Schutzbedarfsanalyse (Schuban): Schritt-für-Schritt-Anleitung zur IT-Sicherheit

Warum?
Um Klarheit darüber zu haben, welche IT-Systeme, Daten oder Prozesse analysiert werden müssen.

Wie?

• Bestimmung des Anwendungsbereichs: Welche IT-Assets werden untersucht?
• Definition der Beteiligten: IT-Abteilung, Datenschutzbeauftragter, Fachabteilungen, Geschäftsführung
• Zielsetzung: Soll die Analyse für eine Zertifizierung (ISO 27001), für die Compliance (DSGVO, NIS2) oder zur internen Sicherheitsverbesserung genutzt werden?

Ergebnis:
Eine klare Definition des Analyseumfangs.

Warum?
Nur wenn bekannt ist, welche IT-Ressourcen existieren, kann deren Schutzbedarf bewertet werden.

Wie?
Erfassung aller relevanten IT-Assets:

• Daten (Kundendaten, Geschäftsgeheimnisse, Finanzinformationen)
• Systeme (Server, Netzwerke, Cloud-Dienste, Endgeräte)
• Anwendungen (ERP-Systeme, CRM, interne Software)

Dokumentation der Geschäftsprozesse, die von diesen Assets abhängen

Ergebnis:
Eine detaillierte Asset-Liste mit zugehörigen IT-Systemen und deren Bedeutung für das Unternehmen.

Warum?
Um festzustellen, welche IT-Assets besonders schützenswert sind.

Wie?
Die Bewertung erfolgt anhand folgender Kriterien:
Verfügbarkeit: Wie kritisch wäre der Ausfall des IT-Systems oder der Daten?
Vertraulichkeit: Welche Auswirkungen hätte eine unautorisierte Einsichtnahme?
Integrität: Was passiert, wenn Daten manipuliert oder verändert werden?

Klassifizierung des Schutzbedarfs (z.B. nach BSI IT-Grundschutz):

• Niedriger Schutzbedarf → Verlust hätte geringe Auswirkungen
• Mittlerer Schutzbedarf → Einschränkungen für den Geschäftsbetrieb
• Hoher Schutzbedarf → Schwere geschäftliche, finanzielle oder rechtliche Konsequenzen

Ergebnis:
Eine Schutzbedarfs-Klassifizierung aller IT-Assets (hoch, mittel, niedrig).

Warum?
Je nach Schutzbedarf müssen unterschiedliche Sicherheitsmassnahmen umgesetzt werden.

Wie?
Technische Massnahmen:

• Netzwerksicherheit (Firewalls, VPN, IDS/IPS)
• Datenverschlüsselung für hochsensible Daten
• Zwei-Faktor-Authentifizierung (2FA) für kritische Systeme

Organisatorische Massnahmen:

• Zugriffsrechte nach dem Need-to-Know-Prinzip
• Mitarbeiterschulungen zur Sensibilisierung für IT-Risiken

Physische Massnahmen:

• Zutrittskontrollen für Serverräume
• Backup- und Notfallkonzepte

Ergebnis:
Eine Massnahmenmatrix, die den Schutzbedarf mit geeigneten Sicherheitsmassnahmen verknüpft.

Warum? Die geplanten Schutzmassnahmen müssen in der IT-Sicherheitsstrategie verankert werden.

Wie?
Erstellung eines Schutzbedarfskonzepts, das dokumentiert:

• Welche IT-Assets welchen Schutzbedarf haben
• Welche Massnahmen zur Umsetzung geplant sind
• Wer für die Umsetzung verantwortlich ist

Integration in bestehende Sicherheitsrichtlinien (ISO 27001, BSI IT-Grundschutz, NIST CSF)

Ergebnis:
Eine dokumentierte Schutzbedarfsanalyse, die als Basis für Audits oder Zertifizierungen dient.

Warum?
IT-Bedrohungen und Geschäftsprozesse verändern sich ständig.

Wie?
Regelmässige Reviews der Schutzbedarfsanalyse (mindestens jährlich)
Anpassungen bei neuen IT-Systemen, Software oder Bedrohungslagen
Sicherheitsaudits & Penetrationstests zur Überprüfung der Massnahmen

Ergebnis:
Ein kontinuierlicher Verbesserungsprozess, der sicherstellt, dass der Schutzbedarf aktuell bleibt.

1. Fehlende Transparenz über IT-Assets

Problem: Viele Unternehmen haben keine vollständige Übersicht über ihre IT-Systeme und Daten.
Lösung: Nutzung von Asset-Management-Tools wie ServiceNow, CMDB oder spezielle Sicherheitslösungen.

2. Subjektive Bewertung des Schutzbedarfs

Problem: Unterschiedliche Abteilungen bewerten die Kritikalität ihrer Daten und Systeme unterschiedlich.
Lösung: Einheitliche Bewertungskriterien und eine interdisziplinäre Zusammenarbeit zwischen IT, Compliance und Management.

3. Fehlende Ressourcen & Budget für Massnahmen

Problem: Sicherheitsmassnahmen werden oft als zu teuer oder unwichtig angesehen.
Lösung:

• Risiken in Zahlen ausdrücken (z. B. mögliche Schadenshöhe bei Datenverlust)
• Kosten-Nutzen-Analysen für IT-Sicherheitsmassnahmen durchführen
• Top-Management in den Prozess einbinden

4. Kontinuierliche Anpassung an neue Bedrohungen

Problem: Cyber-Bedrohungen entwickeln sich ständig weiter, doch Schutzmassnahmen bleiben oft unverändert.
Lösung:

• Regelmässige Risiko- und Bedrohungsanalysen durchführen
• Schwachstellenmanagement und Penetrationstests einführen
• Sicherheitsupdates und Patching-Prozesse automatisieren