LF4 · Planen · 5 h

LF4.4 – Schadensszenarien klassifizieren und Schutzbedarf begründen

Schadensauswirkungen für Vertraulichkeit, Integrität und Verfügbarkeit konkret begründen und daraus einen nachvollziehbaren Schutzbedarf ableiten – ohne Bedrohungswahrscheinlichkeit oder Maßnahmen vorwegzunehmen.

Lernfeld 4 · Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen

Curriculum-Faden

Diese Teilkompetenz bauen Sie hier auf

Handlungsphase: Planen

Plausible Schadensszenarien für den eigenen Arbeitsbereich klassifizieren und den daraus abgeleiteten Schutzbedarf nachvollziehbar begründen.

Baut auf

LF4.3 hat Schutzobjekte und relevante Schutzziele vorbereitet.

Bereitet vor

LF4.5 gewichtet mögliche Bedrohungen beziehungsweise Bedrohungsfaktoren unter Berücksichtigung der Schadensszenarien.

Bewusste Abgrenzung dieser Lektion

Schadensszenarien und Schutzbedarf im eigenen Arbeitsbereich; keine vollständige organisationsweite BSI-Modellierung.

Curriculumquelle: KMK-Rahmenlehrplan Fachinformatiker, Lernfeld 4

Berufliche Ausgangssituation

Im fiktiven K-27 Medienbüro sind die relevanten Vorgaben aus LF4.2 dokumentiert. LF4.3 hat die Schutzobjekte des Arbeitsbereichs mit IDs, Funktionen und Abhängigkeiten strukturiert.

Nun reicht die Aussage „Verfügbarkeit ist relevant“ nicht mehr aus. Für jedes betrachtete Schutzziel muss geklärt werden, welcher konkrete Schaden entstehen könnte, wenn das Schutzziel verletzt wird.

Dabei wird noch nicht bewertet, wie wahrscheinlich eine Bedrohung ist. Ebenso werden noch keine technischen Maßnahmen ausgewählt.

LF4.4 fragt: „Was wäre der nachvollziehbare Schaden – und welchen Schutzbedarf begründet diese Auswirkung?“

Schadensszenario statt Schlagwort

Ein brauchbares Schadensszenario verbindet vier Elemente:

Schutzobjekt: Was ist betroffen?
Schutzziel: Vertraulichkeit, Integrität oder Verfügbarkeit?
konkrete Auswirkung: Was passiert im betrachteten Arbeitsbereich?
Begründung: Warum ist diese Auswirkung für K-27 relevant?

Beispiel: Wird die Integrität der Rollen- und Berechtigungszuordnungen verletzt, können falsche Rechte dokumentiert oder wirksam werden. Das kann Arbeitsabläufe beeinträchtigen und unzulässige Zugriffe begünstigen. Die Aussage beschreibt eine mögliche Auswirkung – noch keine Eintrittswahrscheinlichkeit.

Schadensdimensionen als Prüfraster

BSI-Standard 200-2 nennt für die Schutzbedarfsfeststellung typische Schadensszenarien beziehungsweise Schadensdimensionen. Im Lernfall dienen sie als Prüfraster, nicht als Pflichtliste für jedes Objekt.

Recht / Vertrag

Mögliche Verstöße gegen Gesetze, Vorschriften oder Verträge, sofern der konkrete Fall einen solchen Bezug besitzt.

Personenbezug

Mögliche Beeinträchtigung des informationellen Selbstbestimmungsrechts, wenn tatsächlich personenbezogene Informationen betroffen sind.

Aufgabenerfüllung

Auswirkungen darauf, ob die betriebliche Aufgabe noch rechtzeitig und korrekt durchgeführt werden kann.

Wirkung / Finanzen

Mögliche negative Innen- oder Außenwirkung sowie finanzielle Folgen des konkreten Schadensszenarios.

Persönliche Unversehrtheit kann ebenfalls eine relevante Schadensdimension sein. Im konkreten K-27-Benutzerverwaltungsfall wird sie jedoch nicht künstlich konstruiert, wenn kein plausibler Zusammenhang besteht.

Normal, hoch, sehr hoch – nur mit Begründung

Für LF4.4 werden die Schutzbedarfskategorien normal, hoch und sehr hoch verwendet. Entscheidend ist nicht das Etikett, sondern die nachvollziehbare Abgrenzung im betrachteten Arbeitsbereich.

Für den fiktiven K-27-Lernfall gilt als didaktische Arbeitsregel:

Kategorie	K-27-Arbeitsregel	Dokumentationsfrage
normal	Die Auswirkung bleibt im regulären Arbeitsablauf begrenzt und ist mit üblichen betrieblichen Mitteln beherrschbar.	Warum bleibt die Beeinträchtigung überschaubar?
hoch	Die Auswirkung beeinträchtigt eine wichtige Aufgabe oder Verpflichtung deutlich und erfordert besondere Aufmerksamkeit beziehungsweise Wiederherstellungsaufwand.	Welche erhebliche Auswirkung rechtfertigt die höhere Einstufung?
sehr hoch	Die Auswirkung geht im Lernfall deutlich über eine gewöhnliche erhebliche Beeinträchtigung hinaus und hätte außergewöhnlich schwerwiegende Folgen.	Welche außergewöhnliche Schadensfolge ist konkret plausibel?

Diese K-27-Arbeitsregeln sind fiktive didaktische Konkretisierungen. Sie sind keine gesetzlichen Grenzwerte und keine unveränderlichen BSI-Unternehmenswerte.

Drei Schutzobjekte – drei unterschiedliche Begründungen

Objekt	Schutzziel	Plausibles Szenario	Begründungsrichtung
I-01 Rollen- und Berechtigungszuordnungen	Vertraulichkeit	Unbefugte Personen erhalten Einblick in interne Rechtezuordnungen und – soweit Personenbezug besteht – zuordenbare Kontoinformationen.	Personenbezug und interne Sicherheitsinformationen konkret prüfen; nicht automatisch „hoch“ vergeben.
A-01 Benutzerverwaltung	Integrität	Rollen oder Kontostatus werden fehlerhaft verändert und dadurch falsche Berechtigungen wirksam oder dokumentiert.	Auswirkungen auf korrekte Aufgabenerfüllung und betriebliche Vorgaben begründen.
S-02 Anwendungsserver	Verfügbarkeit	Die Benutzerverwaltung ist zeitweise nicht nutzbar.	Dauer, betroffene Aufgabe und vorhandene Überbrückungsmöglichkeit bestimmen die Schadensauswirkung; der Gerätetyp allein bestimmt keinen Schutzbedarf.

Schutzbedarf ist keine Bedrohungswahrscheinlichkeit

Ein häufiger Denkfehler lautet: „Ein Angriff ist wahrscheinlich, deshalb ist der Schutzbedarf hoch.“ Das vermischt zwei unterschiedliche Schritte.

LF4.4: Welche Schadensauswirkung wäre bei einer Verletzung des Schutzziels plausibel?
LF4.5: Welche möglichen Bedrohungen beziehungsweise Bedrohungsfaktoren sind unter Berücksichtigung dieser Schadensszenarien zu gewichten?

Schutzbedarf beschreibt die Bedeutung möglicher Auswirkungen. Er wird in LF4.4 nicht aus einer geschätzten Angriffswahrscheinlichkeit berechnet.

Vorgaben aus LF4.2 weiterverwenden

Die Vorgabenmatrix aus LF4.2 bleibt relevant. Sie liefert keine automatische Schutzbedarfskategorie, kann aber die Begründung eines Schadensszenarios stützen.

Bei personenbezogenen Informationen wird der konkrete Rechtsbezug aus LF4.2 nur dort berücksichtigt, wo tatsächlich Personenbezug besteht.
Fiktive K-27-Regeln zu Rollen, Berechtigungen, Kontodeaktivierung und Zuständigkeiten können zeigen, welche betriebliche Aufgabe oder Verpflichtung betroffen wäre.
BSI-Standard 200-2 liefert die methodische Fachorientierung für Schadensszenarien und Schutzbedarfsfeststellung.

Datenschutz und Informationssicherheit bleiben unterschiedliche Betrachtungen mit möglicher Überschneidung.

Schutzbedarfsbegründungsmatrix

Schutzobjekt-ID	Schutzobjekt	Schutzziel	Schadensszenario	Schadensdimension	Auswirkung	Schutzbedarf	Begründung / Nachweis	Offener Punkt
I-01	Rollen-/Berechtigungszuordnungen	Vertraulichkeit	Unbefugter Einblick in Rechtezuordnungen	Innenwirkung / bei Personenbezug informationelle Selbstbestimmung	am K-27-Fall konkret zu beschreiben	erst nach Begründung eintragen	LF4.2-Vorgaben; BSI-Fachmethodik	Umfang des Personenbezugs prüfen
A-01	Benutzerverwaltung	Integrität	Fehlerhafte Rollen oder Kontostatus	Aufgabenerfüllung / Vorgaben	falsche Rechte können Arbeitsabläufe und Zuständigkeiten beeinträchtigen	kontextbezogen begründen	K-27-Vorgaben; BSI-Fachmethodik	Ausmaß betroffener Konten
S-02	Anwendungsserver	Verfügbarkeit	Benutzerverwaltung zeitweise nicht nutzbar	Aufgabenerfüllung	abhängig von Ausfalldauer und Überbrückungsmöglichkeit	kontextbezogen begründen	Schutzobjekt-Abhängigkeiten aus LF4.3	maximal tolerierbare Unterbrechung

Typische Fehlentscheidungen vermeiden

„Server = hoch“ oder „personenbezogen = sehr hoch“ ohne Schadensbegründung.
Eine BSI-Beispielgrenze als gesetzlich unveränderlichen Grenzwert darstellen.
Eintrittswahrscheinlichkeit, Angriffshäufigkeit oder Bedrohungspriorität in die LF4.4-Matrix aufnehmen.
Vorhandene Sicherheitsmaßnahmen als Grund verwenden, den möglichen Schaden kleinzurechnen.
Technische Maßnahmen oder Produkte auswählen, bevor die späteren Schritte durchgeführt wurden.
Für jedes Schutzobjekt künstlich jede Schadensdimension konstruieren.

PRAXISAUFGABE

Praktische Lernaufgabe

Bearbeiten Sie für die Schutzobjekte I-01, A-01 und S-02 jeweils mindestens ein Schutzziel.

Formulieren Sie ein plausibles Schadensszenario.
Ordnen Sie eine passende Schadensdimension zu.
Beschreiben Sie die konkrete Auswirkung im K-27-Arbeitsbereich.
Wählen Sie normal, hoch oder sehr hoch.
Begründen Sie die Einstufung in ein bis drei Sätzen.
Kennzeichnen Sie offene Informationen ausdrücklich.

Nicht durchführen: Eintrittswahrscheinlichkeit schätzen, Bedrohungen gewichten, Risikoscore berechnen oder Maßnahmen auswählen.

Praxisauftrag

Selbsttraining – keine Abgabe erforderlich.

Erstellen Sie für mindestens sechs Schutzobjekt-/Schutzziel-Kombinationen eines vollständig fiktiven Arbeitsbereichs eine Schutzbedarfsbegründungsmatrix.

Nutzen Sie Schutzobjekt-IDs aus einer zuvor erstellten Schutzobjektliste.
Formulieren Sie pro Zeile genau ein plausibles Schadensszenario.
Ordnen Sie nur tatsächlich passende Schadensdimensionen zu.
Beschreiben Sie die betriebliche Auswirkung konkret.
Vergeben Sie normal, hoch oder sehr hoch erst nach der Begründung.
Dokumentieren Sie den Nachweis beziehungsweise die zugrunde liegende Vorgabe.
Markieren Sie fehlende Informationen als offenen Punkt.

Ergänzen Sie ausdrücklich keine Eintrittswahrscheinlichkeit, keinen Risikoscore, keine Bedrohungspriorität und keine technische Maßnahme.

SELBSTKONTROLLE

Selbstkontrolle

Kann ich ein Schadensszenario eindeutig mit Schutzobjekt und Schutzziel verbinden?
Kann ich zwischen Schadensauswirkung und Bedrohungswahrscheinlichkeit unterscheiden?
Kann ich eine passende Schadensdimension auswählen, ohne alle Dimensionen künstlich zu verwenden?
Kann ich normal, hoch und sehr hoch am konkreten Arbeitskontext begründen?
Kann ich erklären, warum BSI-Beispiele keine starren gesetzlichen Grenzwerte sind?
Kann ich Vorgaben aus LF4.2 und Schutzobjekte aus LF4.3 als Nachweise einbeziehen?
Bleiben Bedrohungsgewichtung, Risikoscore und Maßnahmen für spätere Schritte offen?

REFLEXION

Reflexion

Welche Information hat Ihre Einstufung am stärksten beeinflusst?
Wo wäre eine Schutzbedarfskategorie ohne weitere Klärung noch nicht belastbar?
Welche Schadensdimension war im eigenen Beispiel nicht relevant – und warum?
Wie würde sich eine längere Ausfalldauer auf die Begründung auswirken, ohne bereits eine Eintrittswahrscheinlichkeit zu betrachten?
Welche begründeten Schadensszenarien müssen in LF4.5 bei der Bedrohungsgewichtung besonders berücksichtigt werden?

Quellen & Einordnung

Curriculum-Grundlage:
KMK-Rahmenlehrplan für Fachinformatikerinnen und Fachinformatiker, Lernfeld 4.

KMK-Rahmenlehrplan öffnen

Offizielle Fachquelle:
Bundesamt für Sicherheit in der Informationstechnik, BSI-Standard 200-2, Version 1.0, Oktober 2017. Die Quelle dient hier als methodische Orientierung für Schadensszenarien und Schutzbedarfsfeststellung. Die Kategorien und Beispiele werden nicht als gesetzliche oder organisationsunabhängig starre Werte dargestellt.

BSI-Standard 200-2 öffnen

Rechtsbezug aus LF4.2:
Wo ein Schadensszenario tatsächlich personenbezogene Informationen betrifft, bleibt der dort belegte konkrete Rechtsbezug relevant. LF4.4 führt keine neue Rechtsquelle ein.

Clean Room:
K-27-Fall, K-27-Arbeitsregeln, Schadensszenarien, Matrix, Aufgaben, Quizfragen, Antwortoptionen und Lösungen wurden eigenständig für SemaTrain entwickelt. Externe Quellen dienen nur als Curriculum-, Rechts- beziehungsweise Fachreferenz.

Curriculare Abgrenzung:
LF4.4 begründet Schadensauswirkungen und Schutzbedarf. Eintrittswahrscheinlichkeit, Bedrohungsgewichtung, Risikoscore und Maßnahmenauswahl werden nicht vorgezogen.

Nächster Lernschritt

Die möglichen Schadensauswirkungen und der Schutzbedarf ausgewählter Schutzobjekte sind nun nachvollziehbar begründet.

Als Nächstes werden mögliche Bedrohungen beziehungsweise Bedrohungsfaktoren unter Berücksichtigung dieser Schadensszenarien gewichtet.

LF4.5 – Bedrohungen anhand der Schadensszenarien gewichten ist der nächste geplante Lernschritt.