LF4 · Durchführen · 5 h

LF4.6 – Schutzbedarfsanalyse durchführen und dokumentieren

Die vorbereitete Schutzbedarfsanalyse im eigenen Arbeitsbereich konsistent durchführen und als nachvollziehbares Analyseprotokoll dokumentieren.

Lernfeld 4 · Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen

Curriculum-Faden

Diese Teilkompetenz bauen Sie hier auf

Handlungsphase: Durchführen

Die geplante Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen, Bedrohungsfaktoren aufnehmen und Ergebnisse nachvollziehbar dokumentieren.

Baut auf

LF4.5 hat relevante Bedrohungsfaktoren für die Durchführung gewichtet.

Bereitet vor

LF4.7 bewertet die Ergebnisse gegen die bestehende Sicherheitsleitlinie und leitet Maßnahmen ab.

Bewusste Abgrenzung dieser Lektion

Durchführung und Dokumentation der Analyse; noch keine organisationsweite Maßnahmenarchitektur.

Curriculumquelle: KMK-Rahmenlehrplan Fachinformatiker, Lernfeld 4

Berufliche Ausgangssituation

Im fiktiven K-27 Medienbüro liegen inzwischen die benötigten Vorarbeiten vor: relevante Vorgaben wurden dokumentiert, Schutzobjekte mit Abhängigkeiten erfasst, Schadensszenarien formuliert, Schutzbedarfe begründet und plausible Bedrohungsfaktoren qualitativ gewichtet.

Nun soll daraus eine nachvollziehbare Schutzbedarfsanalyse für den abgegrenzten Arbeitsbereich entstehen. Entscheidend ist nicht, neue Werte zu erfinden, sondern die vorhandenen Ergebnisse konsistent zusammenzuführen und so zu dokumentieren, dass eine andere fachkundige Person die Analyse nachvollziehen kann.

LF4.6 fragt: „Ist die Schutzbedarfsanalyse aus den dokumentierten Grundlagen nachvollziehbar durchgeführt – und sind Begründungen, Abhängigkeiten und offene Punkte sichtbar?“

Durchführen heißt zusammenführen und prüfen

LF4.6 startet nicht bei null. Die Durchführung baut auf den bereits erarbeiteten Ergebnissen auf:

Vorarbeit	Beitrag zu LF4.6	Nicht neu erfinden
LF4.2	rechtliche und betriebliche Vorgaben, Nachweise und offene Punkte	keine neue allgemeine Rechtsprüfung
LF4.3	Schutzobjekte, Typen, Funktionen und Abhängigkeiten	keine organisationsweite Asset-Neumodellierung
LF4.4	Schadensszenarien und begründete Schutzbedarfe normal / hoch / sehr hoch	keine freie Neueinstufung ohne Begründung
LF4.5	Bedrohungsfaktoren und qualitative SemaTrain-Relevanzgewichtung niedrig / mittel / hoch	keine numerische Eintrittswahrscheinlichkeit oder Risikoscore

Die Durchführung besteht darin, diese Informationen je Schutzobjekt und Schutzziel konsistent zu verbinden, Abweichungen zu erkennen und die Analyse nachvollziehbar festzuhalten.

Ein Schutzobjekt – drei mögliche Schutzziele

Ein Schutzobjekt kann für Vertraulichkeit, Integrität und Verfügbarkeit unterschiedlich bewertet sein. Das Analyseprotokoll trennt deshalb die betrachteten Schutzziele.

Vertraulichkeit: Welche Folgen hätte eine unbefugte Kenntnisnahme?
Integrität: Welche Folgen hätte eine unbemerkte oder unzulässige Veränderung?
Verfügbarkeit: Welche Folgen hätte ein Ausfall oder eine nicht rechtzeitige Nutzbarkeit?

Eine vorhandene Schutzbedarfseinstufung wird aus LF4.4 übernommen und mit ihrer Begründung verbunden. Fehlt der Bezug zum Schutzobjekt oder zum Schadensszenario, ist das kein Anlass zum Raten, sondern ein offener Punkt.

Schutzbedarf und Bedrohungsgewichtung bleiben getrennt

LF4.4 und LF4.5 haben zwei unterschiedliche Aussagen vorbereitet:

Information	Frage	Werte
Schutzbedarf	Wie gravierend kann eine Verletzung des Schutzziels für den betrachteten Arbeitsbereich sein?	normal / hoch / sehr hoch
Relevanzgewichtung eines Bedrohungsfaktors	Wie relevant ist dieser plausible Bedrohungsfaktor im konkreten K-27-Kontext?	niedrig / mittel / hoch – SemaTrain-Arbeitsskala

Ein hoher Schutzbedarf ist nicht automatisch dasselbe wie eine hohe Bedrohungsrelevanz. Beide Aussagen werden getrennt dokumentiert und begründet.

Schutzbedarfsanalyse-Protokoll

Das Arbeitsergebnis von LF4.6 ist ein strukturiertes Analyseprotokoll. Es verbindet die fachlichen Vorarbeiten, ohne die spätere Maßnahmenentscheidung vorwegzunehmen.

Schutzobjekt-ID	Schutzobjekt	Typ	Schutzziel	Vorgabe / Nachweis	Schadensszenario	Schutzbedarf	Bedrohungsfaktor	Relevanz	Abhängigkeit	Analysebegründung	Offener Punkt
I-01	Rollen-/Berechtigungszuordnungen	Information	Vertraulichkeit	K-27-Zuständigkeiten; dokumentierte Vorgaben aus LF4.2	unbefugter Einblick in Rechtezuordnungen	aus LF4.4 übernehmen	fehlerhafte Zuordnung oder unzulässige Weitergabe ermöglicht Einsicht	aus LF4.5 übernehmen	Benutzerverwaltung und Rollenmodell	Begründung aus Schutzbedarf, Kontext und Bedrohungsfaktor zusammenführen	Umfang möglicher Einsicht prüfen
A-01	Benutzerverwaltung	Anwendung	Integrität	Änderungen innerhalb definierter Zuständigkeiten	falsche Rechte beeinträchtigen Arbeitsabläufe	aus LF4.4 übernehmen	fehlerhafte oder unzulässige Änderung von Rollen oder Kontostatus	aus LF4.5 übernehmen	Rollen-/Berechtigungsdaten und Anwendungsserver	Änderungsprozess und betriebliche Auswirkungen nachvollziehbar verbinden	Ausmaß betroffener Konten klären
S-02	Anwendungsserver	IT-System	Verfügbarkeit	betriebliche Funktionsanforderung	Benutzerverwaltung zeitweise nicht nutzbar	aus LF4.4 übernehmen	Betriebsstörung oder Fehlkonfiguration	aus LF4.5 übernehmen	Benutzerverwaltung und betroffene Arbeitsabläufe	Unterbrechungswirkung und Überbrückungsmöglichkeiten dokumentieren	betriebliche Störungsdaten fehlen

Konsistenzprüfung während der Durchführung

Eine gute Dokumentation ist mehr als das Ausfüllen von Feldern. Prüfen Sie für jede Zeile:

Identität: Ist das Schutzobjekt eindeutig und gehört es zum abgegrenzten Arbeitsbereich?
Schutzziel: Passt das betrachtete Schutzziel zum formulierten Schadensszenario?
Begründung: Ist der Schutzbedarf aus LF4.4 nachvollziehbar mitgeführt?
Bedrohungsbezug: Passt der Bedrohungsfaktor aus LF4.5 tatsächlich zu Schutzobjekt und Schutzziel?
Abhängigkeit: Sind relevante Zusammenhänge zu Anwendungen, Systemen oder Informationen dokumentiert?
Nachweis: Ist erkennbar, welche Vorgabe oder betriebliche Information verwendet wurde?
Offener Punkt: Sind fehlende Informationen sichtbar statt durch Annahmen ersetzt?

Widersprüche und fehlende Informationen

Bei der Durchführung können frühere Angaben nicht zusammenpassen. Beispielsweise kann ein Schutzbedarf hoch begründet sein, während die zugehörige Dokumentation keinen nachvollziehbaren Schadensbezug enthält. Ebenso kann ein Bedrohungsfaktor hoch gewichtet worden sein, obwohl seine konkrete Zuordnung zum Schutzobjekt noch ungeklärt ist.

LF4.6 löst solche Fälle nicht durch stillschweigende Annahmen:

Widerspruch benennen,
betroffene Zeile und Quelle kennzeichnen,
fehlende Information dokumentieren,
Klärungsbedarf als offenen Punkt festhalten,
keine scheinpräzise Bewertung erfinden.

Damit bleibt das Analyseergebnis prüfbar und kann in LF4.7 gezielt bewertet werden.

Was LF4.6 ausdrücklich noch nicht tut

keine Maßnahmen auswählen oder priorisieren,
keine technische Lösung festlegen oder umsetzen,
kein vollständiges ISMS entwerfen,
keine organisationsweite Sicherheitsarchitektur festlegen,
keine vollständige BSI-Grundschutz-Modellierung durchführen,
keine vollständige BSI-200-3-Risikoanalyse durchführen,
keinen Pentest oder Exploit durchführen,
keinen abschließenden Ergebnisabgleich gegen die Sicherheitsleitlinie vorwegnehmen.

Der systematische Abgleich der Ergebnisse mit der bestehenden Sicherheitsleitlinie und die Maßnahmenableitung gehören in LF4.7.

PRAXISAUFGABE

Praktische Lernaufgabe

Überführen Sie drei vorbereitete K-27-Schutzobjekte in ein Schutzbedarfsanalyse-Protokoll.

Übernehmen Sie Schutzobjekt-ID, Typ und relevantes Schutzziel.
Ordnen Sie die passende Vorgabe beziehungsweise den Nachweis aus LF4.2 zu.
Übernehmen Sie Schadensszenario und begründeten Schutzbedarf aus LF4.4.
Übernehmen Sie einen passenden Bedrohungsfaktor und seine Relevanzgewichtung aus LF4.5.
Dokumentieren Sie relevante Abhängigkeiten aus LF4.3.
Formulieren Sie eine zusammenhängende Analysebegründung.
Kennzeichnen Sie Widersprüche oder fehlende Informationen als offenen Punkt.

Nicht durchführen: Maßnahmen auswählen, Produkte festlegen, Risikoscores berechnen, Pentests durchführen oder technische Umsetzung planen.

Praxisauftrag

Selbsttraining – keine Abgabe erforderlich.

Erstellen Sie für mindestens sechs Schutzobjekt-/Schutzziel-Kombinationen eines vollständig fiktiven Arbeitsbereichs ein Schutzbedarfsanalyse-Protokoll.

Verwenden Sie eindeutige Schutzobjekt-IDs und Typen.
Ordnen Sie die maßgeblichen Vorgaben oder Nachweise zu.
Übernehmen Sie begründete Schadensszenarien und Schutzbedarfe.
Übernehmen Sie plausible Bedrohungsfaktoren und ihre qualitative Relevanzgewichtung.
Dokumentieren Sie Abhängigkeiten und eine nachvollziehbare Analysebegründung.
Kennzeichnen Sie fehlende Informationen und Widersprüche als offene Punkte.

Ergänzen Sie ausdrücklich keine Maßnahmenentscheidung, Produktentscheidung, Risikobehandlung, vollständige Risikoanalyse oder technische Umsetzung.

SELBSTKONTROLLE

Selbstkontrolle

Kann ich die Vorarbeiten aus LF4.2 bis LF4.5 je Schutzobjekt nachvollziehbar zusammenführen?
Kann ich Schutzbedarf und Bedrohungsrelevanz als unterschiedliche Aussagen dokumentieren?
Kann ich eine Analysebegründung formulieren, die auf konkreten Vorgaben, Schadensszenarien und Abhängigkeiten beruht?
Kann ich fehlende Informationen und Widersprüche sichtbar kennzeichnen?
Kann ich nachvollziehen, warum LF4.6 keine neue freie Schutzbedarfsschätzung ist?
Bleiben Maßnahmenauswahl, vollständige Risikoanalyse, Pentest und organisationsweite Modellierung außerhalb dieser Lernetappe?

REFLEXION

Reflexion

Welche Information aus den vorherigen Lernetappen war für Ihre Analysebegründung am wichtigsten?
Bei welcher Zeile war die Zuordnung von Schutzbedarf und Bedrohungsfaktor am schwersten nachvollziehbar?
Welche offene Information müsste vor einer späteren Maßnahmenentscheidung unbedingt geklärt werden?
Wie stellen Sie sicher, dass ein Analyseprotokoll auch für eine andere fachkundige Person nachvollziehbar bleibt?
Welche Ergebnisse müssen in LF4.7 mit der bestehenden Sicherheitsleitlinie abgeglichen werden?

Quellen & Einordnung

Curriculum-Grundlage:
KMK-Rahmenlehrplan für Fachinformatikerinnen und Fachinformatiker, Lernfeld 4.

KMK-Rahmenlehrplan öffnen

Offizielle Fachquelle – Methodik:
Bundesamt für Sicherheit in der Informationstechnik, BSI-Standard 200-2, Version 1.0, Oktober 2017. Die Quelle dient als methodische Fachorientierung für die Schutzbedarfsfeststellung. SemaTrain übernimmt daraus keine vollständige organisationsweite Grundschutz-Modellierung.

BSI-Standard 200-2 öffnen

Offizielle Fachquelle – Risikoanalyse-Kontext:
BSI-Standard 200-3 bleibt als bestehende Hintergrund-Fachquelle für die in LF4.5 vorgenommene Begriffseinordnung relevant. LF4.6 führt keine vollständige BSI-200-3-Risikoanalyse durch.

BSI-Standard 200-3 öffnen

Rechtsbezug:
LF4.6 führt keine neue Rechtsquelle ein. Konkrete Rechtsbezüge aus LF4.2 werden nur dort als dokumentierte Vorgabe weitergeführt, wo der betrachtete Schutzgegenstand tatsächlich betroffen ist.

Clean Room:
K-27-Fall, Schutzbedarfsanalyse-Protokoll, Beispiele, Aufgaben, Quizfragen, Antwortoptionen und Lösungen wurden eigenständig für SemaTrain entwickelt. Externe Quellen dienen nur als Curriculum-, Rechts- beziehungsweise Fachreferenz.

Curriculare Abgrenzung:
LF4.6 führt die Schutzbedarfsanalyse durch und dokumentiert die Ergebnisse. Maßnahmenauswahl, technische Umsetzung, vollständige Risikoanalyse, Pentest, organisationsweite Sicherheitsarchitektur und vollständige BSI-Modellierung werden nicht vorgezogen.

Nächster Lernschritt

Die Schutzbedarfsanalyse für den abgegrenzten Arbeitsbereich ist nun nachvollziehbar dokumentiert.

Als Nächstes werden die Ergebnisse mit der bestehenden Sicherheitsleitlinie abgeglichen und angemessene Maßnahmen für den eigenen Verantwortungsbereich abgeleitet.

LF4.7 öffnen – Ergebnisse abgleichen und Maßnahmen ableiten