Publikation von Christoph Puppe
Grundschutz: Radikalster Umbau seit Bestehen
Der IT-Grundschutz wird tiefer umgebaut als je zuvor seit dem IT-Sicherheitshandbuch von 1992: Den Grundschutz++ entwickelt das BSI erstmals komplett selbst, mit unbezahlter Hilfe Freiwilliger. Zentrale Designentscheidung ist die Maschinenlesbarkeit: Alle knapp tausend Maßnahmen liegen im OSCAL-Format des NIST als JSON vor, verteilt über zwanzig Praktiken im seit September 2025 veröffentlichten Anwenderkatalog. Das löst ein reales Problem, denn das Auditierungsschema hatte die Zahl der nachzuweisenden Anforderungen auf fast 6.000 getrieben. Aus Bausteinen werden Zielobjektkategorien, der Preis ist der vollständige Verlust der Spezifizierung: Wo früher konkrete Anforderungen für Windows Server 2025 standen, bleibt die Kategorie Hostsysteme übrig. Dazu kommen handwerkliche Härten: nur noch zwei Umsetzungsstände, kein „teilweise“, kein „entbehrlich“; die Herleitung der Maßnahmen aus einer Risikoanalyse fehlt, was die Anerkennung als ISO-27001-Äquivalent infrage stellt. Alle Anwender müssen bis zum 1. Januar 2029 migrieren, ein dreistelliger Millionenbetrag an Umstellungskosten erscheint realistisch. Das Urteil: überfälliger Paradigmenwechsel, aber solange Zertifizierungsschema und begleitende Standards fehlen, ein ambitioniertes Framework im Betastadium, das Enterprise-Teams neue Freiheiten schenkt und kleine Organisationen im Regen stehen lässt.