Strukturanalyse

Hinweis: In der neuen Trust-Oberfläche sind diese Phasen auf einer inhaltlichen Ebene. Es wird nicht mehr zwischen den Phasen “Strukturanalyse (Inventar) und (Schutzbedarfsanalyse) getrennt. Funktionen wurden nicht entfernt. Inhalte wurden lediglich zusammengeführt und Redundanzen zusammengefasst.

---

Überblick

Geltungsbereichsdefinition (Scoping) – Überblick

Die Geltungsbereichsdefinition (engl.: Scoping) ist ein zentrales Modul des ISMS-Managementsystems. Sie ermöglicht die Definition und Verwaltung von Sicherheitsgeltungsbereichen für Organisationen im Kontext von Informationssicherheits-Management-Systemen (ISMS) und Datenschutz-Management-Systemen (DPMS).

Zweck:

• Festlegung der Grenzen und des Umfangs von Sicherheitskonzepten
• Dokumentation von Sicherheitsverantwortlichkeiten und Rollen
• Verwaltung verschiedener Geltungsbereiche pro Organisationseinheit
• Klassifizierung von Schutzbedarf nach definierten Kategorien

Strukturanalyse – Überblick

Die Strukturanalyse ist der erste Schritt beim Aufbau eines Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001 oder IT-Grundschutz. In dieser Phase werden die Grenzen des ISMS definiert, alle relevanten IT-Assets inventarisiert und deren Abhängigkeiten dokumentiert. Die fuentis Suite unterstützt Sie dabei mit einem strukturierten, modularen Ansatz.

Warum ist die Strukturanalyse wichtig?

• Schafft klare Verantwortlichkeiten für die Informationssicherheit
• Fokussiert Ressourcen auf kritische Bereiche
• Bildet die Grundlage für systematisches Risikomanagement
• Erleichtert die ISO 27001-Zertifizierung

Schutzbedarfsfeststellung (PRA) – Überblick

Die Schutzbedarfsfeststellung (engl. Protection Requirements Assessment, PRA) ist ein zentraler Baustein im IT-Sicherheitskonzept nach IT-Grundschutz und ISO/IEC 27001. Sie beantwortet die grundlegende Frage: Wie viel Schutz benötigen unsere Informationen, Anwendungen und IT-Systeme?

Durch eine systematische Analyse wird ermittelt, welche Assets kritisch für das Unternehmen sind und welche Sicherheitsmaßnahmen angemessen sind. Dies schafft die Grundlage für ein effizientes und effektives Informationssicherheitsmanagementsystem (ISMS).

---

Geltungsbereichsdefinition (Scoping)

1. Überblick

(Identisch mit Übersicht oben)

2. Hauptfunktionen

2.1 Geltungsbereiche-Übersicht

Die Übersichtsseite zeigt alle definierten Geltungsbereiche in einer Kartenansicht:

Kartenelemente: Jeder Geltungsbereich wird als Karte dargestellt mit:

• Titel des Geltungsbereichs
• Beschreibung des Sicherheitskonzepts
• Zugehörige Organisationseinheit
• Zertifizierungsstandard (z.B. ISO-27001)

Filterung: Geltungsbereiche können nach Organisationseinheit gefiltert werden
Suchfunktion: Schnelle Suche nach Geltungsbereichen per Suchleiste

2.2 Geltungsbereich Erstellen

Neue Geltungsbereiche werden über den Button ”+ Geltungsbereich erstellen” angelegt.

Der Erstellungsprozess verläuft in 4 Schritten:

Schritt 1: Basisinformationen

• Einheit auswählen: Wählen Sie die Organisationseinheit aus
• Name: Eindeutiger Name für den Geltungsbereich
• Titel: Technische Kennung (z.B. SCP-0001)
• Funktion: Definition der Rolle des Geltungsbereichs (Übergeordnet, Untergeordnet)
• Status: Definieren Sie den aktuellen Status (z.B. Entwurf, Aktiv)
• Beschreibung: Detaillierte Dokumentation des Sicherheitskonzepts

Schritt 2: ISMS-Rahmenwerk und Hauptkatalog

• Auswahl des anwendbaren Sicherheitsstandards
• Definition des Sicherheitskatalogs für den Geltungsbereich

Schritt 3: ISMS-Profil anwenden

• Anwendung vordefinierter Sicherheitsprofile
• Automatische Zuweisung von Sicherheitsanforderungen

Schritt 4: Sicherheitsobjekte zuweisen

• Zuordnung von Systemen, Prozessen und Vermögenswerten
• Definition der im Geltungsbereich zu schützenden Objekte

3. Detailansicht eines Geltungsbereichs

Nach Auswahl eines Geltungsbereichs öffnet sich die Detailansicht mit folgenden Informationen:

3.1 Reiter: Details

Basisinformationen:

• Name und Titel
• Zugehörige Organisationseinheit
• Typ (z.B. Scope)
• Erstellungsdatum und Benutzer
• Geltungsstatus (Standard/Aktuell)

Basisdaten:

• Vollständige Eingabefelder zur Bearbeitung
• Verantwortlichkeitsangaben
• Optionen zur Nutzung von Schutzbedarfsfragebögen

Überprüfungs-Management:

• Status der Strukturanalyse-Überprüfung
• Fälligkeitsdaten für Überprüfungen
• Verantwortliche Person für die Freigabe

Freigabe-Management:

• Freigabestatus der Strukturanalyse
• Fälligkeitsdatum für Freigaben
• Verantwortliche und Freigabedatum

3.2 Reiter: Schutzbedarfskategorien

Dieses Reiter zeigt die für den Geltungsbereich definierten Schutzbedarfsklassifizierungen:

Kategorien nach Schutzbedarf:

• Kategorie - Normal: Standardmäßige Sicherheitsanforderungen
• Kategorie - Hoch: Erhöhte Sicherheitsanforderungen mit folgenden Aspekten:
  • Verstoß gegen Gesetze/Vorschriften/Verträge
  • Beeinträchtigung des informationellen Selbstbestimmungsrechts
  • Beeinträchtigung der persönlichen Unversehrtheit
  • Beeinträchtigung der Aufgabenerfüllung
  • Negative Innen- oder Außenwirkung
  • Finanzielle Auswirkungen
• Kategorie - Sehr hoch: Kritische Sicherheitsanforderungen (mit denselben Aspekten wie “Hoch”)

Funktion: Diese Kategorisierung ermöglicht eine risikobasierte Zuweisung von Sicherheitsmaßnahmen.

4. Wichtige Konzepte

4.1 Geltungsbereich-Hierarchie

• Übergeordnete Geltungsbereiche: Definieren allgemeine, unternehmensweite Sicherheitsrichtlinien
• Untergeordnete Geltungsbereiche: Spezifische Sicherheitskonzepte für einzelne Geschäftsbereiche oder Services

4.2 Sicherheitskonzepte

Ein Geltungsbereich wird definiert durch ein Sicherheitskonzept, das:

• Die Grenzen der Verantwortung und Zuständigkeit festlegt
• Sicherheitsanforderungen und -maßnahmen dokumentiert
• Mit einem anerkannten Standard (z.B. ISO 27001) korreliert

4.3 Organisationseinheit

• Definiert die Zugehörigkeit des Geltungsbereichs
• Können übergeordnete und untergeordnete Beziehungen haben
• Ermöglichen organisationsspezifische Sicherheitsrichtlinien

5. Best Practices

• Klare Abgrenzung: Stellen Sie sicher, dass Geltungsbereiche eindeutig voneinander unterscheidbar sind
• Dokumentation: Verwenden Sie aussagekräftige Beschreibungen für jeden Geltungsbereich
• Regelmäßige Überprüfung: Aktualisieren Sie Geltungsbereiche regelmäßig entsprechend den organisatorischen Änderungen
• Hierarchische Struktur: Nutzen Sie die Hierarchie, um komplexe Sicherheitslandschaften zu verwalten
• Schutzbedarf-Klassifizierung: Verwenden Sie die Schutzbedarfskategorien zur Priorisierung von Sicherheitsmaßnahmen

6. Navigation und Bedienung

Element	Funktion
Globale Suche	Schnellsuche nach Geltungsbereichen oder anderen Elementen
Einheit auswählen	Filterung nach Organisationseinheit
Suchleiste	Echtzeit-Filterung der angezeigten Geltungsbereiche
Bearbeiten-Button	Öffnet den Bearbeitungsmodus für Details
Zurück-Button	Rückkehr zur Übersichtsseite
Reiter	Navigation zwischen verschiedenen Informationsbereichen

7. Typische Workflows

Workflow 1: Neuen Geltungsbereich erstellen

• Button “Geltungsbereich erstellen” klicken
• Basisinformationen eingeben
• Durch die Schritte “Rahmenwerk”, “Profil” und “Objekte” navigieren
• Speichern und Abschluss

Workflow 2: Bestehenden Geltungsbereich bearbeiten

• Geltungsbereich aus der Übersicht auswählen
• Button “Bearbeiten” klicken
• Gewünschte Felder ändern
• Änderungen speichern

Workflow 3: Schutzbedarfskategorien überprüfen

• Geltungsbereich öffnen
• Zum Reiter “Schutzbedarfskategorien” navigieren
• Kategorien einsehen und bei Bedarf anpassen

---

Schutzbedarfsfeststellung (SBF)

Warum ist die Schutzbedarfsfeststellung relevant?

• Ressourcenoptimierung: Sicherheitsmaßnahmen werden gezielt dort eingesetzt, wo sie am meisten benötigt werden
• Transparenz: Nachvollziehbare Begründung für Sicherheitsinvestitionen
• Compliance: Erfüllung regulatorischer Anforderungen (BSI IT-Grundschutz, ISO 27001)
• Risikominimierung: Systematische Identifikation und Bewertung von Schutzbedarfen
• Priorisierung: Klare Entscheidungsgrundlage für die Umsetzung von Schutzmaßnahmen

Die drei Schutzziele im Detail

Hinweis: Sie können die Schutzziele und Werte in den Einstellungen anpassen.

Die Schutzbedarfsfeststellung basiert auf den drei fundamentalen Schutzzielen der Informationssicherheit:

1. Vertraulichkeit (Confidentiality)

Definition: Informationen können nur durch autorisierte Personen eingesehen werden.

Praktische Bedeutung:

• Schutz vor unbefugtem Zugriff auf sensible Daten
• Wahrung von Geschäftsgeheimnissen
• Einhaltung von Datenschutzbestimmungen
• Verhinderung von Industriespionage

2. Integrität (Integrity)

Definition: Informationen können nur durch autorisierte Personen verändert werden. Alle Änderungen sind authentisch und nachvollziehbar.

Praktische Bedeutung:

• Schutz vor unbefugter Manipulation
• Gewährleistung der Datenrichtigkeit
• Nachweisbarkeit von Änderungen
• Vermeidung von Datenkorruption

3. Verfügbarkeit (Availability)

Definition: Informationen und Systeme stehen zur richtigen Zeit am richtigen Ort zur Verfügung.

Praktische Bedeutung:

• Sicherstellung der Geschäftskontinuität
• Minimierung von Ausfallzeiten
• Gewährleistung kritischer Prozesse
• Einhaltung von Service Level Agreements (SLAs)

Schutzbedarfskategorien

Die Schutzbedarfe werden in drei Kategorien eingeteilt, die sich an den potenziellen Schadensauswirkungen orientieren:

Normal

Kriterien:

• Schadensauswirkungen sind begrenzt und überschaubar
• Finanzielle Verluste bleiben tolerabel
• Maximale Ausfallzeit: 24-72 Stunden
• Geringe oder nur interne Reputationsschäden

Typische Beispiele:

• Interne Dokumentation
• Unkritische Verwaltungsprozesse
• Öffentlich zugängliche Informationen

Hoch

Kriterien:

• Schadensauswirkungen können beträchtlich sein
• Erhebliche finanzielle Verluste, aber nicht existenzbedrohend
• Maximale Ausfallzeit: 1-24 Stunden
• Breite Ansehens- oder Vertrauensbeeinträchtigung möglich

Typische Beispiele:

• Personenbezogene Daten
• Wichtige Geschäftsprozesse
• Kritische Kundeninformationen

Sehr hoch

Kriterien:

• Existenzbedrohende, katastrophale Auswirkungen möglich
• Fundamentale Verstöße gegen Gesetze und Vorschriften
• Maximale Ausfallzeit: < 1 Stunde
• Gefahr für Leib und Leben möglich

Typische Beispiele:

• Kritische Infrastruktursysteme
• Hochsensible Forschungsdaten
• Systeme mit Personengefährdungspotenzial

Schadensszenarien in der Praxis

Bei der Schutzbedarfsfeststellung werden verschiedene Schadensszenarien systematisch betrachtet.

Hinweis: Sie können diese Informationen im jeweiligen Geltungsbereich hinterlegen.

1. Verstoß gegen Gesetze/Vorschriften/Verträge

   • Normal: Geringfügige Vertragsverletzungen, minimale Konventionalstrafen
   • Hoch: Erhebliche rechtliche Konsequenzen, hohe Strafen
   • Sehr hoch: Fundamentale Gesetzesverstöße, ruinöse Haftungsschäden

2. Beeinträchtigung des informationellen Selbstbestimmungsrechts

   • Normal: Mögliche Beeinträchtigung der gesellschaftlichen Stellung
   • Hoch: Erhebliche Beeinträchtigung wirtschaftlicher Verhältnisse
   • Sehr hoch: Gefahr für persönliche Freiheit des Betroffenen

3. Beeinträchtigung der Aufgabenerfüllung

   • Normal: Von Betroffenen als tolerabel eingestuft
   • Hoch: Von einzelnen als nicht tolerabel eingestuft
   • Sehr hoch: Von allen als nicht tolerabel eingestuft

4. Finanzielle Auswirkungen

   • Normal: Tolerabler finanzieller Schaden
   • Hoch: Beachtliche, aber nicht existenzbedrohende Verluste
   • Sehr hoch: Existenzbedrohende finanzielle Schäden

Umsetzung der Schutzbedarfsfeststellung

Phase 1: Vorbereitung

1. Definition der Schutzbedarfskategorien

   • Anpassung an organisationsspezifische Anforderungen
   • Festlegung konkreter Schwellenwerte
   • Abstimmung mit der Geschäftsleitung

2. Identifikation der Schadensszenarien

   • Branchenspezifische Risiken berücksichtigen
   • Regulatorische Anforderungen einbeziehen
   • Historische Vorfälle analysieren

Phase 2: Durchführung

Schutzbedarfsfeststellung für Geschäftsprozesse – Vorgehen:

1. Alle relevanten Geschäftsprozesse identifizieren
2. Für jeden Prozess Vertraulichkeit, Integrität und Verfügbarkeit bewerten
3. Fachbereichsleitung in die Bewertung einbeziehen
4. Begründung dokumentieren

Praxis-Tipp: Nutzen Sie standardisierte Fragebögen für eine einheitliche Bewertung. Dies beschleunigt den Prozess und gewährleistet Vergleichbarkeit.

Schutzbedarfsfeststellung für Anwendungen – Vererbungsprinzipien:

• Maximumprinzip: Der höchste Schutzbedarf aller unterstützten Geschäftsprozesse wird übernommen
• Kumulationseffekt: Mehrere Prozesse mit normalem Schutzbedarf können zusammen einen hohen Schutzbedarf ergeben

Beispiel: Eine CRM-Anwendung unterstützt mehrere Vertriebsprozesse. Einzeln haben diese normalen Schutzbedarf, aber ein Komplettausfall würde erhebliche Umsatzeinbußen bedeuten → Verfügbarkeit: hoch

Schutzbedarfsfeststellung für IT-Systeme – Besonderheiten:

• Schutzbedarf vererbt sich von den darauf laufenden Anwendungen
• Shared Resources erfordern besondere Betrachtung
• Virtualisierung kann zu Kumulationseffekten führen

Schutzbedarfsfeststellung für Kommunikationsverbindungen – Kritische Verbindungen identifizieren:

• Internetanbindungen
• Verbindungen über öffentliche Netze
• Übertragung sensibler Daten
• Single Points of Failure

Schutzbedarfsfeststellung für Räumlichkeiten – Zu berücksichtigen:

• Physischer Zugangsschutz
• Umgebungsbedingungen (Klima, Brandschutz)
• Konzentration kritischer Systeme
• Redundanzen und Ausweichstandorte

Integration in die fuentis Suite

Funktionalitäten im ISMS-Modul

1. Strukturierte Erfassung

• Protection Requirements Tab: Zentrale Erfassung aller Schutzbedarfe
• Dropdown-Menüs für standardisierte Kategorien
• Freitextfelder für detaillierte Begründungen
• Custom PR Values: Erweiterung um organisationsspezifische Schutzziele

2. Automatisierte Vererbung (Propagation)

• Propagation Tab: Automatische Übertragung von Schutzbedarfen
• Override-Funktionen für manuelle Anpassungen
• Visualisierung der Vererbungsketten
• Bulk-Operations für effiziente Bearbeitung

3. Intelligente Empfehlungen (Recommendation)

• Algorithmusbasierte Analyse verknüpfter Assets
• Maximum-Prinzip und Kumulationseffekt werden automatisch berücksichtigt
• Preview-Funktion zeigt Auswirkungen vor Übernahme
• Multi-Select-Optionen für flexible Auswahl

4. Workflow-Integration (4-Augen-Prinzip)

• Submit → Review → Approve/Reject → Reopen
• Status-Tracking: Initial, Submitted, Approved, Rejected, Reopened
• Audit-Trail: Vollständige Dokumentation aller Änderungen
• Custom Workflows: Anpassung an organisationsspezifische Freigabeprozesse

5. Fragebogen-Modul

• Standardisierte Questionnaires für einheitliche Bewertung
• Template-Bibliothek mit Best Practices
• Automatische Auswertung und Kategorisierung
• Export-Funktionen für Berichte und Audits

Berechtigungskonzept der Schutzbedarfsfeststellung

Globale Rollen:

• ISMS_PROTECTION_REQUIREMENT_ACCESS: Grundzugriff auf PRA-Funktionen

Granulare Berechtigungen:

• Scopes - PRA Read: Lesezugriff auf Scope-Schutzbedarfe
• Scopes - Edit Protection Requirements: Bearbeitung von Scope-Schutzbedarfen
• TargetObject Groups - PRA Read: Lesezugriff auf TOG-Schutzbedarfe
• TargetObject Groups - Edit Protection Requirements: Bearbeitung von TOG-Schutzbedarfen
• Propagation of Protection Requirements: Durchführung von Vererbungen
• TargetObject Groups - Recommendation: Nutzung der Empfehlungsfunktion

Best Practices für die Umsetzung

1. Vorbereitung und Planung

✓ Management-Commitment sicherstellen

• Geschäftsleitung frühzeitig einbinden
• Budget und Ressourcen klären
• Verbindlichkeit kommunizieren

✓ Projektteam zusammenstellen

• Fachbereichsvertreter einbeziehen
• IT-Security-Expertise sicherstellen
• Klare Verantwortlichkeiten definieren

2. Durchführung

✓ Top-Down-Ansatz verfolgen

• Mit kritischen Geschäftsprozessen beginnen
• Schrittweise zu technischen Assets vordringen
• Quick Wins identifizieren und umsetzen

✓ Standardisierung anstreben

• Einheitliche Bewertungskriterien verwenden
• Fragebögen und Templates nutzen
• Regelmäßige Kalibrierungsmeetings durchführen

✓ Dokumentation sicherstellen

• Alle Entscheidungen begründen
• Annahmen explizit machen
• Änderungen nachvollziehbar dokumentieren

3. Qualitätssicherung

✓ 4-Augen-Prinzip konsequent anwenden

• Unabhängige Reviews durchführen
• Plausibilitätsprüfungen einbauen
• Regelmäßige Audits planen

✓ Kontinuierliche Verbesserung

• Lessons Learned dokumentieren
• Prozesse regelmäßig optimieren
• Feedback-Schleifen etablieren

4. Häufige Fallstricke vermeiden

Überbewertung vermeiden

• Nicht alles ist “sehr hoch” kritisch
• Realistische Einschätzungen treffen
• Kosten-Nutzen-Verhältnis beachten

Unterbewertung verhindern

• Kumulationseffekte nicht unterschätzen
• Abhängigkeiten vollständig erfassen
• Worst-Case-Szenarien durchdenken

Scope Creep kontrollieren

• Klare Systemgrenzen definieren
• Priorisierung beibehalten
• Iteratives Vorgehen wählen

Verknüpfung mit anderen ISMS-Prozessen

• Risikoanalyse: Identifikation relevanter Bedrohungen, Bewertung von Eintrittswahrscheinlichkeiten, Priorisierung von Risikoszenarien
• Maßnahmenauswahl: Angemessene Sicherheitsmaßnahmen auswählen, Implementierungsprioritäten festlegen, Ressourcen optimal allokieren
• Business Continuity Management: RTO/RPO definieren, Priorisierung im Wiederanlauf
• Compliance Management: Nachweisführung, Erfüllung regulatorischer Anforderungen, Transparenz gegenüber Stakeholdern

Glossar

• Asset: Wert oder Ressource einer Organisation (Information, System, Prozess)
• Kumulationseffekt: Erhöhung des Schutzbedarfs durch Konzentration mehrerer Assets
• Maximumprinzip: Übernahme des höchsten Schutzbedarfs bei Vererbung
• Propagation: Automatische Vererbung von Schutzbedarfen zwischen verknüpften Assets
• TOG (Target Object Group): Zielobjektgruppe – logische Gruppierung von Assets
• 4EP (4-Eye Principle): Vier-Augen-Prinzip zur Qualitätssicherung

---

Strukturanalyse

Navigation

Wenn Sie sich in der Phase Strukturanalyse befinden, spielt der Navigationsbaum an der linken Seite des Bildschirms eine zentrale Rolle. Dort haben Sie den Überblick über alle Geltungsbereiche (Scopes) und deren Zielobjektgruppen. Mithilfe der Pfeile können Sie die verschiedenen Geltungsbereiche oder Zielobjekttypen aufklappen. Wenn Sie mit der Maus über einen Geltungsbereich (Scope) hoovern sehen Sie ein “Pfeil im Kreis”-Symbol; Mit einem Klick darauf gelangen Sie zu der Detailansicht des Geltungsbereiches (Scope). Sie können den Baum Durchsuchen und Filtern, um schneller zu den gewünschten Einträgen zu gelangen.

Sie können über den Button oben Rechts -

Hinweis: Wenn Sie auf Zielobjekttypen (z.B. Information, Geschäftsprozesse, etc.) klicken, sehen Sie eine tabellarische Übersicht aller Zielobjekte diesen Typs innerhalb des jeweiligen Geltungsbereiches (Scope). Wenn Sie auf ein Zielobjekt klicken sehen Sie die jeweilige Detailansicht des Zielobjektes.

Hinweis: Der Hauptbaum ist nur für Benutzer mit der aktiven Berechtigung „Strukturanalyse – Listen lesen“ sichtbar.

Geltungsbereich (Scope)

Der Geltungsbereich definiert die Grenzen Ihres ISMS (vgl. Sicherheitskonzeptes) und legt fest, welche Teile der Organisation – einschließlich Prozesse, Systeme und Informationswerte – vom ISMS abgedeckt werden. Er umfasst alle infrastrukturellen, organisatorischen, personellen und technischen Komponenten, die der Aufgabenerfüllung in einem bestimmten Anwendungsbereich dienen.

Wichtige Eigenschaften:

• Jede Entität in fuentis hat automatisch einen Standard-Geltungsbereich
• Weitere Geltungsbereiche können manuell erstellt werden
• Klare Abgrenzung der zu schützenden Bereiche
• Basis für die gesamte ISMS-Implementierung

Detailansicht Geltungsbereich (Scope)

Im oberen Teil dieser Ansicht befindet sich die Statusleiste, in der einige grundlegende Informationen über den Geltungsbereich angezeigt werden: Name, Titel, etc. - Diese Statusleiste kann über den “Pfeil-nach-oben” eingeklappt werden.

Unterhalb der Statusleiste befinden sich die verschiedenen Attribute und Felder die ausgefüllt werden können. Sie finden dort zwei Reiter, “Details” und “SBF-Definitionen”.

Reiter Details:

1. Basisdaten - Informationen über den Namen des Geltungsbereich, Titel, Status usw.
2. IT-Grundschutz - Daten in Bezug auf den IT-Grundschutz für den ausgewählten Geltungsbereich (Schutzniveau, Relevanz für KRITIS, Behandlung personenbezogener Daten usw.)
3. Überprüft - Informationen über den Überprüfungsprozess der Strukturelle Analyse (wurde die Bestandsanalyse überprüft, wer wurde überprüft, wann wurde dieser Prozess durchgeführt usw.)
4. Genehmigt - Informationen über den Genehmigungsprozess der Strukturelle Analyse (wurde die Strukturelle Analyse genehmigt, wer wurde genehmigt, wann wurde dieser Prozess durchgeführt, usw.)

Sie können die Arbeitsbereiche über einen Klick auf das “Plus”-Symbol einklappen.

Reiter SBF-Definitionen*

Auf dieser Registerkarte werden die Schutzanforderungen (PR-Kategorien) definiert. Die Eingabe erfolgt in drei Abschnitten:

• PR-Kategorie – Normal
• PR-Kategorie – Hoch
• PR-Kategorie – Sehr hoch

Jeder Abschnitt enthält identische, bearbeitbare Felder, in denen die Auswirkungen im Schadensfall beschrieben werden können. Typische Felder sind zum Beispiel:

• Verstoß gegen Gesetze, Vorschriften oder Verträge
• Beeinträchtigung des Rechts auf informationelle Selbstbestimmung
• Finanzielle Folgen
• Körperliche Verletzung

Diese Angaben helfen dabei, die Bedeutung einzelner Werte im Kontext der Informationssicherheit nachvollziehbar und konsistent zu bewerten.

Hinweis: Sie können mehrere Geltungsbereiche anlegen und so das Konzept der “Services”, vgl. “modularen Sicherheitskonzepte”, abbilden. Sie können Zielobjekte in mehreren Geltungsbereiche hinzufügen. Sie können die Zielobjekte auch über verschiedene Geltungsbereiche hinweg verknüpfen und somit komplexe Organisationsstrukturen abbilden. Sollten Sie bei der Abbildung Hilfe benötigen sprechen Sie uns gerne an. In einem gemeinsamen Workshop können wir Ihnen sicherlich weiterhelfen.

Hinweis: Einheiten sind Objekte in denen alle relevanten Informationen gespeichert werden können. Hierzu zählen insbesondere User, Rollen & Rechte, Geltungsbereiche (Scopes) und Zielobjekte. Sie finden mehr Informationen zu diesem Thema im Bereich Rechte & Rollen.

Zielobjektgruppen (Target Object Groups - TOGs)

TOGs sind logische Gruppierungen ähnlicher Assets oder Informationswerte. Diese Gruppierung vereinfacht das Management und sorgt für konsistente Schutzmaßnahmen.

Die 12 TOG-Typen in fuentis:

1. Domäne - Übergeordnete Organisationsbereiche
2. Information - Daten und Informationsbestände
3. Geschäftsprozess - Operative und unterstützende Prozesse
4. Anwendung - Software und Applikationen
5. IT-System - Server, Clients, Netzwerkkomponenten
6. Netzwerk - Netzwerkinfrastruktur
7. Raum - Serverräume, Büros
8. Mitarbeiter - Personalressourcen
9. Physische Einrichtung - Hardware, Anlagen
10. Gebäude - Standorte und Liegenschaften
11. Infrastruktur - Unterstützende Systeme
12. Outsourcing - Externe Dienstleister

Berechtigungskonzept der Strukturanalyse

Für die Arbeit mit der Strukturanalyse benötigen Benutzer spezifische Rollen und Berechtigungen:

Globale Rolle

• ISMS_INVENTORY_ANALYSIS_ACCESS - Grundvoraussetzung für den Zugriff

Detaillierte Berechtigungen

Hinweis: Sie können mehr über das Berechtigungskonzept der fuentis Suite im Bereich Berechtigungen nachlesen. Wichtig ist, dass die Rollen selbstständig erstellt und vergeben werden müssen. Lediglich die Zuweisung der “Globalen-Access-Rollen” reicht nicht aus, um Zugriff auf die einzelnen Bereiche zu erhalten.

Für Geltungsbereiche:

• Geltungsbereiche - Lesen
• Geltungsbereiche - Erstellen
• Geltungsbereiche - Bearbeiten
• Geltungsbereiche - Löschen
• Geltungsbereiche - Verknüpfen

Für Zielobjektgruppen:

• Zielobjektgruppen - Lesen
• Zielobjektgruppen - Erstellen
• Zielobjektgruppen - Bearbeiten
• Zielobjektgruppen - Löschen
• Zielobjektgruppen - Verknüpfen

Praktische Umsetzung

1. Geltungsbereich definieren

Vorbereitung:

1. Organisationsstruktur analysieren
2. Kritische Geschäftsprozesse identifizieren
3. IT-Landschaft dokumentieren
4. Standorte und Mitarbeiter erfassen

In fuentis Suite:

• Navigation: ISMS-Modul → Strukturanalyse
• Button “Erstellen” → “Geltungsbereich”
• Pflichtfelder ausfüllen:
  • Name: Eindeutige Bezeichnung
  • Titel: Beschreibende Kurzform
  • Status: Aktueller Zustand
  • IT-Grundschutz-Daten: Schutzniveau, KRITIS-Relevanz

Praxis-Tipp: Beginnen Sie mit einem überschaubaren Geltungsbereich und erweitern Sie diesen schrittweise. Eine zu breite initiale Definition führt oft zu Komplexität und Ressourcenproblemen.

Hinweis: Sie können, nachdem Sie die Detailansicht eines Geltungsbereiches geöffnent haben, diesen dort über die Schaltfläche löschen endgültig löschen. Achtung es gibt keine Papierkorbfunktion.

2. Zielobjektgruppen (ZOG/TOGs) erstellen

Systematisches Vorgehen:

1. Geschäftsprozesse erfassen (GP001, GP002…)

   • Kernprozesse identifizieren
   • Unterstützungsprozesse dokumentieren
   • Abhängigkeiten festhalten

2. Anwendungen inventarisieren (A001, A002…)

   • Kritische Software identifizieren
   • Mit Geschäftsprozessen verknüpfen
   • Schnittstellen dokumentieren

3. IT-Systeme aufnehmen (S001, C001, L001…)

   • Server gruppieren
   • Client-Systeme zusammenfassen
   • Netzwerkkomponenten erfassen

4. Räumlichkeiten dokumentieren (R001, GB001…)

   • Serverräume
   • Bürogebäude
   • Externe Standorte

Best Practice für Namenskonventionen:

[Typ-Kürzel][Nummer] [Beschreibung]
Beispiele:
- GP002 Angebotswesen
- A022 CRM-System
- S015 Exchange-Server
- R001 Serverraum 3.OG

Hinweis: Sie können die automatische Titelerstellung anpassen. Diese Einstellung finden Sie in den Settings des ISMS (Zahnradsymbol unten links).

Praxistipp: Status: Wählen Sie hier aus, in welchem Status sich die Zielobjekt-Gruppe befindet.

1. Geplant/In Konzeption – Wichtig für die Planungsphase vor der Umsetzung.
2. Bestellt/In Erstellung – Signalisiert, dass etwas offiziell bestellt oder im Herstellungsprozess ist.
3. Bereitgestellt – Objekt oder Ressource ist verfügbar, aber noch nicht in Nutzung.
4. Im Test – Erforderlich, wenn Tests vor einer Inbetriebnahme notwendig sind.
5. In Betrieb – Standardstatus für aktiv genutzte Ressourcen oder Prozesse.
6. Defekt – Notwendig, um Probleme oder Fehler zu kennzeichnen.
7. In Reparatur/In Austausch – Wichtig für Service- und Wartungsprozesse.
8. Ausgesondert – Erforderlich für das End-of-Life-Management (z. B. bei IT-Hardware oder Maschinen).

Begriffsdefintion: Die Begriffe Zielobjekt; ZO (Targetobject; TO), Zielobjektgruppe; ZOG (Targetobejctgroup; TOG) und Asset, Assetgruppen sind leicht zu verwechseln. Die Begriffe Zielobjekt (ZO), Zielobjektgruppe (ZOG) sowie Asset und Assetgruppe werden häufig ähnlich verwendet, haben jedoch unterschiedliche Bedeutungen:

1. Zielobjekt (ZO / Target Object, TO):
   Ein einzelnes, konkretes Objekt, das im Geltungsbereich betrachtet wird – z. B. ein Server, eine Fachanwendung oder ein Gebäude.

2. Zielobjektgruppe (ZOG / Target Object Group, TOG):
   Eine Gruppe von Zielobjekten mit gemeinsamen Eigenschaften, die gemeinsam verwaltet oder bewertet werden können – z. B. „Client-PCs im Vertrieb“ oder „Rechenzentrum Nord“.

3. Asset / Assetgruppe:
   Assets können sowohl materiell (z. B. Hardware, Räume) als auch immateriell (z. B. Daten, Reputation) sein. Assets sind in der fuentis Suite “echte” eineindeutige “Configuration Items” und werden auch als solche im Asset Management betrachtet. Sie können mehr über das Asset Management im Bereich Asset Management erfahren.

Status- und Detailansicht

Im oberen Teil dieser Ansicht befindet sich die Statusleiste, in der einige grundlegende Informationen über das TOG angezeigt werden: Name, Titel, etc.. Außerdem finden Sie die Schaltflächen “Löschen” und “Verknüpfte Objekte”.

Sie finden analog zu den Geltungsbereichen für die Zielobjekte auch mehrere Reiter im Bereich der Detailansicht. Hier können Sie zu den einzelnen Funktionen navigieren.

Im Reiter “Details finden Sie die folgenden Abschnitte:

1. Basisdaten: Informationen über den Namen, Titel, Status usw. des TOG.
2. IT-Grundschutz: Daten zum IT-Grundschutz für das ausgewählte TOG (Schutzbedarf, Relevanz für KRITIS, Umgang mit personenbezogenen Daten usw.).
3. Überprüft: Informationen zum Überprüfungsprozess der Strukturanalyse (wurde die Strukturanalyse überprüft, wer hat überprüft, wann wurde dieser Prozess durchgeführt usw.).
4. Genehmigt: Informationen zum Genehmigungsprozess der Strukturanalyse (wurde die Strukturanalyse genehmigt, wer hat genehmigt, wann wurde dieser Prozess durchgeführt usw.).

Löschen

Sie können Zielobjekt über die Schaltfläche “Löschen” in der Detailansicht jederzeit löschen. Achtung es gibt keinen Papierkorb. Ein löschen ist endgültig. Sie können auch über die Zielobjekttypentabelle mehrere Zielobjekte aufeinmal löschen. Markieren Sie diese dazu und klicken sie dann auf das “Trash”-Icon.

3. Verknüpfungen herstellen

Das fuentis ISMS Modul unterstützt die Verknüpfung von Zielobjekt-Gruppen (TOG).
Welche Gruppen miteinander verknüpft werden können, wird durch deren Typ festgelegt.

• Es wird zwischen übergeordneten und untergeordneten Verknüpfungen unterschieden.
• Alle Zielobjekt-Gruppen eines Typs können außerdem mit Zielobjekt-Gruppen desselben Typs verknüpft werden.
• Die ausgewählte Gruppe, von der aus die Verknüpfung angelegt wird, gilt als übergeordnete Zielobjekt-Gruppe.

---

Hierarchische Struktur:

Geltungsbereich
  └── Domäne
      ├── Information
      ├── Geschäftsprozess
      └── Anwendung
          ├── IT-System
          │   ├── Netzwerk
          │   └── Infrastruktur
          └── Physische Einrichtung
              └── Mitarbeiter

Master-Hierarchie der Zielobjekt-Gruppen (TOG)

Geltungsbereich
  └── Domäne
      ├── Information
      │   ├── Geschäftsprozess
      │   │   ├── Anwendung
      │   │   │   ├── IT-System
      │   │   │   │   ├── Netzwerk
      │   │   │   │   │   ├── Mitarbeiter
      │   │   │   │   │   └── Outsourcing
      │   │   │   │   ├── Infrastruktur
      │   │   │   │   │   ├── Raum
      │   │   │   │   │   │   ├── Gebäude
      │   │   │   │   │   │   │   ├── Mitarbeiter
      │   │   │   │   │   │   │   ├── Outsourcing
      │   │   │   │   │   │   │   └── Physische Anlage
      │   │   │   │   │   │   └── Physische Anlage
      │   │   │   │   │   │       └── Mitarbeiter
      │   │   │   │   │   └── Outsourcing
      │   │   │   │   ├── Raum
      │   │   │   │   │   ├── Gebäude
      │   │   │   │   │   ├── Mitarbeiter
      │   │   │   │   │   ├── Outsourcing
      │   │   │   │   │   └── Physische Anlage
      │   │   │   │   ├── Physische Anlage
      │   │   │   │   │   └── Mitarbeiter
      │   │   │   │   ├── Mitarbeiter
      │   │   │   │   └── Outsourcing
      │   │   │   ├── Physische Anlage
      │   │   │   │   └── Mitarbeiter
      │   │   │   ├── Mitarbeiter
      │   │   │   └── Outsourcing
      │   │   └── Outsourcing
      │   └── Anwendung
      │       ├── IT-System
      │       ├── Physische Anlage
      │       ├── Mitarbeiter
      │       └── Outsourcing
      ├── Geschäftsprozess
      │   ├── Anwendung
      │   │   ├── IT-System
      │   │   ├── Physische Anlage
      │   │   ├── Mitarbeiter
      │   │   └── Outsourcing
      │   └── Outsourcing
      ├── Anwendung
      │   ├── IT-System
      │   ├── Physische Anlage
      │   ├── Mitarbeiter
      │   └── Outsourcing
      ├── IT-System
      │   ├── Netzwerk
      │   │   ├── Mitarbeiter
      │   │   └── Outsourcing
      │   ├── Infrastruktur
      │   │   ├── Raum
      │   │   ├── Physische Anlage
      │   │   └── Outsourcing
      │   ├── Raum
      │   │   ├── Gebäude
      │   │   ├── Mitarbeiter
      │   │   ├── Outsourcing
      │   │   └── Physische Anlage
      │   ├── Physische Anlage
      │   │   └── Mitarbeiter
      │   ├── Mitarbeiter
      │   └── Outsourcing
      ├── Infrastruktur
      │   ├── IT-System
      │   ├── Physische Anlage
      │   ├── Raum
      │   └── Outsourcing
      ├── Raum
      │   ├── Gebäude
      │   ├── Mitarbeiter
      │   ├── Outsourcing
      │   └── Physische Anlage
      ├── Gebäude
      │   ├── Mitarbeiter
      │   ├── Outsourcing
      │   └── Physische Anlage
      ├── Physische Anlage
      │   └── Mitarbeiter
      ├── Mitarbeiter
      │   └── Outsourcing
      └── Outsourcing

Zusammenfassung der TOG-Regeln

• Domäne kann direkt übergeordnet zu allen anderen TOGs sein.
• Information ist Domäne untergeordnet und Geschäftsprozess/Anwendung übergeordnet.
• Geschäftsprozess ist Domäne/Information untergeordnet und Anwendung/Outsourcing übergeordnet.
• Anwendung ist Domäne/Information/Geschäftsprozess untergeordnet und IT-System, physische Anlage, Mitarbeiter, Outsourcing übergeordnet.
• IT-System ist Anwendung untergeordnet und Netzwerk, Infrastruktur, Raum, physische Anlage, Mitarbeiter, Outsourcing übergeordnet.
• Netzwerk ist IT-System untergeordnet und Mitarbeiter/Outsourcing übergeordnet.
• Raum ist IT-System/Infrastruktur untergeordnet und Gebäude, physische Anlage, Mitarbeiter, Outsourcing übergeordnet.
• Gebäude ist Raum untergeordnet und Mitarbeiter, Outsourcing, physische Anlage übergeordnet.
• Physische Anlage ist Anwendung, IT-System, Infrastruktur, Raum, Gebäude untergeordnet und Mitarbeiter übergeordnet.
• Mitarbeiter ist mehreren TOGs übergeordnet, kann aber Outsourcing untergeordnet sein.
• Outsourcing ist stets anderen TOGs untergeordnet, kann aber keinem übergeordneten TOG übergeordnet sein.

Verknüpfungsregeln:

• Domänen können mit allen untergeordneten ZOG-Typen verknüpft werden
• Geschäftsprozesse verbinden sich mit Anwendungen und Outsourcing
• IT-Systeme benötigen Verknüpfungen zu Netzwerk und Infrastruktur
• Mitarbeiter werden relevanten Systemen und Räumen zugeordnet

Praxis-Tipp: Nutzen Sie die “Verknüpfte Objekte”-Ansicht in fuentis, um direkte und indirekte Abhängigkeiten zu visualisieren. Rote Pfeile zeigen direkte, graue Pfeile indirekte Verknüpfungen. Sie finden diese Schaltfläche im linken Bereich unterhalb der Statusleiste. Dort können Sie zwischen der Tabellenansicht und der Baumansicht wechseln.

Praxis-Tipp: Nutzen Sie die blaue Hierarchie-Ebene im oberen Bereich des Bildschirms. Hier können Sie schnell navigieren und immer die Übersicht behalten wo Sie sich aktuell befinden. Sie können außerdem über die Schaltfläche “Verknüpfte Objekte” im oberen rechten Bereich immer eine linke Seitenleiste öffnen, die Ihnen eine schnelle Navigation zu allen indirekten Verknüpfungen ermöglicht. Sie können die Objekte wie im Hauptnavigationsbaum ausklappen und auswählen.

ZOGs zu Geltungsbereichen zuweisen

Zielobjektgruppen können zu einem oder mehreren Geltungsbereichen zugewiesen werden.

4. Assets zuweisen

Konkrete Assets werden den TOGs im Tab “Assets eingeschlossen” zugewiesen:

1. TOG auswählen
2. Tab “Assets eingeschlossen” öffnen
3. Button “Hinzufügen” klicken
4. Relevante Assets auswählen und zuordnen

Hinweis: Wenn Sie keine Berechtigungen für das Model Asset Management haben können Sie keine Assets zuweisen. Achten Sie außerdem darauf, dass Sie bereits Assets in Ihrem Asset Management hinzugefügt haben.

Praxistipp: Starten Sie erstmal ohne Assets, oft Ändern diese sich schneller als die “abstrakte” Form Ihres Sicherheitskonzeptes, durch Updates oder Austausch der Geräte. Sie können Ihr ISMS also grundsätzlich erstmal auf Basis der Zielobjektgruppen erstellen.

Integration mit ISO 27001 und IT-Grundschutz

ISO 27001-Konformität

Die Strukturanalyse in fuentis erfüllt die Anforderungen von ISO 27001:

• Klausel 4.3: Definition des ISMS-Geltungsbereichs
• Klausel 8.1: Asset-Inventarisierung
• Anhang A.8: Asset Management Controls

IT-Grundschutz-Integration

Für jede TOG können IT-Grundschutz-spezifische Daten erfasst werden:

• Schutzbedarf: Normal, Hoch, Sehr hoch
• KRITIS-Relevanz: Kritische Infrastrukturen
• Personenbezogene Daten: Datenschutzrelevanz
• Verfügbarkeitsanforderungen: SLAs und RPO/RTO

So unterstützt die fuentis Suite

Automatisierung und Effizienz

• Vorlagen: Wiederverwendbare TOG-Templates
• Bulk-Operationen: Massenbearbeitung von TOGs (Weitere Funktionen befinden sich auf der Roadmap)
• Export: Excel-Integration für Bestandsdaten
• Vererbung: Automatische Schutzbedarfsvererbung

Visualisierung und Reporting

• Hauptbaum-Ansicht: Hierarchische Darstellung aller Elemente
• Abhängigkeitsdiagramme: Grafische Verknüpfungsdarstellung
• Audit-Trail: Lückenlose Änderungsdokumentation
• Dashboard: Echtzeit-Übersicht des ISMS-Status

Workflow-Integration

• Review-Prozess: Strukturierte Überprüfung
• Genehmigungsworkflows: Mehrstufige Freigaben
• Benachrichtigungen: Automatische Statusupdates
• Rollen-basierte Sichten: Angepasste Benutzeroberflächen

Häufige Herausforderungen und Lösungen

Challenge: Zu detaillierte Strukturanalyse

Problem: Hunderte von einzelnen Assets erschweren das Management
Lösung: Gruppierung ähnlicher Assets in TOGs, z.B. “Büro-PCs Etage 3” statt einzelner Rechner

Challenge: Unklare Abhängigkeiten

Problem: Kaskadeneffekte bei Ausfällen nicht erkennbar
Lösung: Systematische Verknüpfung aller TOGs, regelmäßige Überprüfung der Abhängigkeiten

Challenge: Fehlende Dokumentation

Problem: Bestehende IT-Landschaft nicht vollständig erfasst
Lösung: Schrittweise Erfassung, Nutzung automatischer Discovery-Tools, Workshops mit IT-Verantwortlichen

Challenge: Import vorhandener Informationen

Problem: Sie haben bereits eine Liste mit Assets die Sie einpflegen möchten.
Lösung: Wir können mit Ihnen zusammen eine Lösung finden, wie wir diese Inhalte automatisiert in die fuentis Suite einpflegen können. Sprechen Sie uns dazu gerne an!

Weiterführende Schritte

Nach Abschluss der Strukturanalyse folgen:

1. Schutzbedarfsfeststellung: Bewertung der Kritikalität
2. Risikoanalyse: Identifikation von Bedrohungen
3. Maßnahmenplanung: Definition von Sicherheitskontrollen
4. Umsetzung: Implementierung der Maßnahmen
5. Überwachung: Kontinuierliche Verbesserung

Einführungsvideo

Video abspielen

Das Video liegt bei YouTube. Beim Abspielen werden Daten an Google übertragen.

---

Kernaussagen auf einen Blick

1. Fundament der Informationssicherheit: Die Schutzbedarfsfeststellung ist keine bürokratische Pflicht, sondern die Basis für effektive und effiziente Sicherheitsmaßnahmen.
2. Drei Schutzziele im Fokus: Vertraulichkeit, Integrität und Verfügbarkeit müssen für jedes Asset individuell bewertet und in normal/hoch/sehr hoch kategorisiert werden.
3. Vererbung beachten: Schutzbedarfe vererben sich von Geschäftsprozessen über Anwendungen bis zu IT-Systemen – Maximumprinzip oder Kumulationseffekte können zu höheren Schutzbedarfen führen.
4. Werkzeugunterstützung nutzen: Die fuentis Suite automatisiert viele Aspekte der Schutzbedarfsfeststellung und gewährleistet durch Workflows und Fragebögen eine konsistente Durchführung.
5. Kontinuierlicher Prozess: Schutzbedarfsfeststellung ist keine einmalige Aufgabe, sondern muss bei Änderungen der IT-Landschaft oder Geschäftsprozesse aktualisiert werden.
6. Strukturanalyse ist die Basis: Ohne klare Inventarisierung kein effektives ISMS.
7. Geltungsbereich definiert Grenzen: Fokussierung auf das Wesentliche spart Ressourcen.
8. TOGs vereinfachen Management: Logische Gruppierung statt Einzelverwaltung.
9. Verknüpfungen zeigen Abhängigkeiten: Kritische Pfade werden sichtbar.
10. fuentis Suite automatisiert: Workflows und Vorlagen beschleunigen die Umsetzung.

---

Dieser Artikel basiert auf den Best Practices der ISO 27001:2022 und des BSI IT-Grundschutzes. Die beschriebenen Funktionen beziehen sich auf die fuentis Suite Version 4.