Informationssicherheit managen: ISMS, IT-Grundschutz, Risikobehandlung und Penetrationstest

Informationssicherheit managen: ISMS, IT-Grundschutz, Risikobehandlung und Penetrationstest

https://bildung.social/@oerinformatik/

https://oer-informatik.de/isms-grundschutz

ISMS, Informationssicherheitsmanagement, IT-Grundschutz, ISO/IEC 27001, Informationssicherheitsbeauftragter, Risikobehandlung, Cyberversicherung, Security by Default, Penetrationstest

tl/dr; (ca. 24 min Lesezeit): Einzelne Sicherheitsmaßnahmen reichen nicht, wenn niemand den Überblick behält. Ein Informationssicherheitsmanagementsystem (ISMS) sorgt dafür, dass Informationssicherheit geplant, umgesetzt, geprüft und verbessert wird. Der Artikel erklärt den Unterschied zwischen Informationssicherheit und Datenschutz, die wichtigsten Regelwerke (ISO/IEC 27001, IT-Grundschutz des BSI), die Schritte zum Aufbau eines ISMS, die Rolle der oder des Informationssicherheitsbeauftragten, Risikobewertung und Risikobehandlung, die wirtschaftlichen Folgen von Cyberangriffen samt Cyberversicherung, Security by Design und Security by Default sowie Audits und Penetrationstests [AI-Assisted]. (Zuletzt geändert am 28.10.2026)

Dieser Artikel baut auf der Kann-Liste des Artikels Schutzziele, Schwachstellen und Sicherheitsrisiken auf. Zum Üben gibt es Übungsaufgaben zum Informationssicherheitsmanagement.

Schon fit in diesem Thema? Nutze die Kann-Liste und die Leitfragen unter dem Artikel als Checkliste, ob Du die relevanten Kompetenzen bereits hast. Hier klicken, um Kann-Liste ein- oder auszublenden

Als Grundlagen der Informationssicherheit kann ich nach Durchlesen des Artikels…

• … den Unterschied zwischen Datenschutz und Informationssicherheit erläutern.

• … erklären, was ein ISMS ist, und zwei nicht branchenspezifische Regelwerke dafür angeben (ISO/IEC 27001, IT-Grundschutz des BSI).

• … eine Möglichkeit erläutern, eine nachprüfbare Grundlage für die Informationssicherheit eines Unternehmens zu schaffen.

• … die Schritte zum Aufbau eines ISMS in eine sinnvolle Reihenfolge bringen.

• … Aufgaben und Anforderungen einer oder eines Informationssicherheitsbeauftragten (ISB) nennen und die Rolle vom Datenschutzbeauftragten abgrenzen.

• … die Begriffe Risikobewertung und Risikobehandlung erläutern, den Zweck einer Risikoanalyse beschreiben und Arten der Risikobehandlung mit Beispielen beschreiben.

• … zu elementaren Gefährdungen des IT-Grundschutz-Kompendiums mögliche Schäden und geeignete Gegenmaßnahmen angeben.

• … wirtschaftliche Folgen und Kosten eines Cyberangriffs nennen und die Jahresprämie einer Cyberversicherung berechnen.

• … Security by Design und Security by Default erläutern und beschreiben, wie ich Security by Default bei der Auswahl von Software prüfe.

• … den Zweck eines Penetrationstests erläutern, seine Phasen ordnen und weitere sicherheitsrelevante Prüfungen beschreiben.

Darüber hinaus kann ich als Expertenwissen…

• … die drei Vorgehensweisen des IT-Grundschutzes (Basis-, Kern- und Standard-Absicherung) unterscheiden und eine davon für eine Organisation begründet auswählen.

• … die Ziele eines Sicherheitsaudits aus einer englischsprachigen Beschreibung erläutern.

• … begründen, welche Punkte vor einem Penetrationstest schriftlich vereinbart werden müssen.

Die Firewall ist aktuell, die Festplatten sind verschlüsselt, alle haben ein sicheres Passwort – und trotzdem gelingt der Angriff, weil das Backup seit Monaten nicht mehr geprüft wurde, weil niemand wusste, wer bei einem Vorfall entscheidet, oder weil ein neuer Cloud-Dienst ohne Sicherheitsprüfung eingeführt wurde. Einzelne Maßnahmen schützen nur so lange, wie jemand sie plant, überwacht und an neue Lagen anpasst. Genau dafür gibt es ein Informationssicherheitsmanagementsystem (ISMS). Die Grafik zeigt im Überblick, wie ein ISMS im PDCA-Zyklus arbeitet; die einzelnen Bausteine erklären die folgenden Abschnitte.

Informationssicherheit, IT-Sicherheit und Datenschutz

Die drei Begriffe werden oft durcheinandergeworfen, meinen aber Verschiedenes:

Kurz gesagt: Informationssicherheit schützt das Unternehmen und seine Informationen, Datenschutz schützt Menschen vor dem Missbrauch ihrer Daten. Beide überschneiden sich: Wer personenbezogene Daten verarbeitet, muss sie nach Art. 32 DSGVO mit technischen und organisatorischen Maßnahmen schützen. Eine Konstruktionszeichnung oder eine Preiskalkulation ist dagegen kein Fall für den Datenschutz, aber sehr wohl für die Informationssicherheit. Ausführlich behandelt der Artikel Datenschutz nach DSGVO den Datenschutz.

Was ist ein ISMS?

Ein ISMS ist kein Programm, sondern ein Bündel aus Regeln, Verfahren, Zuständigkeiten und Werkzeugen, mit dem die Leitung einer Organisation die Informationssicherheit dauerhaft steuert. Dazu gehören eine Sicherheitsleitlinie, eine Sicherheitsorganisation mit klaren Rollen, ein Verfahren zum Umgang mit Risiken, dokumentierte Maßnahmen und regelmäßige Überprüfungen.

Der PDCA-Zyklus

Ein ISMS ist nie „fertig“. Es folgt dem Kreislauf Plan – Do – Check – Act (Planen – Umsetzen – Überprüfen – Verbessern):

Regelwerke für Informationssicherheit

Damit nicht jedes Unternehmen das Rad neu erfinden muss, gibt es Normen und Standards. Die beiden wichtigsten, nicht branchenspezifischen Regelwerke im deutschsprachigen Raum sind:

• ISO/IEC 27001 (aktuelle Fassung 2022, auf Deutsch als DIN EN ISO/IEC 27001): internationale Norm mit den Anforderungen an ein ISMS. Ihr Anhang A listet 93 Maßnahmen (controls) in vier Themen: organisatorisch, personell, physisch und technologisch. Ergänzend beschreibt ISO/IEC 27002 die Umsetzung dieser Maßnahmen, ISO/IEC 27005 das Risikomanagement.

• IT-Grundschutz des BSI: Die BSI-Standards 200-1 (Anforderungen an ein ISMS), 200-2 (Vorgehensweise nach IT-Grundschutz), 200-3 (Risikoanalyse) und 200-4 (Business Continuity Management) beschreiben die Methode, das IT-Grundschutz-Kompendium liefert dazu Bausteine mit konkreten Anforderungen für typische Objekte (Server, Clients, Räume, Prozesse …). Der IT-Grundschutz ist mit ISO/IEC 27001 vereinbar. Das BSI modernisiert ihn derzeit zu Grundschutz++ mit maschinenlesbaren Anforderungen: Die Methodik wurde im April 2026 veröffentlicht, Zertifizierungen nach Grundschutz++ sind ab dem 1. Januar 2027 möglich, der bisherige IT-Grundschutz gilt in einer Übergangszeit bis Ende 2028 weiter.

Daneben gibt es Angebote für kleine und mittlere Unternehmen wie VdS 10000 sowie branchenspezifische Standards, etwa TISAX in der Automobilindustrie oder die branchenspezifischen Sicherheitsstandards (B3S) für Betreiber kritischer Infrastrukturen. Für die Sicherheit einzelner Produkte (nicht Organisationen) gibt es die Common Criteria (ISO/IEC 15408).

Eine nachprüfbare Grundlage schaffen

Wie zeigt ein Unternehmen seiner Kundschaft, seinen Partnern oder einer Versicherung, dass es Informationssicherheit ernst nimmt? Möglichkeiten sind:

• eine Zertifizierung des ISMS nach ISO/IEC 27001, auch als „ISO 27001 auf der Basis von IT-Grundschutz“ beim BSI; eine unabhängige Stelle prüft das ISMS und bestätigt es mit einem Zertifikat, das regelmäßig überwacht und nach drei Jahren erneuert wird,

• eine Sicherheitsleitlinie, die von der Leitung unterschrieben, allen bekannt gemacht und regelmäßig überprüft wird,

• dokumentierte, regelmäßige Schulungen der Beschäftigten und dokumentierte Prüfungen (Audits, Penetrationstests),

• beim Einkauf: Produkte, die nach anerkannten Kriterien zertifiziert sind (z. B. Common Criteria).

Für viele Unternehmen ist ein ISMS keine freiwillige Kür mehr: Seit Dezember 2025 verpflichtet das Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie zahlreiche Unternehmen bestimmter Sektoren (in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz) zu Risikomanagementmaßnahmen nach § 30 BSIG, zu Meldungen von Sicherheitsvorfällen und zur Registrierung beim BSI. Hinzu kommen Anforderungen von Großkunden an ihre Lieferanten und von Cyberversicherungen.

Ein ISMS aufbauen: der Sicherheitsprozess

Der BSI-Standard 200-2 beschreibt den Aufbau eines ISMS als Sicherheitsprozess. Vereinfacht sind das folgende Schritte:

1. Initiierung: Die Leitung übernimmt die Gesamtverantwortung für die Informationssicherheit und stellt Ressourcen (Personal, Zeit, Budget) bereit. Ohne diese Rückendeckung scheitert jedes ISMS.

2. Vorgehensweise wählen: Basis-Absicherung (schneller Einstieg mit den wichtigsten Anforderungen), Kern-Absicherung (zuerst die „Kronjuwelen“, also die wichtigsten Geschäftsprozesse) oder Standard-Absicherung (umfassender Schutz der gesamten Organisation).

3. Geltungsbereich festlegen: Welche Standorte, Prozesse und Systeme gehören dazu (z. B. „Onlineshop mit Lager und Werkstatt in Bielefeld“)?

4. Sicherheitsleitlinie erstellen: Kurzes Grundsatzdokument mit Zielen, Geltungsbereich, Verantwortung und Verpflichtung der Leitung.

5. Sicherheitsorganisation aufbauen: Rollen benennen, vor allem eine Informationssicherheitsbeauftragte oder einen Informationssicherheitsbeauftragten, Berichtswege und ggf. ein Sicherheitsteam festlegen.

6. Dokumentation festlegen: Welche Dokumente gibt es (Leitlinie, Richtlinien, Konzepte, Nachweise), wer pflegt sie, wo liegen sie?

7. Sicherheitskonzeption erstellen und umsetzen: Strukturanalyse (Welche Prozesse, Anwendungen, Systeme, Räume gibt es?), Schutzbedarfsfeststellung, Modellierung mit den Bausteinen des Kompendiums, IT-Grundschutz-Check (Soll-Ist-Vergleich), Risikoanalyse für Objekte mit hohem Schutzbedarf, Umsetzungsplan mit Verantwortlichen und Terminen.

8. Aufrechterhaltung und Verbesserung: Wirksamkeit regelmäßig prüfen (Audits, Kennzahlen, Übungen), aus Vorfällen lernen, das Konzept fortschreiben (PDCA).

Die Grafik fasst den Ablauf zusammen; Schritt 7 besteht selbst aus mehreren Teilschritten:

Wie Du den Schutzbedarf je Schutzziel feststellst und begründest, zeigt der Artikel Schutzziele, Schwachstellen und Sicherheitsrisiken.

Die Rolle der oder des Informationssicherheitsbeauftragten

Die Leitung bleibt verantwortlich, kann aber nicht jeden Tag selbst für Informationssicherheit sorgen. Sie benennt deshalb eine Informationssicherheitsbeauftragte bzw. einen Informationssicherheitsbeauftragten (ISB; in Unternehmen oft auch Chief Information Security Officer, CISO).

Typische Aufgaben:

• die Leitung in allen Fragen der Informationssicherheit beraten und regelmäßig berichten,
• den Sicherheitsprozess steuern und koordinieren, Leitlinie und Sicherheitskonzept erstellen und fortschreiben,
• die Umsetzung von Sicherheitsmaßnahmen anstoßen und überprüfen,
• sicherheitsrelevante Projekte begleiten (z. B. Einführung neuer Software),
• Sicherheitsvorfälle untersuchen und auswerten,
• Sensibilisierungs- und Schulungsmaßnahmen planen.

Anforderungen an die Person:

• Identifikation mit den Zielen der Informationssicherheit, Bereitschaft zur Fortbildung,
• gute Kenntnis der Organisation und ihrer Abläufe,
• Grundkenntnisse in IT und Kenntnisse über Methoden der Risikoanalyse,
• Kooperations- und Teamfähigkeit, aber auch Durchsetzungsvermögen,
• ausreichend Zeit für die Aufgabe und ein direkter Zugang zur Leitung,
• möglichst keine Interessenkonflikte: Die Leitung der IT-Abteilung sollte nicht zugleich ISB sein, denn sonst kontrolliert sie sich selbst.

ISB oder Datenschutzbeauftragte*r? Beide Rollen arbeiten eng zusammen, verfolgen aber unterschiedliche Ziele:

ISB und Datenschutzbeauftragte*r im Vergleich

	Informationssicherheitsbeauftragte*r	Datenschutzbeauftragte*r
schützt	alle Informationen des Unternehmens (digital und analog)	personenbezogene Daten, also die Rechte der Betroffenen
Grundlage	Entscheidung der Leitung, ISMS-Normen, ggf. NIS-2-Pflichten	gesetzlich vorgeschrieben (Art. 37–39 DSGVO, § 38 BDSG)
Blickwinkel	Was schadet dem Unternehmen?	Was schadet den betroffenen Personen?

Eine Person kann grundsätzlich beide Rollen übernehmen, wenn sie genug Zeit und Fachwissen hat. Weil die Ziele aber in Konflikt geraten können (z. B. lange Protokollierung für die Sicherheit gegen Datenminimierung), wird häufig empfohlen, die Rollen zu trennen.

Risikomanagement im ISMS

Herzstück jedes ISMS ist der systematische Umgang mit Risiken. Die Grundbegriffe Schwachstelle, Bedrohung und Risiko sowie die Risikomatrix erklärt der Artikel Schutzziele, Schwachstellen und Sicherheitsrisiken. Im ISMS laufen daraus zwei Schritte ab:

Risikobewertung

Die Risikobewertung (risk assessment) erfasst systematisch die Risiken für Vertraulichkeit, Integrität und Verfügbarkeit der Informationen. Sie umfasst

1. Risiken identifizieren: Welche Gefährdungen treffen auf welche Werte (Prozesse, Daten, Systeme)?

2. Risiken analysieren: Wie wahrscheinlich ist ein Schaden, und wie hoch wäre er? Eine Risikoanalyse ist genau diese Untersuchung der Eintrittswahrscheinlichkeit eines negativen Ereignisses und seiner möglichen Folgen.

3. Risiken bewerten: Einordnung in eine Risikomatrix, Vergleich mit den Kriterien der Leitung (Was ist noch tragbar?) und Festlegung, welche Risiken wie dringend behandelt werden.

Risikobehandlung

Die Risikobehandlung (risk treatment) entscheidet für jedes bewertete Risiko, wie damit umgegangen wird. Ergebnis ist ein Risikobehandlungsplan mit begründeten Maßnahmen, Verantwortlichen und Terminen. Vier Optionen stehen zur Wahl:

Wichtig: Beim Risikotransfer wird nur der finanzielle Schaden verlagert, nicht die Verantwortung. Und ein Restrisiko bleibt immer; die Leitung muss es ausdrücklich akzeptieren.

Elementare Gefährdungen des IT-Grundschutz-Kompendiums

Damit beim Identifizieren keine wichtige Gefährdung vergessen wird, listet das IT-Grundschutz-Kompendium 47 elementare Gefährdungen (G 0.1 bis G 0.47), von Feuer über den Ausfall der Stromversorgung bis zu Schadprogrammen und Social Engineering. Zu jeder Gefährdung lassen sich mögliche Schäden und Gegenmaßnahmen angeben:

Beispiele elementarer Gefährdungen mit Schäden und Gegenmaßnahmen

Gefährdung	mögliche Schäden	geeignete Gegenmaßnahmen
G 0.1 Feuer	Zerstörung von Servern und Datenträgern, Ausfall aller Dienste, Gefahr für Menschen	Brandmeldeanlage, Feuerlöscher bzw. Löschanlage im Serverraum, Sicherung in einem anderen Brandabschnitt
G 0.11 Ausfall oder Störung von Dienstleistern	Onlineshop beim Cloudanbieter nicht erreichbar, Umsatzausfall, Vertragsstrafen gegenüber Kunden	Verträge mit zugesicherter Verfügbarkeit (SLA), Ausweichanbieter, eigene Sicherungen der Daten
G 0.39 Schadprogramme	verschlüsselte oder gestohlene Daten, Betriebsunterbrechung, Erpressung	Updates, Virenschutz, Rechte minimieren, Sicherungen offline, Schulung der Beschäftigten
G 0.42 Social Engineering	Preisgabe von Zugangsdaten, Überweisung an Betrüger	Sensibilisierung, Rückruf über bekannte Nummer, Vier-Augen-Prinzip bei Zahlungen

In Aufgaben sollen Schäden und Maßnahmen zur genannten Gefährdung passen: Gegen einen Stromausfall hilft eine USV, gegen einen Ausfall des Internetanschlusses eine zweite Leitung über einen anderen Anbieter oder eine andere Technik (z. B. Mobilfunk).

Was ein Cyberangriff kostet und wie eine Versicherung hilft

Ein erfolgreicher Angriff verursacht nicht nur Technikkosten. Typische wirtschaftliche Folgen sind:

• Imageverlust bei Kundschaft und Partnern („Dort sind meine Daten nicht sicher“), daraus Kundenabwanderung, sinkender Umsatz und Verlust von Marktanteilen,
• Betriebsunterbrechung: Aufträge können nicht angenommen oder ausgeliefert werden.

Typische Kosten und Aufwendungen sind:

• Wiederherstellung von Daten und Systemen, IT-Forensik, externe Dienstleister,
• Ersatz beschädigter oder gestohlener Hardware,
• Benachrichtigung betroffener Kund*innen, Krisenkommunikation, Rechtsberatung,
• Schadenersatz und Vertragsstrafen (z. B. bei verletzten Service-Level-Vereinbarungen),
• Bußgelder bei Datenschutzverstößen,
• entgangener Gewinn während der Betriebsunterbrechung.

Eine Cyberversicherung ist ein klassischer Risikotransfer: Sie übernimmt einen Teil dieser Kosten. Versicherer verlangen dafür meist Mindestmaßnahmen (z. B. Mehr-Faktor-Anmeldung, getestete Sicherungen) – ein ISMS macht den Abschluss leichter. Die Prämie richtet sich oft nach dem Jahresumsatz, ergänzt um Zusatzbausteine.

Beispiel: Ein Unternehmen mit 4,2 Mio. € Jahresumsatz erhält ein Angebot: Grundprämie 1.450 € je angefangene Million € Umsatz und Jahr, Zusatzbaustein „Betriebsunterbrechung“ 950 € je Jahr, Zusatzbaustein „Datenwiederherstellung“ 420 € je Jahr.

Geg.: U = 4{,}2\ \text{Mio. €}, p = 1450\ \tfrac{\text{€}}{\text{Mio. € und Jahr}}, B_1 = 950\ \text{€}, B_2 = 420\ \text{€}

Ges.: Jahresprämie P

\begin{aligned} \text{I:}\quad n &= \left\lceil \frac{U}{1\ \text{Mio. €}} \right\rceil = \lceil 4{,}2 \rceil = 5 \\ \text{II:}\quad P &= n \cdot p + B_1 + B_2 \\ \text{I in II:}\quad P &= 5 \cdot 1450\ \text{€} + 950\ \text{€} + 420\ \text{€} \\ P &= 7250\ \text{€} + 950\ \text{€} + 420\ \text{€} = \underline{\underline{8620{,}00\ \text{€}}} \end{aligned}

Achte auf das Wort „angefangene“: 4,2 Mio. € Umsatz zählen als fünf Millionen, nicht als 4,2.

Security by Design und Security by Default

Sicherheit lässt sich schlecht nachträglich „anschrauben“. Zwei Prinzipien sorgen dafür, dass sie von Anfang an dazugehört:

• Security by Design (Sicherheit durch Technikgestaltung): Hard- und Software werden von Beginn der Entwicklung an so entworfen, dass möglichst wenige Schwachstellen entstehen. Beispiele: Bedrohungsanalyse schon beim Entwurf, sichere Programmierrichtlinien, Rechtekonzept von Anfang an, Code-Reviews und Sicherheitstests in jeder Iteration, verschlüsselte Datenhaltung als Teil der Architektur.

• Security by Default (Sicherheit durch Voreinstellung): Ein Produkt ist im Auslieferungszustand so sicher wie möglich eingestellt. Wer weniger Sicherheit will, muss das bewusst ändern. Beispiele: kein Standardpasswort, Mehr-Faktor-Anmeldung voreingestellt, nicht benötigte Dienste und Schnittstellen abgeschaltet, Updates automatisch, Profile neuer Nutzender nicht öffentlich.

Für den Datenschutz verlangt Art. 25 DSGVO dasselbe als „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“. Die europäische Cyberresilienz-Verordnung (Cyber Resilience Act, Verordnung (EU) 2024/2847) macht Security by Design und by Default für Produkte mit digitalen Elementen schrittweise zur Pflicht: Meldepflichten für ausgenutzte Schwachstellen gelten ab September 2026, die übrigen Anforderungen ab Dezember 2027.

So prüfst Du Security by Default bei der Auswahl von Software

Wenn Du für Dein Unternehmen eine Software auswählst (z. B. ein ERP- oder Ticketsystem), kannst Du Security by Default so überprüfen:

• Checkliste der Voreinstellungen anlegen (Passwortregeln, Mehr-Faktor-Anmeldung, Rechte neuer Konten, offene Schnittstellen, Protokollierung, Verschlüsselung, Freigaben) und in einer Testinstallation prüfen, ob alles ab Werk auf der sichersten Stufe steht.
• Vom Anbieter eine schriftliche Erklärung und eine Liste der Standardeinstellungen verlangen und als Anforderung ins Lastenheft bzw. in den Vertrag aufnehmen.
• Auf Nachweise achten: Zertifizierungen, Sicherheitsdokumentation des Herstellers, Ergebnisse unabhängiger Tests.

Sicherheit prüfen: Audit, Schwachstellenscan und Penetrationstest

Im „Check“ des PDCA-Zyklus wird geprüft, ob die Maßnahmen wirken.

Audits

Ein Audit ist eine systematische, unabhängige Prüfung, ob Vorgaben eingehalten werden. Interne Audits führt das Unternehmen selbst durch, externe Audits eine unabhängige Stelle (z. B. für eine Zertifizierung). Typische Ziele eines Sicherheitsaudits:

• Schwachstellen erkennen, bevor Angreifer sie finden,
• Sicherheit erhöhen, indem technische und organisatorische Maßnahmen verbessert werden,
• Einhaltung der Regeln prüfen (compliance): Halten sich alle an die Sicherheitsrichtlinie, also an die Regeln und Verfahren, mit denen Beschäftigte und andere Beteiligte die IT sicher nutzen?

Penetrationstest

Ein Penetrationstest (Pentest) simuliert einen realitätsnahen, gezielten Angriff, um die Wirksamkeit der Schutzmaßnahmen zu prüfen und Sicherheitslücken aufzuspüren. Geprüft werden nicht nur IT-Systeme (Server, Webanwendungen, Netze, WLAN), sondern je nach Auftrag auch die begleitenden organisatorischen Maßnahmen und die Menschen (z. B. mit Phishing-Simulationen oder dem Versuch, ohne Ausweis ins Gebäude zu kommen).

Anders als ein Schwachstellenscan, der automatisiert nach bekannten Lücken sucht, versuchen Pentester*innen, Lücken tatsächlich auszunutzen und zu verketten. Ein Pentest läuft in Phasen ab:

Phasen eines Penetrationstests

Nr.	Phase	Was passiert?
1	Planung und Zielsetzung	Umfang (scope), Ziele, Zeitfenster, Ansprechpersonen und Regeln schriftlich vereinbaren
2	Aufklärung (Reconnaissance)	öffentlich verfügbare Informationen sammeln: Domains, IP-Bereiche, Namen, eingesetzte Software
3	Scanning und Schwachstellenanalyse (Vulnerability Assessment)	offene Ports, Dienste und Versionen ermitteln, bekannte Schwachstellen zuordnen
4	Ausnutzung (Exploitation)	Schwachstellen gezielt ausnutzen, um unbefugten Zugriff auf Systeme oder Daten zu erlangen
5	Post-Exploitation	prüfen, wie weit man vom eroberten System aus kommt: Rechte ausweiten, andere Systeme erreichen, Daten finden
6	Dokumentation und Bericht	Funde mit Risiko bewerten, Nachweise und Empfehlungen festhalten
7	Nachbereitung und Nachtest (Follow-up)	Maßnahmen umsetzen und prüfen, ob die Lücken geschlossen sind

Je nachdem, wie viel die Testenden vorher wissen, unterscheidet man Black-Box-Tests (kein Vorwissen, wie ein Angreifer von außen), Grey-Box-Tests (z. B. mit einem normalen Benutzerkonto) und White-Box-Tests (volle Kenntnis von Aufbau und Quelltext). Arten von Exploits und bekannte Beispiele erklärt der Artikel Angriffe und Schadsoftware.

Ohne schriftliche Erlaubnis der Berechtigten ist ein Pentest strafbar (u. a. § 202a StGB, Ausspähen von Daten). Vorher werden deshalb mindestens festgelegt: welche Systeme getestet werden dürfen und welche nicht, das Zeitfenster, erlaubte Methoden (z. B. keine Lasttests im laufenden Betrieb), Notfallkontakte und Abbruchkriterien, der Umgang mit gefundenen Daten und die Vertraulichkeit des Berichts.

Weitere sicherheitsrelevante Prüfungen

Neben Pentest und Schwachstellenscan gehören zu einer umfassenden Prüfung zum Beispiel:

• Patch-Stand und Konfiguration der Systeme prüfen (auch Verzeichnisdienst und Gruppenrichtlinien),
• Passwortrichtlinie und Benutzerkonten prüfen (verwaiste Konten, zu viele Adminrechte),
• Protokolle (Logs) auf Auffälligkeiten auswerten,
• Sicherheit von Anwendungen und Diensten prüfen (z. B. Webanwendung auf Eingabeprüfung),
• Anmeldeversuche mit bekannten Konten (Brute Force) und Sperrmechanismen testen,
• alle Clients auf Schadsoftware prüfen,
• Wiederherstellung aus der Datensicherung testen,
• Einhaltung von Richtlinien prüfen (BSI-Anforderungen oder eigene Richtlinien), z. B. mit einer Phishing-Simulation.

Wie Systeme gehärtet werden und was hinter Least Privilege und Zero Trust steckt, zeigt der Artikel Systeme härten.

Typische Fehler in Aufgaben

• ISMS mit Software verwechseln: Ein ISMS ist ein Managementsystem aus Regeln, Rollen und Verfahren. Werkzeuge unterstützen es nur.
• Datenschutz und Informationssicherheit gleichsetzen: Datenschutz schützt Personen, Informationssicherheit alle Informationen des Unternehmens.
• Risikobewertung und Risikobehandlung vertauschen: Erst wird bewertet (Wie groß ist das Risiko?), dann behandelt (Was tun wir?).
• Risikotransfer überschätzen: Eine Versicherung zahlt, schützt aber nicht vor dem Angriff und nimmt die Verantwortung nicht ab.
• Pentest ohne Erlaubnis: Ein „Test“ fremder Systeme ohne schriftlichen Auftrag ist ein Angriff.
• Security by Default mit „es gibt eine Sicherheitsoption“ verwechseln: Entscheidend ist, dass die sichere Einstellung voreingestellt ist.

Leitfragen

1. Worin unterscheiden sich Datenschutz und Informationssicherheit? Antwort

Datenschutz schützt personenbezogene Daten und damit die Rechte der betroffenen Personen; er ist gesetzlich vorgeschrieben. Informationssicherheit schützt alle Informationen eines Unternehmens, auch solche ohne Personenbezug, unabhängig davon, ob sie digital oder auf Papier vorliegen, siehe Abschnitt „Informationssicherheit, IT-Sicherheit und Datenschutz“.

2. Was ist ein ISMS, und welche Regelwerke beschreiben es? Antwort

Ein ISMS ist ein Bündel aus Regeln, Verfahren, Rollen und Werkzeugen, mit dem die Leitung die Informationssicherheit nach dem PDCA-Zyklus dauerhaft plant, umsetzt, prüft und verbessert. Nicht branchenspezifische Regelwerke sind ISO/IEC 27001 und der IT-Grundschutz des BSI (BSI-Standards 200-1 bis 200-4 und IT-Grundschutz-Kompendium), siehe Abschnitt „Was ist ein ISMS?“.

3. In welchen Schritten wird ein ISMS aufgebaut? Antwort

Initiierung durch die Leitung, Vorgehensweise wählen, Geltungsbereich festlegen, Sicherheitsleitlinie erstellen, Sicherheitsorganisation aufbauen, Dokumentation festlegen, Sicherheitskonzeption erstellen und umsetzen, Aufrechterhaltung und Verbesserung, siehe Abschnitt „Ein ISMS aufbauen: der Sicherheitsprozess“.

4. Welche Aufgaben hat eine Informationssicherheitsbeauftragte oder ein Informationssicherheitsbeauftragter, und worin unterscheidet sich die Rolle vom Datenschutzbeauftragten? Antwort

Der oder die ISB berät die Leitung, steuert den Sicherheitsprozess, stößt Maßnahmen an und prüft sie, begleitet Projekte, untersucht Vorfälle und organisiert Schulungen. Der oder die ISB kümmert sich um die Sicherheit aller Informationen des Unternehmens, Datenschutzbeauftragte um den Schutz personenbezogener Daten und die Einhaltung des Datenschutzrechts, siehe Abschnitt „Die Rolle der oder des Informationssicherheitsbeauftragten“.

5. Was versteht man unter Risikobewertung und Risikobehandlung, und welche Arten der Risikobehandlung gibt es? Antwort

Die Risikobewertung erfasst Risiken systematisch, schätzt Eintrittswahrscheinlichkeit und Auswirkungen ab und ordnet sie nach Dringlichkeit. Die Risikobehandlung entscheidet, wie mit jedem Risiko umgegangen wird, und hält die Maßnahmen in einem Plan fest: vermeiden, reduzieren, transferieren oder akzeptieren, siehe Abschnitt „Risikomanagement im ISMS“.

6. Welche wirtschaftlichen Folgen kann ein Cyberangriff haben, und wie berechnest Du die Prämie einer Cyberversicherung, die nach angefangenen Umsatzmillionen abrechnet? Antwort

Folgen sind z. B. Imageverlust, Kundenabwanderung, Umsatzrückgang und Betriebsunterbrechung; dazu kommen Kosten für Wiederherstellung, Forensik, Ersatzhardware, Benachrichtigungen, Schadenersatz und Bußgelder. Für die Prämie rundest Du den Umsatz auf die nächste volle Million auf, multiplizierst mit der Grundprämie und addierst die Zusatzbausteine, siehe Abschnitt „Was ein Cyberangriff kostet und wie eine Versicherung hilft“.

7. Was bedeuten Security by Design und Security by Default, und wie prüfst Du Security by Default bei der Auswahl einer Software? Antwort

Security by Design heißt, dass Sicherheit von Beginn der Entwicklung an berücksichtigt wird; Security by Default, dass ein Produkt im Auslieferungszustand die sichersten Einstellungen hat. Prüfen kannst Du das mit einer Checkliste der Voreinstellungen in einer Testinstallation und mit einer schriftlichen Erklärung des Anbieters, siehe Abschnitt „Security by Design und Security by Default“.

8. Wozu dient ein Penetrationstest, und in welchen Phasen läuft er ab? Antwort

Ein Penetrationstest simuliert einen realitätsnahen Angriff, um die Wirksamkeit technischer und organisatorischer Schutzmaßnahmen zu prüfen und Lücken zu finden. Phasen: Planung und Zielsetzung, Aufklärung, Scanning und Schwachstellenanalyse, Exploitation, Post-Exploitation, Dokumentation und Bericht, Nachbereitung, siehe Abschnitt „Penetrationstest“.

Links und weitere Informationen

• zum Üben: Übungsaufgaben zum Informationssicherheitsmanagement und Übungsaufgaben zum IT-Grundschutz (Schutzziele und Schutzbedarf)

• verwandte Artikel: Schutzziele, Schwachstellen und Sicherheitsrisiken, Systeme härten, Angriffe und Schadsoftware, Datenschutz nach DSGVO

• als Nachschlagewerk: BSI: IT-Grundschutz mit BSI-Standards 200-1 bis 200-4 und IT-Grundschutz-Kompendium

• zur Vertiefung: ISO/IEC 27001:2022 (Anforderungen an ein ISMS), ISO/IEC 27002:2022 (Maßnahmen), ISO/IEC 27005:2022 (Risikomanagement)

---

Hinweis zur Nachnutzung als Open Educational Resource (OER)

Dieser Artikel und seine Texte, Bilder, Grafiken, Code und sonstiger Inhalt sind - sofern nicht anders angegeben - lizenziert unter CC BY 4.0. Nennung gemäß TULLU-Regel bitte wie folgt: “Informationssicherheit managen: ISMS, IT-Grundschutz, Risikobehandlung und Penetrationstest” von oer-informatik.de (H. Stein), Lizenz: CC BY 4.0. Der Artikel wurde unter https://oer-informatik.de/isms-grundschutz veröffentlicht, die Quelltexte sind in weiterverarbeitbarer Form verfügbar im Repository unter https://gitlab.com/oer-informatik/it-sicherheit/verfuegbarkeit-notfall. Erstellt mit KI-Assistenz; von mir umfassend redaktionell überarbeitet, geprüft und freigegeben. Stand: 28.10.2026.

[Kommentare zum Artikel lesen, schreiben] / [Artikel teilen] / [gitlab-Issue zum Artikel schreiben]