aiMOOC

Fachübungen 4 – Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen - Kaufmann für IT-System-Management

QR-Code

Einleitung

In dieser Fachübung zu Lernfeld 4 des ersten Ausbildungsjahres lernst Du, den Schutzbedarf von Informationen und IT-Arbeitsmitteln begründet festzustellen. Du arbeitest mit einer vorgegebenen Sicherheitsleitlinie, dokumentierst Schadensszenarien und empfiehlst angemessene Maßnahmen. Das Lernfeld ist im gemeinsamen Rahmenlehrplan für Kaufleute für IT-System-Management und Digitalisierungsmanagement mit 40 Unterrichtsstunden ausgewiesen. Der Kurs enthält einen vollständig fiktiven Betriebsfall, Fachrechnen und Lernaufgaben auf drei Niveaus.

Dein Arbeitsprodukt: ein Schutzbedarfsbogen mit Objektliste, Bewertung der Schutzziele, nachvollziehbarer Begründung, priorisiertem Maßnahmenplan und Freigabevermerk. Du verwendest ausschließlich Übungsdaten; echte Systemprüfungen, Änderungen, Berechtigungen oder Maßnahmen erfolgen nur nach betrieblicher Freigabe und durch entsprechend qualifizierte Personen.

Informationssicherheit und beruflicher Auftrag

Der Ausbildungsberuf und das Lernfeld

Der dreijährige Ausbildungsberuf Kaufmann/Kauffrau für IT-System-Management wurde mit der Ausbildungsordnung vom 28. Februar 2020 neu geordnet; diese trat am 1. August 2020 in Kraft. Im Beruf werden IT-Lösungen geplant und vermarktet, Kundinnen und Kunden beraten, IT-Systeme betreut sowie IT-Sicherheit und Datenschutz berücksichtigt. Der Beruf hat unterschiedliche Einsatzgebiete und wird hier nicht in erfundene Fachrichtungen aufgeteilt. Für den Beruf gilt eine gestreckte Abschlussprüfung mit zwei zeitlich getrennten Teilen; dieser Kurs behauptet keine ungeprüften Prüfungszeiten, Gewichtungen oder Originalaufgaben.

Im Lernfeld 4 bearbeitest Du einen konkreten betrieblichen Auftrag: Du verschaffst Dir einen Überblick über den eigenen Arbeitsbereich, erkennst schutzbedürftige Informationen und untersuchst, welche Schäden bei einem Sicherheitsvorfall entstehen könnten. Du vergleichst das Ergebnis mit einer bestehenden Sicherheitsleitlinie. Eine Schutzbedarfsfeststellung beschreibt den benötigten Schutz; sie ist weder ein unbefugter Sicherheitstest noch eine vollständige technische Risikoanalyse.

Die drei Grundwerte

Schutzziel	Bedeutung	Beispiel im IT-System-Management	Mögliche Schadensfolge
Vertraulichkeit	Nur berechtigte Personen dürfen Informationen zur Kenntnis nehmen.	Kundenkonditionen werden nicht für Unbefugte sichtbar.	Vertrauensverlust, rechtliche Folgen oder Wettbewerbsnachteile.
Integrität	Daten und Systeme bleiben korrekt und vor unbemerkter Veränderung geschützt.	Ein Angebot enthält den genehmigten Preis.	Fehlkalkulation, Vertragsfehler oder falsche Entscheidungen.
Verfügbarkeit	Berechtigte können Informationen und Dienste bei Bedarf nutzen.	Ein Ticketsystem ist während der Servicezeit erreichbar.	Bearbeitungsstau, Vertragsverletzung oder Umsatzverlust.

Merksatz: Dass ein System verfügbar ist, bedeutet nicht, dass die Daten darin korrekt oder vertraulich sind. Betrachte immer alle drei Grundwerte einzeln. Das Bild zeigt die sogenannte CIA-Trias, deren englische Kürzel für Confidentiality, Integrity und Availability stehen.

Leitlinie, Datenschutz und Zuständigkeit

Eine IT-Sicherheitsleitlinie definiert unter anderem Verantwortlichkeiten, akzeptierte Schadensfolgen, Klassifikationskriterien und Meldewege. Die Datenschutz-Grundverordnung betrifft die Verarbeitung personenbezogener Daten; angemessene technische und organisatorische Maßnahmen sind etwa in Artikel 32 der DSGVO angesprochen. Datenschutz ist jedoch nicht dasselbe wie Informationssicherheit: Auch interne Preislisten ohne personenbezogene Angaben können schutzbedürftig sein. Melde Verdachtsfälle an die zuständige Stelle und notiere keine echten Zugangsdaten, Kundenakten oder Gerätekennungen in diesem Kurs.

Video – grundlegende Einordnung des IT-Grundschutzes:

Quelle und Kanal stehen im Medienverzeichnis; das Video ist eine Einführung und ersetzt nicht die verbindliche betriebliche Leitlinie.

Schutzobjekte im eigenen Arbeitsbereich erfassen

Informationsverbund und Strukturanalyse

Eine Strukturanalyse grenzt den zu untersuchenden Bereich ab. Beschreibe die Geschäftsprozesse und Informationen, anschließend die dafür benötigten Anwendungen, IT-Systeme, Kommunikationsverbindungen und Räume. Als Schutzobjekte gelten beispielsweise ein Angebotsprozess, eine Kundenliste, das Ticketsystem, ein Notebook oder ein Archivraum. Frage für jedes Objekt: Wer nutzt es? Welche Information wird verarbeitet? Wovon ist es abhängig? Wer entscheidet über Schutzbedarf und Maßnahmen?

Ein praxistauglicher Ablauf lautet: Auftrag und Leitlinie lesen → Bereich abgrenzen → Objekte erfassen → Schadensszenarien benennen → Grundwerte bewerten → Vererbung prüfen → Maßnahmen empfehlen → Ergebnis prüfen und dokumentieren. Beteiligte aus dem Fachbereich kennen die Folgen oft besser als die technische IT allein.

Muster einer Objektliste

Alle Angaben in der folgenden Tabelle sind synthetisch.

ID	Objekt	Art	Zweck und Abhängigkeit	Zuständige Rolle
P01	Angebotsbearbeitung	Geschäftsprozess	Erstellt und genehmigt Angebote auf Basis einer Anwendung.	Vertrieb
I01	Angebots- und Kontaktdaten	Information	Liegen in der Angebotsanwendung.	Vertrieb
A01	Angebotsanwendung	Anwendung	Benötigt ein gemeinsames Notebook und Cloudzugang.	IT-Service
I02	Tickets und Kundenanfragen	Information	Liegen im Ticketsystem.	Serviceteam
A02	Ticketsystem	Anwendung	Wird im Servicefenster für Rückmeldungen benötigt.	IT-Service
S01	Geteiltes Notebook	IT-System	Greift auf A01 und A02 zu.	IT-Service

Musterarbeitsprodukt: eine Tabelle mit ID, Bezeichnung, Eigentümerrolle, Zweck, Datenart, Schnittstellen und dokumentierter Quelle der Einschätzung. Notiere nur Rollen oder fiktive Bezeichnungen, keine echten Personendaten.

Zugriffsrechte als Strukturinformation

Bei der rollenbasierten Zugriffskontrolle erhalten Beschäftigte Rechte entsprechend ihrer Aufgabe. Die Rolle „Vertrieb“ darf ein Angebot bearbeiten, die Rolle „Service“ ein Ticket aktualisieren; die Berechtigung „alle Kundendaten exportieren“ braucht eine gesonderte Begründung. Ein Rollenmodell ist eine Maßnahme und kein Ersatz für die Feststellung des Schadens, den ein unberechtigter Zugriff verursachen würde. Rechte werden im Übungsfall nur auf Papier geplant, nicht an realen Systemen geändert.

Schutzbedarf, Schadensszenarien und Bewertungsmethoden

Normal, hoch oder sehr hoch?

Nach der IT-Grundschutz-Methodik des BSI werden typischerweise drei Schutzbedarfskategorien verwendet: normal bei begrenzten und überschaubaren Schäden, hoch bei beträchtlichen Schäden und sehr hoch bei existenziell bedrohlichen oder katastrophalen Schäden. Die Begründung kann finanzielle Folgen, die Beeinträchtigung betroffener Menschen, Verstöße gegen Regeln und Verträge, Arbeitsunfähigkeit und Reputationsschäden berücksichtigen. Verbindliche Eurogrenzen kommen nicht automatisch vom BSI; eine Organisation muss passende Kriterien in ihrer Leitlinie festlegen.

Frage	Normal (Beispiel)	Hoch (Beispiel)	Sehr hoch (Beispiel)
Vertraulichkeit verletzt?	Interne unkritische Terminnotiz wird bekannt.	Vertrauliche Kundenkonditionen werden breit offengelegt.	Offenlegung gefährdet die Existenz oder die persönliche Sicherheit Betroffener.
Integrität verletzt?	Kleine, leicht erkennbare Eingabeverwechslung.	Falsche Vertragsdaten verursachen bedeutende Schäden.	Kritische Entscheidungen würden katastrophal verfälscht.
Verfügbarkeit verletzt?	Verschiebbare interne Aufgabe verzögert sich.	Zentrale Arbeit fällt im Servicefenster länger aus.	Wesentliche Aufgaben können nicht mehr durchgeführt werden und es drohen katastrophale Folgen.

Vorgehen: Bewerte die drei Schutzziele getrennt. Formuliere zuerst den konkreten möglichen Schaden und leite dann die Kategorie anhand der Leitlinie ab. Die bloße Aussage „Kundendaten = sehr hoch“ ist fachlich nicht ausreichend.

Maximumprinzip, Kumulation und Verteilung

Der Schutzbedarf einer Information bzw. Anwendung kann auf ein gemeinsam genutztes IT-System übergehen. Beim Maximumprinzip wird je Schutzziel der höchste relevante Bedarf übernommen: Wenn ein Notebook für Vertraulichkeit die Werte „normal“ und „hoch“ aus zwei Anwendungen trägt, erhält es bei Vertraulichkeit mindestens „hoch“. Die anderen Grundwerte werden nicht automatisch ebenfalls hoch gesetzt.

Kumulationseffekt bedeutet, dass mehrere zusammengeführte Werte den Gesamtschaden erhöhen können. Ein Verteilungseffekt kann die Auswirkungen auf ein einzelnes Zielobjekt mindern, wenn wirksame Redundanz oder sichere Verteilung nachgewiesen ist. Solche Abweichungen müssen begründet, geprüft und autorisiert werden; es genügt nicht, ein Backup nur zu behaupten.

Schutzbedarf ist nicht der Risikowert

Qualitative Risikomatrix mit Eintrittswahrscheinlichkeit und Schadensauswirkung; nicht mit der BSI-Schutzbedarfskategorie verwechseln

Schutzbedarf beschreibt die Schwere möglicher Schäden bei Verletzung eines Schutzziels. Ein Risiko kombiniert bei einer einfachen Priorisierung zusätzlich die Wahrscheinlichkeit beziehungsweise Häufigkeit eines bestimmten Szenarios mit dessen Auswirkung. Die Abbildung dient zur Einordnung von Prioritäten; sie ist keine offizielle BSI-Formel zur Schutzbedarfsfeststellung.

Rechenmodell nur für diese Übung: Wahrscheinlichkeit P = 1 selten, 2 gelegentlich, 3 häufig; Auswirkung S = 1 gering, 2 beträchtlich, 3 schwer. Die Prioritätszahl R = P × S. Beispiel: P = 3 und S = 2 ergeben R = 6. Solche Zahlen sind ordinal vereinfachte Übungswerte und keine statistisch exakten Schadenswahrscheinlichkeiten. Die Einstufung „hoch“ nach einer betrieblichen Leitlinie darf nicht allein aus R abgelesen werden.

Typische Fehlerdiagnose: Fehlende Begründung, Bewertung nur eines Grundwerts, verwechselte Eintrittswahrscheinlichkeit und Schadenshöhe, ungeprüft niedrigere Einstufung durch behauptete Backups, nicht dokumentierte Ausnahmen und ein Maßnahmenkatalog ohne Verantwortlichkeiten.

Berufstypischer Modellfall: ein fiktives IT-Servicebüro

Auftrag, Sicherheitsleitlinie und Ausgangslage

Der vollständig erfundene Übungsbetrieb NORD-IT (Planspiel) berät kleine Firmen zu IT-Lösungen. Drei Beschäftigte nutzen ein gemeinsames Dienst-Notebook S01 für die Angebotsanwendung A01, das Ticketsystem A02 und einen gewöhnlichen Teamkalender A03. In A01 liegen simulierte Kontakte, Angebote und Konditionen; A02 enthält fiktive Störungsmeldungen. Es existieren keine echten Kundennamen, Zugangsdaten oder geschäftlichen Geheimnisse.

Die nur für den Modellfall erfundene Leitlinie legt fest: Schäden bis 499 Euro gelten für den finanziellen Teilaspekt als normal, von 500 bis 4.999 Euro als hoch und ab 5.000 Euro als sehr hoch. Zusätzlich sind betroffene Personen, Vertragsfolgen und Arbeitsunterbrechungen separat zu prüfen. Diese Zahlen sind keine BSI-, DSGVO- oder IHK-Schwellenwerte. Der Ticketservice soll innerhalb von sechs Stunden wiederherstellbar sein (RTO höchstens 6 Stunden); nach der Wiederherstellung dürfen höchstens zwei Stunden an Arbeitsdaten fehlen (RPO höchstens 2 Stunden). Die endgültige Bewertung stimmt die verantwortliche Fachstelle ab.

Musterlösung: Schutzbedarfsbogen

Objekt	Vertraulichkeit	Integrität	Verfügbarkeit	Fachliche Begründung
A01 – Angebotsanwendung	hoch	hoch	normal	Einsicht in individuelle Konditionen wäre beträchtlich; manipulierte Preise wären geschäftsschädigend; ein kurzer Ausfall ist überbrückbar.
A02 – Ticketsystem	hoch	hoch	hoch	Interna aus Tickets dürfen nicht offengelegt werden; falsche Bearbeitungsstände können Verträge und Kundenversorgung schädigen; längere Nichtverfügbarkeit beeinträchtigt den Service.
A03 – Teamkalender	normal	normal	normal	Es werden in diesem Planspiel ausschließlich unkritische, ersetzbare Raum- und Besprechungstermine geführt.
S01 – gemeinsames Notebook	hoch	hoch	hoch	Je Schutzziel gilt das Maximum aus den darüber genutzten Anwendungen A01 bis A03; für die Verfügbarkeit ist A02 maßgeblich.

Herleitung: Der höchste Vertraulichkeitsbedarf ist „hoch“, der höchste Integritätsbedarf ist „hoch“ und der höchste Verfügbarkeitsbedarf ist „hoch“. Deshalb erhält S01 den Vektor (hoch, hoch, hoch). Das ist keine pauschale Übertragung der höchsten Einstufung auf jede Spalte, sondern drei getrennte Maximumvergleiche. Die Fachstelle dokumentiert, ob technische Einzelheiten des Notebooks diese Vererbung tatsächlich rechtfertigen.

Musterrechnung: Ausfallkosten und Wiederherstellung

Angenommen, das Ticketsystem fällt sechs Stunden aus. Drei Beschäftigte können für die Dauer des Ausfalls keine entsprechenden Servicearbeiten ausführen. Der synthetische interne Verrechnungssatz beträgt je 45 Euro pro Stunde. Zwei vertragliche Kulanzgutschriften von je 180 Euro werden als Zusatzannahme berücksichtigt.

Rechenschritt	Ansatz	Ergebnis
Unproduktive Arbeitszeit	3 Personen × 6 Stunden × 45 Euro	810 Euro
Gutschriften	2 Vorgänge × 180 Euro	360 Euro
Modellschaden	810 Euro + 360 Euro	1.170 Euro
Einordnung im Planspiel	500 Euro bis 4.999 Euro laut fiktiver Leitlinie	hoch für den finanziellen Verfügbarkeitsschaden

Prüfe Doppelzählungen: Falls Mitarbeiter in der Ausfallzeit Ersatzaufgaben erledigen, ist nicht jede Stunde ein vollständiger zusätzlicher Verlust. Umsatz, Verrechnungssatz, Lohn und Schaden sind unterschiedliche Größen. Die Musterrechnung ist ein vereinfachtes Kalkulationsbeispiel und keine reale Schadensprognose.

Geplante Sicherung alle vier Stunden: Im ungünstigsten Fall könnten bis zu 4 Stunden Änderungen seit der letzten erfolgreichen Sicherung fehlen. Das verfehlt die RPO-Vorgabe von 2 Stunden. Der modellhaft gemessene Wiederanlauf benötigt 7 Stunden Rückspielen und 2 Stunden fachliche Prüfung, also 9 Stunden. Das verfehlt die RTO-Vorgabe von 6 Stunden um 3 Stunden. Kürzere Sicherungsintervalle und getestete Wiederherstellungswege sind zu prüfen; weder Sicherungsintervalle noch RTO-Werte garantieren ohne Tests automatisch eine tatsächliche Wiederherstellung.

Musterlösung: Bedrohungsübersicht und Prioritäten

Bedrohung und betroffenes Ziel	P	S	R = P × S	Begründete Maßnahme und Zuständigkeit
Phishing kompromittiert ein Benutzerkonto, Vertraulichkeit	3	3	9	Schulung und Mehrfaktor-Anmeldung; IT-Leitung zur Freigabe, Serviceteam zur Umsetzung.
Versehentlich geänderter Angebotspreis, Integrität	2	3	6	Vier-Augen-Freigabe und versionsgeführte Angebote; Vertriebsleitung.
Ticketsystem nicht erreichbar, Verfügbarkeit	2	2	4	Datensicherung, dokumentierter Wiederanlauf und Proberücksicherung; IT-Service nach Freigabe.
Dienst-Notebook verloren, Vertraulichkeit	1	3	3	Geräteverschlüsselung, Bildschirmsperre und geregelte Verlustmeldung; IT-Service.

Musterentscheidung: Bearbeite zuerst die Kontoabsicherung (R 9), danach die Freigabe von Angebotsänderungen (R 6). Anschließend folgen Wiederherstellbarkeit (R 4) und Geräteschutz (R 3). In der Realität können gesetzliche Pflichten, schwerwiegende Einzelschäden und Abhängigkeiten eine andere Reihenfolge erzwingen. Du darfst technische Maßnahmen an betrieblichen Systemen nicht eigenständig erproben oder ausrollen.

Fachliches Bewertungsraster für den Modellfall

Kriterium	Punkte	Volle Punktzahl bei ...
Umfang und Objektliste	3	Geschäftsprozesse, Informationen, Anwendungen und gemeinsam genutztes System nachvollziehbar abgegrenzt.
Getrennte Schutzbedarfsbewertung	6	Für die drei Anwendungen je Grundwert geeignete Kategorie und plausible Schadensbegründung.
Vererbung und Ergebnis	3	S01 mittels getrenntem Maximumprinzip fachlich korrekt bewertet und begründet.
Rechenweg und Zielwerte	4	1.170 Euro, RPO-Lücke von bis zu 2 Stunden, RTO von 9 Stunden und Abweichung von 3 Stunden korrekt dargestellt.
Maßnahmen und Priorisierung	3	Zuordnung zu Bedrohung und Schutzziel, angemessene Reihenfolge sowie verantwortliche Rollen.
Dokumentation und Grenzen	1	Fiktive Annahmen, Freigabebedarf und fehlende Echtdaten ausdrücklich gekennzeichnet.
Gesamt	20	17–20 sehr überzeugend, 13–16 solide, 9–12 ausbaufähig, 0–8 mit grundlegendem Überarbeitungsbedarf (nur Übungsraster).

Maßnahmen auswählen, prüfen und dokumentieren

Von der Feststellung zur Empfehlung

Eine Schutzbedarfsanalyse liefert die begründete Grundlage für die Auswahl und Priorisierung technischer und organisatorischer Maßnahmen. Beispiele: Konten mit Mehrfaktor-Authentisierung, Rollen- und Freigabekonzepte, regelmäßige Aktualisierungen, geeignete Verschlüsselung, geregelte Datensicherung, Wiederherstellungsproben, Schulungen und Meldewege. Die Auswahl muss die konkrete Leitlinie, den Nutzen, die Umsetzbarkeit und Verantwortlichkeiten berücksichtigen. Für hohen oder sehr hohen Schutzbedarf kann über die grundlegende Absicherung hinaus eine vertiefte Risikoanalyse erforderlich sein.

Die 3-2-1-Regel ist eine Orientierung: drei Datenkopien, auf zwei Arten von Speichermedien oder Speicherumgebungen, davon eine außerhalb des primären Betriebsortes. Gegen Ransomware helfen zusätzlich geschützte bzw. unveränderbare Sicherungen und geprüfte Wiederherstellungsverfahren. Eine Kopie ist nur dann praktisch hilfreich, wenn sie ausreichend aktuell, geschützt und wiederherstellbar ist.

Kosten, Wirksamkeit und Fachrechnen

Ein Maßnahmenangebot wird nachvollziehbar kalkuliert, statt „höchste Sicherheit um jeden Preis“ zu versprechen. Im Übungsbudget kostet ein zusätzliches Sicherungspaket 35 Euro je Monat: 12 × 35 Euro = 420 Euro pro Jahr. Eine fiktive Unterweisung kostet 2 Stunden für 3 Personen bei 45 Euro internem Verrechnungssatz: 2 × 3 × 45 Euro = 270 Euro. Insgesamt: 420 + 270 = 690 Euro im betrachteten Jahr, ohne Investitionen und weitere Nebenkosten. Nicht nachgewiesene „Einsparungen durch Sicherheit“ darfst Du nicht als garantierten Ertrag verbuchen.

Vergleiche vor einer Empfehlung: Welches dokumentierte Risiko wird gesenkt? Welche Kosten entstehen einmalig und laufend? Wie wird die Wirksamkeit gemessen? Wer darf die Änderung genehmigen? Ein sinnvoller Maßnahmenplan nennt Maßnahme, Bezug zum Schadensszenario, Priorität, Verantwortungsrolle, Termin, Prüfmerkmal und Status.

Prüfung, Bericht und Transfer

Musterbericht an die Teamleitung: „Im Planspiel wurden die Anwendungen A01 bis A03 und das Notebook S01 betrachtet. Für S01 ergibt sich nach getrenntem Maximumprinzip der Schutzbedarf hoch/hoch/hoch. Das Ticketsystem verfehlt im angenommenen Zustand die RTO- und RPO-Vorgaben; eine fachliche Prüfung geeigneter Sicherungs- und Wiederanlaufverfahren ist erforderlich. Wir empfehlen priorisiert Mehrfaktor-Anmeldung, Angebotsfreigabe und getestete Wiederherstellung. Vor jeder Umsetzung sind Eigentümerrollen und IT-Sicherheitsverantwortliche einzubeziehen.“

Qualitätskontrolle: Zweite Person prüft Vollständigkeit, Rechenfehler, begründete Kategorien, Gegenmaßnahmen, mögliche Folgeschäden, Rechte- und Datenschutzaspekte sowie die betriebliche Freigabe. Die Analyse wird bei neuen Anwendungen, veränderten Abläufen und Sicherheitsereignissen aktualisiert. Als Transfer kannst Du das Modell auf einen fiktiven Außendienst-Laptop oder einen erfundenen Online-Shop übertragen.

Vertiefungsvideo – BSI zu Grundschutz und Business Continuity Management:

Das Fachvideo der BSI-Veranstaltung von 2025 behandelt auch weiterführende Methoden und richtet sich teilweise an Fortgeschrittene; verwende es zur Vertiefung, nicht als alleinige Handlungsanweisung.

Interaktive Aufgaben

Quiz: Teste Dein Wissen

Welches Ziel ist unmittelbar verletzt, wenn Unbefugte vertrauliche Angebote lesen? (Vertraulichkeit) (!Verfügbarkeit) (!Wiederherstellbarkeit) (!Bedienkomfort)

Rückmeldung: Unbefugte Einsicht betrifft Vertraulichkeit; ob Angebote erreichbar oder korrekt sind, ist davon zunächst unabhängig.

Was gehört zur Schutzbedarfsfeststellung nach Grundschutz? (Die begründete Bewertung der drei Grundwerte je Schutzobjekt) (!Die automatische Installation aller Sicherheitsupdates) (!Die alleinige Berechnung der Angriffswahrscheinlichkeit) (!Die Prüfung echter Kundenzugangsdaten)

Rückmeldung: Zuerst werden Schadensfolgen und benötigte Schutzstufen dokumentiert; die Maßnahmenplanung folgt daraus.

Wie wird der Vertraulichkeitsbedarf eines gemeinsam genutzten Systems nach dem Maximumprinzip grundsätzlich abgeleitet? (Aus dem höchsten relevanten Vertraulichkeitsbedarf seiner Anwendungen) (!Aus dem Durchschnitt aller drei Schutzziele) (!Aus der geringsten Schutzbedarfskategorie) (!Aus der Anzahl angeschlossener Bildschirme)

Rückmeldung: Das Maximum wird schutzzielbezogen ermittelt; keine automatische Gleichsetzung von Vertraulichkeit und Verfügbarkeit.

Welche Aussage über Eurogrenzen für Schutzbedarf ist richtig? (Betriebliche Grenzen sind zu definieren und auf den Schadenskontext anzuwenden) (!Das BSI verlangt immer die Grenze 500 Euro für hoch) (!Die Grenze wird allein vom Hersteller des Notebooks bestimmt) (!Es dürfen nie finanzielle Schadensfolgen berücksichtigt werden)

Rückmeldung: Die in der Modellfirma gewählten Beträge dienen ausschließlich dem Planspiel und sind keine universellen Normgrenzen.

Welche Größe beschreibt die höchstens tolerierte Wiederanlaufzeit eines Dienstes? (RTO) (!RPO) (!RAM) (!VPN)

Rückmeldung: RTO betrifft die Zeit bis zur Wiederherstellung; RPO betrifft den maximal tolerierten Datenverlust als Zeitspanne.

Welche Modellrechnung ergibt sich bei drei Personen, sechs Stunden und 45 Euro je Stunde? (810 Euro) (!270 Euro) (!360 Euro) (!1170 Euro)

Rückmeldung: 3 × 6 × 45 = 810 Euro. Die 1.170 Euro enthalten zusätzlich zwei Gutschriften von je 180 Euro.

Welches Resultat entsteht für die Übungspriorität bei P gleich 2 und S gleich 3? (6) (!5) (!9) (!1)

Rückmeldung: Die eigens definierte Übungsformel lautet R = P × S; sie ersetzt nicht die qualitative Schutzbedarfsentscheidung.

Was ist bei einem angeblich risikomindernden Backup zuerst fachlich erforderlich? (Seine tatsächliche Verfügbarkeit und Wiederherstellbarkeit zu prüfen) (!Es ungeprüft als vollständige Risikobeseitigung zu werten) (!Die Schutzbedarfskategorie sofort auf normal zu setzen) (!Die Sicherung ohne Erlaubnis auf einem Produktivsystem zu testen)

Rückmeldung: Erst ein geeigneter, freigegebener und getesteter Wiederherstellungsprozess begründet eine reale Wirkung.

Welche Maßnahme schützt die Integrität eines genehmigten Angebots besonders direkt? (Vier-Augen-Freigabe bei kritischen Preisänderungen) (!Häufigeres Wechseln der Bildschirmhelligkeit) (!Eine längere Mittagspause) (!Eine rein optische Änderung der Benutzeroberfläche)

Rückmeldung: Eine zweite fachliche Prüfung und dokumentierte Versionsstände reduzieren das Risiko unbemerkter oder fehlerhafter Änderungen.

Wie handelst Du als Auszubildende oder Auszubildender bei einer empfohlenen Änderung an einer echten IT-Umgebung? (Ich dokumentiere den Vorschlag und hole die vorgeschriebene fachliche Freigabe ein) (!Ich ändere reale Berechtigungen ohne Rücksprache) (!Ich teste den Vorfall mit echten Kundendaten) (!Ich ignoriere den betrieblichen Meldeweg)

Rückmeldung: Schutzbedarfsanalyse und Empfehlung sind Lernziele; produktive Maßnahmen setzen Zuständigkeit, Qualifikation und Freigabe voraus.

Memory

Ordne jedem Fachbegriff genau seine passende Bedeutung zu.

Vertraulichkeit	Schutz vor unberechtigter Kenntnisnahme
Integrität	Korrektheit und Unversehrtheit von Informationen
Verfügbarkeit	Nutzbarkeit von Diensten zum benötigten Zeitpunkt
Maximumprinzip	Höchste relevante Einstufung je Grundwert wird übernommen
RTO	Höchstens tolerierte Wiederanlaufzeit
RPO	Höchstens tolerierter Datenverlust als Zeitspanne

Drag and Drop

Ordne den fünf Analyseschritten die fachlich passende Tätigkeit zu.

Passende Tätigkeit	Schritt der Schutzbedarfsanalyse
Untersuchungsumfang und Rollen festhalten	Auftragsklärung
Informationen und Systeme geordnet erfassen	Strukturanalyse
Schadensfolgen je Grundwert begründen	Schutzbedarfsfeststellung
Gemeinsam genutzte Systeme schutzzielbezogen bewerten	Vererbungsprüfung
Empfehlungen mit Verantwortlichen und Prüfkriterien formulieren	Maßnahmenplanung

Kreuzworträtsel

Finde die sechs Fachwörter anhand der Hinweise.

Vertraulichkeit	Welches Schutzziel verhindert das unberechtigte Lesen von Informationen?
Integrität	Welches Schutzziel verlangt korrekte und unverfälschte Daten?
Verfügbarkeit	Welches Schutzziel betrifft die rechtzeitige Nutzbarkeit?
Schutzbedarf	Wie heißt die benötigte Schutzstufe eines Informationsobjekts?
Risikomatrix	Welche Darstellung verbindet Auswirkung und Eintrittswahrscheinlichkeit?
Freigabe	Wie heißt die formelle Erlaubnis vor einer betrieblichen Änderung?

LearningApps

Weitere Zuordnungsübungen und Lernmaterialien zum Thema suchen:

Lückentext

Informationen vor unberechtigter Einsicht zu schützen, ist das Ziel der

.

Die Korrektheit von Daten gehört zur

.

Die rechtzeitige Nutzbarkeit eines Ticketsystems betrifft die

.

Eine im Betrieb vorgegebene Regelbasis heißt IT-Sicherheitsleitlinie oder kurz

.

Bei gemeinsam genutzten IT-Systemen hilft das

bei der Ableitung des Schutzbedarfs.

Die maximale Wiederanlaufzeit wird mit

abgekürzt.

Der höchstens tolerierte Datenverlust als Zeitspanne heißt

.

Bei der Übungsformel R gleich P mal S steht P für die

.

Eine Sicherheitsmaßnahme muss einer zuständigen Rolle zur

vorgelegt werden.

Offene Aufgaben

Bearbeite genau vier Aufgaben auf dem von Dir gewählten Niveau oder kombiniere nach Absprache die Niveaus. Jede Aufgabe ist vollständig mit erfundenen Fällen und Daten lösbar; gib keine realen Kunden-, Schul- oder Beschäftigtendaten ein.

Leicht

A1 – Schutzziele erklären: Erstelle drei Karteikarten mit Definition, eigener fiktiver Alltagssituation und zugehöriger Schadensfolge für Vertraulichkeit, Integrität und Verfügbarkeit.
A2 – Leitlinie lesen: Markiere in der fiktiven Modellleitlinie drei verbindliche Regeln und schreibe je einen Satz dazu, welche Handlung sie verlangt.
A3 – Schadensszenarien sammeln: Formuliere für ein erfundenes Service-Notebook je ein mögliches Szenario zu Datenverlust, Preismanipulation und Dienstunterbrechung.
A4 – Rechenkarte: Berechne den hypothetischen Arbeitsausfall für zwei Personen, vier Stunden und 40 Euro je Stunde; erläutere den Rechenweg und die Grenzen der Annahme.

Standard

A5 – Objektinventar: Erstelle für einen fiktiven Reparaturservice eine Liste aus mindestens fünf Informations-, Prozess- oder IT-Objekten einschließlich Rollen und Abhängigkeiten.
A6 – Schutzbedarfsbogen: Bewerte drei selbst erfundene Anwendungen jeweils nach den drei Grundwerten als normal, hoch oder sehr hoch und begründe jede Abweichung.
A7 – Wiederherstellungsplan: Vergleiche einen Sicherungsrhythmus von vier Stunden mit einem RPO-Ziel von einer Stunde; berechne die maximale modellhafte Lücke und empfehle eine Verbesserung.
A8 – Fehlerdiagnose: Untersuche ein absichtlich fehlerhaftes Planspielprotokoll mit fehlender Objekt-ID, fehlenden Begründungen und ungeprüften Rechten und verfasse einen Korrekturbericht.

Schwer

A9 – Priorisierungsmodell: Entwickle eine fiktive Risikoliste für vier Bedrohungen mit P, S und R; diskutiere ausdrücklich, wo die Zahlenmethode der fachlichen Entscheidung widersprechen kann.
A10 – Vererbung prüfen: Begründe Schutzbedarf und denkbare Kumulations- beziehungsweise Verteilungseffekte eines simulierten Servers mit drei Anwendungen; lege offene Prüffragen offen.
A11 – Wirtschaftlich entscheiden: Kalkuliere mit vorgegebenen Übungsangeboten jährliche Schutzmaßnahmenkosten, stelle sie begründeten Risikofolgen gegenüber und formuliere eine adressatengerechte Empfehlung.
A12 – Transfer und Präsentation: Übertrage das Verfahren auf einen rein erfundenen mobilen Vertriebsarbeitsplatz, erstelle eine einseitige Entscheidungsvorlage und präsentiere Schutzbedarf, Maßnahmen, Grenzen und Freigabeprozess.

Lösungshilfen und erwartete Musterarbeitsprodukte

Aufgabe	Fachlich tragfähige Musterlösung oder erwartetes Produkt
A1	Drei korrekt beschriftete Karten: Einsicht – Vertraulichkeit; Änderung – Integrität; Ausfall – Verfügbarkeit; jeweils eigene plausible Begründung.
A2	Kurze Liste zu Rollenfreigabe, Sicherheitsmeldung und Schutzkategorien; Regel und konkrete Handlung sind sauber voneinander getrennt.
A3	Drei verschiedene Sätze: gestohlene Datei, unbemerkte Preisänderung, nicht erreichbares Ticket; pro Szenario passendes Schutzziel.
A4	2 × 4 × 40 Euro = 320 Euro; die Zahl ist ein interner Modellwert, kein nachgewiesener Umsatzverlust.
A5	Mindestens fünf eindeutige IDs, Art, Zweck, Verantwortungsrolle und Abhängigkeiten; keine geheimen oder personenbezogenen Echtdaten.
A6	Eine Matrix mit neun begründeten Einzelbewertungen; „hoch“ setzt ein hinreichend beträchtliches Schadensszenario voraus.
A7	Bei Vier-Stunden-Intervall drohen ohne weitere Sicherungen bis zu vier Stunden Verlust; zum Ein-Stunden-RPO fehlen im Modell drei Stunden, also kürzere und getestete Sicherungen planen.
A8	Korrigierter Inventareintrag mit Objekt-ID, begründetem Schutzbedarf und Hinweis auf Genehmigung statt eigenmächtiger Rechteänderung.
A9	Vier nachvollziehbare Produkte P × S samt Rangfolge; schriftlicher Hinweis, dass schwere Rechtsfolgen ungeachtet kleiner Zahl vorrangig sein können.
A10	Dreispaltiger Maximumvergleich; kumulierter Schaden und belegte Redundanz als gesonderte, zu prüfende Sonderfälle dokumentiert.
A11	Einmalige und laufende Kosten explizit getrennt; eine Entscheidung mit Wirksamkeitskriterium, ohne behauptete garantierte Einsparung.
A12	Einseitige Leitungsvorlage mit Geltungsbereich, V/I/A, mindestens drei priorisierten Maßnahmen, Prüfpunkt und Freigabevermerk.

Lernkontrolle

Fallanalyse: Warum kann derselbe Kundenkontakt im Angebots- und im Notfallprozess unterschiedliche Anforderungen an die Verfügbarkeit auslösen? Begründe je ein Beispiel.
Schutzbedarfsprüfung: Zwei Anwendungen haben die Vektoren (hoch, normal, normal) und (normal, hoch, sehr hoch). Leite den schutzzielbezogenen Vektor des gemeinsam genutzten Systems her und erläutere die Voraussetzungen.
Rechenprüfung: Bei P = 2 und S = 3 beträgt die Übungspriorität 6. Erkläre, warum sich daraus nicht automatisch „sehr hoher Schutzbedarf“ ergibt.
RTO-RPO-Diagnose: Ein Sicherungsplan hat im Modell ein Intervall von drei Stunden, der Wiederanlauf dauert fünf Stunden. Prüfe die Einhaltung einer RPO von zwei und einer RTO von vier Stunden und schlage prüfbare Verbesserungen vor.
Berechtigungskonzept: Eine Servicekraft darf alle Angebotskonditionen exportieren, benötigt dies aber nicht für Tickets. Bewerte Schutzziel, Rollenrechte und Freigabebedarf, ohne reale Systeme zu verändern.
Beruflicher Transfer: Verfasse eine kurze E-Mail an die fiktive Teamleitung, in der Du zwei Maßnahmen mit Nutzen, Verantwortungsrolle, Kostenannahme und Nachweis der Wirksamkeit begründest.

Lösungskriterien zur Selbstkontrolle: Getrennte Grundwerte, konkrete Schadensfolgen, dokumentierte Annahmen, nachvollziehbare Rechnungen, belastbare Zuständigkeiten und kein unfreigegebener Zugriff. Rechenergebnisse: Maximumvektor in Aufgabe 2 = (hoch, hoch, sehr hoch); in Aufgabe 4 werden sowohl RPO als auch RTO um jeweils eine Stunde verfehlt.

Lernnachweis

Als Lernnachweis reichst Du eine fiktive Schutzbedarfsanalyse ein, deren Beurteilung die folgenden überprüfbaren Bestandteile nutzt.

Bestandteil	Nachweis und fachliche Qualitätsmerkmale
Deckblatt und Auftrag	Lernfeld, abgegrenzter Gegenstand und Kennzeichnung „Planspiel mit synthetischen Daten“.
Strukturübersicht	Inventar mit IDs, Zweck, Informationsarten, Abhängigkeiten und zuständigen Rollen.
Schutzbedarfsbogen	Für jedes Objekt getrennte V/I/A-Einstufung mit konkreten Schadensszenarien und Quellen der Annahmen.
Fachrechnung	Vollständige Einheiten und Zwischenschritte, plausibler Verrechnungssatz, Vermeidung von Doppelzählungen.
Maßnahmenplan	Priorisierte Gegenmaßnahmen, Wirksamkeitsprüfung, Kostenannahme, Rollen und notwendige Freigaben.
Reflexion	Unsicherheiten, mögliche Fehlklassifikation, Grenzen der Übungsdaten und Übertragbarkeit.

Musterantwort für die Abschlussbesprechung: „Ich kann erklären, warum ein Objekt bezüglich Vertraulichkeit hoch, hinsichtlich Verfügbarkeit aber normal einzustufen ist. Ich unterscheide den Schutzbedarf von einer vereinfachten Risikozahl, belege meine Rechnungen und leite genehmigungsbedürftige Maßnahmen ab.“

OER und Wikipedia

Quellen zum Ausbildungsstand und zur Methodik:

Bildungsplan der Berufsschule Baden-Württemberg, Lernfeld 4, Seite 15; KMK-Beschluss vom 13.12.2019, Ausbildungseinordnung und Lernziele.
Bundesinstitut für Berufsbildung: aktuelles Berufsprofil, Berufsdauer, Ausbildungsordnung, Einsatzgebiete.
BIBB: Umsetzungshilfe Kaufmann/Kauffrau für IT-System-Management, Ausbildungsordnung und gestreckte Abschlussprüfung; Publikation CC BY-NC-ND 4.0, hier nur als Quelle verlinkt, nicht kopiert.
BSI: IT-Grundschutz-Kompendium, Glossar, Begriffe Schutzbedarf, Schutzbedarfsfeststellung und Schutzbedarfskategorien.
Landesbildungsserver Baden-Württemberg: Lernfelder der IT-System-Management-Ausbildung.
MOOCwiki: Cybersicherheit – Baden-Württemberg, MOOCwiki: Datenschutzverletzungen und MOOCwiki: PC und Schutzmaßnahmen.

Überprüfte Wikimedia-Commons-Bilder und Rechte:

Eingebundene Datei	Genaue Dateiseite	Urheber	Lizenz und Nachweis
File:Confidentiality Integrity Availability triangle.png	Commons-Dateiseite	Picturesqua	CC BY-SA 4.0
File:Role-based access control.svg	Commons-Dateiseite	Babbage	CC0 1.0
File:Risk heat map.png	Commons-Dateiseite	David Vose	CC BY-SA 4.0
File:3-2-1 backup.svg	Commons-Dateiseite	Olaf Pichler	CC BY-SA 4.0

Überprüfte YouTube-Videos und Rechtehinweis:

Einbettungs-ID	Videoquelle	Kanal / Herausgeber	Rechtlicher Hinweis
z13Eargjjig	IT Grundschutz nach BSI 200 – Teil 1	CSBME KAH	Rechte beim jeweiligen Rechteinhaber; Einbettung über YouTube, keine freie Lizenz behauptet.
PxOjkV6oUwU	2. IT-Grundschutz-Tag 2025 – Grundschutz++ und BCM	Bundesamt für Sicherheit in der Informationstechnik	Rechte beim jeweiligen Rechteinhaber; Einbettung über YouTube, keine freie Lizenz behauptet.

Die eigenen Fallbeispiele, Zahlen, Aufgaben und Modellantworten sind für diesen Kurs neu formuliert. Bilder bleiben unter ihren angegebenen Lizenzen; die zitierten Fachquellen und Videos werden nicht pauschal als offene Bildungsressourcen umdeklariert. Für die Weiterverwendung gelten die jeweiligen Nutzungsbedingungen.