Ein IT-Sicherheitskonzept bildet die Grundlage für den Schutz sensibler IT-Systeme und ist insbesondere im militärischen Kontext – etwa bei Rüstungsprojekten – unverzichtbar. Im Artikel erklärt unser Experte Toni Schlichting praxisnah, wie der BSI-Grundschutz bei maritimen Systemen angepasst werden muss und um bei Geheimhaltungsanforderungen effektiv zu funktionieren und worin die Herausforderungen im Spannungsfeld IT-Sicherheit und Usability liegen.
Definition und Nutzen von IT-Sicherheitskonzepten
Ein IT-Sicherheitskonzept (auch IT-Sicherheitskonzeption) ist eine strukturierte Dokumentation bzw. Strategie, die Maßnahmen, Richtlinien und Verfahren beschreibt, um die Informationssicherheit innerhalb eines Unternehmens oder einer Organisation zu gewährleisten. Ziel ist es, Schutzbedarfe zu identifizieren, Bedrohungen zu analysieren und geeignete Schutzmaßnahmen festzulegen.
Dabei beantwortet ein IT-Sicherheitskonzept typischerweise folgende vier zentrale Fragen:
- Welche IT-Systeme, Daten und Prozesse werden genutzt?
- Welchen Bedrohungen und Schwachstellen sind diese ausgesetzt?
- Welche Schutzmaßnahmen werden getroffen?
- Wie ist das Notfallmanagement organisiert (z. B. bei Angriffen oder Ausfällen)?
Im deutschsprachigen Raum ist das IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI) ein etabliertes Modell zur Einführung eines Informationssicherheits-Managementsystems (ISMS), basierend auf der Norm ISO/IEC 27001. Besonders verbreitet ist der Einsatz im öffentlichen Sektor, im Gesundheits- und Finanzwesen sowie bei Betreibern Kritischer Infrastrukturen (KRITIS) – hier ist er sogar verpflichtend.
Vorgehensmodell nach IT-Grundschutz
Der IT-Grundschutz unterscheidet drei Vorgehensweisen zur Absicherung:
Ein exemplarischer Ablauf der Standard-Absicherung wird in Abbildung 11 des BSI-Standards 200-2 beschrieben („Erstellung der Sicherheitskonzeption bei der Standard-Absicherung“):
Beispiel: Für einen Linux-Client mit hohem Schutzbedarf könnte die Anforderung bestehen, eine angemessene Festplattenverschlüsselung zu implementieren – inkl. Dokumentation der eingesetzten bzw. geplanten Methode.
Die Vielzahl an Anforderungen wird systematisch erfasst – häufig mithilfe von Excel-Tabellen oder spezialisierten Tools wie der SAVe DB. Abhängig vom Schutzbedarf und Verwendungszweck sind für einzelne Zielobjekte zusätzlich Risikoanalysen erforderlich.
Ergebnis: Ein vollständiges, nachvollziehbares IT-Sicherheitskonzept.
Hinweis: Weitere Details zur praktischen Umsetzung vermitteln wir in unserer BSI-Grundschutzpraktiker-Schulung, die voraussichtlich ab dem kommenden Jahr angeboten wird.
Entwicklungsfaktoren
Für die erfolgreiche Einführung eines ISMS ist es entscheidend, dass die Unternehmensleitung den Geltungsbereich, Zweck und die Zielsetzung klar definiert sowie personelle, finanzielle und zeitliche Ressourcen bereitstellt. Der Aufwand – insbesondere in Bezug auf Zeit – wird häufig unterschätzt.
Ein zentraler Erfolgsfaktor ist die Strukturanalyse. Hier gilt: „Keep it simple“. Eine vereinfachte und übersichtliche Darstellung der IT-Infrastruktur vermeidet im weiteren Verlauf unnötige Komplexität, die die Anforderungen vervielfacht und die Umsetzung erschwert. Zudem sind eine kontinuierliche Überprüfung und Anpassung des Konzepts unerlässlich, um auf neue Bedrohungen und technologische Entwicklungen angemessen reagieren zu können.
Besonderheiten im militärischen Kontext
Die Bundeswehr nutzt eigene Vorgaben und Vorlagen, die eine spezifische Anwendung des BSI-Grundschutz-Kompendiums im Rahmen von Rüstungsprojekten ermöglichen. Für die Zertifizierung zuständig ist nicht das BSI, sondern die Deutsche militärische Security Accreditation Authority (DEUmilSAA).
In der Industrie erfolgt die Erstellung von IT-Sicherheitskonzepten projektbezogen. Bei der Entwicklung neuer Rüstungsgüter ist ein entsprechendes Konzept fester Bestandteil des Lieferumfangs – IT-Sicherheit muss bereits in der frühen Designphase berücksichtigt werden, um Mehraufwände und Kosten zu vermeiden.
Militärische IT-Systeme verarbeiten zudem oft Verschlusssachen (VS). Hier gelten die VS-IT-Sicherheitsrichtlinien des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und ggf. auch NATO-/EU-spezifische Vorgaben. Dadurch ist eine Profilanpassung notwendig: Der Standard-Grundschutz muss an militärische Schutzprofile angepasst werden. Auch im Vergleich zum zivilen Umfeld bedarf es einer höheren Priorität auf Verfügbarkeit und Widerstandsfähigkeit gegenüber Angriffen.
Bereits zu Projektbeginn ist eine eindeutige Abstimmung zwischen den beteiligten Unternehmen erforderlich. Zu klärende Punkte:
- Welche Bestandteile liefert der Hauptauftragnehmer?
- Wird ein Bottom-up- oder Top-down-Ansatz verfolgt?
- Wie wird die einheitliche Umsetzung durch Unterauftragnehmer sichergestellt?
- Wie wird eine konsistente Kommunikation mit dem Kunden (BAAINBw) gewährleistet?
Wichtig: Eine spätere Änderung der ursprünglich vereinbarten Vorgehensweise führt meist zu zusätzlichem Aufwand und höheren Kosten.
Herausforderungen bei maritimen Systemen
Das BSI-Grundschutz-Kompendium wurde zur Einführung eines ISMS in einer Büroumgebung entwickelt und bildet die Besonderheiten eines Kriegsschiffes nur teilweise ab. Es bestehen zwar einzelne bundeswehrspezifische Bausteine, die Anforderungen für die Nutzung innerhalb der Bundeswehr enthalten, jedoch ist dies meiner Meinung nach nicht ausreichend. Folgende Herausforderungen erfordern eine kontextbasierte Auslegung des Standards:
Kriegsschiffe sind hochkomplexe, mobile und weitgehend autarke Systeme. Das standardisierte Vorgehen des BSI-Grundschutzes muss individuell angepasst werden, da viele Maßnahmen nicht 1:1 auf maritime Einsatzszenarien übertragbar sind.
Waffensysteme, Navigations- und Kommunikationssysteme unterliegen hohen Anforderungen an Verfügbarkeit, Integrität und Reaktionsgeschwindigkeit. Sicherheitsmaßnahmen dürfen die Einsatzfähigkeit nicht beeinträchtigen – z. B. durch ungeplante Updates oder Systemneustarts. Der Einsatz einer Festplattenverschlüsselung
Die oft physisch getrennten Netzsegmente (z. B. Red/Black Separation) sowie der Betrieb ohne ständige Internetverbindung erschweren Maßnahmen wie Patchmanagement, zentrale Protokollierung oder automatisiertes Monitoring.
Auch im Einsatz – z. B. in internationalen Gewässern oder unter Gefechtsbedingungen – muss die IT-Sicherheit gewährleistet sein. Notfallmanagement und Wiederherstellungskonzepte müssen offline-fähig, robust und autark funktionieren.
Militärische Systeme unterliegen oft hohen Geheimhaltungsgraden (z. B. VS-NfD, GEHEIM). Daraus ergeben sich verschärfte Anforderungen an Zugriffsschutz, Verschlüsselung und Datenhandling, die über den zivilen Grundschutz hinausgehen.
Kriegsschiffe werden über Jahrzehnte genutzt. Sicherheitskonzepte müssen daher langfristig tragfähig sein und mit technologischer Alterung sowie begrenzten Aktualisierungsmöglichkeiten umgehen können.
Konkret: Die Anwendung des BSI-Grundschutz-Kompendiums auf Kriegsschiffe der Bundeswehr erfordert eine flexible, praxisnahe Auslegung, tiefe Systemkenntnisse sowie enge Abstimmung mit der DEUmilSAA. Ziel ist die sichere Integration von IT-Sicherheit in hochsensible militärische Systeme – ohne die Einsatzbereitschaft zu gefährden.
Spannungsfeld IT-Sicherheit und Usability
Zwischen Sicherheit und Benutzerfreundlichkeit besteht ein bekanntes Spannungsfeld:
- In sicherheitskritischen Bereichen, wie etwa bei der Bundeswehr, genießen Integrität, Vertraulichkeit und Verfügbarkeit höchste Priorität. Dies führt häufig zu restriktiven Maßnahmen, die die Bedienbarkeit beeinträchtigen können.
- Gleichzeitig ist Usability entscheidend: Nur wenn Sicherheitsmechanismen auch praktikabel sind, werden sie von den Nutzern tatsächlich umgesetzt. Komplizierte oder hinderliche Vorgaben führen schnell zu Umgehungshandlungen – mit negativen Auswirkungen auf das Sicherheitsniveau.
Unser Angebot
Das Defense & Aerospace Team von msg bringt langjährige Erfahrung in der Erstellung von IT-Sicherheitskonzepten in Rüstungsprojekten mit – sowohl auf der Seite der Industrie als auch beim Kunden, etwa beim BAAINBw oder anderen militärischen Dienststellen und Einheiten. Besonders bei maritimen Rüstungsprojekten verfügen wir über fundiertes Fachwissen, ergänzt durch operative Expertise aus der langjährigen praktischen Anwendung entsprechender Systeme.
Dank unserer umfassenden Erfahrung können wir insbesondere zu Beginn eines Projektes unterstützen, indem wir gemeinsam mit dem Kunden Prozesse und einen projektübergreifenden Ansatz in der IT-Sicherheit definieren. So tragen wir dazu bei, frühzeitig Mehrkosten und zusätzlichen Aufwand zu vermeiden, indem wir die passende Vorgehensweise wählen.
Zudem beschränkt sich unser Engagement nicht auf die Erstellung von IT-Sicherheitsdokumenten – wir sind darüber hinaus auch aktiv am IT-Sicherheitsdesign beteiligt und designen die IT-Sicherheit des Systems gemeinsam mit unseren Kunden. Zusätzlich verfügen wir in der msg-Gruppe noch über weitere Fähigkeiten, so dass wir im Grunde vom Konzept bis zum Red-Team-Angriff sämtliche Aspekte der IT-Sicherheit abbilden können.
Autorenprofil
Toni Schlichting diente 13 Jahre als Offizier bei der Bundeswehr in den Bereichen militärisches Nachrichtenwesen und militärische Sicherheit. Seit fast zwei Jahren ist er in einem multinationalen Rüstungsprojekt in den Niederlanden für msg als IT-Security-Engineer und Scrum Master tätig und gestaltet dort die IT-Sicherheitsarchitektur des Systems, prüft IT-Sicherheitskonzepte oder organisiert das Stakeholdermanagement.
Sie haben Fragen?
Vorgehensmodell nach IT-Grundschutz
Der IT-Grundschutz unterscheidet drei Vorgehensweisen zur Absicherung:
Ein exemplarischer Ablauf der Standard-Absicherung wird in Abbildung 11 des BSI-Standards 200-2 beschrieben („Erstellung der Sicherheitskonzeption bei der Standard-Absicherung“):
Beispiel: Für einen Linux-Client mit hohem Schutzbedarf könnte die Anforderung bestehen, eine angemessene Festplattenverschlüsselung zu implementieren – inkl. Dokumentation der eingesetzten bzw. geplanten Methode.
Die Vielzahl an Anforderungen wird systematisch erfasst – häufig mithilfe von Excel-Tabellen oder spezialisierten Tools wie der SAVe DB. Abhängig vom Schutzbedarf und Verwendungszweck sind für einzelne Zielobjekte zusätzlich Risikoanalysen erforderlich.
Ergebnis: Ein vollständiges, nachvollziehbares IT-Sicherheitskonzept.