LF4 · Bewerten und handeln · 5 h
LF4.7 – Ergebnisse abgleichen und Maßnahmen ableiten
Analyseergebnisse mit der bestehenden Sicherheitsleitlinie abgleichen und daraus begründete, zuständigkeitsgerechte Maßnahmen ableiten.
Lernfeld 4 · Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen
Curriculum-Faden
Diese Teilkompetenz bauen Sie hier auf
Handlungsphase: Bewerten und handeln
Ergebnisse bewerten, mit der bestehenden Sicherheitsleitlinie abgleichen und angemessene Maßnahmen empfehlen beziehungsweise im eigenen Verantwortungsbereich umsetzen.
LF4.6 hat die Schutzbedarfsanalyse durchgeführt und dokumentiert.
LF4.8 reflektiert Ergebnis und Arbeitsablauf und ordnet die eigene Verantwortung im Sicherheitsprozess ein.
Bewusste Abgrenzung dieser Lektion
Maßnahmen nur im eigenen Verantwortungsbereich; keine Überschreitung betrieblicher Zuständigkeiten.
Curriculumquelle: KMK-Rahmenlehrplan Fachinformatiker, Lernfeld 4
Berufliche Ausgangssituation
Im fiktiven K-27 Medienbüro liegt das Schutzbedarfsanalyse-Protokoll aus LF4.6 vor. Es enthält Schutzobjekte, Schutzziele, Vorgaben, Schadensszenarien, Schutzbedarfe, gewichtete Bedrohungsfaktoren, Abhängigkeiten, Begründungen und offene Punkte.
Nun wird geprüft, ob die dokumentierte Situation zu den bereits vorhandenen betrieblichen Vorgaben und zur Sicherheitsleitlinie passt. Wo Abweichungen bestehen, soll daraus nachvollziehbarer Handlungsbedarf entstehen. Erst danach werden geeignete Maßnahmen abgeleitet und einer Zuständigkeit zugeordnet.
Bewerten heißt: Befund gegen vorhandene Vorgabe prüfen
LF4.7 verwendet die vorhandene Sicherheitsleitlinie und die in LF4.2 dokumentierten Vorgaben als Referenz. Die Leitlinie wird nicht neu erfunden. Ausgangspunkt bleibt der dokumentierte Befund aus LF4.6.
| Schritt | Leitfrage | Ergebnis |
|---|---|---|
| 1. Befund übernehmen | Was wurde in LF4.6 tatsächlich dokumentiert? | nachvollziehbarer Ist-Zustand |
| 2. Soll bestimmen | Welche bestehende Vorgabe oder Sicherheitsleitlinie gilt? | belegbarer Soll-Zustand |
| 3. Abgleichen | Wo stimmen Soll und Ist überein oder weichen voneinander ab? | erfüllt / teilweise erfüllt / nicht erfüllt / noch ungeklärt |
| 4. Handlungsbedarf begründen | Welche Abweichung erfordert tatsächlich eine Reaktion? | kein Bedarf / Maßnahme / Klärungsbedarf |
| 5. Zuständigkeit prüfen | Darf beziehungsweise soll ich selbst handeln? | eigener Bereich / Empfehlung und Übergabe |
Soll-/Ist-Abweichungen nachvollziehbar klassifizieren
Eine Abweichung ist keine bloße Meinung. Sie entsteht aus dem Vergleich eines dokumentierten Analyseergebnisses mit einer vorhandenen Vorgabe.
- erfüllt: Der dokumentierte Ist-Zustand entspricht der relevanten Vorgabe.
- teilweise erfüllt: Teile der Vorgabe sind umgesetzt, ein begründeter Rest bleibt offen.
- nicht erfüllt: Der Ist-Zustand widerspricht der relevanten Vorgabe oder ein geforderter Zustand fehlt.
- noch ungeklärt: Die vorhandenen Informationen reichen für eine belastbare Bewertung noch nicht aus.
Vom Befund zur Maßnahme – nicht umgekehrt
Eine Maßnahme ist nur dann fachlich tragfähig, wenn sie aus einem konkreten Befund und einem begründeten Handlungsbedarf abgeleitet wird.
Die umgekehrte Reihenfolge ist problematisch: Eine technisch interessante Lieblingsmaßnahme darf nicht zuerst gewählt und anschließend künstlich begründet werden.
Je nach Befund können Maßnahmen beispielsweise organisatorisch, technisch oder personell beziehungsweise prozessbezogen sein. Entscheidend ist nicht die Kategorie, sondern der belegbare Bezug zum festgestellten Handlungsbedarf.
Verantwortungsbereich und Übergabe
Der Rahmenlehrplan begrenzt das Handeln ausdrücklich auf den eigenen Verantwortungsbereich. Deshalb wird für jede Maßnahme zusätzlich geklärt, wer zuständig ist.
| Situation | Handlung | Dokumentation |
|---|---|---|
| Maßnahme liegt im eigenen Verantwortungsbereich und ist freigegeben | als eigene Maßnahme einordnen beziehungsweise im vorgesehenen Rahmen umsetzen | Begründung, Zuständigkeit und Status festhalten |
| Maßnahme liegt außerhalb des eigenen Verantwortungsbereichs | fachlich empfehlen und an zuständige Stelle übergeben | Empfehlung, Empfänger und Übergabepunkt dokumentieren |
| Zuständigkeit ist unklar | keine eigenmächtige Umsetzung | weiteren Klärungsbedarf sichtbar festhalten |
Eine Empfehlung ist nicht dasselbe wie eine bereits erfolgte Umsetzung.
Ergebnis- und Maßnahmenmatrix
Das Arbeitsergebnis von LF4.7 verbindet Analysebefund, vorhandene Vorgabe, Abweichung, Handlungsbedarf, Maßnahme und Zuständigkeit.
| Befund-ID | Schutzobjekt / Bezug | Analyseergebnis aus LF4.6 | Vorgabe / Sicherheitsleitlinie | Soll-/Ist-Abweichung | Handlungsbedarf | Abgeleitete Maßnahme | Begründung | Zuständigkeit | Eigener Verantwortungsbereich? | Übergabe / Empfehlung | Status / offener Punkt |
|---|---|---|---|---|---|---|---|---|---|---|---|
| B-01 | A-01 Benutzerverwaltung / Integrität | Änderungen an Rollen sind relevant; Nachweis der Freigabe ist uneinheitlich dokumentiert | Änderungen erfolgen innerhalb definierter Zuständigkeiten | teilweise erfüllt | Freigabe und Nachweis konsistent machen | einheitlichen Freigabe- und Dokumentationsschritt im bestehenden Prozess festlegen | schließt die dokumentierte Nachweislücke | Teamleitung / Prozessverantwortung | teilweise | Prozessänderung zur Freigabe vorlegen | Freigabe ausstehend |
| B-02 | I-01 Berechtigungszuordnungen / Vertraulichkeit | Zugangsdaten dürfen nicht geteilt werden; einzelne Altverfahren sind ungeklärt | K-27-Vorgabe: Zugangsdaten nicht teilen | noch ungeklärt | Altverfahren klären | Nutzungsweise der Altverfahren erheben und zuständige Stelle bewerten lassen | keine unbelegte technische Maßnahme ohne geklärten Befund | Systemverantwortung | nein | Klärungsauftrag übergeben | offen |
| B-03 | S-02 Anwendungsserver / Verfügbarkeit | Betriebsunterbrechung dokumentiert; vorhandene Wiederanlaufregel passt zum betrachteten Bereich | bestehende betriebliche Funktionsanforderung | erfüllt | kein zusätzlicher Handlungsbedarf aus diesem Befund | keine zusätzliche Maßnahme | Ist entspricht der betrachteten Vorgabe | betriebliche Systemverantwortung | — | keine | erfüllt |
Was LF4.7 ausdrücklich nicht tut
- kein vollständiges ISMS neu entwerfen,
- keine organisationsweite Sicherheitsarchitektur planen,
- keine vollständige BSI-Grundschutz-Modellierung durchführen,
- keine vollständige BSI-200-3-Risikoanalyse neu aufrollen,
- keinen Pentest oder Exploit durchführen,
- keine fremden Zuständigkeiten übernehmen,
- keine Maßnahmen ohne dokumentierten Befund erfinden,
- keine produktbezogene Verkaufsempfehlung aussprechen.
LF4.7 bleibt im eigenen Arbeitsbereich und nutzt die vorhandene Sicherheitsleitlinie als Referenz.
PRAXISAUFGABE
Praktische Lernaufgabe
Bearbeiten Sie vier fiktive Befunde aus einem K-27-Schutzbedarfsanalyse-Protokoll.
- Ordnen Sie jedem Befund die passende bestehende Vorgabe beziehungsweise Sicherheitsleitlinie zu.
- Bewerten Sie den Soll-/Ist-Zustand als erfüllt, teilweise erfüllt, nicht erfüllt oder noch ungeklärt.
- Begründen Sie, ob Handlungsbedarf besteht.
- Leiten Sie nur bei tatsächlichem Handlungsbedarf eine passende Maßnahme ab.
- Bestimmen Sie die Zuständigkeit.
- Kennzeichnen Sie, ob die Maßnahme im eigenen Verantwortungsbereich liegt.
- Dokumentieren Sie bei fremder Zuständigkeit Empfehlung und Übergabe.
Nicht durchführen: Sicherheitsleitlinie neu entwerfen, vollständiges ISMS planen, Pentest durchführen oder Maßnahmen ohne Befund auswählen.
Selbsttest LF4.7 – Ergebnisse abgleichen und Maßnahmen ableiten
Prüfen Sie, ob Sie dokumentierte Analyseergebnisse mit einer bestehenden Sicherheitsleitlinie abgleichen, Abweichungen begründen und daraus angemessene Maßnahmen unter Beachtung der Zuständigkeit ableiten können.
Alle Fragen und Antwortmöglichkeiten dieses Selbsttests wurden für SemaTrain eigenständig entwickelt.
Praxisauftrag
Selbsttraining – keine Abgabe erforderlich.
Erstellen Sie für mindestens sechs vollständig fiktive Befunde eine Ergebnis- und Maßnahmenmatrix.
- Dokumentieren Sie Analyseergebnis und vorhandene Vorgabe.
- Formulieren Sie die Soll-/Ist-Abweichung.
- Begründen Sie den Handlungsbedarf.
- Leiten Sie eine Maßnahme nur aus dem Befund ab.
- Benennen Sie Zuständigkeit und eigenen Verantwortungsbereich.
- Dokumentieren Sie erforderliche Empfehlungen beziehungsweise Übergaben.
- Lassen Sie ungeklärte Punkte sichtbar offen.
Verwenden Sie ausschließlich fiktive Organisationen, Konten, Rollen, Systeme und Prozessangaben.
SELBSTKONTROLLE
Selbstkontrolle
- Kann ich einen Befund aus LF4.6 einer konkreten bestehenden Vorgabe zuordnen?
- Kann ich erfüllt, teilweise erfüllt, nicht erfüllt und noch ungeklärt unterscheiden?
- Kann ich Handlungsbedarf begründen, statt Maßnahmen nur zu sammeln?
- Kann ich eine Maßnahme aus einer dokumentierten Abweichung ableiten?
- Kann ich eigenen Verantwortungsbereich und fremde Zuständigkeit trennen?
- Kann ich Empfehlung und tatsächliche Umsetzung auseinanderhalten?
- Bleiben vollständiges ISMS, organisationsweite Architektur, Pentest und vollständige Risikoanalyse außerhalb dieser Lernetappe?
REFLEXION
Reflexion
- Bei welchem Befund war der Unterschied zwischen „teilweise erfüllt“ und „noch ungeklärt“ am schwierigsten?
- Welche Maßnahme ließ sich am klarsten aus einer dokumentierten Abweichung begründen?
- Wo endet Ihr eigener Verantwortungsbereich?
- Wie verhindert eine dokumentierte Übergabe, dass Zuständigkeiten verloren gehen?
- Welche Entscheidungen aus LF4.7 sollten in LF4.8 besonders kritisch reflektiert werden?
Quellen & Einordnung
Curriculum-Grundlage:
KMK-Rahmenlehrplan für Fachinformatikerinnen und Fachinformatiker, Lernfeld 4.
Offizielle Fachquelle – Informationssicherheitsmanagement:
Bundesamt für Sicherheit in der Informationstechnik, BSI-Standard 200-1, Version 1.0, Oktober 2017. Die Quelle dient zur fachlichen Einordnung von Informationssicherheitsmanagement und Verantwortungsstrukturen. LF4.7 entwirft daraus kein vollständiges ISMS.
Offizielle Fachquelle – Methodik:
BSI-Standard 200-2, Version 1.0, Oktober 2017. Die Quelle dient als methodische Fachorientierung für Schutzbedarfsfeststellung und den Umgang mit dokumentierten Ergebnissen. SemaTrain übernimmt daraus keine vollständige organisationsweite Grundschutz-Modellierung.
Offizielle Fachquelle – Risikoanalyse-Kontext:
BSI-Standard 200-3 bleibt als bestehende Hintergrund-Fachquelle für die Abgrenzung zur vollständigen Risikoanalyse relevant. LF4.7 rollt keine vollständige BSI-200-3-Risikoanalyse neu auf.
Rechtsbezug:
LF4.7 führt keine neue Rechtsquelle ein. Bestehende Rechtsbezüge aus LF4.2 werden nur bei einem tatsächlich passenden dokumentierten Befund weiterverwendet.
Clean Room:
K-27-Fall, Ergebnis- und Maßnahmenmatrix, Beispiele, Aufgaben, Quizfragen, Antwortoptionen und Lösungen wurden eigenständig für SemaTrain entwickelt. Externe Quellen dienen nur als Curriculum-, Rechts- beziehungsweise Fachreferenz.
Curriculare Abgrenzung:
LF4.7 gleicht Ergebnisse mit der bestehenden Sicherheitsleitlinie ab und leitet begründete Maßnahmen ab. Vollständiges ISMS, organisationsweite Sicherheitsarchitektur, Pentest, Exploit und vollständige BSI-Modellierung liegen außerhalb des Scopes.