Informationssicherheit managen: ISMS, IT-Grundschutz, Risikobehandlung und Penetrationstest

Informationssicherheit managen: ISMS, IT-Grundschutz, Risikobehandlung und Penetrationstest

https://bildung.social/@oerinformatik/

https://oer-informatik.de/isms-grundschutz

ISMS, Informationssicherheitsmanagement, IT-Grundschutz, ISO/IEC 27001, Informationssicherheitsbeauftragter, Risikobehandlung, Cyberversicherung, Security by Default, Penetrationstest

tl/dr; (ca. 26 min Lesezeit): Einzelne Sicherheitsmaßnahmen reichen nicht, wenn niemand den Überblick behält. Ein Informationssicherheitsmanagementsystem (ISMS) sorgt dafür, dass Informationssicherheit geplant, umgesetzt, geprüft und verbessert wird. Der Artikel erklärt den Unterschied zwischen Informationssicherheit und Datenschutz, die wichtigsten Regelwerke (ISO/IEC 27001, IT-Grundschutz des BSI), die Schritte zum Aufbau eines ISMS, die Rolle der oder des Informationssicherheitsbeauftragten, Risikobewertung und Risikobehandlung, die wirtschaftlichen Folgen von Cyberangriffen samt Cyberversicherung, Security by Design und Security by Default sowie Audits und Penetrationstests [AI-Assisted]. (Zuletzt geändert am 28.10.2026)

Dieser Artikel baut auf der Kann-Liste des Artikels Schutzziele, Schwachstellen und Sicherheitsrisiken auf. Zum Üben gibt es Übungsaufgaben zum Informationssicherheitsmanagement.

Schon fit in diesem Thema? Nutze die Kann-Liste und die Leitfragen unter dem Artikel als Checkliste, ob Du die relevanten Kompetenzen bereits hast. Hier klicken, um Kann-Liste ein- oder auszublenden

Als Grundlagen der Informationssicherheit kann ich nach Durchlesen des Artikels…

• … den Unterschied zwischen Datenschutz und Informationssicherheit erläutern.

• … erklären, was ein ISMS ist, und zwei nicht branchenspezifische Regelwerke dafür angeben (ISO/IEC 27001, IT-Grundschutz des BSI).

• … eine Möglichkeit erläutern, eine nachprüfbare Grundlage für die Informationssicherheit eines Unternehmens zu schaffen.

• … die Schritte zum Aufbau eines ISMS in eine sinnvolle Reihenfolge bringen.

• … Aufgaben und Anforderungen einer oder eines Informationssicherheitsbeauftragten (ISB) nennen und die Rolle vom Datenschutzbeauftragten abgrenzen.

• … die Begriffe Risikobewertung und Risikobehandlung erläutern, den Zweck einer Risikoanalyse beschreiben und Arten der Risikobehandlung mit Beispielen beschreiben.

• … zu elementaren Gefährdungen des IT-Grundschutz-Kompendiums mögliche Schäden und geeignete Gegenmaßnahmen angeben.

• … wirtschaftliche Folgen und Kosten eines Cyberangriffs nennen und die Jahresprämie einer Cyberversicherung berechnen.

• … Security by Design und Security by Default erläutern und beschreiben, wie ich Security by Default bei der Auswahl von Software prüfe.

• … den Zweck eines Penetrationstests erläutern, seine Phasen ordnen und weitere sicherheitsrelevante Prüfungen beschreiben.

Darüber hinaus kann ich als Expertenwissen…

• … die drei Vorgehensweisen des IT-Grundschutzes (Basis-, Kern- und Standard-Absicherung) unterscheiden und eine davon für eine Organisation begründet auswählen.

• … die Ziele eines Sicherheitsaudits aus einer englischsprachigen Beschreibung erläutern.

• … begründen, welche Punkte vor einem Penetrationstest schriftlich vereinbart werden müssen.

Die Firewall ist aktuell, die Festplatten sind verschlüsselt, alle haben ein sicheres Passwort – und trotzdem gelingt der Angriff, weil das Backup seit Monaten nicht mehr geprüft wurde, weil niemand wusste, wer bei einem Vorfall entscheidet, oder weil ein neuer Cloud-Dienst ohne Sicherheitsprüfung eingeführt wurde. Einzelne Maßnahmen schützen nur so lange, wie jemand sie plant, überwacht und an neue Lagen anpasst. Genau dafür gibt es ein Informationssicherheitsmanagementsystem (ISMS). Die Grafik zeigt im Überblick, wie ein ISMS im PDCA-Zyklus arbeitet; die einzelnen Bausteine erklären die folgenden Abschnitte.

Informationssicherheit, IT-Sicherheit und Datenschutz

Die drei Begriffe werden oft durcheinandergeworfen, meinen aber Verschiedenes:

Kurz gesagt: Informationssicherheit schützt das Unternehmen und seine Informationen, Datenschutz schützt Menschen vor dem Missbrauch ihrer Daten. Beide überschneiden sich: Wer personenbezogene Daten verarbeitet, muss sie nach Art. 32 DSGVO mit technischen und organisatorischen Maßnahmen schützen. Eine Konstruktionszeichnung oder eine Preiskalkulation ist dagegen kein Fall für den Datenschutz, aber sehr wohl für die Informationssicherheit. Ausführlich behandelt der Artikel Datenschutz nach DSGVO den Datenschutz.

Was ist ein ISMS?

Ein ISMS ist kein Programm, sondern ein Bündel aus Regeln, Verfahren, Zuständigkeiten und Werkzeugen, mit dem die Leitung einer Organisation die Informationssicherheit dauerhaft steuert. Dazu gehören eine Sicherheitsleitlinie, eine Sicherheitsorganisation mit klaren Rollen, ein Verfahren zum Umgang mit Risiken, dokumentierte Maßnahmen und regelmäßige Überprüfungen.

Der PDCA-Zyklus

Ein ISMS ist nie „fertig“. Es folgt dem Kreislauf Plan – Do – Check – Act (Planen – Umsetzen – Überprüfen – Verbessern):

Regelwerke für Informationssicherheit

Damit nicht jedes Unternehmen das Rad neu erfinden muss, gibt es Normen und Standards. Die beiden wichtigsten, nicht branchenspezifischen Regelwerke im deutschsprachigen Raum sind:

• ISO/IEC 27001 (aktuelle Fassung 2022, auf Deutsch als DIN EN ISO/IEC 27001): internationale Norm mit den Anforderungen an ein ISMS. Ihr Anhang A listet 93 Maßnahmen (controls) in vier Themen: organisatorisch, personell, physisch und technologisch. Ergänzend beschreibt ISO/IEC 27002 die Umsetzung dieser Maßnahmen, ISO/IEC 27005 das Risikomanagement.

• IT-Grundschutz des BSI: Die BSI-Standards 200-1 (Anforderungen an ein ISMS), 200-2 (Vorgehensweise nach IT-Grundschutz), 200-3 (Risikoanalyse) und 200-4 (Business Continuity Management) beschreiben die Methode, das IT-Grundschutz-Kompendium liefert dazu Bausteine mit konkreten Anforderungen für typische Objekte (Server, Clients, Räume, Prozesse …). Der IT-Grundschutz ist mit ISO/IEC 27001 vereinbar. Das BSI modernisiert ihn derzeit zu Grundschutz++ mit maschinenlesbaren Anforderungen: Die Methodik wurde im April 2026 veröffentlicht, Zertifizierungen nach Grundschutz++ sind ab dem 1. Januar 2027 möglich, der bisherige IT-Grundschutz gilt in einer Übergangszeit bis Ende 2028 weiter.

Daneben gibt es Angebote für kleine und mittlere Unternehmen wie VdS 10000 sowie branchenspezifische Standards, etwa TISAX in der Automobilindustrie oder die branchenspezifischen Sicherheitsstandards (B3S) für Betreiber kritischer Infrastrukturen. Für die Sicherheit einzelner Produkte (nicht Organisationen) gibt es die Common Criteria (ISO/IEC 15408).

Eine nachprüfbare Grundlage schaffen

Wie zeigt ein Unternehmen seiner Kundschaft, seinen Partnern oder einer Versicherung, dass es Informationssicherheit ernst nimmt? Möglichkeiten sind:

• Zertifikat einer unabhängigen Stelle: Am stärksten wirkt eine Zertifizierung des ISMS nach ISO/IEC 27001 (beim BSI auch als „ISO 27001 auf der Basis von IT-Grundschutz“). Die Zertifizierungsstelle prüft das ISMS für einen festgelegten Geltungsbereich, überwacht es jährlich und erneuert das Zertifikat nach drei Jahren. Für kleinere Unternehmen gibt es einfachere Anerkennungen, etwa nach VdS 10000.

• Belege aus dem eigenen ISMS: eine von der Leitung unterschriebene und allen bekannt gemachte Sicherheitsleitlinie, Berichte externer Audits und Penetrationstests sowie Nachweise über regelmäßige Schulungen. Ohne Zertifikat muss die Gegenseite diese Unterlagen allerdings selbst bewerten.

• geprüfte Produkte: Beim Einkauf kann das Unternehmen auf Produkte achten, deren Sicherheit nach anerkannten Kriterien bestätigt ist (z. B. Common Criteria). Das belegt aber nur die Sicherheit des Produkts, nicht die der Organisation.

Für viele Unternehmen ist ein ISMS keine freiwillige Kür mehr: Seit Dezember 2025 verpflichtet das Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie zahlreiche Unternehmen bestimmter Sektoren (in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz) zu Risikomanagementmaßnahmen nach § 30 BSIG, zu Meldungen von Sicherheitsvorfällen und zur Registrierung beim BSI. Hinzu kommen Anforderungen von Großkunden an ihre Lieferanten und von Cyberversicherungen.

Ein ISMS aufbauen: der Sicherheitsprozess

Der BSI-Standard 200-2 beschreibt den Aufbau eines ISMS als Sicherheitsprozess. Vereinfacht sind das folgende Schritte:

1. Initiierung: Die Leitung übernimmt die Gesamtverantwortung für die Informationssicherheit und stellt Ressourcen (Personal, Zeit, Budget) bereit. Ohne diese Rückendeckung scheitert jedes ISMS.

2. Vorgehensweise wählen: Basis-Absicherung (schneller Einstieg mit den wichtigsten Anforderungen), Kern-Absicherung (zuerst die „Kronjuwelen“, also die wichtigsten Geschäftsprozesse) oder Standard-Absicherung (umfassender Schutz der gesamten Organisation).

3. Geltungsbereich festlegen: Welche Standorte, Prozesse und Systeme gehören dazu (z. B. „Onlineshop mit Lager und Werkstatt in Bielefeld“)?

4. Sicherheitsleitlinie erstellen: Kurzes Grundsatzdokument mit Zielen, Geltungsbereich, Verantwortung und Verpflichtung der Leitung.

5. Sicherheitsorganisation aufbauen: Rollen benennen, vor allem eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten, Berichtswege und ggf. ein Sicherheitsteam festlegen.

6. Dokumentation festlegen: Welche Dokumente gibt es (Leitlinie, Richtlinien, Konzepte, Nachweise), wer pflegt sie, wo liegen sie?

7. Sicherheitskonzeption erstellen und umsetzen: Strukturanalyse (Welche Prozesse, Anwendungen, Systeme, Räume gibt es?), Schutzbedarfsfeststellung, Modellierung mit den Bausteinen des Kompendiums, IT-Grundschutz-Check (Soll-Ist-Vergleich), Risikoanalyse für Objekte mit hohem Schutzbedarf, Umsetzungsplan mit Verantwortlichen und Terminen.

8. Aufrechterhaltung und Verbesserung: Wirksamkeit regelmäßig prüfen (Audits, Kennzahlen, Übungen), aus Vorfällen lernen, das Konzept fortschreiben (PDCA).

Die Grafik fasst den Ablauf zusammen; Schritt 7 besteht selbst aus mehreren Teilschritten:

Wie Du den Schutzbedarf je Schutzziel feststellst und begründest, zeigt der Artikel Schutzziele, Schwachstellen und Sicherheitsrisiken.

Die Rolle der oder des Informationssicherheitsbeauftragten

Die Leitung bleibt verantwortlich, kann aber nicht jeden Tag selbst für Informationssicherheit sorgen. Sie benennt deshalb eine Informationssicherheitsbeauftragte bzw. einen Informationssicherheitsbeauftragten (ISB; in Unternehmen oft auch Chief Information Security Officer, CISO).

Typische Aufgaben (ausführlich im BSI-Standard 200-2):

• steuern: den Sicherheitsprozess koordinieren, Sicherheitsleitlinie und Sicherheitskonzept entwerfen und aktuell halten,
• berichten: die Leitung regelmäßig über den Stand, über Risiken und anstehende Entscheidungen informieren und sie beraten,
• kontrollieren: nachhalten, ob beschlossene Maßnahmen umgesetzt sind und wirken,
• früh einbinden lassen: neue Software, Dienstleister oder Projekte schon in der Planung auf Sicherheitsfragen prüfen,
• aufarbeiten: Sicherheitsvorfälle untersuchen und daraus Verbesserungen ableiten,
• sensibilisieren: Schulungen und Aktionen für die Beschäftigten planen.

Was die Person mitbringen sollte:

• Fachwissen: IT-Grundkenntnisse, Methoden der Risikoanalyse und die Bereitschaft, sich fortzubilden,
• Überblick: die Organisation, ihre Abläufe und die Menschen darin gut kennen,
• Haltung: hinter den Zielen der Informationssicherheit stehen, gut zusammenarbeiten und trotzdem unbequeme Forderungen durchsetzen können,
• Rahmen: genug Arbeitszeit für die Rolle und einen direkten Draht zur Leitung,
• Unabhängigkeit: möglichst keine Interessenkonflikte. Wer die IT leitet, sollte nicht zugleich ISB sein, sonst kontrolliert die Person ihre eigene Arbeit.

ISB oder Datenschutzbeauftragte*r? Beide Rollen arbeiten eng zusammen, verfolgen aber unterschiedliche Ziele:

ISB und Datenschutzbeauftragte*r im Vergleich

	Informationssicherheitsbeauftragte*r	Datenschutzbeauftragte*r
schützt	alle Informationen des Unternehmens (digital und analog)	personenbezogene Daten, also die Rechte der Betroffenen
Grundlage	Entscheidung der Leitung, ISMS-Normen, ggf. NIS-2-Pflichten	gesetzlich vorgeschrieben (Art. 37–39 DSGVO, § 38 BDSG)
Blickwinkel	Was schadet dem Unternehmen?	Was schadet den betroffenen Personen?

Eine Person kann grundsätzlich beide Rollen übernehmen, wenn sie genug Zeit und Fachwissen hat. Weil die Ziele aber in Konflikt geraten können (z. B. lange Protokollierung für die Sicherheit gegen Datenminimierung), wird häufig empfohlen, die Rollen zu trennen.

Risikomanagement im ISMS

Herzstück jedes ISMS ist der systematische Umgang mit Risiken. Die Grundbegriffe Schwachstelle, Bedrohung und Risiko sowie die Risikomatrix erklärt der Artikel Schutzziele, Schwachstellen und Sicherheitsrisiken. Im ISMS laufen daraus zwei Schritte ab:

Risikobewertung

Die Risikobewertung (risk assessment) erfasst systematisch die Risiken für Vertraulichkeit, Integrität und Verfügbarkeit der Informationen. Sie umfasst

1. Risiken identifizieren: Welche Gefährdungen treffen auf welche Werte (Prozesse, Daten, Systeme)?

2. Risiken analysieren: In der Risikoanalyse schätzt Du für jede Gefährdung zwei Größen ab: wie oft sie voraussichtlich zu einem Schaden führt und wie schwer dieser Schaden das Unternehmen träfe. Erst beide zusammen zeigen, wie groß ein Risiko ist. Das Vorgehen nach IT-Grundschutz beschreibt der BSI-Standard 200-3.

3. Risiken bewerten: Einordnung in eine Risikomatrix, Vergleich mit den Kriterien der Leitung (Was ist noch tragbar?) und Festlegung, welche Risiken wie dringend behandelt werden.

Risikobehandlung

Die Risikobehandlung (risk treatment) entscheidet für jedes bewertete Risiko, wie damit umgegangen wird. Ergebnis ist ein Risikobehandlungsplan mit begründeten Maßnahmen, Verantwortlichen und Terminen. Vier Optionen stehen zur Wahl:

Wichtig: Beim Risikotransfer wird nur der finanzielle Schaden verlagert, nicht die Verantwortung. Und ein Restrisiko bleibt immer; die Leitung muss es ausdrücklich akzeptieren.

Elementare Gefährdungen des IT-Grundschutz-Kompendiums

Damit beim Identifizieren keine wichtige Gefährdung vergessen wird, listet das IT-Grundschutz-Kompendium 47 elementare Gefährdungen (G 0.1 bis G 0.47), von Feuer über den Ausfall der Stromversorgung bis zu Schadprogrammen und Social Engineering. Zu jeder Gefährdung lassen sich mögliche Schäden und Gegenmaßnahmen angeben:

Beispiele elementarer Gefährdungen mit Schäden und Gegenmaßnahmen

Gefährdung	mögliche Schäden	geeignete Gegenmaßnahmen
G 0.1 Feuer	Zerstörung von Servern und Datenträgern, Ausfall aller Dienste, Gefahr für Menschen	Brandmeldeanlage, Feuerlöscher bzw. Löschanlage im Serverraum, Sicherung in einem anderen Brandabschnitt
G 0.11 Ausfall oder Störung von Dienstleistern	Onlineshop beim Cloudanbieter nicht erreichbar, Umsatzausfall, Vertragsstrafen gegenüber Kunden	Verträge mit zugesicherter Verfügbarkeit (SLA), Ausweichanbieter, eigene Sicherungen der Daten
G 0.39 Schadprogramme	verschlüsselte oder gestohlene Daten, Betriebsunterbrechung, Erpressung	Updates, Virenschutz, Rechte minimieren, Sicherungen offline, Schulung der Beschäftigten
G 0.42 Social Engineering	Preisgabe von Zugangsdaten, Überweisung an Betrüger	Sensibilisierung, Rückruf über bekannte Nummer, Vier-Augen-Prinzip bei Zahlungen

Achte darauf, dass Schaden und Maßnahme wirklich zur Gefährdung gehören: Eine Sicherung auf einer dauerhaft angeschlossenen USB-Festplatte hilft bei einem Plattendefekt, aber kaum gegen Schadprogramme, die alle erreichbaren Laufwerke verschlüsseln.

Was ein Cyberangriff kostet und wie eine Versicherung hilft

Ein erfolgreicher Angriff verursacht nicht nur Technikkosten. Typische wirtschaftliche Folgen sind:

• Imageverlust bei Kundschaft und Partnern („Dort sind meine Daten nicht sicher“), daraus Kundenabwanderung, sinkender Umsatz und Verlust von Marktanteilen,
• Betriebsunterbrechung: Aufträge können nicht angenommen oder ausgeliefert werden.

Typische Kosten und Aufwendungen sind:

• Wiederherstellung von Daten und Systemen, IT-Forensik, externe Dienstleister,
• Ersatz beschädigter oder gestohlener Hardware,
• Benachrichtigung betroffener Kund*innen, Krisenkommunikation, Rechtsberatung,
• Schadenersatz und Vertragsstrafen (z. B. bei verletzten Service-Level-Vereinbarungen),
• Bußgelder bei Datenschutzverstößen,
• entgangener Gewinn während der Betriebsunterbrechung.

Eine Cyberversicherung ist ein klassischer Risikotransfer: Sie übernimmt einen Teil dieser Kosten. Versicherer verlangen dafür meist Mindestmaßnahmen (z. B. Mehr-Faktor-Anmeldung, getestete Sicherungen) – ein ISMS macht den Abschluss leichter. Wie der Beitrag berechnet wird, legt jedes Angebot selbst fest. Häufig hängt er von der gewählten Versicherungssumme und der Branche ab; dazu kommen Zuschläge für besondere Risiken, Nachlässe für nachgewiesene Schutzmaßnahmen und die Versicherungsteuer (derzeit 19 %).

Beispiel: Ein Teeversand mit eigenem Onlineshop wählt eine Versicherungssumme von 500.000 €. Laut Tarif kostet diese Summe netto 1.880 € im Jahr. Für Betriebe mit Onlinehandel kommt ein Zuschlag von 20 % hinzu. Weil der Versand Mehr-Faktor-Anmeldung und getestete Offline-Sicherungen nachweist, gewährt der Versicherer auf den so erhöhten Beitrag 10 % Nachlass. Auf den Nettobeitrag fallen 19 % Versicherungsteuer an.

Geg.: B_0 = 1880\ \text{€}, z = 20\ \%, n = 10\ \%, s = 19\ \%

Ges.: Jahresbeitrag P (brutto)

\begin{aligned} \text{I:}\quad B_1 &= B_0 \cdot (1 + z) = 1880\ \text{€} \cdot 1{,}20 = 2256{,}00\ \text{€} \\ \text{II:}\quad B_2 &= B_1 \cdot (1 - n) = 2256{,}00\ \text{€} \cdot 0{,}90 = 2030{,}40\ \text{€} \\ \text{III:}\quad P &= B_2 \cdot (1 + s) = 2030{,}40\ \text{€} \cdot 1{,}19 = \underline{\underline{2416{,}18\ \text{€}}} \end{aligned}

Halte die Reihenfolge des Angebots ein: Jeder Zuschlag und jeder Nachlass bezieht sich auf den Betrag davor, die Versicherungsteuer kommt zuletzt auf den Nettobeitrag. Wer die Prozentsätze vorher verrechnet (+20 % − 10 % = +10 %), kommt auf 2.068,00 € netto statt 2.030,40 €.

Security by Design und Security by Default

Sicherheit lässt sich schlecht nachträglich „anschrauben“. Zwei Prinzipien sorgen dafür, dass sie von Anfang an dazugehört:

• Security by Design (Sicherheit durch Technikgestaltung): Hard- und Software werden von Beginn der Entwicklung an so entworfen, dass möglichst wenige Schwachstellen entstehen. Beispiele: Bedrohungsanalyse schon beim Entwurf, sichere Programmierrichtlinien, Rechtekonzept von Anfang an, Code-Reviews und Sicherheitstests in jeder Iteration, verschlüsselte Datenhaltung als Teil der Architektur.

• Security by Default (Sicherheit durch Voreinstellung): Ein Produkt ist im Auslieferungszustand so sicher wie möglich eingestellt. Wer weniger Sicherheit will, muss das bewusst ändern. Beispiele: kein Standardpasswort, Mehr-Faktor-Anmeldung voreingestellt, nicht benötigte Dienste und Schnittstellen abgeschaltet, Updates automatisch, Profile neuer Nutzender nicht öffentlich.

Für den Datenschutz verlangt Art. 25 DSGVO dasselbe als „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“. Die europäische Cyberresilienz-Verordnung (Cyber Resilience Act, Verordnung (EU) 2024/2847) macht Security by Design und by Default für Produkte mit digitalen Elementen schrittweise zur Pflicht: Meldepflichten für ausgenutzte Schwachstellen gelten ab September 2026, die übrigen Anforderungen ab Dezember 2027.

So prüfst Du Security by Default bei der Auswahl von Software

Wenn Du für Dein Unternehmen eine Software auswählst (z. B. ein ERP- oder Ticketsystem), kannst Du Security by Default so überprüfen:

• Selbst nachsehen: In einem frischen Testzugang änderst Du nichts und gehst die sicherheitsrelevanten Einstellungen der Reihe nach durch, z. B. Anmeldung (Passwortregeln, Mehr-Faktor-Anmeldung), Rechte neu angelegter Konten, öffentlich erreichbare Bereiche und Schnittstellen, Protokollierung und Verschlüsselung. Alles, was ab Werk nicht auf der strengsten sinnvollen Stufe steht, notierst Du als Abweichung.
• Zusage einholen: Der Anbieter soll seine Werkseinstellungen offenlegen; „sichere Voreinstellungen“ werden als Anforderung ins Lastenheft bzw. in den Vertrag geschrieben.
• Auf Nachweise achten: Zertifizierungen, Sicherheitsdokumentation des Herstellers, Ergebnisse unabhängiger Tests.

Sicherheit prüfen: Audit, Schwachstellenscan und Penetrationstest

Im „Check“ des PDCA-Zyklus wird geprüft, ob die Maßnahmen wirken.

Audits

Ein Audit ist eine systematische, unabhängige Prüfung, ob Vorgaben eingehalten werden. Interne Audits führt das Unternehmen selbst durch, externe Audits eine unabhängige Stelle (z. B. für eine Zertifizierung). Typische Ziele eines Sicherheitsaudits:

• Wirksamkeit belegen: Tun die eingeführten Maßnahmen im Alltag, was sie sollen (werden Sicherungen z. B. wirklich getestet)?
• Vorgaben abgleichen (compliance): Passen gelebte Praxis und Konfiguration zur eigenen Sicherheitsleitlinie, zu Verträgen und zu Normanforderungen?
• Lücken aufzeigen: Wo fehlen Maßnahmen, wo sind Zuständigkeiten unklar, wo lässt sich etwas verbessern?
• Nachweis liefern: Ein Auditbericht oder ein Zertifikat zeigt Kundschaft, Versicherern oder Behörden, wie es um die Informationssicherheit steht.

Penetrationstest

Bei einem Penetrationstest (Pentest) greifen beauftragte Fachleute ein System mit den Methoden echter Angreifer an, allerdings mit Erlaubnis, in einem vereinbarten Rahmen und mit dem Ziel, jede gefundene Lücke zu dokumentieren. So zeigt sich, ob die Schutzmaßnahmen einem ernsthaften Angriff standhalten. Je nach Auftrag stehen nicht nur IT-Systeme (Server, Webanwendungen, Netze, WLAN) auf dem Prüfstand, sondern auch Abläufe und Menschen, etwa mit einer Phishing-Simulation oder dem Versuch, ohne Ausweis ins Gebäude zu kommen.

Anders als ein Schwachstellenscan, der automatisiert nach bekannten Lücken sucht, versuchen Pentester*innen, Lücken tatsächlich auszunutzen und zu verketten. Das BSI gliedert einen Pentest in seinem „Durchführungskonzept für Penetrationstests“ in fünf Phasen:

Phasen eines Penetrationstests nach dem Durchführungskonzept des BSI (vereinfacht)

Nr.	Phase	Was passiert?
1	Vorbereitung	Auftraggebende und Testende klären Ziele, Umfang (scope), Zeitfenster, erlaubte Methoden, Ansprechpersonen und rechtliche Fragen und halten alles schriftlich fest.
2	Informationsbeschaffung und Auswertung	Die Testenden tragen zusammen, was sich über das Ziel herausfinden lässt: aus öffentlichen Quellen (Webseite, DNS-Einträge, Stellenanzeigen) und durch eigene Abfragen der Systeme (erreichbare Dienste, Softwarestände).
3	Bewertung der Informationen und Risikoanalyse	Aus dem Gesammelten leiten sie ab, wo ein Angriff Erfolg verspricht, welche Versuche der Auftrag erlaubt und welche den laufenden Betrieb gefährden würden. Danach wählen sie die Eindringversuche aus.
4	Aktive Eindringversuche	Die ausgewählten Angriffe laufen. Gelingt ein Zugang, prüfen die Testenden im vereinbarten Rahmen, wie weit er reicht, z. B. ob sich weitere Rechte oder Systeme erreichen lassen.
5	Abschlussanalyse	Alle Ergebnisse werden nachvollziehbar dokumentiert, nach Schwere eingeordnet und mit Empfehlungen versehen; im Abschlussgespräch erläutern die Testenden den Bericht.

Viele Dienstleister unterteilen feiner, etwa mit einem eigenen Schritt für den Nachtest, der nach der Behebung prüft, ob die Lücken wirklich geschlossen sind. Die Grundidee bleibt gleich: erst vereinbaren, dann erkunden, auswählen, angreifen und zuletzt berichten.

Je nachdem, wie viel die Testenden vorher wissen, unterscheidet man Black-Box-Tests (kein Vorwissen, wie ein Angreifer von außen), Grey-Box-Tests (z. B. mit einem normalen Benutzerkonto) und White-Box-Tests (volle Kenntnis von Aufbau und Quelltext). Arten von Exploits und bekannte Beispiele erklärt der Artikel Angriffe und Schadsoftware.

Ohne schriftliche Erlaubnis der Berechtigten ist ein Pentest strafbar (u. a. § 202a StGB, Ausspähen von Daten). Vorher werden deshalb mindestens festgelegt: welche Systeme getestet werden dürfen und welche nicht, das Zeitfenster, erlaubte Methoden (z. B. keine Lasttests im laufenden Betrieb), Notfallkontakte und Abbruchkriterien, der Umgang mit gefundenen Daten und die Vertraulichkeit des Berichts.

Weitere sicherheitsrelevante Prüfungen

Ein Pentest beantwortet nicht alle Fragen. Je nach Prüfgegenstand kommen weitere Prüfungen hinzu:

• Systeme: Sind Updates eingespielt, unnötige Dienste abgeschaltet und Standardpasswörter geändert? Weicht die Konfiguration von der eigenen Härtungsvorgabe ab?
• Konten und Rechte: Gibt es Konten ausgeschiedener Beschäftigter oder Dienstleister, gemeinsam genutzte Konten oder mehr Adminrechte als nötig? Sperrt die Anmeldung nach wiederholten Fehlversuchen?
• Anwendungen: Prüft eine Webanwendung Eingaben, verhindert sie den Zugriff auf fremde Datensätze, und verrät sie in Fehlermeldungen zu viel (Anwendungstest, Code-Review)?
• Erkennung: Tauchen Angriffe in den Protokollen (Logs) auf, und reagiert jemand auf die Warnungen?
• Notfallfähigkeit: Lässt sich aus der Sicherung tatsächlich wiederherstellen, und wie lange dauert das?
• Menschen und Abläufe: Erkennen Beschäftigte Phishing, und halten sie sich an die Sicherheitsrichtlinie (z. B. Bildschirmsperre, Besucherregelung)?

Wie Systeme gehärtet werden und was hinter Least Privilege und Zero Trust steckt, zeigt der Artikel Systeme härten.

Typische Fehler in Aufgaben

• ISMS mit Software verwechseln: Ein ISMS ist ein Managementsystem aus Regeln, Rollen und Verfahren. Werkzeuge unterstützen es nur.
• Datenschutz und Informationssicherheit gleichsetzen: Datenschutz schützt Personen, Informationssicherheit alle Informationen des Unternehmens.
• Risikobewertung und Risikobehandlung vertauschen: Erst wird bewertet (Wie groß ist das Risiko?), dann behandelt (Was tun wir?).
• Risikotransfer überschätzen: Eine Versicherung zahlt, schützt aber nicht vor dem Angriff und nimmt die Verantwortung nicht ab.
• Pentest ohne Erlaubnis: Ein „Test“ fremder Systeme ohne schriftlichen Auftrag ist ein Angriff.
• Security by Default mit „es gibt eine Sicherheitsoption“ verwechseln: Entscheidend ist, dass die sichere Einstellung voreingestellt ist.

Leitfragen

1. Worin unterscheiden sich Datenschutz und Informationssicherheit? Antwort

Datenschutz schützt personenbezogene Daten und damit die Rechte der betroffenen Personen; er ist gesetzlich vorgeschrieben. Informationssicherheit schützt alle Informationen eines Unternehmens, auch solche ohne Personenbezug, unabhängig davon, ob sie digital oder auf Papier vorliegen, siehe Abschnitt „Informationssicherheit, IT-Sicherheit und Datenschutz“.

2. Was ist ein ISMS, und welche Regelwerke beschreiben es? Antwort

Ein ISMS ist ein Bündel aus Regeln, Verfahren, Rollen und Werkzeugen, mit dem die Leitung die Informationssicherheit nach dem PDCA-Zyklus dauerhaft plant, umsetzt, prüft und verbessert. Nicht branchenspezifische Regelwerke sind ISO/IEC 27001 und der IT-Grundschutz des BSI (BSI-Standards 200-1 bis 200-4 und IT-Grundschutz-Kompendium), siehe Abschnitt „Was ist ein ISMS?“.

3. In welchen Schritten wird ein ISMS aufgebaut? Antwort

Initiierung durch die Leitung, Vorgehensweise wählen, Geltungsbereich festlegen, Sicherheitsleitlinie erstellen, Sicherheitsorganisation aufbauen, Dokumentation festlegen, Sicherheitskonzeption erstellen und umsetzen, Aufrechterhaltung und Verbesserung, siehe Abschnitt „Ein ISMS aufbauen: der Sicherheitsprozess“.

4. Welche Aufgaben hat eine Informationssicherheitsbeauftragte oder ein Informationssicherheitsbeauftragter, und worin unterscheidet sich die Rolle vom Datenschutzbeauftragten? Antwort

Der oder die ISB berät die Leitung, steuert den Sicherheitsprozess, stößt Maßnahmen an und prüft sie, begleitet Projekte, untersucht Vorfälle und organisiert Schulungen. Der oder die ISB kümmert sich um die Sicherheit aller Informationen des Unternehmens, Datenschutzbeauftragte um den Schutz personenbezogener Daten und die Einhaltung des Datenschutzrechts, siehe Abschnitt „Die Rolle der oder des Informationssicherheitsbeauftragten“.

5. Was versteht man unter Risikobewertung und Risikobehandlung, und welche Arten der Risikobehandlung gibt es? Antwort

Die Risikobewertung erfasst Risiken systematisch, schätzt Eintrittswahrscheinlichkeit und Auswirkungen ab und ordnet sie nach Dringlichkeit. Die Risikobehandlung entscheidet, wie mit jedem Risiko umgegangen wird, und hält die Maßnahmen in einem Plan fest: vermeiden, reduzieren, transferieren oder akzeptieren, siehe Abschnitt „Risikomanagement im ISMS“.

6. Welche wirtschaftlichen Folgen kann ein Cyberangriff haben, und wie berechnest Du den Jahresbeitrag einer Cyberversicherung mit Zuschlägen, Nachlässen und Versicherungsteuer? Antwort

Folgen sind z. B. Imageverlust, Kundenabwanderung, Umsatzrückgang und Betriebsunterbrechung; dazu kommen Kosten für Wiederherstellung, Forensik, Ersatzhardware, Benachrichtigungen, Schadenersatz und Bußgelder. Für den Beitrag gehst Du vom Tarifbetrag der gewählten Versicherungssumme aus, wendest Zuschläge und Nachlässe in der Reihenfolge des Angebots jeweils auf den vorigen Betrag an und rechnest zuletzt die Versicherungsteuer auf den Nettobeitrag, siehe Abschnitt „Was ein Cyberangriff kostet und wie eine Versicherung hilft“.

7. Was bedeuten Security by Design und Security by Default, und wie prüfst Du Security by Default bei der Auswahl einer Software? Antwort

Security by Design heißt, dass Sicherheit von Beginn der Entwicklung an berücksichtigt wird; Security by Default, dass ein Produkt im Auslieferungszustand die sichersten Einstellungen hat. Prüfen kannst Du das mit einer Checkliste der Voreinstellungen in einer Testinstallation und mit einer schriftlichen Erklärung des Anbieters, siehe Abschnitt „Security by Design und Security by Default“.

8. Wozu dient ein Penetrationstest, und in welchen Phasen läuft er ab? Antwort

Bei einem Penetrationstest greifen beauftragte Fachleute mit Erlaubnis und in einem vereinbarten Rahmen so an, wie es echte Angreifer täten. So zeigt sich, ob technische und organisatorische Schutzmaßnahmen halten und wo Lücken sind. Das BSI unterscheidet fünf Phasen: Vorbereitung, Informationsbeschaffung und Auswertung, Bewertung der Informationen und Risikoanalyse, aktive Eindringversuche, Abschlussanalyse, siehe Abschnitt „Penetrationstest“.

Links und weitere Informationen

• zum Üben: Übungsaufgaben zum Informationssicherheitsmanagement und Übungsaufgaben zum IT-Grundschutz (Schutzziele und Schutzbedarf)

• verwandte Artikel: Schutzziele, Schwachstellen und Sicherheitsrisiken, Systeme härten, Angriffe und Schadsoftware, Datenschutz nach DSGVO

• als Nachschlagewerk: BSI: IT-Grundschutz mit BSI-Standards 200-1 bis 200-4 und IT-Grundschutz-Kompendium

• zur Vertiefung: ISO/IEC 27001:2022 (Anforderungen an ein ISMS), ISO/IEC 27002:2022 (Maßnahmen), ISO/IEC 27005:2022 (Risikomanagement); BSI-Studie „Durchführungskonzept für Penetrationstests“ (Phasenmodell und Klassifikation von Pentests)

---

Hinweis zur Nachnutzung als Open Educational Resource (OER)

Dieser Artikel und seine Texte, Bilder, Grafiken, Code und sonstiger Inhalt sind - sofern nicht anders angegeben - lizenziert unter CC BY 4.0. Nennung gemäß TULLU-Regel bitte wie folgt: “Informationssicherheit managen: ISMS, IT-Grundschutz, Risikobehandlung und Penetrationstest” von oer-informatik.de (H. Stein), Lizenz: CC BY 4.0. Der Artikel wurde unter https://oer-informatik.de/isms-grundschutz veröffentlicht, die Quelltexte sind in weiterverarbeitbarer Form verfügbar im Repository unter https://gitlab.com/oer-informatik/it-sicherheit/verfuegbarkeit-notfall. Erstellt mit KI-Assistenz; von mir umfassend redaktionell überarbeitet, geprüft und freigegeben. Stand: 28.10.2026.

[Kommentare zum Artikel lesen, schreiben] / [Artikel teilen] / [gitlab-Issue zum Artikel schreiben]