Die Schutzbedarfsfeststellung ist eine der zentralen Grundlagen der Informationssicherheit – und trotzdem gehört sie zu den am meisten unterschätzten Disziplinen. Viele Unternehmen starten in Projekte, schreiben Sicherheitskonzepte oder definieren Maßnahmen, ohne vorher genau zu wissen, welchen Schutzbedarf ihre Informationen und Systeme eigentlich haben. Das Ergebnis sind oft überdimensionierte Lösungen, die Zeit und Geld verschwenden, oder zu schwache Schutzmechanismen, die kritische Werte unzureichend absichern. Eine systematische und pragmatische Einstufung verhindert genau das. Sie sorgt dafür, dass Sicherheitsmaßnahmen zielgerichtet und angemessen sind – nicht zu wenig, aber auch nicht zu viel. Und das Beste: Mit einer klaren Methode ist die Schutzbedarfsfeststellung weder kompliziert noch bürokratisch, sondern ein handfestes Planungswerkzeug.

Die Schutzziele im Kern – plus zwei, die oft vergessen werden

Der Kern der Schutzbedarfsermittlung besteht darin, für jedes Asset – also jede Information, jedes IT-System, jede Anwendung, jede Schnittstelle und jeden Prozess – festzulegen, wie hoch die Anforderungen an Vertraulichkeit (C), Integrität (I) und Verfügbarkeit (A) sind.

In vielen Organisationen lohnt es, zusätzlich zwei Ergänzungsziele mitzudenken, weil sie unmittelbar in Vorfälle und Pflichten hineinspielen:

Entscheidend ist, diese Schutzziele konkret und kontextbezogen zu bewerten – nicht abstrakt. Dieselbe Information kann in zwei Organisationen einen unterschiedlichen Schutzbedarf haben, weil Geschäftsmodell, regulatorischer Rahmen und Risikoappetit variieren.

Bewertungslogik und Stufen – klar, knapp, entscheidungsfähig

Bewährt haben sich drei bis vier Schutzbedarfsstufen pro Ziel, z. B. normal, hoch, sehr hoch (optional kritisch). Die Stufen müssen vorher definiert und mit greifbaren Kriterien unterlegt sein. Ein Beispiel für Vertraulichkeit:

Für Integrität könnten die Stufen an falschen Entscheidungen, rechtlichen Folgen oder Sicherheitsrisiken festgemacht werden (Buchhaltungsjournal vs. Entwurfsnotiz; Produktionsrezeptur vs. Skizze). Für Verfügbarkeit bieten Zeitkorridore eine klare Richtschnur („bis 4 h tolerierbar“, „max. 60 min“, „24/7 ohne Unterbrechung“). Wichtig: Stufen sind Schwellenwerte für Schäden, nicht für „wie wichtig sich etwas anfühlt“.

Auswirkungsanalyse: vom Bauchgefühl zu belastbaren Kriterien

Die methodische Frage lautet immer: Welche Schäden entstehen, wenn Vertraulichkeit, Integrität oder Verfügbarkeit verletzt werden? Um das greifbar zu machen, helfen einheitliche Schadenskategorien und Zeitachsen:

Diese Kategorien werden entlang definierter Zeitfenster bewertet (z. B. 1 h, 4 h, 1 Tag, 3 Tage, 1 Woche). So entsteht ein Wirkprofil: Je länger der Ausfall, desto höher die Wirkung. Aus der Kurve lassen sich für Verfügbarkeit nahtlos RTO-Ziele (Recovery Time Objective) ableiten; für Datenverluste RPO-Ziele (Recovery Point Objective). Für Vertraulichkeit und Integrität gibt es äquivalente „Schwellen“, ab denen Schaden „hoch“ oder „kritisch“ wird.

Kontext schlägt Schablone: Branchen- und Prozessbeispiele

Schutzbedarf ist kontextabhängig. Drei Illustrationen:

Wer diese Unterschiede im Blick hat, vermeidet „Einheitsbrei“ und trifft treffsichere Entscheidungen.

Vom Informationsobjekt zum System: Aggregation ohne Fallstricke

Selten schützen wir nur isolierte Dateien. Real schützen wir Systemketten: Anwendung → Datenbank → Storage → Netzwerk → Identität → Endgeräte → Zulieferer. Zwei Grundsätze helfen bei der Aggregation:

Feinheit statt Starrheit: Nicht jedes Schutzziel muss für das gesamte System auf den „Max“ springen. Segmentierung, Mandanten- und Datenklassentrennung ermöglichen unterschiedliche Schutzniveaus innerhalb eines Systems.

Datenlebenszyklus & Speicherorte: Schutzbedarf wandert mit

Informationen ändern Ort, Form und Kontext – und damit oft den Schutzbedarf:

Praxis­tauglich ist, pro Datenklasse einen Schutzbedarf über den Lebenszyklus zu definieren – mit klaren Maßnahmenankern je Phase.

Cloud, SaaS, OT, KI: Spezifika, die die Einstufung beeinflussen

Rollen, Ownership, Governance: wer entscheidet was – und warum

Gute Schutzbedarfsermittlung ist Teamarbeit mit klaren Rollen:

Entscheidend ist die Dokumentation der Begründung: Nicht nur das Ergebnis („C=hoch“), sondern warum – mit Verweis auf Schäden, Pflichten, Verträge. Das macht Entscheidungen prüfbar und hilft bei Audits und Vorfällen.

Vorgehensmodelle: Top-down, Bottom-up, Cluster – und eine Schritt-für-Schritt-Praxis

Drei Wege führen zum Ziel, oft in Kombination:

Ein praxiserprobtes Schritt-für-Schritt-Vorgehen:

  1. Leitfaden & Stufen fixieren: Schadenskategorien, Zeitfenster, Beispiele.
  2. Top-Prozesse wählen: Wertstrom-Sicht, 8–15 Prozesse.
  3. Workshops/Interviews: Wirkungen je Schutzziel/Zeitraum diskutieren, RTO/RPO greifbar machen.
  4. Ressourcen/Abhängigkeiten kartieren: Systeme, Daten, Identitäten, Zulieferer, Facilities.
  5. Aggregation & Validierung: Schutzbedarfe je System ableiten, Plausibilitätscheck mit IT/OT.
  6. Cluster definieren: Datenklassen/Artefakte gruppieren und klassifizieren.
  7. Dokumentation & Freigabe: Kurzsteckbriefe je Asset/Prozess mit Begründung.
  8. Maßnahmen ableiten: Kontrollen, SLAs, Designs, Trainings, Tests.
  9. Review-Zyklus etablieren: Mind. jährlich oder bei Änderungen.

Informationsklassifizierung: vom Schutzbedarf zum Etikett – und zurück

Viele Organisationen ergänzen die CIA-Einstufung durch Labels, die den Umgang im Alltag steuern: Öffentlich, Intern, Vertraulich, Streng vertraulich. Diese Labels sind Abkürzungen für dahinterliegende CIA-Bedarfe. Eine sinnvolle Zuordnung definiert z. B.:

Wichtig ist die gegenseitige Übersetzung: Wer nur Labels nutzt, verliert das „Warum“; wer nur CIA-Zahlen hat, erschwert den Alltag. Beides gehört zusammen.

Von der Einstufung zur Maßnahme: Kontrollen, die treffsicher passen

Schutzbedarf ist kein Selbstzweck. Er steuert Kontrolltiefe. Eine Auswahl an Maßnahmenankern (beispielhaft):

Die Kunst liegt darin, keine Gießkanne anzuwenden, sondern Kontrollen genau dort zu schärfen, wo der Schutzbedarf es verlangt.

Lieferkette & Partner: Schutzbedarf endet nicht an der Unternehmensgrenze

NIS2, DORA, DSGVO und viele Branchenregeln verlangen Lieferkettensicherheit. Der interne Schutzbedarf muss sich in Verträgen, SLAs und Nachweisen externer Partner spiegeln. Wer C/I/A hoch eingestuft hat, braucht z. B.:

Die Schutzbedarfsfeststellung liefert die Anforderungstiefe, Einkauf und Recht sorgen für Verbindlichkeit.

Typische Fehler – und wie man sie vermeidet

Kennzahlen & Governance: lebendig statt „abgeheftet“

Gute Einstufung lebt von Transparenz und Steuerung. Sinnvolle KPIs:

Ein ISMS/BCM-Board sollte quartalsweise Status und Lücken priorisieren und Entscheidungen herbeiführen. So wird die Schutzbedarfsfeststellung zum Steuerungsinstrument.

Fallbeispiel 1: Krankenhaus – Patientensicherheit statt Papierlogik

Ein Klinikum stufte die elektronische Patientenakte (EPA) als C=sehr hoch, I=sehr hoch, A=hoch ein. Telemetrie der Intensivmedizin erhielt A=kritisch (Minutenbereich).
Konsequenzen:

Fallbeispiel 2: E-Commerce – Checkout zählt mehr als alles andere

Ein Händler analysierte Checkout, Payment, Fulfillment, Support. Checkout/Payment erhielten I/A=hoch–sehr hoch (RTO 60 min, RPO 5 min), C=hoch (Kundendaten).
Konsequenzen:

Fallbeispiel 3: Maschinenbau – kleines Lizenz-System, große Wirkung

Ein Werk stuft Produktionsrezepturen als I=sehr hoch, C=hoch, A=hoch ein. Analyse zeigte: Ein unscheinbarer Lizenzserver legte bei Ausfall die Linie still → A=kritisch.
Konsequenzen:

30/60/90-Tage-Plan: schnell wirksam statt perfekt

Tag 1–30: Leitfaden/Stufen definieren, Top-10-Prozesse auswählen, erste Workshops, Quick-Wins identifizieren (MFA für „Vertraulich hoch“, Backup-Tests für „Verfügbarkeit hoch“).
Tag 31–60: Datenklassen-Cluster erstellen, Abhängigkeiten kartieren, Schutzbedarfe beschließen, Kurzbegründungen dokumentieren, Lieferanten-SLAs gegen Bedarf prüfen.
Tag 61–90: Maßnahmenpakete priorisieren und beauftragen, Labels/Richtlinien ausrollen, Tabletop-Übungen terminieren, Review-Zyklus ins ISMS/BCM integrieren.

Ziel ist Entscheidungsreife und spürbare Risikoreduktion – nicht die perfekte Enzyklopädie.

Muster-Entscheidungsmatrix: pragmatisch statt pedantisch

Statt Zahlenfriedhof eine einheitliche Matrix pro Schutzziel:

Die Matrix wird mit Beispielen aus dem eigenen Haus gefüttert (eigene Summen, Fristen, SLAs) und dient als Checkliste in Workshops – so werden Einstufungen konsistent.

Häufige Fragen – kurz und klar

Fazit: Klarheit vor Technik – und Wirkung vor Fleiß

Die Schutzbedarfsfeststellung macht Informationssicherheit messbar und nachvollziehbar. Sie verwandelt abstrakte Bedrohungen in konkrete Handlungsprioritäten und schafft ein gemeinsames Verständnis darüber, was geschützt werden muss und wie intensiv. Wer Schutzbedarf kontextbezogen, begründet und regelmäßig ermittelt, spart Ressourcen, erhöht die Wirksamkeit von Kontrollen und steht bei Audits, Vorfällen und Investitionsentscheidungen souverän da. Richtig angewandt, ist die Schutzbedarfsfeststellung kein Papierberg, sondern der Kompass eines effizienten, risikobasierten Sicherheitsmanagements – treffsicher, wirtschaftlich und zukunftsfähig.