA-Systeme, OT-Sicherheit, Prozessleitsysteme, industrielle Netzwerke.
Netze und Kommunikation
Netzwerkarchitektur, VPN, WLAN, VoIP, Netzmanagement, Firewalls, DNS.
Infrastruktur
Gebäudesicherheit, Rechenzentren, Serverräume, häusliche Arbeitsplätze, mobile Arbeitsplätze.
IT-Grundschutz als Prüfungsthema im T.I.S.P. Zertifikat
BSI IT-Grundschutz ist eines von 20 Modulen des T.I.S.P. Zertifikats (TeleTrusT Information Security Professional) - der wichtigsten personengebundenen Qualifikation für IT-Sicherheitsexperten im deutschsprachigen Raum. Ideal für ISBs und Berater, die ihr IT-Grundschutz-Wissen zertifiziert nachweisen möchten.
Vorgehensmodell
Die 3 Absicherungsstufen des IT-Grundschutzes
Seit der Modernisierung des IT-Grundschutzes 2017 gibt es drei Absicherungsstufen, die unterschiedliche Einstiegspunkte und Schutzniveaus bieten.
Schneller Einstieg
Basis-Absicherung
Die Basis-Absicherung ist der Einstieg in den IT-Grundschutz. Sie enthält die wichtigsten Sicherheitsanforderungen - die "muss man einfach haben"-Maßnahmen. Geeignet für Institutionen, die erstmals systematisch IT-Sicherheit angehen, oder als Sofortmaßnahme bei erkannten Defiziten.
- Keine vollständige Schutzbedarfsfeststellung notwendig
- Fokus auf die dringlichsten Basisanforderungen
- Schnell umsetzbar - typisch 3-6 Monate
- Kein BSI-Zertifikat auf dieser Stufe möglich
- Guter Einstieg für KMU ohne dediziertes Sicherheitsteam
Vollständiger Grundschutz
Standard-Absicherung
Die Standard-Absicherung ist der vollständige IT-Grundschutz-Ansatz. Sie umfasst das gesamte Vorgehensmodell mit Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check und ggf. Risikoanalyse. Sie ist Grundlage für das BSI-Grundschutz-Zertifikat.
- Vollständige Strukturanalyse des Informationsverbunds
- Schutzbedarfsfeststellung für alle Zielobjekte
- Modellierung mit IT-Grundschutz-Bausteinen
- IT-Grundschutz-Check (Interview-basierter Soll-Ist-Vergleich)
- Grundlage für ISO-27001-Zertifikat auf Basis IT-Grundschutz
Kritische Assets schützen
Kern-Absicherung
Die Kern-Absicherung fokussiert auf die "Kronjuwelen" der Organisation - die kritischsten Informationswerte mit dem höchsten Schutzbedarf. Geeignet für Institutionen mit sehr begrenzten Ressourcen, die priorisiert vorgehen müssen, oder als ergänzender Ansatz für besonders schützenswerte Bereiche.
- Identifikation und Fokus auf wenige kritische Assets
- Deutlich tieferes Schutzniveau für diese Assets
- Kein vollständiger Informationsverbund notwendig
- Kein BSI-Grundschutz-Zertifikat auf dieser Stufe möglich
- Ergänzend zur Standard-Absicherung für Hochrisikoassets
Vergleich
IT-Grundschutz vs. ISO 27001: Unterschiede und Beziehung
Beide Standards zielen auf Informationssicherheit - doch Ansatz, Tiefe und Einsatzkontext unterscheiden sich erheblich. Eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz kombiniert die Stärken beider Ansätze.
| Kriterium | BSI IT-Grundschutz | ISO/IEC 27001 |
|---|---|---|
| Herausgeber | BSI (Bundesbehörde, Deutschland) | ISO/IEC (internationale Normungsorganisationen) |
| Geltungsbereich | Deutschland - besonders Behörden, KRITIS | International - weltweit anerkannt |
| Ansatz | Vorgehensmodell + detaillierter Maßnahmenkatalog | Management-Framework - "Was", nicht "Wie" |
| Maßnahmentiefe | Sehr detailliert: konkrete Handlungsanweisungen pro Baustein | Abstrakt: 93 Controls, eigene Interpretation |
| Flexibilität | Geringer - Bausteine vorgegeben | Hoch - Statement of Applicability (SoA) frei wählbar |
| Zertifizierung | BSI-Grundschutz-Zertifikat (entspricht ISO 27001) | ISO 27001-Zertifikat durch akkreditierte Auditoren |
| Kosten Kompendium | Kostenlos (bsi.bund.de) | Kostenpflichtig (ISO-Normtext ca. 170 EUR) |
| KRITIS-Nachweis | Ausdrücklich anerkannt (§31 BSIG n.F., Nachweispflicht §39 BSIG) | Anerkannt als gleichwertiger Standard |
| Einstieg | Basis-Absicherung als niederschwelliger Einstieg | Keine formale Einstiegsstufe, direkter Volleinsatz |
| Empfehlung | Behörden, KRITIS, öffentlicher Sektor, NRW-Schulen | International tätige Unternehmen, Industrie, KMU |
Regulierung
IT-Grundschutz für KRITIS: Anforderungen nach §31 BSIG n.F.
Betreiber Kritischer Infrastrukturen (KRITIS) nach §31 BSIG n.F. sind gesetzlich verpflichtet, angemessene technische und organisatorische Sicherheitsmaßnahmen umzusetzen und dies dem BSI alle drei Jahre nachzuweisen (§39 BSIG n.F.). Dieser Nachweis kann durch IT-Grundschutz oder einen vergleichbaren Standard erbracht werden.
Die KRITIS-Sektoren umfassen: Energie (Strom, Gas, Öl, Fernwärme), Wasser (Trinkwasser, Abwasser), Ernährung, IT und Telekommunikation, Gesundheit (Krankenhäuser, Labore, Arzneimittel), Finanzwesen und Versicherungen, Transport und Verkehr sowie Staat und Verwaltung. Die Schwellenwerte für die Betroffenheit sind sektorspezifisch und in der BSI-Kritisverordnung (BSI-KritisV) geregelt.
Mit dem IT-Sicherheitsgesetz 2.0 (ITSiG 2.0, 2021) wurde der KRITIS-Begriff erweitert und der neue Status "Unternehmen im besonderen öffentlichen Interesse" (UBI) eingeführt, der zusätzliche Sicherheitspflichten mit sich bringt - auch ohne Erreichen der KRITIS-Schwellenwerte.
KRITIS-Sektoren und Beispiele
Stadtwerke, Netzbetreiber, Biogasanlagen, Fernwärme
Wasserwerke, Kläranlagen, Wasserversorgungsunternehmen
Rechenzentren, Internet-Exchanges, Telekomkonzerne, DNS-Resolver
Krankenhäuser ab 30.000 Behandlungen/Jahr, Blutspendedienste, Labore
FinanzwesenBanken, Börsen, Zahlungssysteme, Versicherungen
TransportHäfen, Flughäfen, Schieneninfrastruktur, Kanalmanagementsysteme
Lebensmittelhersteller und -händler mit hoher Versorgungsrelevanz
Bundesbehörden, bestimmte Länder- und Kommunalbehörden
Quelle: §2 Abs. 10 BSIG i. V. m. BSI-KritisV (zuletzt geändert 2022). Betroffenheitsprüfung empfohlen - die konkreten Schwellenwerte sind in Anhang 1 der BSI-KritisV geregelt.
AWARE7 Schulungsangebot
AWARE7 IT-Grundschutz-Schulungen: BSI-autorisierte Prüfungsabnahme, AZAV-gefördert
AWARE7 ist TeleTrusT-akkreditierter T.I.S.P.-Schulungsanbieter. Wir bieten IT-Grundschutz-Schulungen mit BSI-autorisierter Prüfungsabnahme an, die zur IT-Grundschutz-Praktiker-Zertifizierung führen - und auf Wunsch AZAV-gefördert werden können.
BSI T.I.S.P. · 3 Tage · BSI-Zertifikat
IT-Grundschutz-Praktiker
Offizielle BSI IT-Grundschutz-Schulung mit dem Ziel der Grundschutz-Praktiker-Zertifizierung. Praxisorientiert, mit realen Fallbeispielen aus unserer Beratungspraxis.
Details ansehenAZAV möglich · 2 Tage · Methodenwissen
ISMS-Aufbau Workshop
Kompakter Workshop zum Aufbau eines IT-Grundschutz-konformen ISMS. Von der Strukturanalyse über Schutzbedarfsfeststellung bis zum IT-Grundschutz-Check.
Details ansehenFestpreis · Projektvariabel · Zertifizierung
ISO 27001 auf Basis IT-Grundschutz
Beratung und Begleitung zur ISO-27001-Zertifizierung auf Basis von IT-Grundschutz. Von der Gap-Analyse über Implementierung bis zum bestandenen Zertifizierungsaudit.
Details ansehenWarum AWARE7 für IT-Grundschutz
Was uns von anderen Anbietern unterscheidet
Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter: mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.
Forschung und Lehre als Fundament
20 %Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere auf ACM- und Springer-Konferenzen publizierten Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.
Digitale Souveränität: keine Kompromisse
100 %Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.
Mehr zur digitalen SouveränitätFestpreis in 24h: planbare Projektzeiträume
24 hInnerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot ohne Stundensatz-Risiko. Eingespieltes Team und standardisierte Prozesse sorgen für einen klaren Zeitplan mit definiertem Start- und Endtermin.
Ihr fester Ansprechpartner
1:1Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner und behalten dieselbe Kontaktperson über das gesamte Projekt.
Peer-reviewte Publikationen
Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations
ACM AsiaCCS 2025
Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
A Platform for Physiological and Behavioral Security
NSPW 2025
Jan Hörnemann
Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem
IEEE/IFIP DSN 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Understanding Regional Filter Lists: Efficacy and Impact
PoPETS 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Für wen sind wir der richtige Partner?
Mittelstand mit 50-2.000 MA
Unternehmen, die echte Security brauchen, ohne einen DAX-Konzern-Dienstleister zu bezahlen. Festpreis, klarer Scope, ein Ansprechpartner.
IT-Verantwortliche & CISOs
Die intern überzeugend argumentieren müssen und dafür einen Bericht mit Vorstandssprache brauchen, nicht nur technische Findings.
Regulierte Branchen
KRITIS, Gesundheitswesen, Finanzdienstleister: NIS-2, ISO 27001, DORA. Wir kennen die Anforderungen und liefern Nachweise, die Auditoren akzeptieren.
„BSI IT-Grundschutz ist kein bürokratisches Regelwerk - es ist ein praxiserprobter Leitfaden, der deutschen Behörden und Unternehmen zeigt, wie Informationssicherheit systematisch und nachvollziehbar umgesetzt wird. Wer ihn konsequent anwendet, schafft echte Sicherheit.“
Chris Wojzechowski
IT-Grundschutz-Praktiker (TÜV) · AWARE7 GmbH
Häufige Fragen zum BSI IT-Grundschutz
Antworten auf die wichtigsten Fragen rund um IT-Grundschutz-Implementierung, Zertifizierung und KRITIS-Anforderungen.
Was ist BSI IT-Grundschutz und wer sollte ihn einsetzen?
Was ist der Unterschied zwischen BSI IT-Grundschutz und ISO 27001?
Wer ist nach §31 BSIG zur Umsetzung von IT-Grundschutz verpflichtet?
Was sind die 3 Absicherungsstufen des IT-Grundschutzes?
Was ist das BSI IT-Grundschutz-Kompendium und wie ist es aufgebaut?
Wie läuft eine BSI-Grundschutz-Zertifizierung ab?
Was kostet die Implementierung von BSI IT-Grundschutz?
Wie hängen IT-Grundschutz und NIS2 zusammen?
Aus dem Blog
Weiterführende Artikel
BSI IT-Grundschutz für KMU: Einstieg ohne BSI-Berater
BSI IT-Grundschutz für KMU: pragmatischer Einstieg mit dem KMU-Profil, wichtigste Bausteine, kostenlose BSI-Werkzeuge und Unterschied zu ISO 27001.
Oskar Braun 
Sichere und anonyme E-Mail Anbieter vorgestellt!
Die Auswahl an E-Mail Anbietern ist groß. Doch die, die ihren Job gut machen ist klein. Wir stellen kostenfreie, sichere und anonyme E-Mail Anbieter vor!
Chris Wojzechowski 
Apps auf Websites darstellen und verlinken - mit WPAppBox!
Das Plugin WPAppBox ermöglicht es, Apps auf WordPress-Websites darzustellen und mit Affiliate-Accounts zu verknüpfen - kostenlos und einfach.
Chris Wojzechowski IT-Grundschutz-Beratung anfragen
Ob Einstieg in die Basis-Absicherung, Vorbereitung auf die KRITIS-Prüfpflicht nach §31/§39 BSIG n.F. oder Zertifizierungsbegleitung - wir erstellen Ihnen ein verbindliches Festpreisangebot in 24 Stunden (werktags).
Kostenlos · 30 Minuten · Unverbindlich
