# embedding_metadata

key: chroma:document
string_value:
5 Dokumentation im Sicherheitsprozess

Dieses Kapitel beschreibt umfassend die wesentlichen Aspekte bezüglich einer angemessenen Dokumentation sowie eines angemessenen Informationsflusses. Die Berücksichtigung dieser Aspekte unterstützt bei der Erstellung einer guten Dokumentation. Sie sind bewährt und empfehlenswert und müssen den Gegebenheiten der Institution angepasst werden. Dies gilt insbesondere im Kontext der Basis-Absicherung. Im Rahmen einer Zertifizierung werden sie verbindlich, ansonsten sind sie als „Best Practices“ zu verstehen.


key: _node_content
string_value:
{"id_": "41d04aeb-e92b-42ca-9113-47f1858a5488", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d32ae03d-7f0a-43da-9eb7-93c6544ed524", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5987a2aebd71b2de5ba6956b3fedc2e9e3b61bd138e20b0a0887796290c4a903", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1334, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2.1 Berichte an die Leitungsebene

Damit die Unternehmens- bzw. Behördenleitung die richtigen Entscheidungen bei der Steuerung und Lenkung des Informationssicherheitsprozesses treffen kann, benötigt sie Eckdaten zum Stand der Informationssicherheit. Diese Eckpunkte sollten in Managementberichten aufbereitet werden, die unter anderem folgende Punkte abdecken:

- Status und Umsetzungsgrad des Sicherheitskonzepts
- Ergebnisse von Audits und Datenschutzkontrollen (siehe auch Datenschutz-Grundverordnung [DSGVO])
- Berichte über Sicherheitsvorfälle
- Berichte über bisherige Erfolge und Probleme beim Informationssicherheitsprozess
- Berichte über die Reduzierung bestehender Umsetzungsdefizite und der damit verbundenen Risiken (Risikobehandlungsplan, siehe BSI-Standard 200-3)

Die Leitungsebene muss vom ISB regelmäßig in angemessener Form über die Ergebnisse der Überprüfungen und den Status des Sicherheitsprozesses informiert werden. Dabei sollten Erfolge, Probleme und Verbesserungsmöglichkeiten aufgezeigt werden. Die Leitungsebene nimmt die Managementberichte zur Kenntnis und veranlasst eventuell notwendige Maßnahmen.

Ebenso erarbeitet der Sicherheitsbeauftragte das Sicherheitskonzept und sorgt für dessen Umsetzung und regelmäßige Aktualisierung. Die Freigabe des Sicherheitskonzepts erfolgt durch die Leitungsebene.


key: _node_content
string_value:
{"id_": "d0d0c671-ecf8-4b00-b09c-2f1d317094d0", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8c35bffb-2429-489f-8d33-acf21cce1cd1", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "bbd954c9c331d4fe44e0b01aab7f8da6991781e0044dc2cd2cf6586262ab37cf", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 952, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2.2 Dokumentation im Informationssicherheitsprozess

Aus zahlreichen Gründen ist die Dokumentation des IS-Prozesses auf allen Ebenen entscheidend für dessen Erfolg. Nur durch eine ausreichende Dokumentation:

- werden getroffene Entscheidungen nachvollziehbar, BSI-Standard 200-2
- sind Prozesse wiederholbar und standardisierbar,
- können Schwächen und Fehler erkannt und zukünftig vermieden werden.

Abhängig vom Gegenstand und vom Verwendungszweck einer Dokumentation können folgende Arten von Dokumentationen unterschieden werden:

Dokumente für das Sicherheitsmanagement (Zielgruppe: Sicherheitsmanagement)

Im Rahmen der verschiedenen Aktivitäten des Informationssicherheitsmanagements entstehen Konzepte, Richtlinien, Berichte und weitere Dokumente. Nur durch eine ausreichende Dokumentation werden getroffene Entscheidungen nachvollziehbar, Handlungen wiederholbar und Schwächen erkannt, sodass diese in Zukunft vermieden werden können.
---


key: _node_content
string_value:
{"id_": "4e5e9fc2-3cd0-4527-8a79-2c88500aad4f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cf684063-d5be-49e5-8675-b9d0ff97f0e1", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b582a8302a348ea901b45aa50e652db836d1e7da5794b122cfedc1b3e3950a0b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 379, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2 Informationsfluss im Informationssicherheitsprozess

Die Menge und Ausprägung der Dokumentation hängt von den Notwendigkeiten der jeweiligen Institutionen ab und kann sehr unterschiedlich sein. Beispiele für zu erstellende Dokumente sind:

- Sicherheitskonzept mit den Berichten zur Risikoanalyse,
- Schulungs- und Sensibilisierungskonzept,
- Audit- oder Revisionsberichte.


key: _node_content
string_value:
{"id_": "873aaa20-9172-4485-b131-f164839d4dc3", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d6fe35cc-197a-467e-9745-4e92e265339d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d2a9f0cd1edc7b913db0fa41e741bc6a191c094f452db27eb8ca60e2aa738cf9", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1071, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Technische Dokumentation und Dokumentation von Arbeitsabläufen (Zielgruppe: Experten)

Hier wird der aktuelle Stand von Geschäftsprozessen und der damit verbundenen IT-Systeme und Anwendungen beschrieben. Oft ist der Detaillierungsgrad technischer Dokumentationen ein Streitthema. Ein pragmatischer Ansatz ist, dass andere Personen mit vergleichbarer Expertise in diesem Bereich die Dokumentation nachvollziehen können müssen und dass der Administrator zwar auf sein Wissen, aber nicht auf sein Gedächtnis angewiesen sein muss, um die Systeme und Anwendungen wiederherzustellen. Bei Sicherheitsübungen und bei der Behandlung von Sicherheitsvorfällen sollte die Qualität der vorhandenen Dokumentationen bewertet und die gewonnenen Erkenntnisse zur Verbesserung genutzt werden. Zu solcher Art von Dokumentationen gehören unter anderem:

- Installations- und Konfigurationsanleitungen,
- Anleitungen für den Wiederanlauf nach einem Sicherheitsvorfall,
- Dokumentation von Test- und Freigabeverfahren,
- Anweisungen für das Verhalten bei Störungen und Sicherheitsvorfällen.


key: _node_content
string_value:
{"id_": "870beebd-373c-487d-976a-b206137a2271", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "aa433fc0-8b66-43e2-a7ff-10092a9ea2c0", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "875626832ca9fd9bd76b2db658c03b1759a54d24ae3d1b5d49d00888becf44bd", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 647, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Anleitungen für Mitarbeiter (Zielgruppe: Mitarbeiter)

Das Dokument, das die grundlegenden Aussagen zum Umgang mit Informationssicherheit in der Institution enthält, ist die Leitlinie zur Informationssicherheit. Daneben müssen die umzusetzenden Sicherheitsmaßnahmen für die Mitarbeiter verständlich in Form von Richtlinien dokumentiert werden. Die Mitarbeiter müssen über die Existenz und Bedeutung dieser Richtlinien informiert und entsprechend geschult sein. Diese Gruppe von Dokumentationen umfasst beispielsweise:

- Arbeitsabläufe und organisatorische Vorgaben,
- Richtlinien zur Nutzung des Internets,
- Verhalten bei Sicherheitsvorfällen.


key: _node_content
string_value:
{"id_": "53cc4136-f40c-40dd-a706-c0eedd38757e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "ebbef1a2-473a-4601-9e5e-d6504f492f5f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1a90f1c991df696c1f5e480c4b166337c1432c4e27eefc51beb7733ee57548b8", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 254, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aufzeichnung von Managemententscheidungen (Zielgruppe: Leitungsebene)

Grundlegende Entscheidungen zum Informationssicherheitsprozess und zur Sicherheitsstrategie müssen aufgezeichnet werden, damit diese jederzeit nachvollziehbar und wiederholbar sind.


key: _node_content
string_value:
{"id_": "883c92f8-7903-4603-b58f-2c3fa689660e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "36f76eaa-73aa-496b-8337-3fce17194383", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "45485d1ac1cdf19b76513e30c47aa4a7d52c4d2ca6a6cafdc924f23654acfab4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 434, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Gesetze und Regelungen (Zielgruppe: Leitungsebene)

Für die Informationsverarbeitung können eine Vielzahl unterschiedlicher Gesetze, Regelungen und Anweisungen relevant sein. Es sollte dokumentiert werden, welche Gesetze, Regelungen und Anweisungen im vorliegenden Fall besondere Anforderungen an Geschäftsprozesse, den IT-Betrieb oder an die Informationssicherheit stellen und welche konkreten Konsequenzen sich daraus ergeben.
---


key: _node_content
string_value:
{"id_": "e4925609-8f4e-42f9-b08e-8317c01bb978", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "973ebcce-3ac5-4024-8e24-791dfaa3d766", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4873f93111d286d5c7dda7e5a19fee714ebf23410525e5f426d70908b2af9939", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 39, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "5f4222e9-0e4e-4b3c-9cde-827a7123234a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "906ca819-093f-4afb-b3fc-ba3faeba9952", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e8f1a220b955f4a184a7f520bf1ed262b1a1683f09162937bc5b9ca5209c2347", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 756, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Referenzdokumente für die Zertifizierung (Zielgruppe: Institutionen mit dem Ziel der Zertifizierung)

Strebt eine Institution eine Zertifizierung an, so müssen verschiedene Dokumente für die Auditierung erstellt und aktualisiert werden. Diese Dokumente werden den Auditoren und der Zertifizierungsstelle im BSI überreicht, bewertet und darauf aufbauend die Entscheidung für oder gegen ein Zertifikat getroffen. Die erforderlichen Dokumente für die Zertifizierung werden im Internet in der Liste der Referenzdokumente gepflegt. Dazu gehören beispielsweise Richtlinien zur Risikoanalyse, zur Lenkung von Dokumenten und Aufzeichnungen, zur Auditierung des Managementsystems für Informationssicherheit und zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen.


key: _node_content
string_value:
{"id_": "49ed101a-807e-431a-ab94-69c93ecc78f0", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "020f80d9-c1ad-435f-ad64-dcdac9296142", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "08f874731766d7576373dbbffff3643c8124cc92f481c02929d6d815898a1a81", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 907, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Dokumentation im ICS-Bereich (Zielgruppe: Anwender)

Viele der Dokumente zur Informationssicherheit aus dem IT-Bereich können für den Bereich der industriellen Steuerung übernommen werden. Einige der Dokumente aus dem IT-Bereich lassen sich jedoch nicht ohne Weiteres für den Bereich der industriellen Steuerung übertragen. Hier müssen entsprechend der Anforderungen Dokumente für den ICS-Bereich neu erstellt, modifiziert oder geändert werden. Häufig ist es sinnvoll, für den Bereich der industriellen Steuerung eine abgeleitete Leitlinie für die Informationssicherheit und eigene Richtlinien und Arbeitsanweisungen zu erstellen. Zu beachten ist, dass alle abgeleiteten Dokumente in das ISMS der Institution integriert werden sollten. Es muss sichergestellt werden, dass alle Dokumentationen auf dem aktuellen Stand gehalten werden. Dafür muss die Dokumentation in den Änderungsprozess einbezogen werden.


key: _node_content
string_value:
{"id_": "0643a739-d129-43e7-8b19-799880e9c608", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "352de732-d72a-44a5-8169-549dff24446d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5a633a2b5f7b8e117e0880cc27a9050b0b48b26f29224f9bad46416923fc4d8b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 298, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2.3 Anforderungen an die Dokumentation

Eine angemessene Dokumentation des Informationssicherheitsprozesses sollte eine Reihe von Anforderungen bezüglich Kennzeichnung, Detailtiefe, Aktualisierungen, Medium, Sicherheit und Datenschutz erfüllen. Diese werden nachfolgend detailliert beschrieben.


key: _node_content
string_value:
{"id_": "b0c9dae6-7910-433d-bca4-887b079c87df", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a44f4c94-0c4b-4b26-9dbf-bd40ba116942", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e8a81b002e08f8b6a7d8524a4d284a8f5e421429561451b6b440127861c45ba4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 985, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Mindestanforderung an die Kennzeichnung der Dokumente zum Sicherheitsmanagement

Die Dokumente, die im Rahmen des Sicherheitsmanagements erstellt, bearbeitet und verwaltet werden, müssen aussagekräftig und für die jeweilige Zielgruppe verständlich sein. Es sollte, soweit sinnvoll, ein einheitlicher Aufbau der Dokumente genutzt werden. Dies dient dem besseren Verständnis und der einfacheren Handhabung. Die Dokumente müssen so gekennzeichnet sein, dass sie im Bedarfsfall schnell gefunden und zugeordnet werden können. Daher müssen mindestens folgende Angaben vorhanden sein:

- Eindeutige Bezeichnung (aussagekräftiger Titel), BSI-Standard 200-2
- Ersteller / Autor / Dokumenteninhaber
- Funktion des Erstellers
- Versionsnummer
- letzte Überarbeitung, nächste geplante Überarbeitung
- freigegeben am / durch
- Klassifizierung (vertrauliche Inhalte müssen klassifiziert, als solche gekennzeichnet und die Dokumente sicher verwahrt werden)
- berechtigte Rollen (Verteilerkreis)
---


key: _node_content
string_value:
{"id_": "9eeb63ed-77f7-41db-89a6-5b5256501d65", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "020e048a-a056-4697-bfcc-ec7fe389d178", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "48f6601c524cfa7215cf5a04471aed6bbadf4e435a7d05742819dff468750342", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 329, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2 Informationsfluss im Informationssicherheitsprozess

Optional können folgende Informationen mit aufgenommen werden:

- Quellenangaben,
- Aufbewahrungszeitraum und
- eine Änderungsübersicht.

Externe Dokumente, die für das Sicherheitsmanagement relevant sind, müssen ebenfalls angemessen gekennzeichnet und verwaltet werden.


key: _node_content
string_value:
{"id_": "c76b30b9-2237-4a73-b30a-0b816455cb61", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "759e07df-cf64-4f4f-8c3d-278c21c3a62e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "fabf63812dd93ba36deebbc11a7dff005f579a6e73b2e2af5327779fe1a59115", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 826, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Detailtiefe

Für die Detailtiefe der einzelnen Dokumente gilt das Prinzip „dem Ziel und Zweck angemessen“. Strategiedokumente, wie die Leitlinie, sollten kurz und prägnant, jedoch aussagekräftig gehalten werden. Die bei der Konzeption anfallenden Dokumente sollten detaillierte Informationen enthalten, um die daraus abgeleiteten Entscheidungen nachvollziehen zu können. Alle Entscheidungen sowie die Informationen, auf denen die Entscheidungen basieren, müssen dokumentiert werden.

Für Richtlinien und Handlungsanweisungen für Mitarbeiter gilt in besonderem Maße, dass sie klar und verständlich gehalten werden müssen. Oftmals sind für bestimmte Bereiche einfache Checklisten ausreichend. Diese ermöglichen einen schnellen Überblick und helfen dabei, nichts zu vergessen und die Reihenfolge einzelner Schritte einzuhalten.


key: _node_content
string_value:
{"id_": "d0ed9e54-6658-4c03-8adf-b5387134c1cd", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8f1e3595-5086-4256-86cb-7fe75c1ed597", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "bd5b8ec8cf1928c18177698a446ccaddb577655b29b3ab14bb41985328052638", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1193, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Änderungsmanagement

Alle Dokumente zum Sicherheitsmanagement sollen regelmäßig aktualisiert werden. Dafür empfiehlt es sich, ein Änderungsmanagement-Verfahren aufzusetzen, mit dem alle Änderungen erfasst, bewertet, freigegeben und nachvollzogen werden können. Dazu sind für alle Dokumente klare schriftliche Änderungsmanagement-Anweisungen vorzugeben. Das Verfahren sollte des Weiteren festlegen, wie Anwender Änderungsvorschläge einbringen können und wie diese dann beurteilt und gegebenenfalls berücksichtigt werden. Das Änderungsmanagement des Sicherheitsmanagements ist in das übergreifende Änderungsmanagement der Institution zu integrieren.

Für die Aktualisierung der einzelnen Dokumente sollten Intervalle vorgegeben werden. Für den überwiegenden Teil der Dokumente hat sich eine jährliche Überprüfung bewährt.

Die Mechanismen, die das Änderungsmanagement anstoßen, sind in die entsprechenden Prozesse (z. B. Personalverwaltung, Hausverwaltung, Inventarisierung) zu integrieren. Der Sicherheitsbeauftragte ist steuernd tätig. Die Verantwortung für die Aktualisierungen und Durchführung der Änderungsanforderungen für ein einzelnes Dokument trägt der jeweilige Dokumenteneigentümer.


key: _node_content
string_value:
{"id_": "3942ed7f-ba88-4b8f-8393-d693b930488c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3fbb8402-f853-4592-8f3f-595ddec68f3c", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "92b366fd4b8478f41d21825c5740bc3d9bea6bb07f37f36adc50433d1b776c44", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 721, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Dokumentationsmedium

Dokumente zum Sicherheitsmanagement müssen nicht immer in Papierform vorliegen. Zur Dokumentation können auch lokale oder internetbasierte Software Tools genutzt werden. Diese speichern alle nötigen Informationen und sind von verschiedenen Standorten aus sowie kollaborativ nutzbar.

Das Dokumentationsmedium sollte je nach Bedarf, Phase (Planung, Umsetzung oder Prüfung) oder Teilaufgabe gewählt werden. Auch die Zielpersonen der Dokumente und deren Vertrautheit mit den unterschiedlichen Medien sollte in die Überlegung eingeschlossen werden. Während die einen die Arbeit mit Papier bevorzugen, ist für die anderen das einfache Suchen oder Filtern in elektronischen Dokumenten unverzichtbar.
---


key: _node_content
string_value:
{"id_": "dcee0516-19b9-4bae-8e3f-9cf3c7047958", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "36f7a3f9-5cd1-4446-a0bb-5e7f71d754c1", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4873f93111d286d5c7dda7e5a19fee714ebf23410525e5f426d70908b2af9939", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 39, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "f5d2a868-45f1-4b58-9836-7375e2ab0719", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d424f6ac-cbca-4edc-b068-0238b771d4be", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4d3e58725660ad6aa74263258594266952f8a2ddd43bdd601947f8720d0a0ab8", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1171, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Sicherheit und Datenschutz

Da die Dokumente zum Sicherheitsmanagement sowohl sensitive Daten über die Institution als auch personenbezogene Daten beinhalten, muss die Informationssicherheit und der Datenschutz gewährleistet werden. Neben der Verfügbarkeit sind auch die Integrität und insbesondere die Vertraulichkeit der Dokumente zu garantieren. Die verschiedenen Dokumente des Sicherheitsmanagements sollten in Bezug auf ihre Vertraulichkeit eingestuft, entsprechend gekennzeichnet und durch geeignete Maßnahmen geschützt werden.

Die jeweils berechtigten Empfänger sollten in den Dokumenten genannt werden. Der Zugriff auf die Dokumente ist auf die Personen zu beschränken, die die enthaltenen Informationen für ihre Tätigkeit benötigen („Need-to-know-Prinzip“). Eine sinnvolle Modularisierung der Dokumente ist daher empfehlenswert. Diese ermöglicht eine auf die Empfänger ausgerichtete Verteilung der Informationen. Es sollte in der Institution einen Überblick über die Anzahl der klassifizierten Dokumente, deren Art (z. B. Papier oder DVD) und deren Verteilung geben, wie auch über deren korrekte und vollständige Aktualisierung und Vernichtung bzw. Rücknahme.


key: _node_content
string_value:
{"id_": "24e36603-8d15-49ad-81d1-488a49f84041", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "01b4dd0e-c869-4949-ad4c-caba18994e22", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b60313b6ece83fa09138dfb7501eb0415b6ff534da958e198d8dbbc380c268cf", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1350, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2.4 Informationsfluss und Meldewege

Über die verschiedenen Aktivitäten im Rahmen des Sicherheitsmanagements müssen alle Betroffenen zeitnah informiert werden. Allerdings ist es auch nicht sinnvoll, Detailinformationen über den Sicherheitsprozess beliebig zu streuen. Daher muss geklärt sein, welche Personen mit welchen internen und externen Stellen wann über welche Details des Sicherheitsprozesses kommunizieren. Zudem muss festgelegt werden, welche Kommunikationskanäle für die jeweiligen Ansprechpartner genutzt und wie diese geschützt werden.

Für die Aufrechterhaltung des Informationssicherheitsprozesses ist die zeitnahe Aktualisierung der Meldewege und der Festlegungen für den Informationsfluss von elementarer Bedeutung. Darüber hinaus bieten die Ergebnisse aus durchgeführten Übungen, Tests und Audits auch eine nützliche Grundlage für die Verbesserung des Informationsflusses.

Grundsätzliche Festlegungen zum Informationsfluss und zu den Meldewegen in Bezug auf den Informationssicherheitsprozess sollten in einer entsprechenden Richtlinie dokumentiert und von der Leitungsebene verabschiedet werden. In der Richtlinie zum Informationsfluss und zu den Meldewegen sollten insbesondere die für den Informationssicherheitsprozess kritischen Informationsflüsse geregelt werden. Dabei ist zwischen Hol- und Bringschuld zu unterscheiden.


key: _node_content
string_value:
{"id_": "1611c9fa-ddfb-4827-8bf7-a31d951b48d4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "dca24fc7-51d7-43f7-8985-288c31cd49ed", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "eda60dfe1db1759f6467d3b9da0a0f7c6b2060658b093d0e6c9ee012f5bfdb5f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1060, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Nutzung von Synergieeffekten für den Informationsfluss

Viele Institutionen haben bereits Prozesse für die Bereitstellung von Dienstleistungen oder den IT-Betrieb definiert. Häufig gelingt es, Synergieeffekte zu nutzen und Aspekte der Informationssicherheit in bereits bestehende Prozesse einzugliedern. Beispielsweise könnten Meldewege für IT-Sicherheitsvorfälle in den IT-Betrieb integriert werden oder die Kapazitätsplanung um Aspekte der Notfallvorsorge erweitert werden.

Viele Informationen, die aus Sicherheitsgründen erhoben werden, können auch zu anderen Zwecken genutzt werden. Ebenso haben Sicherheitsmaßnahmen auch andere positive Nebeneffekte, besonders die Optimierung von Prozessen zahlt sich aus. Beispielsweise sind die Bestimmung von Informationseigentümern oder die Einstufung von Informationen nach einheitlichen Bewertungskriterien für viele Bereiche einer Institution relevant. Ein Überblick über die Abhängigkeit der Geschäftsprozesse von IT- bzw. ICS-Systemen und Anwendungen ist ebenfalls nicht nur für das Sicherheitsmanagement.
---


key: _node_content
string_value:
{"id_": "ae34a2ad-1c01-41d9-a11e-89c6b20c2b9a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1201c622-d010-4e98-975e-65e4d1c14277", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "41bfc0753a0d1843ebb3892ac0113f9f5569b96efe928caa680f541618dc3127", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 244, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
5.2 Informationsfluss im Informationssicherheitsprozess

sinnvoll. Zum Beispiel kann dadurch häufig auch eine exakte Zuordnung von IT-Kosten, die oftmals als Gemeinkosten umgelegt werden, auf einzelne Geschäftsprozesse oder Produkte erfolgen.


key: _node_content
string_value:
{"id_": "b433bfc3-a0b3-4ad3-a406-fde336cc8331", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5c0e75bb-6e08-448d-a4c0-23477aeb6ea6", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e2dd35d2237b0694561f3d35edd344b8b6446d673fa96f85573298be91254dd5", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 947, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aktionspunkte zu 5.2 Informationsfluss im Informationssicherheitsprozess

- Grundsätzliche Festlegungen zum Informationsfluss und zu den Meldewegen in Bezug auf den Informationssicherheitsprozess in einer entsprechenden Richtlinie dokumentieren und der Leitungsebene zur Verabschiedung vorlegen
- Leitungsebene über die Ergebnisse von Überprüfungen und den Status des Informationssicherheitsprozesses informieren
- Gegebenenfalls Entscheidungen über erforderliche Korrekturmaßnahmen einholen
- Alle Teilaspekte des gesamten Informationssicherheitsprozesses nachvollziehbar dokumentieren und die Dokumentation auf dem aktuellen Stand halten
- Bei Bedarf die Qualität der Dokumentation bewerten und gegebenenfalls nachbessern oder aktualisieren
- Meldewege, die den Informationssicherheitsprozess betreffen, auf dem aktuellen Stand halten
- Synergien zwischen dem Informationssicherheitsprozess und anderen Managementprozessen ausfindig machen
---


key: _node_content
string_value:
{"id_": "3782b4e7-043c-490d-9860-f280b6624577", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "23f2693b-3e28-446a-9a20-d49790ad04fc", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "08d14dab68127ddfdabdcd5630e2321f7012c77e252ffd67f05aced286a64d27", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2113, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6 Erstellung einer Sicherheitskonzeption nach der Vorgehensweise Basis-Absicherung

Die Erstellung der Sicherheitskonzeption für die Institution erfolgt nach der Vorgehensweise Basis-Absicherung, wenn die folgenden Voraussetzungen erfüllt sind:

- ein Informationssicherheitsprozess wurde initiiert,
- die Sicherheitsleitlinie und Informationssicherheitsorganisation wurden definiert,
- eine Übersicht der vorhandenen Assets der Institution wurde erstellt,
- die Basis-Absicherung wurde als IT-Grundschutz-Vorgehensweise ausgewählt.

Im Hinblick auf die Sicherheitskonzeption sollten für die Komponenten von Geschäftsprozessen, Anwendungen und IT-Systemen organisatorische, personelle, infrastrukturelle und technische Anforderungen aus dem IT-Grundschutz-Kompendium erfüllt werden. Diese sind in Bausteine strukturiert, sodass sie modular aufeinander aufsetzen.

|Festlegung des Geltungsbereichs|Auswahl und Priorisierung relevanter Bausteine|
|---|---|
|Organisation|IT-Grundschutz-Check|
|Infrastruktur|Basisanforderungen|
|Anwendungen| |
|IT-Systeme| |
|Mitarbeiter|Realisierung der Maßnahmen|
|Auswahl der folgenden Vorgehensweise (Kern- oder Standard-Absicherung)|Auswahl der folgenden Vorgehensweise (Kern- oder Standard-Absicherung)|

Abbildung 8: Basis-Absicherung

Die Erstellung einer Sicherheitskonzeption nach Basis-Absicherung gliedert sich in folgende Aktionsfelder, die anschließend noch näher vorgestellt werden sollen:

- Festlegung des Geltungsbereichs: Es muss der Informationsverbund festgelegt werden, für den die Sicherheitskonzeption erstellt und BSI-Standard 200-2 umgesetzt werden soll.
- Auswahl und Priorisierung: Der betrachtete Informationsverbund muss mithilfe der vorhandenen Bausteine aus dem IT-Grundschutz-Kompendium nachgebildet werden.
- IT-Grundschutz-Check: In diesem Schritt wird überprüft, ob die Basis-Anforderungen nach dem IT-Grundschutz bereits ganz oder teilweise umgesetzt sind und welche Sicherheitsmaßnahmen noch fehlen.
- Realisierung: Für die bisher nicht erfüllten Basis-Anforderungen müssen geeignete Sicherheitsmaßnahmen festgelegt und umgesetzt werden.
---


key: _node_content
string_value:
{"id_": "6a723c6f-f789-465c-be08-226139f727f4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "67e5510f-91c0-4109-a88a-2b57cce9d962", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "2229ef8ac5dfc6da6fe9d99aa14c34711f11de51c6661657e7f2da83120ff42e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 569, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.2 Auswahl und Priorisierung für die Basis-Absicherung

- Auswahl der folgenden Vorgehensweise: Die Basis-Absicherung dient als Einstiegsvorgehensweise. Es muss daher festgelegt werden, zu welchem Zeitpunkt und mit welcher IT-Grundschutz-Vorgehensweise das Sicherheitsniveau angehoben werden soll. Im Unterschied zur Standard-Absicherung sind die Aktionsfelder bei der Basis-Absicherung kein geschlossener Zyklus, sondern eine Einstiegsvorgehensweise, die mit der Standard-Absicherung fortgeführt werden kann (eventuell mit der Kern-Absicherung als Zwischenschritt).


key: _node_content
string_value:
{"id_": "56683c41-029a-408a-8afe-8a6159e35f52", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "31e2ea0d-414e-4515-9061-28f20de53c99", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "7e86ec489a16f71be97aff1489c69d24cd7622502072958419fe95916f2a1cf4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 778, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.1 Festlegung des Geltungsbereichs für die Basis-Absicherung

Bei der Erstellung einer Sicherheitskonzeption muss als Erstes festgelegt werden, welchen Bereich der Institution sie abdecken soll (Geltungsbereich). Der Geltungsbereich kann die gesamte Institution umfassen oder auch nur einzelne Bereiche. Auf jeden Fall muss der Geltungsbereich klar abgegrenzt und sinnvoll in sich abgeschlossen sein, mit wenigen, eindeutig definierten Schnittstellen. So könnte eine Institution beispielsweise für eine neu hinzugekommene Abteilung mit ihren Geschäftsprozessen und Assets zunächst die Basis-Absicherung umsetzen. Vertiefende Informationen zur Abgrenzung des Geltungsbereichs sind im Kapitel 3.4.3 Festlegung des Geltungsbereichs und Inhalt der Sicherheitsleitlinie zu finden.


key: _node_content
string_value:
{"id_": "a384a446-b117-40be-949f-b7e7446adc32", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0faa36d4-4cb4-4f21-a9af-d5aabd6f9fa4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "32275bab50a9dd6d153955d7a8a07753030027be3f22b41826c524ccf26b532f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 978, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Informationsverbund

Der Geltungsbereich für die Erstellung der Sicherheitskonzeption wird im Folgenden „Informationsverbund“ genannt. Ein Informationsverbund umfasst die Gesamtheit von infrastrukturellen, organisatorischen, personellen und technischen Komponenten, die der Aufgabenerfüllung in einem bestimmten Anwendungsbereich der Informationsverarbeitung dienen. Ein Informationsverbund kann dabei als Ausprägung die gesamte Informationsverarbeitung einer Institution oder auch einzelne Bereiche umfassen, die nach organisatorischen oder technischen Strukturen (z. B. Abteilungsnetz) oder gemeinsamen Geschäftsprozessen bzw. Anwendungen (z. B. Personalinformationssystem) gegliedert sind. Für die Erstellung der Sicherheitskonzeption werden auf Grundlage der bereits während der Vorarbeiten erfolgten Ersterfassung (siehe Kapitel 3.2.4 Ersterfassung der Prozesse, Anwendungen und IT-Systeme) die relevanten Bestandteile des betrachteten Informationsverbunds identifiziert.


key: _node_content
string_value:
{"id_": "552ed247-cf60-4501-8af2-8d2ef4bec902", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cf451913-2208-4a12-84f8-d56303dafad0", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6f4e60c4e8772f6a8d6f4992e0a2d4aa2269e8b34b976505eb0e4be75d51ba52", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 593, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.2 Auswahl und Priorisierung für die Basis-Absicherung

Der nächste Schritt besteht darin, den betrachteten Informationsverbund mithilfe der in der Ersterfassung identifizierten Prozesse, Anwendungen, IT-Systeme, Kommunikationsverbindungen und Räume und den vorhandenen Bausteinen aus dem IT-Grundschutz-Kompendium nachzubilden. Das Ergebnis ist ein IT-Grundschutz-Modell des Informationsverbunds, das aus verschiedenen, gegebenenfalls auch mehrfach verwendeten Bausteinen besteht und durch die Verwendung der Bausteine die sicherheitsrelevanten Aspekte des Informationsverbunds beinhaltet.


key: _node_content
string_value:
{"id_": "bb3ed665-8ae8-4896-87e0-d55a768e4638", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6e300a9c-d9a0-465c-9b5d-436eeb34ca1a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "bcd3d50ae00da58facc048d6bad40187be06ccc3d742cae6109c3bfdbde1fa69", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 420, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.2.1 Modellierung nach IT-Grundschutz

Um einen im Allgemeinen komplexen Informationsverbund nach IT-Grundschutz zu modellieren, müssen die passenden Bausteine des IT-Grundschutz-Kompendiums ausgewählt und umgesetzt werden. Um die Auswahl zu erleichtern, sind die Bausteine im IT-Grundschutz-Kompendium zunächst in prozess- und systemorientierte Bausteine aufgeteilt. Ein Überblick über die Struktur des IT-Grund.
---


key: _node_content
string_value:
{"id_": "fd62826a-e4d2-4a94-b8a2-5c6f75adf279", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d51cf310-0c7f-4777-a7a6-896cfe2c5589", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8a50d6545ea327f3c7cf38a661f3fc1b5edfcd78e8d84366b9e83c8779301a50", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 770, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6 Erstellung einer Sicherheitskonzeption nach Basis-Absicherung

Das IT-Grundschutz-Kompendium mit den System- und Prozessbausteinen ist in Kapitel 8.3.1 zu finden.

Die Modellierung nach IT-Grundschutz besteht nun darin, für die Bausteine einer jeden Schicht zu entscheiden, ob und wie sie zur Abbildung des Informationsverbunds herangezogen werden können. Je nach betrachtetem Baustein können die Zielobjekte dieser Abbildung von unterschiedlicher Art sein: einzelne Geschäftsprozesse oder Komponenten, Gruppen von Komponenten, Gebäude, Liegenschaften, Organisationseinheiten usw. Können einzelne Zielobjekte nicht unmittelbar mit den vorhandenen Bausteinen abgebildet werden, muss gewährleistet sein, dass ähnliche, verallgemeinerte Bausteine berücksichtigt werden.


key: _node_content
string_value:
{"id_": "d4ddd5fe-86e6-4732-ac82-04c074947fbc", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a831eb32-5d3a-4fae-8bff-632ea081bd24", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "82470235a9b9f7ef0f67ac8aef95a2d5cea0106f9305b43b897005c5d8b15a40", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1239, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.2.2 Reihenfolge der Baustein-Umsetzung

Um grundlegende Risiken abzudecken und eine ganzheitliche Informationssicherheit aufzubauen, müssen die essenziellen Sicherheitsanforderungen frühzeitig erfüllt und entsprechende Sicherheitsmaßnahmen umgesetzt werden. Daher wird im IT-Grundschutz eine Reihenfolge für die umzusetzen den Bausteine vorgeschlagen.

Im IT-Grundschutz-Kompendium wird im Kapitel Schichtenmodell und Modellierung beschrieben, wann ein einzelner Baustein sinnvollerweise eingesetzt werden soll und auf welche Zielobjekte er anzuwenden ist. Zudem sind die Bausteine danach gekennzeichnet, ob sie vor- oder nachrangig umgesetzt werden sollten. Diese Kennzeichnung zeigt nur die sinnvolle zeitliche Reihenfolge für die Umsetzung der jeweiligen Anforderungen der Bausteine auf und stellt keine Gewichtung der Bausteine untereinander dar. Grundsätzlich müssen alle für den jeweiligen Informationsverbund relevanten Bausteine des IT-Grundschutz-Kompendiums umgesetzt werden. Die Kennzeichnung der Bausteine stellt des Weiteren nur eine Empfehlung dar, in welcher Reihenfolge die verschiedenen Bausteine sinnvoll umgesetzt werden könnten. Jede Institution kann hier eine abweichende, für sich sinnvolle Reihenfolge festlegen.


key: _node_content
string_value:
{"id_": "384bc4c2-1a6b-42fc-929d-fc3bfdb2b3f4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "699bf2c6-4bc9-4c0d-b468-73c78c5f67fb", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "7d73e3e19926ce32f106a0ed3fc2006e14cf3c200d21d50014a636b3261b1c69", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 818, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.2.3 Zuordnung von Bausteinen

Die Zuordnung von Bausteinen zu Zielobjekten sollte in Form einer Tabelle mit folgenden Spalten dokumentiert werden:

- Vollständiger Titel des Bausteins (z. B. SYS.3.1 Laptop)
- Zielobjekt: Dieses kann z. B. die Identifikationsnummer einer Komponente oder einer Gruppe umfassen bzw. der Name eines Gebäudes oder einer Organisationseinheit sein.
- Ansprechpartner: Diese Spalte dient zunächst nur als Platzhalter. Der Ansprechpartner wird nicht im Rahmen der Modellierung, sondern erst bei der Planung des eigentlichen Soll-Ist-Vergleichs im IT-Grundschutz-Check ermittelt.
- Reihenfolge: Es sollte die Umsetzungsreihenfolge (R1, R2, R3) des Bausteins eingetragen werden.
- Hinweise: In dieser Spalte können Randinformationen und Begründungen für die Modellierung dokumentiert werden.


key: _node_content
string_value:
{"id_": "46c12d04-1181-4c33-93f5-79482059ba34", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d897eb41-e0b4-4781-a19d-3155ba89ba6a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "22b6559b098571df95d65f50654027a8b3502d5f120d63c74b8701b6c5a4e501", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 254, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.2.4 Ermittlung konkreter Maßnahmen aus Anforderungen

Über die Modellierung wurden die Bausteine des IT-Grundschutz-Kompendiums ausgewählt, die für die einzelnen Zielobjekte des betrachteten Informationsverbunds umzusetzen sind. In den Bausteinen
---


key: _node_content
string_value:
{"id_": "e24a47e6-361a-4f7b-99fa-20eb4bb341a4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8a087ef0-41e5-430c-adc5-b1d4d429958c", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5d28ccce2b269c7e5b5909ae83b785e1494499cbf9e72c911d4b87056a1b380c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 523, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.3 IT-Grundschutz-Check für Basis-Absicherung

werden die Anforderungen aufgeführt, die typischerweise für diese Komponenten geeignet und an gemessen sind. Für die Erstellung eines Sicherheitskonzepts oder für ein Audit müssen jetzt die einzelnen Anforderungen bearbeitet und zur Erfüllung geeignete Sicherheitsmaßnahmen formuliert werden, hierbei unterstützen die zu vielen Bausteinen zugehörigen Umsetzungshinweise. Vertiefende Informationen hierzu sind in Kapitel 8.3.6 Anpassung der Baustein-Anforderungen zu finden.


key: _node_content
string_value:
{"id_": "ca5c027f-a0bd-47bf-8d61-3ec6243b6fb7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6913b3a5-cdb2-4a7d-9e48-242bae4a40e4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "339834b6d75c6a0e977ec59cb7e058d23a253f0a024520e8381ab43b1016533e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1890, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
IT-Grundschutz-Check für Basis-Absicherung

Schon bevor eine IT-Grundschutz-Vorgehensweise ausgewählt wurde, wurden während der Vorarbeiten in der Erstaufnahme (siehe Kapitel 3.2.4 Ersterfassung der Prozesse, Anwendungen und IT-Systeme) die geschäftskritischen Informationen und Kernprozesse der Institution ermittelt und die betroffenen Anwendungen, IT-Systeme, Netze und Räume erfasst. Der betrachtete Informationsverbund wurde mithilfe der vorhandenen Bausteine aus dem IT-Grundschutz-Kompendium nachgebildet. Die Auswahl und Priorisierung der IT-Grundschutz-Bausteine (wie im vorherigen Kapitel beschrieben) wird nun als Prüfplan benutzt, um anhand eines Soll-Ist-Vergleichs herauszufinden, welche Basis-Anforderungen ausreichend oder nur unzureichend erfüllt sind.

Bei dem hier anzuwendenden IT-Grundschutz-Check für die Basis-Absicherung müssen lediglich die Basis-Anforderungen erfüllt sein. Für eine Standard- oder Kern-Absicherung ist innerhalb dieser Vorgehensweisen ein separater IT-Grundschutz-Check durchzuführen, bei dem die Standard-Anforderungen der betreffenden Bausteine hinzukommen. Um Mehraufwände zu vermeiden und Synergieeffekte erzielen zu können, sollten die Ergebnisse des für die Basis-Absicherung durchzuführenden IT-Grundschutz-Checks so aufbereitet sein, dass sie direkt in die Standard- oder Kern-Absicherung integriert werden können.

Unabhängig von der IT-Grundschutz-Vorgehensweise besteht der IT-Grundschutz-Check aus drei unterschiedlichen Schritten. Im ersten Schritt werden die organisatorischen Vorbereitungen getroffen, insbesondere die relevanten Ansprechpartner für den Soll-Ist-Vergleich werden ausgewählt. Im zweiten Schritt wird der eigentliche Soll-Ist-Vergleich mittels Interviews und Stichproben durchgeführt. Im letzten Schritt werden die erzielten Ergebnisse des Soll-Ist-Vergleichs einschließlich der erhobenen Begründungen dokumentiert.


key: _node_content
string_value:
{"id_": "3403e509-ef87-4080-95be-a0b026275c31", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f25abdfc-0508-43b4-a30d-acbdb3501676", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "764dc528e8d7c380968970f026a07e304dab13f8967f6d8044ec5407bd2dd3ed", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1108, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Organisatorische Vorarbeiten für den IT-Grundschutz-Check

Zunächst sollten alle hausinternen Papiere, die die sicherheitsrelevanten Abläufe regeln, gesichtet werden. Diese Dokumente können bei der Ermittlung des Umsetzungsgrades hilfreich sein.

Die geeigneten Interviewpartner müssen identifiziert werden. Für jeden Baustein, der für die Modellierung des Informationsverbunds herangezogen wurde, sollte ein Hauptansprechpartner festgelegt werden. Bei den Anforderungen in den Bausteinen werden die Rollen genannt, die für die Umsetzung der Anforderungen zuständig sind. Hieraus können die geeigneten Ansprechpartner für die jeweilige Thematik in der Institution identifiziert werden. Für die Bausteine der Schicht APP (Anwendungen) sind dies beispielsweise die Betreuer der einzelnen Anwendungen.

Als Nächstes sollte festgestellt werden, ob und in welchem Umfang externe Stellen an der Ermittlung des Umsetzungsstatus beteiligt werden müssen. Dies kann beispielsweise bei Firmen, die Teile von Geschäftsprozessen oder des IT-Betriebes als outgesourcte Dienstleistungen übernehmen, erforderlich sein.
---


key: _node_content
string_value:
{"id_": "16346142-18fe-4eb0-9518-a300152f0af7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "80c1180b-2261-40c8-b6e9-c450852aedaf", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "12d8bfff492c6bfb4aa5d166608bee28cff0d3a75af136c30374dfc92db8b09f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 343, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6 Erstellung einer Sicherheitskonzeption nach Basis-Absicherung

Für die anstehenden Interviews sollte ein Terminplan erstellt werden. Ein besonderes Augenmerk gilt hier der Terminkoordination mit Personen aus anderen Organisationseinheiten oder anderen Institutionen. Außerdem erscheint es sinnvoll, schon vorab Ausweichtermine abzustimmen.


key: _node_content
string_value:
{"id_": "c86da0f1-bc1b-4257-a6c2-2825777f21b8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f97b6ed9-513c-47fa-ac5f-09215240436b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "492eab19122ad0eb46cd33cda07a440f3a93957b100fba20e2f3b55791e46c9d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1519, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Durchführung des Soll-Ist-Vergleichs

Bei der Erhebung des erreichten Sicherheitsstatus werden die Sicherheitsanforderungen des jeweiligen Bausteins der Reihe nach durchgearbeitet. Diese können vollständig, teilweise oder nicht erfüllt sein. Als Umsetzungsstatus ist daher jeweils eine der folgenden Aussagen möglich:

- „entbehrlich“: Die Erfüllung der Anforderung ist in der vorgeschlagenen Art nicht notwendig, weil die Anforderung im betrachteten Informationsverbund nicht relevant ist (z. B. weil Dienste nicht aktiviert wurden).
- „ja“: Zu der Anforderung wurden geeignete Maßnahmen vollständig, wirksam und angemessen umgesetzt.
- „teilweise“: Die Anforderung wurde nur teilweise umgesetzt.
- „nein“: Die Anforderung wurde noch nicht erfüllt, also geeignete Maßnahmen sind größtenteils noch nicht umgesetzt.

Es ist sinnvoll, bei den Interviews nicht nur die Bausteintexte, sondern auch die Umsetzungshinweise oder andere ergänzende Materialien griffbereit zu haben. Den Befragten sollte der Zweck des IT-Grundschutz-Checks kurz vorgestellt werden. Es bietet sich an, mit den Anforderungsüberschriften fortzufahren und die Anforderung kurz zu erläutern. Dem Gesprächspartner sollte die Möglichkeit gegeben werden, auf die bereits umgesetzten Anforderungen und Maßnahmen einzugehen und danach noch offene Punkte zu besprechen.

Zum Abschluss jedes Bausteins sollte den Befragten das Ergebnis (Umsetzungsstatus der Anforderungen: entbehrlich/ja/teilweise/nein) mitgeteilt und diese Entscheidung erläutert werden.


key: _node_content
string_value:
{"id_": "52480a60-d0f8-4644-a8e8-2b8cd0d2e089", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1359286b-51dc-43ee-87d9-9748f10d3f01", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e1864cc3181ca10e95596c72f7a611edbd02607def5d707f87513bf0891c0b83", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 633, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Dokumentation der Ergebnisse

Die Ergebnisse des IT-Grundschutz-Checks sollten so dokumentiert werden, dass sie für alle Beteiligten nachvollziehbar sind und als Grundlage für die Umsetzungsplanung der defizitären Anforderungen und Maßnahmen genutzt werden können. Es sollten geeignete Hilfsmittel verwendet werden, die bei der Erstellung und Aktualisierung aller im Sicherheitsprozess erforderlichen Dokumente unterstützen, beispielsweise spezielle IT-Grundschutz-Tools oder selbst entwickelte Tabellen. Als Hilfsmittel stehen auch auf der IT-Grundschutz-Website entsprechende Formulare für die jeweiligen Bausteine zur Verfügung.


key: _node_content
string_value:
{"id_": "6780df66-6cce-497c-81fb-671d21cb801c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7594e170-fa4f-4a08-b4ba-478ed3081e6e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "12d1fd50109ad85e81b96919d2692aaa1ddfdbba1bd123ab09582050d362aa18", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 952, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
BSI-Standard 200-2

Die Ergebnisse des Soll-Ist-Vergleichs sollten tabellarisch erfasst werden. Dabei sollten zu jeder Anforderung des jeweiligen Bausteins folgende Informationen festgehalten werden:

- Umsetzungsgrad (entbehrlich/ja/teilweise/nein)
- Verantwortliche: Welche Mitarbeiter sind für die vollständige Umsetzung einer defizitären Anforderung verantwortlich? Bis wann ist diese umzusetzen?
- Bemerkungen: Ein solches Feld ist wichtig, um getroffene Entscheidungen später nachvollziehen zu können. Bei Anforderungen, deren Umsetzung entbehrlich erscheint, ist hier die Begründung zu nennen. Bei Anforderungen, die noch nicht oder nur teilweise umgesetzt sind, sollte in diesem Feld dokumentiert werden, welche Maßnahmen noch umgesetzt werden müssen. In dieses Feld sollten auch alle anderen Bemerkungen eingetragen werden, die bei der Beseitigung von Defiziten hilfreich oder im Zusammenhang mit der Anforderung zu berücksichtigen sind.
---


key: _node_content
string_value:
{"id_": "3b9e2e81-8a29-40c6-9921-373127afc64e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b53005c7-d928-4cd7-a6d7-8b6b55b23685", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a42c5ccf858b6fbdebeba293645f45cf313c3bc6ae95666d7720dd65afd52a30", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1926, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.4 Realisierung

In diesem Kapitel wird beschrieben, wie für die Basis-Absicherung aus den Anforderungen die Sicherheitsmaßnahmen abgeleitet und wie diese dann geplant, durchgeführt, begleitet und überwacht werden können. Es liegen die Ergebnisse des IT-Grundschutz-Checks, also des Soll-Ist-Vergleichs, vor. Generell müssen für die Basis-Absicherung alle identifizierten Basis-Anforderungen erfüllt werden. Auch für die Erfüllung der Basis-Anforderungen stehen in der Regel nur beschränkte Ressourcen an Geld und Personal zur Verfügung. Das primäre Ziel der nachfolgend beschriebenen Schritte ist es daher, eine möglichst effiziente Erfüllung der vorgesehenen Basis-Anforderungen zu erreichen (eine vollständige Beschreibung für alle IT-Grundschutz-Vorgehensweisen ist im Kapitel 9 „Umsetzung der Sicherheitskonzeption“ zu finden):

- Sichtung der Untersuchungsergebnisse: In einer Gesamtsicht sollten zuerst die fehlenden oder nur teilweise erfüllten Basis-Anforderungen ausgewertet werden.
- Konsolidierung der Basis-Anforderungen: In diesem Schritt werden zunächst die noch zu erfüllenden Basis-Anforderungen konsolidiert.
- Kosten- und Aufwandsschätzung: Es sollte für jede zu erfüllende Basis-Anforderung festgehalten werden, welche Investitionskosten und welcher Personalaufwand dafür notwendig sind.
- Festlegung der Umsetzungsreihenfolge der Basis-Anforderungen: Wenn das vorhandene Budget oder die personellen Ressourcen nicht ausreichen, um die fehlenden Basis-Anforderungen sofort erfüllen zu können, muss eine Umsetzungsreihenfolge festgelegt werden.
- Festlegung der Aufgaben und der Verantwortung: Es muss festgelegt werden, wer bis wann welche Basis-Anforderungen erfüllen muss.
- Realisierungsbegleitende Basis-Anforderungen: Überaus wichtig ist es, notwendige realisierungsbegleitende Basis-Anforderungen, wie beispielsweise Schulungen, rechtzeitig zu konzipieren und für die Realisierung mit einzuplanen.


key: _node_content
string_value:
{"id_": "9db32057-23ef-4c6f-92a4-473d84739f3e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b596af49-d6d9-4331-885b-9944b00bc6bc", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ca185eb71ddcdc867c241cb33d9bec21d9699ce1c7bf046c3fb186c7758874af", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 714, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6.5 Auswahl einer folgenden Vorgehensweise

Informationssicherheit muss gelebt werden. Um das Sicherheitsniveau aufrechtzuerhalten und kontinuierlich verbessern zu können, müssen nicht nur die erforderlichen Sicherheitsmaßnahmen umgesetzt und fortlaufend aktualisiert werden, sondern auch der gesamte Prozess der Informationssicherheit muss regelmäßig auf seine Wirksamkeit und Effizienz hin überprüft werden. Die Basis-Absicherung ist eine IT-Grundschutz-Vorgehensweise für den Einstieg, um zunächst zeitnah die wichtigsten Sicherheitsempfehlungen für den ausgewählten Einsatzbereich identifizieren und umsetzen zu können. Ziel ist es daher, mittelfristig ein vollständiges Sicherheitskonzept gemäß der Stan
---


key: _node_content
string_value:
{"id_": "8f9b154e-de27-4547-ac6a-bccad3829672", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cbd119f4-e0c4-4a41-b641-0e5662316042", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f16dd09cad844101427d017d0934d1f98bdc5e0172f1680638ae145bca7717a3", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 735, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6 Erstellung einer Sicherheitskonzeption nach Basis-Absicherung

dard-Absicherung zu erstellen. Als Zwischenschritt könnte nach der Basis-Absicherung und vor der Standard-Absicherung die nun erstellte Sicherheitskonzeption um die Kern-Absicherung ergänzt werden.

Nachdem die Basis-Absicherung realisiert wurde, sollte zeitnah entschieden werden, wann mit dem notwendigen Verbesserungsprozess begonnen wird. In Abhängigkeit der Sicherheitsansprüche und der verfügbaren Ressourcen ist zu entscheiden, ob im nächsten Schritt eine Sicherheitskonzeption nach der Standard- oder der Kern-Absicherung erstellt werden soll. Informationen zur Auswahl sind in Kapitel 3.3 Entscheidung ffr Vorgehensweise zu finden.

BSI-Standard 200-2

67
---


key: _node_content
string_value:
{"id_": "4c1f88c4-3730-46e1-94ce-82a2903b4b3a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f3f3f47e-6d32-4217-88fe-1b29d2e25bf0", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f796b44bdabc2048b23e52eaea412d3f8c27408e835b9046fb400047eac317bd", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 39, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "c4402715-8929-4fc8-8364-79de510cdff8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "2fd54f3d-f0a6-48fa-aa58-946676924c4f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "153a41b9f6d9f0617f7f3e91f45c684f4afe5c3836dee70ccf6dbe9c63375382", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2193, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7 Erstellung einer Sicherheitskonzeption nach der Vorgehensweise Kern-Absicherung

Der IT-Grundschutz des BSI bietet einen ganzheitlichen Schutz aller geschäftsrelevanten Informationen einer Institution. Für Institutionen, die noch großen Handlungsbedarf im Bereich der Informationssicherheit haben, kann es zielführend sein, sich anfangs auf die Absicherung der essenziellen Assets zu beschränken und erst nachfolgend ein breites Sicherheitskonzept umzusetzen. Dieses Kapitel beschreibt, wie vorzugehen ist, wenn als Vorgehensweise Kern-Absicherung ausgewählt wurde.

Nachdem ein Informationssicherheitsprozess initiiert, die wesentlichen Rahmenbedingungen sowie die zu schützenden Prozesse, Anwendungen und IT-Systeme identifiziert wurden und eine Vorgehensweise ausgewählt wurde, wird die Sicherheitskonzeption für die Institution erstellt. Zu diesem Zweck werden im IT-Grundschutz-Kompendium für typische Komponenten von Geschäftsprozessen, Anwendungen, IT-Systemen und anderen Objekten organisatorische, personelle, infrastrukturelle und technische Standardsicherheitsanforderungen gestellt. Diese sind in Bausteinen strukturiert, so dass sie modular aufeinander aufsetzen.

Festlegung des Geltungsbereichs (abgegrenzt und klein)Identifikation und Festlegung der kritischen Assets (Kronjuwelen)StrukturanalyseAnalyse des Ist-ZustandesSchutzbedarfsfeststellungModellierungAuswahl und Anpassung von AnforderungenIT-Grundschutz-CheckErfüllungsstatus der Anforderungen feststellenRisikoanalyse und weiterführende SicherheitsmaßnahmenUmsetzung und weitere SchritteVerbesserung; Erweiterung, ZertifizierungStandard-Absicherung

Abbildung 9: Kern-Absicherung

Die Vorgehensweise Kern-Absicherung des IT-Grundschutzes konzentriert sich auf den Schutz von besonders schützenswerten Assets, den sogenannten „Kronjuwelen“. Bei der Anwendung der Kern-Absicherung erfolgt ein Soll-Ist-Vergleich zwischen den im IT-Grundschutz-Kompendium aufgeführten und den bereits in der Institution erfüllten Anforderungen für die Absicherung dieser Kronjuwelen. Dabei nicht oder nur unzureichend erfüllte Anforderungen zeigen die Sicherheitsdefizite auf, die es durch entsprechende Maßnahmen zu beheben gilt.
---


key: _node_content
string_value:
{"id_": "63e88164-4c8b-46f2-af6d-55ae35413938", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cc3e41ba-def1-41f1-a185-f5ff55ac80f8", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "40066c086b41444fad6c05482f49e1c25fdefe372577e568eed6727d17eaaf5c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2065, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7 Erstellung einer Sicherheitskonzeption nach Kern-Absicherung

Das mittels der Kern-Absicherung erstellte Sicherheitskonzept ist die Basis für ein umfangreicheres Sicherheitskonzept, wie es mit der Standard-Absicherung (siehe Kapitel 8) erstellt und etabliert werden kann. Da sich die Kern-Absicherung auf die besonders schützenswerten Assets konzentriert, ist hier grundsätzlich von einem erhöhten Schutzbedarf auszugehen. Daher müssen die in den relevanten Bausteinen des IT-Grundschutz-Kompendiums aufgeführten Basis- und Standard-Anforderungen komplett umgesetzt werden. Darauf aufbauend muss bei erhöhtem Schutzbedarf eine Risikoanalyse unter Berücksichtigung von Kosten- und Wirksamkeitsaspekten durchgeführt werden, damit die relevanten Risiken im Bereich der Kronjuwelen ganzheitlich behandelt werden können. Dabei dürfen die in den Bausteinen exemplarisch aufgeführten Anforderungen für einen erhöhten Schutzbedarf als Grundlage herangezogen werden, um entsprechende individuelle Maßnahmen zu ergänzen.

Hierzu ist im BSI-Standard 200-3 Risikoanalyse auf der Basis von IT-Grundschutz eine im Vergleich zu traditionellen Risikoanalyse-Methoden einfachere Vorgehensweise beschrieben. Die Kern-Absicherung, bei der der Schutz von Kronjuwelen im Fokus steht, ist kein allein stehendes Projekt, sondern Teil des Sicherheitsprozesses. Die Kern-Absicherung kann nur dann als Projekt betrachtet werden, wenn sie anschließend in die Standard-Absicherung integriert wird. Solange dies nicht der Fall ist, muss regelmäßig der Prozess der Kern-Absicherung überprüft und verbessert werden.

Die Erstellung einer Sicherheitskonzeption für eine Kern-Absicherung nach dem IT-Grundschutz gliedert sich grob in folgende Bereiche:

- Festlegung des Geltungsbereichs für die Kern-Absicherung
- Identifikation und Festlegung der kritischen Assets (Kronjuwelen)
- Strukturanalyse
- Schutzbedarfsfeststellung
- Modellierung: Auswahl und Anpassung von Anforderungen
- IT-Grundschutz-Check
- Risikoanalyse und weiterführende Sicherheitsmaßnahmen
- Umsetzung und weitere Schritte


key: _node_content
string_value:
{"id_": "cbb3367d-b3cd-464d-a03a-4884db6eaa9e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "4a85b850-d13e-4ef6-81f4-e1303175a692", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "419827fcc253ac9fd2bcb3beb79160de0cbd8ecc9c247050b666473c667d7f75", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1190, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7.2 Festlegung des Geltungsbereichs für die Kern-Absicherung BSI-Standard 200-2

Die ganzheitliche Umsetzung von Informationssicherheit, wie dies mit der Standard-Absicherung erfolgt, ist in einem einzelnen großen Schritt oft ein zu ehrgeiziges Ziel. Viele kleine Schritte und ein langfristiger, kontinuierlicher Verbesserungsprozess ohne hohe Investitionskosten zu Beginn sind oft erfolgversprechender. Daher konzentriert sich die Kern-Absicherung auf die besonders schützenswerten Assets und Ressourcen der Institution. Von diesem ausgewählten und beschränkten Bereich der Institution ausgehend, sollte dann kontinuierlich die Sicherheit innerhalb der gesamten Institution verbessert werden.

Zunächst muss daher dieser Bereich festgelegt werden, für den die Sicherheitskonzeption erstellt und umgesetzt werden soll. Dieser umfasst unter anderem alle (Teil-)Geschäftsprozesse, Anwendungen, IT-Systeme, Infrastrukturen, die für die Bearbeitung der besonders kritischen Geschäftsprozesse und Informationen benötigt werden. Dazu gehören unter Umständen auch ICS-Systeme. Der betrachtete Geltungsbereich für die Sicherheitskonzeption wird im IT-Grundschutz generell als „Informationsver
---


key: _node_content
string_value:
{"id_": "bf90a1b4-cacc-4d91-a36a-0a37edbe19ba", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6cccbd5d-51be-4ac3-8c69-ad89259be0c9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8c2acaab7c6025e86d3370e9d5a4e527915a66c49a9c4f3f427143c76e447e60", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2157, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7.3 Identifikation und Festlegung der kritischen Assets (Kronjuwelen)

Als Kronjuwelen werden diejenigen Geschäftsprozesse und die Informationen bezeichnet, die am wichtigsten für den Erhalt der Institution sind. Es ist wichtig, die mögliche Menge der schützenswerten Daten gezielt einzugrenzen.

Zu den kritischen Assets gehören üblicherweise:

- Informationen, die wesentlich zur erfolgreichen Durchführung von essenziellen Geschäftsprozessen sind.
- Informationen und Geschäftsprozesse, die ein deutlich erhöhtes Gefährdungspotenzial bezüglich der Informationssicherheit innehaben. Dies betrifft Vertraulichkeit, Integrität und Verfügbarkeit.
- Informationen und Geschäftsprozesse, deren Diebstahl, Zerstörung, Kompromittierung oder Beeinträchtigung einen existenzbedrohenden Schaden für die Institution bedeutet und die vorrangig geschützt werden sollen.

Die folgenden weiteren Charakteristika für Kronjuwelen helfen bei der Identifikation und Eingrenzung der kritischen Assets:

- Als Kronjuwelen werden Informationen oder Geschäftsprozesse bezeichnet, nicht Dienstleistungen, Anwendungen, IT-Systeme oder ähnliche Objekte.
- Die Menge der Informationen und Geschäftsprozesse mit deutlich erhöhtem Schutzbedarf ist überschaubar bzw. umfasst nur einen kleinen Anteil aller Geschäftsprozesse der Institution. Nur wenige Assets ragen in ihrer Bedeutung für die Fachaufgaben bzw. Geschäftstätigkeit deutlich aus der Masse heraus und können einen großen Schaden für die Institution verursachen.
- Kronjuwelen können auch in Formen vorliegen, die nicht auf den ersten Blick offensichtlich sind: dies mögen einzelne Dateien, Datensammlungen, strukturierte oder unstrukturierte Informationen bis hin zu handschriftlichen Notizen oder Gesprächen sein, kann aber auch das Wissen und die Fähigkeiten einzelner Mitarbeiter betreffen.
- Kronjuwelen sind häufig die Informationen, für die es wünschenswert erscheint, das vorhandene Klassifikationsschema um noch höhere Kategorien zu erweitern.
- Es ist davon auszugehen, dass der Schutzbedarf der Kronjuwelen und aller damit verknüpften Ressourcen im Informationsverbund mindestens als „hoch“ einzuordnen ist.
---


key: _node_content
string_value:
{"id_": "4217ece3-435a-4d3c-8496-5a61d5a5bc96", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "15ad928d-df1c-42bb-8ef9-09cb3d02a61c", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4078852bd0b40f75371add007a368b40721c6b67de66458d649d11d446add680", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 3428, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7 Erstellung einer Sicherheitskonzeption nach Kern-Absicherung

- Der Schutzbedarf von Kronjuwelen kann sich mit der Zeit verändern. Typische Beispiele sind hier Informationen über Produktneuerungen oder Jahresabschlussberichte.
- Es muss bei Kronjuwelen häufig zwischen verschiedenen „Besitzern“ der Information unterschieden werden. Diese können unterschiedliche Rollen und Verantwortlichkeiten haben. Insbesondere betrifft dies „Zuständigkeit“ (Responsibility) versus „Rechenschaftspflicht“ (Accountability).
- Der Schutzbedarf von Kronjuwelen kann sogar als so hoch eingestuft werden, dass die Sicherheitsbeauftragten nicht die Berechtigungen bekommen, diese selbst einzusehen, aber den Auftrag haben, sie zu schützen.
- Es sind alle elementaren Gefährdungen des IT-Grundschutz-Kompendiums relevant, häufig liegt ein besonderer Fokus auf den Angreifern. Darüber dürfen aber Ursachen wie Umwelteinflüsse oder menschliche Fehlhandlungen nicht vergessen werden.

Die Festlegung, bei welchen Assets es sich um Kronjuwelen handelt, erfolgt typischerweise durch die Leitungsebene. Die Entscheidung, bestimmte Informationen als Kronjuwelen einzustufen, führt unmittelbar dazu, dass adäquate Sicherheitsmaßnahmen für diese ergriffen werden müssen. Diese sind natürlich entsprechend dem herausragenden Schutzbedarf der Kronjuwelen folgend umfangreich und damit tendenziell aufwendig und teuer. Fachverantwortliche, Sicherheitsbeauftragte und andere Instanzen können vorschlagen, diese Informationen als Kronjuwelen einzustufen, die Entscheidung muss jedoch letztlich vonseiten der Leitungsebene erfolgen.

Jede Institution sollte zur besseren Einordnung für sich selbst individuelle Beispiele für Kronjuwelen erarbeiten. Zudem sollten auch Beispiele zur Abgrenzung von Kronjuwelen zu wichtigen Informationen erstellt werden. Nachfolgend sind einige typische Beispiele für Kronjuwelen aus der Praxis aufgeführt:

- Details über anstehende geschäftliche Entscheidungen, z. B. Strategiepapiere für Firmenaufkäufe, Finanzierungspläne.
- Details über Produktentwicklungen, z. B. Hintergrundmaterial zu Patentanträgen, Designentwürfen usw.
- Informationen über Standorte geschützter Pflanzen, gefährdeter Personen oder geheimer Anlagen.
- Administrative Zugriffsdaten für Server (wenn nicht auffindbar, ist kein schneller Zugriff möglich).
- Kryptomaterial, z. B. Masterschlüssel für institutionsweit eingesetzte kryptografische Verfahren.
- Baupläne oder Rezepturen für Produkte.

BSI-Standard 200-2 Anmerkung: Das geheime Familienrezept einer Koffeinbrause ist ein in der Öffentlichkeit immer wieder thematisiertes Beispiel für ein „Kronjuwel“. Wird dies offenbart (Verlust der Vertraulichkeit), würde das einen großen Pressewirbel auslösen, aber die Existenz der Firma nicht gefährden, sondern eventuell sogar zur Produktwerbung beitragen. In diesem Kontext wird auch deutlich, dass manche Kronjuwelen zu „heiß“ sein könnten, um für einen Angreifer oder Konkurrenten wertvoll zu sein. Eine unbemerkte Änderung der Rezeptur (Verlust der Integrität) könnte aber zu einem schweren Imageschaden führen. Der vollständige Verlust der Rezeptur würde schließlich zu einem Produktionsstillstand führen und wäre damit das schwerwiegendste Problem.

Es kann Kronjuwelen geben, bei denen nicht ein einzelner Prozess oder ein Objekt im Fokus steht, sondern wo die Kronjuwelen durch die Kumulation wichtiger geschäftskritischer Werte entstehen.
---


key: _node_content
string_value:
{"id_": "f5f76da3-c6b8-45bc-b019-43863c327473", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d96aecf0-cb0b-4ab9-aab2-a6322b892c0f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d6e6ff886c1969e0bd0c88315d502c6ec902b26e6d8f0a58c2cbfab28bea7a4b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 761, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7.5 Schutzbedarfsfeststellung

Beispiel: Wenn bei einem Buchverlag der streng vertrauliche Entwurf des letzten Bands einer Erfolgsreihe an die Öffentlichkeit gelangt, ist das ein schwerwiegender Sicherheitsvorfall. Werden allerdings alle Daten der für das Geschäftsjahr geplanten Bestseller vernichtet und somit deren Veröffentlichung verhindert, kann dieser Vorfall für den Verlag zu einer wirtschaftlichen Katastrophe führen.

Es kann somit Kronjuwelen geben, bei denen nicht ein einzelner Prozess oder ein einziges Objekt die höchste Verfügbarkeit aufweisen muss, sondern wo die Verfügbarkeit der Produktionskette oder sogar der Schutzeinrichtungen selbst abzusichern ist. Ein Beispiel hierfür sind die Prozesse zur Energieerzeugung in einem Kernkraftwerk.


key: _node_content
string_value:
{"id_": "c186bf10-e598-4a13-b17e-19964cc5c2d2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "81dd74b4-eeef-4b20-99e9-64425f24cdf5", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "eaef4c955b852b005333b66d29c011dcac018d402b38e3e6806b5bad6cacb545", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1050, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7.4 Strukturanalyse

Für die Erstellung eines Sicherheitskonzepts und insbesondere für die Anwendung des IT-Grundschutz-Kompendiums ist es erforderlich, das Zusammenspiel der Geschäftsprozesse, der Anwendungen und der vorliegenden Informationstechnik zu analysieren und zu dokumentieren. Aufgrund der heute üblichen starken Vernetzung von IT-Systemen bietet sich ein Netztopologieplan als Ausgangsbasis für die weitere technische Analyse an. Die folgenden Aspekte müssen berücksichtigt werden:

- die für die Kern-Absicherung im eingeschränkten Informationsverbund betriebenen Anwendungen und die dadurch gestützten Geschäftsprozesse,
- die organisatorischen und personellen Rahmenbedingungen für diesen Informationsverbund,
- im Informationsverbund eingesetzte vernetzte und nicht vernetzte IT-Systeme,
- die Kommunikationsverbindungen zwischen den IT-Systemen und nach außen,
- die vorhandene Infrastruktur.

Die einzelnen Schritte der Strukturanalyse werden im Detail in Kapitel 8.1 dieses Dokuments in Form einer Handlungsanweisung beschrieben.


key: _node_content
string_value:
{"id_": "8db9f43d-9332-408c-9eb4-1c507dfe7c0e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "273532d5-51f1-4555-a946-10d6a07364d7", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6421a77f52f4745cee44e3a5297a46ab6490095950049de38a33b143b78b13fb", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 925, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7.5 Schutzbedarfsfeststellung

Zweck der Schutzbedarfsfeststellung ist es, zu ermitteln, welcher Schutz für die Geschäftsprozesse, die dabei verarbeiteten Informationen und die eingesetzte Informationstechnik ausreichend und angemessen ist. Hierzu werden für jede Anwendung und die verarbeiteten Informationen die zu erwartenden Schäden betrachtet, die bei einer Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit entstehen können. Wichtig ist es dabei auch, die möglichen Folgeschäden realistisch einzuschätzen. Bewährt hat sich hierfür eine Einteilung in die drei Schutzbedarfskategorien „normal“, „hoch“ und „sehr hoch“. Grundsätzlich ist bei den Assets, die durch eine Kern-Absicherung geschützt werden sollen, von einem Schutzbedarf der Kategorien „hoch“ und „sehr hoch“ auszugehen. Trotzdem muss der Schutzbedarf dieser wenigen, besonders geschäftskritischen Assets dediziert eingeschätzt werden.
---


key: _node_content
string_value:
{"id_": "2a27b6d4-88d8-4b32-b5e3-7d85993e6aa5", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "96a33744-d34e-4718-9cbc-62c3683a2fd7", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c712583375edf49bcf818a58751f01360863faad4bf75862241a72eb13711a35", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 64, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "fe0fa320-a58b-4bfd-8e43-959179840f1a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b753502e-2362-48cc-ae6e-814539333c0e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d58d576dedbb8910982ad0c561628b4075d1e8af9a0367b338fbbca618217f66", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 523, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Schutzbedarf

|sehr hoch|hoch|normal|
|---|---|---|
|Kronjuwel|geschäfts|kritisch|
|wichtig|wichtig|wichtig|
|wichtig|wichtig| |

Neben den als Kronjuwelen identifizierten Assets gibt es typischerweise weitere Assets mit hohem oder sehr hohem Schutzbedarf, die auch angemessen zu schützen sind. Die einzelnen Schritte der Schutzbedarfsfeststellung werden im Detail in Kapitel 8.2 dieses Dokuments erläutert, wobei zu beachten ist, dass bei der Kern-Absicherung der Fokus auf einem hohen und sehr hohen Schutzbedarf liegt.


key: _node_content
string_value:
{"id_": "ea51db57-5138-48fb-ba7a-de9ef9147418", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9d400dc7-0c33-4466-87d5-aa506ef0cc29", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "3feea93096a5dfb9b10866fb5356dce030520693da0d489aecb5e502ea55887e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 647, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7.6 Modellierung: Auswahl und Anpassung von Anforderungen

Die Voraussetzung für die Anwendung des IT-Grundschutz-Kompendiums auf einen Informationsverbund sind detaillierte Unterlagen über seine Struktur und den Schutzbedarf der darin enthaltenen Zielobjekte. Diese Informationen sollten über die zuvor beschriebenen Arbeitsschritte ermittelt werden. Um geeignete Sicherheitsmaßnahmen für den vorliegenden Informationsverbund identifizieren zu können, müssen anschließend die Bausteine des IT-Grundschutz-Kompendiums auf die Zielobjekte und Teilbereiche abgebildet werden. Dieser Vorgang der Modellierung wird in Kapitel 8.3 näher erörtert.
---


key: _node_content
string_value:
{"id_": "aea5f7f3-5169-482a-8e0c-af6c3d9e5790", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5fd4c81a-ca01-46a4-8b47-72366413a04f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "fcc6887c1312e3ca87dcb702109ba7c3763baed542237f87f94bf51f392b8703", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 36, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "205b3561-1c20-41e5-83c5-dbe543554272", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3bfbe2ae-c4e8-42fd-a8b0-5de926d86216", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "862bd6a699579c28fd6fb7f822ef042e8a4a7b9309d48e9477bcad04cd673839", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1027, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7.7 IT-Grundschutz-Check

Der IT-Grundschutz-Check ist ein Organisationsinstrument, das einen schnellen Überblick über das vorhandene Sicherheitsniveau bietet. Mithilfe von Interviews wird der Status quo eines bestehenden (nach dem IT-Grundschutz modellierten) Informationsverbunds in Bezug auf den Grad der Erfüllung der Sicherheitsanforderungen des IT-Grundschutzes ermittelt. Als Ergebnis liegt ein Katalog vor, in dem für jede relevante Anforderung der Erfüllungsstatus „ja“, „teilweise“, „nein“ oder „entbehrlich“ (mit Begründung, nicht möglich bei Basis-Anforderungen) erfasst ist. Durch die Identifizierung von noch nicht oder nur teilweise erfüllten Anforderungen werden Verbesserungsmöglichkeiten für die Sicherheit der betrachteten Geschäftsprozesse und der Informationstechnik aufgezeigt. Kapitel 8.4 beschreibt einen Aktionsplan für die Durchführung eines IT-Grundschutz-Checks. Dabei wird sowohl den organisatorischen Aspekten als auch den fachlichen Anforderungen bei der Projekt Durchführung Rechnung getragen.


key: _node_content
string_value:
{"id_": "2bdf01de-6990-4ed0-9a92-4149480131a8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7d310dfc-c0b6-4964-8b4c-1f8ee50b0499", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "17d7290a8d7bcb47f8ee775e83530ed148eec19b319525e89dbaf515808ae37e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1208, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7.8 Risikoanalyse und weiterführende Sicherheitsmaßnahmen

Die Erfüllung der Standard-Anforderungen nach IT-Grundschutz bietet im Normalfall einen angemessenen und ausreichenden Schutz. Bei einem hohen oder sehr hohen Schutzbedarf, wie er im Rahmen der Kern-Absicherung regelmäßig auftritt, ist zu prüfen, ob sich zusätzliche Sicherheitsanforderungen ergeben und damit zusätzliche oder ersatzweise höherwertige Sicherheitsmaßnahmen erforderlich sind. Dies gilt auch, wenn besondere Einsatzbedingungen vorliegen oder wenn Komponenten verwendet werden, die nicht mit den existierenden Bausteinen des IT-Grundschutz-Kompendiums abgebildet werden können. Dann ist zu entscheiden, ob für die jeweils betroffenen Bereiche eine Risikoanalyse durchgeführt werden muss, um angemessene Sicherheitsmaßnahmen zu identifizieren. Eine Methode für Risikoanalysen ist die im BSI-Standard 200-3 Risikoanalyse auf der Basis von IT-Grundschutz beschriebene Vorgehensweise. In Kapitel 8.5 wird diese Methode überblicksartig dargestellt. Die erfolgreiche Durchführung einer Risikoanalyse hängt entscheidend von den Fachkenntnissen des Projektteams ab. Daher ist es häufig sinnvoll, fachkundiges externes Personal hinzuzuziehen.


key: _node_content
string_value:
{"id_": "eb9b1c8e-3c62-444d-b888-72ab0bc9894f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7ba52b78-3c31-4d13-b896-5227863a7575", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "09da4aceca0eb3862efd91f32c6f2fb3f3000885a80671ed9791fcf7ec94ae42", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1016, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7.9 Umsetzung und weitere Schritte

Die identifizierten und konsolidierten Sicherheitsmaßnahmen für die Kern-Absicherung müssen im Anschluss umgesetzt werden. Was hierbei zu beachten ist, wird in Kapitel 9 Umsetzung der Sicherheitskonzeption ausführlich diskutiert. Zu den Aufgaben eines ISMS gehört es nicht nur, im betrachteten Informationsverbund die Informationssicherheit aufrechtzuerhalten, sondern diese sollte auch fortlaufend verbessert werden (siehe Kapitel 10). Für die Kern-Absicherung bedeutet dies, dass natürlich regelmäßig überprüft werden muss, ob die getroffenen Sicherheitsvorkehrungen noch der aktuellen Gefährdungslage entsprechen. Des Weiteren sollte überlegt werden, ob nach der erfolgreichen Absicherung der Kronjuwelen nicht auch noch weitere Bereiche der Institution angemessen geschützt werden sollten. Hierfür kann beispielsweise auf weitere Bereiche die Basis- oder die Standard-Absicherung angewendet werden oder auch der Informationsverbund der Kern-Absicherung erweitert werden.
---


key: _node_content
string_value:
{"id_": "1e4a60fd-cfea-4e04-87da-8f26046d2e78", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b64c7f44-3ee6-4709-a9d4-950de7bee946", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a774baf8c425a31f57cb23e85c74d60349f047ced6560e96bf6e362b0a1af142", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 542, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
7 Erstellung einer Sicherheitskonzeption nach Kern-Absicherung

Wenn die Kern-Absicherung in einem abgegrenzten Informationsverbund erfolgreich umgesetzt wurde, kann dies auch über eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz nach innen und außen hin demonstriert werden. Welche Schritte hierfür notwendig sind und welche Bedingungen für eine erfolgreiche Zertifizierung erfüllt werden müssen, wird in Kapitel 11 Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz näher ausgeführt.

BSI-Standard 200-2

75
---


key: _node_content
string_value:
{"id_": "37d9aa26-aae4-43bc-ab6c-f8fcaf8e8db2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "fd4b5dee-1d98-4fcd-b6c8-c70d17421543", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "02189ed3-cc25-470c-a119-41ea740be351", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cd1ae4a9-8ad0-4c1b-953a-0aafd6298c8f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8874d1e8c38218c4862359359c6b40aa8b6fbc78e4a1bc89f24a7dca6001ed64", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1419, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach der Vorgehensweise der Standard-Absicherung

Eines der Ziele der Standard-Absicherung des IT-Grundschutzes ist es, eine pragmatische und effektive Vorgehensweise zur Erzielung eines normalen Sicherheitsniveaus anzubieten, das auch als Basis für ein höheres Sicherheitsniveau dienen kann.

Nachdem ein Informationssicherheitsprozess initiiert, die Sicherheitsleitlinie und Informationssicherheitsorganisation definiert wurden, wird die Sicherheitskonzeption für die Institution erstellt. Als Grundlage hierfür finden sich in den Bausteinen des IT-Grundschutz-Kompendiums Sicherheitsanforderungen nach dem jeweiligen Stand der Technik für typische Komponenten von Geschäftsprozessen, Anwendungen, IT-Systemen usw. Diese sind in Bausteinen strukturiert, sodass sie modular aufeinander aufsetzen.

|Festlegung des Geltungsbereichs|Strukturanalyse|Analyse des Ist-Zustandes|
|---|---|---|
|Organisation|Schutzbedarfsfeststellung| |
|Infrastruktur|AnSgstceogen|Mitarbeiter|
|Modellierung|(Auswahl der Sicherheitsanforderungen)| |
|IT-Grundschutz-Check (Teil 1)|(Soll-Ist-Vergleich)|Risiko - analyse|
|Konsolidierung| | |
|IT-Grundschutz-Check (Teil 2)|Realisierung der Maßnahmen| |

Abbildung 11: Erstellung der Sicherheitskonzeption bei der Standard-Absicherung

Die Durchführung einer Standard-Absicherung nach IT-Grundschutz gliedert sich in die nachfolgenden Aktionsfelder:


key: _node_content
string_value:
{"id_": "5b20f1e0-b21e-410e-b41d-d0e9dff83e17", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "fd9bf626-c0fd-4d31-86ee-8578e355e7d9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6e1fb12355cf7f3685e43971623b2510a55b474da7123c3ac0f939ffb0c9ab9f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 629, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Festlegung des Geltungsbereichs

Bei der Entscheidung für die weitere Vorgehensweise (siehe Kapitel 3.3) wurde auch der Geltungsbereich festgelegt, für den die Sicherheitskonzeption erstellt und umgesetzt werden soll. Dies können beispielsweise bestimmte Organisationseinheiten einer Institution sein. Es könnten aber auch Bereiche sein, die definierte Geschäftsprozesse oder Fachaufgaben bearbeiten, inklusive der dafür notwendigen Infrastruktur. Im IT-Grundschutz wird der Geltungsbereich für die Sicherheitskonzeption auch als „Informationsverbund“ bezeichnet. Die Bestandteile des betrachteten Informationsverbunds sind
---


key: _node_content
string_value:
{"id_": "1dac0e01-ed21-4d32-b977-69af42d25074", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "23801db7-4a7e-4213-98e7-0da59d016d24", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "308e3e2967a0982b289d0246e0e9950a66852635a9633589c7241ff946763cbd", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 161, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

die mit den passenden Bausteinen des IT-Grundschutz-Kompendiums abzusichernden Komponenten.


key: _node_content
string_value:
{"id_": "7e744ea1-cdba-4723-a63c-df66463114a8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f2416262-af02-48c7-abb5-6875f43e3262", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b0152680b46a96c454b43233a715ba329f35bea415315b5ded43572a794ddb90", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1109, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Strukturanalyse

Für die Erstellung eines Sicherheitskonzepts nach der Vorgehensweise Standard-Absicherung und insbesondere für die Anwendung des IT-Grundschutz-Kompendiums ist es erforderlich, das Zusammenspiel der Geschäftsprozesse, der Anwendungen und der vorliegenden Informationstechnik zu analysieren und zu dokumentieren. Aufgrund der heute üblichen starken Vernetzung von IT-Systemen, die sich auch auf die Bereiche ICS und IoT erstreckt, bietet sich ein Netztopologieplan als Ausgangsbasis für die weitere technische Analyse an. Die folgenden Aspekte müssen berücksichtigt werden:

- im Informationsverbund betriebene Anwendungen und die dadurch gestützten Geschäftsprozesse,
- die organisatorischen und personellen Rahmenbedingungen für den Informationsverbund,
- im Informationsverbund eingesetzte vernetzte und nicht vernetzte IT-Systeme, ICS- und IoT-Komponenten,
- die Kommunikationsverbindungen dazwischen und nach außen,
- die vorhandene Infrastruktur.

Die einzelnen Schritte der Strukturanalyse werden im Detail in Kapitel 8.1 dieses Dokuments in Form einer Handlungsanweisung beschrieben.


key: _node_content
string_value:
{"id_": "cdab8341-f38e-4dbf-84b7-b43720120a2d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "ca71f11d-a851-46f7-8bb9-c0984844ff3d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6cd7254a1f74d0d807dd9896d28a05b38fa905fed7169e40cfefb015a3318c6d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 740, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Schutzbedarfsfeststellung

Zweck der Schutzbedarfsfeststellung ist es, zu ermitteln, welcher Schutz für die Geschäftsprozesse, die dabei verarbeiteten Informationen und die eingesetzte Informationstechnik ausreichend und angemessen ist. Hierzu werden für jede Anwendung und die verarbeiteten Informationen die zu erwartenden Schäden betrachtet, die bei einer Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit entstehen können. Wichtig ist es dabei auch, die möglichen Folgeschäden realistisch einzuschätzen. Hierfür hat sich eine Einteilung in die drei Schutzbedarfskategorien „normal“, „hoch“ und „sehr hoch“ bewährt.

Die einzelnen Schritte der Schutzbedarfsfeststellung werden in Kapitel 8.2 ausführlicher verhandelt.


key: _node_content
string_value:
{"id_": "0356e764-23bf-4f07-9690-35d51889e6ae", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b9c1d8e2-63e3-42a2-bb16-9262f6acca68", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "cdedd0904dbc3f9d2bdaaf82ba18441d11ddf1c1ac490be88edcad2f7a075890", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 702, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Auswahl von Anforderungen und Anpassung von Maßnahmen (Modellierung)

Die Voraussetzung für die Anwendung des IT-Grundschutz-Kompendiums auf einen Informationsverbund sind detaillierte Unterlagen über seine Struktur und den Schutzbedarf der darin enthaltenen Zielobjekte. Diese Informationen sollten über die zuvor beschriebenen Arbeitsschritte ermittelt werden. Um geeignete Sicherheitsanforderungen und darüber umzusetzende Maßnahmen für den vorliegenden Informationsverbund identifizieren zu können, müssen anschließend die Bausteine des IT-Grundschutz-Kompendiums auf die Zielobjekte und Teilbereiche abgebildet werden.

Dieser Vorgang der Modellierung wird in Kapitel 8.3 detailliert besprochen.


key: _node_content
string_value:
{"id_": "e057d200-cfb4-4c02-ae8f-560de9bbfd96", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5db3da15-ef32-47f1-91ca-a1c54fe4148e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "606722196a488acfbefa228a0c7d5f84ef974edf312c886efc26f76a72ab5b74", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 413, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
IT-Grundschutz-Check

Der IT-Grundschutz-Check ist ein Organisationsinstrument, das einen schnellen Überblick über das vorhandene Sicherheitsniveau bietet. Mithilfe von Interviews wird der Status quo eines bestehenden (nach IT-Grundschutz modellierten) Informationsverbunds in Bezug auf den Umsetzungsgrad der Sicherheitsanforderungen des IT-Grundschutz-Kompendiums ermittelt. Als Ergebnis liegt ein Katalog
---


key: _node_content
string_value:
{"id_": "1f1555e9-9eac-431d-983f-618cf81bb08e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5f89e889-a73d-41c1-a01f-bf85ec97e822", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8a8a3ceca448bacbadd99f91c5a0eebe6b0368f301270e474d2a5a80468c0219", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1125, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1 Strukturanalyse

Die Strukturanalyse dient der Vorerhebung von Informationen, die für die weitere Vorgehensweise in der Erstellung eines Sicherheitskonzepts nach IT-Grundschutz benötigt werden. Dabei geht es um die Erfassung der Bestandteile (Geschäftsprozesse, Informationen, Anwendungen, IT- und ICS-Systeme, Räume, Kommunikationsnetze), die zur Betrachtung des Geltungsbereichs benötigt werden.

Hinweis:

- Häufig sind die Geschäftsprozesse noch nicht, nicht durchgängig oder nicht aktuell erfasst. Dann müssen zuerst die relevanten Geschäftsprozesse identifiziert werden, z. B. durch eine Auswertung von Geschäftsverteilungsplänen, Aufgabenbeschreibungen oder anderen organisationsbeschreibenden Papieren.

Dazu müssen die für die Institution wesentlichen Geschäftsprozesse sowie die geschäftskritischen Informationen und Anwendungen ermittelt und die betroffenen IT-, ICS- oder IoT-Systeme, Räume und Netze erfasst werden. Die klassische Vorgehensweise ist, zuerst die Anwendungen und ausgehend davon die weiteren betroffenen Objekte zu ermitteln. Dieser Ansatz hat den Nachteil, dass es häufig schwierig ist,
---


key: _node_content
string_value:
{"id_": "14a32405-d00c-49ad-b3a3-f98041173bc6", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "81b5b4e0-6f9e-48ee-ae96-9b248e92041c", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c2887d82efd3be3f9fda7fbf9ba0efd64ca5e068c752ab6c25a90f6631d705db", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1520, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

abstrakte Anwendungen losgelöst von konkreten technischen Komponenten zu erfassen. Daher kann es in einigen Fällen zweckmäßig sein, abweichend von der hier dargestellten Reihenfolge zunächst die IT- und ICS-Systeme zu erheben, da sich die Anwendungen häufig anhand der betrachteten Systeme leichter ermitteln lassen.

Zu beachten ist, dass die Objekte und Daten, die im Rahmen einer Strukturanalyse erfasst werden, meist nicht nur für den Sicherheitsprozess, sondern auch für betriebliche Aspekte und die Verwaltung erforderlich sind. Es sollte daher geprüft werden, ob bereits Datenbanken oder Übersichten gepflegt werden, die im Rahmen der Strukturanalyse als Datenquellen genutzt werden könnten. In vielen Institutionen werden beispielsweise Datenbanken für die Inventarisierung, das Konfigurationsmanagement oder die Gestaltung von Geschäftsprozessen betrieben. Dadurch können sich Synergien ergeben.

Die Strukturanalyse gliedert sich in folgende Teilaufgaben:

- Erfassung der zum Geltungsbereich zugehörigen Geschäftsprozesse, Anwendungen und Informationen
- Netzplanerhebung
- Erhebung von IT-, ICS- und IoT-Systemen und ähnlichen Objekten
- Erfassung der Räume und Gebäude (für den ICS-Bereich sind auch die produzierenden Räumlichkeiten zu berücksichtigen)

Bei allen Teilaufgaben ist zu beachten, dass es häufig nicht zweckmäßig ist, jedes Objekt einzeln zu erfassen. Stattdessen sollten ähnliche Objekte zu Gruppen zusammengefasst werden.


key: _node_content
string_value:
{"id_": "06e2280c-f491-4b8b-a091-9c5958662857", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "e1b0b282-7abc-4941-9ee0-f2653de14b9a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a56a52a0091c1218a9ee800d97777ecc455c6830ea08ae7960799b378a73685f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1431, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1.1 Komplexitätsreduktion durch Gruppenbildung

Die Strukturanalyse liefert wichtige Grunddaten für den gesamten Sicherheitsprozess. Der Informationsverbund setzt sich meist aus vielen Einzelobjekten zusammen, die bei der Konzeption berücksichtigt werden müssen. Wenn alle logischen und technischen Objekte einzeln erfasst werden, besteht jedoch die Gefahr, dass die Ergebnisse der Strukturanalyse aufgrund der Datenmenge und der Komplexität nicht handhabbar sind. Ähnliche Objekte sollten deshalb sinnvoll zu Gruppen zusammengefasst werden.

Bei technischen Komponenten hat eine konsequente Gruppenbildung zudem den Vorteil, dass die Administration wesentlich vereinfacht wird, wenn es nur wenige Grundkonfigurationen gibt. Durch eine möglichst hohe Standardisierung innerhalb eines Informationsverbunds wird außerdem die Zahl potenzieller Sicherheitslücken reduziert und die Sicherheitsmaßnahmen für diesen Bereich können ohne Unterscheidung verschiedenster Schwachstellen umgesetzt werden. Dies kommt nicht nur der Informationssicherheit zugute, sondern spart auch Kosten.

Objekte können dann ein und derselben Gruppe zugeordnet werden, wenn die Objekte alle:

- vom gleichen Typ sind,
- ähnliche Aufgaben haben,
- ähnlichen Rahmenbedingungen unterliegen und
- den gleichen Schutzbedarf aufweisen.

Bei technischen Objekten bietet sich eine Gruppenbildung außerdem immer dann an, wenn sie:

- ähnlich konfiguriert sind,
---


key: _node_content
string_value:
{"id_": "489aad71-c50f-4aa6-8b47-435b6743439c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3128e748-cd78-47dd-b9d2-fd1ec2a77c94", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8071fd38937669283f84d72040ef953788ee00db564669565e6780fd92c78464", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2504, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1 Strukturanalyse

- ähnlich in das Netz eingebunden sind (z. B. im gleichen Netzsegment) und
- ähnlichen administrativen und infrastrukturellen Rahmenbedingungen unterliegen,
- ähnliche Anwendungen bedienen und
- den gleichen Schutzbedarf aufweisen.

Aufgrund der genannten Voraussetzungen für die Gruppenbildung kann bezüglich der Informationssicherheit davon ausgegangen werden, dass eine Stichprobe aus einer Gruppe in der Regel den Sicherheitszustand der Gruppe repräsentiert.

Wichtigstes Beispiel für die Gruppierung von Objekten ist sicherlich die Zusammenfassung von Clients. In der Regel gibt es in einer Institution eine große Anzahl von Clients, die sich jedoch gemäß obigem Schema in eine überschaubare Anzahl von Gruppen aufteilen lassen. Auch in produzierenden und gewerblichen Bereichen ist es empfehlenswert, Objekte zu gruppieren, wenn diese vergleichbar konfiguriert und eingesetzt werden (z. B. Handscanner, Arbeitsplatz-PCs). Dies gilt analog auch für Räume und andere Objekte. In großen Informationsverbünden, wo aus Gründen der Redundanz oder des Durchsatzes viele Server die gleiche Aufgabe wahrnehmen, können durchaus auch Server zu Gruppen zusammengefasst werden.

Zunehmend werden IT-Systeme virtualisiert. Da hierbei typischerweise viele virtuelle Maschinen (VMs) auf einem Virtualisierungsserver betrieben werden, ist eine sinnvolle Strukturanalyse bei virtualisierten Infrastrukturen oder Cloud Computing nur durch geeignete Gruppenbildung möglich. Für die Gruppenbildung gelten bei Virtualisierung dieselben Regeln wie für physische Zielobjekte. Prinzipiell können auch solche VMs zu einer Gruppe zusammengefasst werden, die auf verschiedenen physischen IT-Systemen laufen, wenn sie ähnliche Aufgaben erfüllen, gleichartig konfiguriert sind und denselben Schutzbedarf aufweisen.

In der Regel bestehen Cloud Computing-Plattformen aus homogenen Hard- und Software-Komponenten. Aufgrund der Homogenität kann eine Vielzahl von Aufgaben automatisiert und zentral durchgeführt werden. Eine Gruppenbildung, beispielsweise anhand des Schutzbedarfs, ist beim Cloud Computing zwingend erforderlich.

Die Teilaufgaben der Strukturanalyse werden nachfolgend beschrieben und durch ein begleitendes Beispiel erläutert. Eine ausführliche Version des Beispiels findet sich in den Hilfsmitteln zum IT-Grundschutz auf den einzelnen Webseiten bzw. auf der BSI-Website. Bei allen Teilaufgaben sollten jeweils Objekte zu Gruppen zusammengefasst werden, wenn dies sinnvoll und zulässig ist.


key: _node_content
string_value:
{"id_": "a4f24551-0a10-4763-8347-cfad47530668", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "678a94ec-6861-49e5-a0aa-05e238beb985", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "be660540303cf9442fcf7902ac14f981d0af917dda7af8975c9185624e805198", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 225, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aktionspunkte zu 8.1.1 Komplexitätsreduktion durch Gruppenbildung

- Bei allen Teilaufgaben der Strukturanalyse gleichartige Objekte zu Gruppen zusammenfassen
- Typ und Anzahl der jeweils zusammengefassten Objekte vermerken


key: _node_content
string_value:
{"id_": "a48b1cff-3f5d-4c59-bd53-07f0d580615d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "64d94416-256e-4f0e-8eb6-a1894d140579", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a775a03c67d8cf879f50fcb96deacf3b9307f911203844157620bf899ac484c7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 529, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1.2 Erfassung der Geschäftsprozesse und der zugehörigen Informationen

Eine der Hauptaufgaben des Sicherheitsmanagements ist es, der Leitungsebene die Informationssicherheitsrisiken aufzuzeigen und damit Transparenz zu schaffen, wo Entscheidungs- oder Handlungsbedarf erforderlich ist. Hierzu muss sich der ISB einen Überblick über die für die Institution wesentlichen Geschäftsprozesse bzw. Fachaufgaben verschaffen und darstellen, was Informationssicherheitsrisiken bzw. IT-Risiken für diese Geschäftsprozesse bedeuten.
---


key: _node_content
string_value:
{"id_": "bdb00815-d74b-4a89-bb17-e608958aec55", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "2a267f36-34a4-4997-b959-c7e01f6db3c1", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d207cbf0a2100d948478eeec6dab2f2134ee7bd82fc05678d5fde919830cfdf4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2740, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

Somit erscheint es sinnvoll, einen Bezug zwischen den Geschäftsprozessen und der Wertschöpfung einer Institution und den zu schützenden Informationen sowie der verwendeten IT bzw. den verwendeten Anwendungen herzustellen. Hierfür müssen die Geschäftsprozesse und deren Abhängigkeit von den wichtigsten Anwendungen dokumentiert werden.

Auf Basis des definierten Informationsverbunds sind in einem ersten Schritt die dort enthaltenen zentralen Geschäftsprozesse oder Fachaufgaben zu erfassen und zu dokumentieren. Hierbei ist darauf zu achten, dass eine sinnvolle Granularität gewählt wird. Dies bedeutet, dass nicht nur ein einzelner Hauptprozess, wie z. B. das Personalmanagement, sondern auch die zugehörigen wichtigsten Subprozesse, wie z. B. Personalgewinnung, Mitarbeiterverwaltung, Personalentwicklung usw. erfasst werden, sofern diese Bestandteil des Informationsverbunds sind. Eine zu detaillierte Dokumentation z. B. durch eine Auflistung von nachgelagerten Prozessen sollte jedoch vermieden werden. Auch im ICS-Bereich müssen für die Strukturanalyse die Geschäftsprozesse mit den zugehörigen Informationen erfasst werden. Hier ist insbesondere darauf zu achten, dass neben dem Kernprozess der Produktion auch weitere Nebenprozesse, wie z. B. die logistischen Prozesse für den Warenfluss und die Instandhaltung, berücksichtigt werden.

Die einzelnen Prozesse sind wie folgt zu erfassen:

- eindeutiger Bezeichner
- Name
- Prozessverantwortlicher/Fachabteilung
- kurze Beschreibungen des Prozesses oder der Fachaufgabe und der dort verarbeiteten Informationen
- wichtige, für den Prozess benötigte Anwendung(en)

Um die wesentlichen Geschäftsprozesse zu identifizieren, kann in vielen Institutionen auf bestehende Prozesslandkarten zurückgegriffen werden. Wenn die Geschäftsprozesse noch nicht, nicht durchgängig oder nicht aktuell erfasst wurden, sollten zunächst Geschäftsverteilungspläne, Aufgabenbeschreibungen oder andere organisationsbeschreibende Papiere ausgewertet werden, um die relevanten Geschäftsprozesse zu identifizieren. Daneben kann das Verfahrensverzeichnis des Datenschutzbeauftragten ein weiterer Startpunkt für die Erfassung der Prozesse, Fachaufgaben und nachfolgenden Anwendungen sein, auch wenn dies lediglich die Verfahren und Anwendungen abbildet, die personenbezogene Daten verarbeiten. Sollten noch keine Prozessbeschreibungen vorliegen, sind kurze Workshops oder Interviews mit den Fachverantwortlichen zu empfehlen.

Es kann durchaus sinnvoll sein, die Erhebung der Prozesse und Fachaufgaben mit der Erhebung der BSI-Standard 200-2 Anwendungen zu koppeln, um damit redundante Fragen insbesondere in den Fachabteilungen zu vermeiden.


key: _node_content
string_value:
{"id_": "830a9e9d-9e3c-420e-982f-34c8d10b2b3c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0a4882f2-a3b9-41fc-baf2-194e19ce0d56", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a399e0e99456437d60af54e7b4e9cde15a5fe033b6864e64f3400cadec4c0a64", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 284, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aktionspunkte zu 8.1.2 Erfassung der Geschäftsprozesse und der zugehörigen Informationen

- Überblick über die Geschäftsprozesse erstellen
- Geschäftsprozesse mit eindeutigen Nummern oder Kürzeln kennzeichnen
- Zusammenhang zwischen Geschäftsprozessen und Anwendungen darstellen
---


key: _node_content
string_value:
{"id_": "03922515-4266-42a9-9853-df67ca36e9f7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "e63de4f3-00a9-4847-8125-7c156915c75e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c6828ebeb85bb346f93868af11019ff3c323c5cb9adf8085271f8f687b27ac07", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 21, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "f004ca68-21c4-4395-a4a1-2abe413502f5", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "919586bc-2cf1-47ca-86af-7f7fcba2458a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4314cabbb1035295a4a137ed1b921eee4d367a080d4fb8f13b25a4250a8c2e57", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 3604, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1.3 Erfassung der Anwendungen und der zugehörigen Informationen

Ausgehend von jedem Geschäftsprozess bzw. jeder Fachaufgabe, die im Informationsverbund enthalten ist, müssen in dieser Phase die damit zusammenhängenden Anwendungen und die damit verarbeiteten Informationen identifiziert werden. Anwendungen dienen der IT-technischen Unterstützung von Geschäftsprozessen und Fachaufgaben in Behörden und Unternehmen.

Die geeignete Granularität für die betrachteten Anwendungen muss in jeder Institution individuell gewählt werden. Ziel sollte dabei sein, eine optimale Transparenz und Effizienz bei der Strukturanalyse und der Schutzbedarfsfeststellung zu erreichen. Auch die im IT-Grundschutz-Kompendium betrachteten Bausteine aus der Schicht der Anwendungen können für diesen Schritt Aufschluss geben.

Zur weiteren Reduzierung des Aufwands kann die Strukturanalyse des Informationsverbunds auf die Anwendungen und Informationen beschränkt werden, die für die betrachteten Geschäftsprozesse oder Fachaufgaben erforderlich sind. Dabei sollte darauf geachtet werden, dass zumindest diejenigen Anwendungen und Informationen berücksichtigt werden, die aufgrund der Anforderungen der betrachteten Geschäftsprozesse oder Fachaufgaben ein Mindestniveau an

- Geheimhaltung (Vertraulichkeit) oder
- Korrektheit und Unverfälschtheit (Integrität) oder
- Verfügbarkeit

erfordern.

Bei der Erfassung der Anwendungen sollten auch die Benutzer bzw. die für die Anwendung Verantwortlichen sowie die für den Geschäftsprozess Verantwortlichen befragt werden, wie sie das erforderliche Sicherheitsniveau einschätzen.

Aufgrund der steigenden Komplexität von Anwendungen ist es jedoch oft für die Fachverantwortlichen nicht klar, welche Abhängigkeiten zwischen einem Geschäftsprozess oder einer Fachaufgabe zu einer konkreten Anwendung bestehen. Es sollte also für jede einzelne Fachaufgabe festgestellt werden, welche Anwendungen für ihre Abwicklung notwendig sind und auf welche Daten dabei zugegriffen wird. In einer gemeinsamen Sitzung der Fachabteilung, der Verantwortlichen der einzelnen Anwendungen und der unterstützenden IT-Abteilung können diese Abhängigkeiten erfasst werden. Beispielsweise können Bestellungen nicht abschließend bearbeitet werden, wenn keine Informationen über den Lagerbestand zur Verfügung stehen.

Falls abweichend von der hier vorgeschlagenen Reihenfolge zuerst die IT-Systeme erfasst wurden, ist es häufig hilfreich, die Anwendungen an erster Stelle orientiert an den IT-Systemen zusammenzutragen. Aufgrund ihrer Breitenwirkung sollte dabei mit den Servern begonnen werden. Um ein möglichst ausgewogenes Bild zu bekommen, kann anschließend diese Erhebung aufseiten der Clients und Einzelplatz-Systeme vervollständigt werden. Abschließend sollte noch festgestellt werden, welche Netzkoppelelemente welche Anwendungen unterstützen. Für die Erfassung der Anwendungen auf einem Standard-Client hat sich in der Praxis bewährt, seitens der unterstützenden IT-Abteilung die Standard-Software der Clients als Paket zu betrachten. So wird die Standard-Software nicht vergessen. Oftmals wird diese als selbstverständlich angesehen und deren Anwendung wird in Interviews nicht mehr explizit genannt (z. B. die E-Mail-Anwendung oder Bürokommunikation).

Ausgehend von den Anwendungen können die zugehörigen Geschäftsprozesse auch im Nachgang erfasst werden (siehe Kapitel 8.1.2). Der Verantwortliche und die Benutzer der Anwendung sollten ebenfalls erfasst werden, um Ansprechpartner für Sicherheitsfragen leichter identifizieren bzw. betroffene Benutzergruppen schnell erreichen zu können.
---


key: _node_content
string_value:
{"id_": "dd6474b0-79d2-47ed-8259-8ca5fa935dfa", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8cb80f1c-2b04-4ace-a3ee-7cb3482f1ac8", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e95ce6d6b7baa3521d323509b801fc3d26dbd6dc6ad48342963e7172c5dae97e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1288, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

Bei der Erfassung der Anwendungen ist es empfehlenswert, auch Datenträger und Dokumente zu betrachten und diese ähnlich wie Anwendungen zu behandeln. Sofern sie nicht fest mit einer Anwendung oder einem IT-System verknüpft sind, müssen Datenträger und Dokumente gesondert in die Strukturanalyse integriert werden. Natürlich ist es dabei nicht zweckmäßig, alle Datenträger einzeln zu erfassen. Zum einen sollten nur Datenträger und Dokumente mit einem Mindestschutzbedarf betrachtet und zum anderen sollten möglichst Gruppen gebildet werden. Beispiele für Datenträger und Dokumente, die im Rahmen der Strukturanalyse gesondert erfasst werden sollten, sind:

- Archiv- und Back-up-Datenträger,
- Datenträger für den Austausch mit externen Kommunikationspartnern,
- Massenspeicher für den mobilen Einsatz (z. B. USB-Sticks oder externe Festplatten),
- Notfallhandbücher, die in ausgedruckter Form vorgehalten werden,
- Mikrofilme,
- wichtige Verträge mit Partnern und Kunden.

Es darf nicht vergessen werden, virtualisierte Anwendungen im Rahmen der Strukturanalyse mit zu erfassen.

Zur Dokumentation der Ergebnisse bietet sich die Darstellung in tabellarischer Form oder die Nutzung entsprechender Software-Produkte an.


key: _node_content
string_value:
{"id_": "6550fc85-23eb-4d24-94b2-048272113b41", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "ee378f80-08ff-486d-85e2-a63ec162c251", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "258c6cb6bf2f573ddfd59a0eccdbee1209094f7bd59187b05a2aa892d449aa4c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2340, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel: RECPLAST GmbH

Im Folgenden wird anhand einer fiktiven Institution, der RECPLAST GmbH, beispielhaft dargestellt, wie die erfassten Anwendungen dokumentiert werden können. Zu beachten ist, dass die Struktur der RECPLAST GmbH im Hinblick auf die Informationssicherheit keineswegs optimal ist. Sie dient lediglich dazu, die Vorgehensweise bei der Anwendung des IT-Grundschutzes zu illustrieren. In diesem Dokument werden anhand der RECPLAST GmbH die einzelnen Aktivitäten zur Erstellung einer Sicherheitskonzeption erläutert. Das komplette Beispiel findet sich unter den Hilfsmitteln zum IT-Grundschutz.

Die RECPLAST GmbH ist eine fiktive Institution mit ca. 500 Mitarbeitern, von denen 130 an Bildschirmarbeitsplätzen arbeiten. Räumlich ist die RECPLAST GmbH aufgeteilt in zwei Standorte innerhalb Bonns, wo unter anderem die administrativen und produzierenden Aufgaben wahrgenommen werden, und drei Vertriebsstandorte in Deutschland.

Um die Geschäftsprozesse zu optimieren, sind alle Arbeitsplätze vernetzt worden. Die Außenstelle in Bonn ist über eine angemietete Standleitung an die Zentrale angebunden. Die Vertriebsstandorte sind mit abgesicherten Verbindungen über das Internet an die Zentrale angebunden. Alle für die Aufgabenerfüllung und die Informationssicherheit wesentlichen Richtlinien und Vorschriften sowie Formulare und Textbausteine sind ständig für jeden Mitarbeiter über das Intranet abrufbar. Alle relevanten Arbeitsergebnisse werden in eine zentrale Datenbank eingestellt. Entwürfe werden ausschließlich elektronisch erstellt, weitergeleitet und unterschrieben. Die Realisierung und Betreuung aller benötigten Funktionalitäten übernimmt eine IT-Abteilung in Bonn.

Die Geschäftsprozesse der RECPLAST werden elektronisch gepflegt und sind nach einem zweistufigen Schema benannt. Hinter dem Kürzel GP wird die Nummer des Hauptprozesses angegeben, zum Beispiel GP002. Ein Geschäftsprozess sollte immer beschrieben werden, damit ein einheitliches Verständnis für die Abgrenzung eines Prozesses vorhanden ist. Optional kann eine Prozessart erfasst werden. Diese dient lediglich zur Übersicht, welche Prozesse für eine Institution hauptsächlich zum Fortbestand beitragen. Die Unterstützungsprozesse sind jedoch ebenso wichtig, diese sind jedoch eher für den allgemeinen Betrieb einer Institution erforderlich.
---


key: _node_content
string_value:
{"id_": "ac4e9918-d8e9-4756-bbb2-d526b3397de3", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "4c46643e-9f6a-4ca6-ae33-f21ca6a13d46", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1806fb2a3773818b2d7c21fdca26591961131b1595b5e7d85ba70104ac7e47f2", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 159, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1 Strukturanalyse

Nachfolgend ist ein Auszug aus der Erfassung der Geschäftsprozesse und der dazugehörigen Informationen für die RECPLAST GmbH abgebildet:


key: _node_content
string_value:
{"id_": "51bc0551-1eef-448c-99e6-5001f866ce34", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "09b3783e-6567-4124-b6fc-c7c14bb24f1c", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "79abbb60ace6f5ae8b9b8813049a1ff9b5cf7883b60877dce6612ef1330c2cdf", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1586, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.1 Geschäftsprozesse der RECPLAST GmbH

|Bezeichnung|Beschreibung des Prozesses|Prozess-Art|Prozessverantwortlicher|Mitarbeiter|
|---|---|---|---|---|
|GP001|Produktion: Die Produktion der Kunststoffartikel umfasst alle Phasen von der Materialbereitstellung bis hin zur Einlagerung des produzierten Materials. Hierzu gehören innerhalb der Produktion die internen Transportwege, die Produktion und Fertigung der verschiedenen Komponenten und das Verpacken der Teile.|Kerngeschäft|Leiter Produktion|Alle Mitarbeiter|
|GP002|Angebotswesen: In der Angebotsabwicklung werden die Kundenanfragen für Produkte verarbeitet. Im Regelfall werden Kundenanfragen formlos per E-Mail oder Fax geschickt. Die Angebote werden elektronisch erfasst und ein schriftliches Angebot per Post an den Kunden versendet.|Unterstützender Prozess|Leiter Angebotswesen|Vertrieb|
|GP003|Auftragsabwicklung: Kunden schicken die Bestellungen im Regelfall per Fax oder E-Mail. Alle Belege müssen ausgedruckt und elektronisch erfasst werden. Eine Auftragsbestätigung erhält der Kunde nur, wenn er dies ausdrücklich wünscht oder der Produktionsprozess von der üblichen Produktionszeit abweicht.|Kerngeschäft|Leiter Auftragsabwicklung|Vertrieb|
|GP004|Einkaufsabteilung: In der Einkaufsabteilung werden alle erforderlichen Artikel bestellt, die nicht für den Produktionsprozess erforderlich sind. In dieser Abteilung werden externe Projekte verhandelt, IT-Verträge gestaltet und Verbrauchsmaterial im organisatorischen Umfeld (Papier, Toner, etc.) beschafft.|Unterstützender Prozess|Leiter Einkaufsabteilung|Einkauf|
---


key: _node_content
string_value:
{"id_": "f7c8022e-6062-4e23-8f82-67ce2ddcfefe", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6cee9f89-fe98-4268-bdcc-a59048d79a69", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "f8e55d94-d9d3-455b-b9c1-59149e5db309", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f6ba22c5-d1bd-445b-a2c1-f642173a4664", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "691ee209b72bbcca032abb71b8a7a102dd7a4109c1fde480df4eca4ba0b20c5b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 551, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.1 Geschäftsprozesse der RECPLAST GmbH

|Bezeichnung|Beschreibung des Prozesses|Prozess-Art|Prozessverantwortlicher|Mitarbeiter|
|---|---|---|---|---|
|Disposition|In der Disposition werden alle für die Produktion benötigten Materialien (Kunststoffe, Schrauben, Tüten, etc.) beschafft. Hierzu liegen normalerweise Rahmenverträge vor. Geplant wird in diesem Umfeld anhand von Jahresplanmengen und verschiedenen Bestellwerten.|Kerngeschäft|Leiter Disposition|Disposition, Produktion|

Abbildung 12: Auszug aus den Geschäftsprozessen der RECPLAST GmbH


key: _node_content
string_value:
{"id_": "ce58a5d3-6714-417b-8893-1fb892aeb970", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5d802b79-878f-48e3-bd49-7ff21d221912", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a690960d8b0218c09528d37f74c87a943853b504cd3af3645aa5f92de25a47aa", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 514, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Strukturanalyse der Anwendungen

Der zuständige Informationssicherheitsbeauftragte der RECPLAST GmbH erfasst in der Strukturanalyse neben den Geschäftsprozessen auch alle weiteren Objekte, die zur Institution selbst gehören. Dazu zählen auch die Anwendungen, die zur Aufrechterhaltung der bereits erfassten Geschäftsprozesse benötigt werden. Nachfolgend wird ein Auszug aus der Erfassung der Anwendungen und der zugehörigen Informationen für das fiktive Beispiel RECPLAST dargestellt:

BSI-Standard 200-2

85
---


key: _node_content
string_value:
{"id_": "cfca1eae-f655-4e11-a7f8-d77dcbab3174", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7ade44fc-a93e-471f-9c7b-14931fe2578d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c6828ebeb85bb346f93868af11019ff3c323c5cb9adf8085271f8f687b27ac07", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 21, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "207edf8a-425d-4572-8ed5-acbfeec82a61", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "313af3de-965a-450e-bdd4-b718e4008368", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5fa051fcbf098be98f80595c47975cee07b4468b9187c944edc4f7f718824cbd", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 984, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.1 Strukturanalyse der RECPLAST GmbH

|Bezeichnung der Zielobjekte|Plattform|Ort|Gebäude|Raum|Anzahl|Status|Benutzer|Verantwortlich| | |
|---|---|---|---|---|---|---|---|---|---|---|
|Textverarbeitung, Tabellenkalkulation: Alle geschäftlichen Informationen werden in einem Office-Produkt verarbeitet, Geschäftsbriefe, Analysen oder Präsentationen|Office-Produkt| |A003| |2010|-|-|130 in Betrieb|Alle Mitarbeiter|IT-Betrieb|
|Chat-Anwendung: Eine Chat-Anwendung soll den Kontakt zwischen den Mitarbeitern vereinfachen. Die E-Mails werden standardmäßig nur zwei Mal pro Tag abgerufen. Diese Anwendung wird als virtualisierte Anwendung eingesetzt.|Standardsoftware| |A004| |-|-|130 in Betrieb|Alle Mitarbeiter|IT-Betrieb| |
|Active Directory: Diese Anwendung soll dem IT-Betrieb die Arbeit erleichtern und doppelte Benutzereingaben reduzieren.|Administratoren|Bonn|BG|Büro 5|Testren|IT-Betrieb| | | | |

Abbildung 13: Auszug aus der Strukturanalyse der RECPLAST GmbH (Anwendungen)
---


key: _node_content
string_value:
{"id_": "a0326ed2-50b7-4a1d-9cb2-b99565250777", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6cf4dd02-efc6-4d25-ac33-78a07b6374ac", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e2241873dc026975143c0ae67686d4e938666a3738fc9f97ff75f4adab714f73", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 487, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

Der Zusammenhang zwischen den Geschäftsprozessen und den Anwendungen muss immer dargestellt werden. Diese Zuordnung sollte idealerweise mit Tools durchgeführt werden, um bei der üblichen Vielzahl von Prozessen und Anwendungen die Übersichtlichkeit und Aktualität zu gewährleisten.

Am Beispiel der RECPLAST GmbH wird nachfolgend dargestellt, dass für einen Prozess normalerweise mehrere Anwendungen eingesetzt werden:


key: _node_content
string_value:
{"id_": "63739af3-7e6f-4bf9-ae8c-48927af9378d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "70580958-9d72-4147-b85f-92d469671752", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "49a2aff1be2a36a394a41d54e9ac3b21cddc10ecb728df9cbef33daeed225f24", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 432, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.1 Zuordnungen Geschäftsprozesse zu Anwendungen der RECPLAST GmbH

|Geschäftsprozess|Anwendung|A001|A002|A003|A004|A005|A006|A007|A008|A009|A010|
|---|---|---|---|---|---|---|---|---|---|---|---|
|GPOO1| | | | | | | | | | | |
|GPOO2| | | | | | | | | | | |
|GPOO3| | | | | | | | | | | |
|GPOO4| | | | | | | | | | | |
|GPOO5| | | | | | | | | | | |

Abbildung 14: Zuordnung der Geschäftsprozesse zu den Anwendungen der RECPLAST GmbH


key: _node_content
string_value:
{"id_": "9c54ba2f-93e5-41df-8edd-fed802e629be", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a73ee7f2-870a-490e-9d9e-37890bd51494", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "88d019944177d5491f5e80859387d321c071bb70718714b375f9b72c373107d2", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 346, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aktionspunkte zu 8.1.3 Erfassung der Anwendungen und der zugehörigen Informationen

- Unter Einbeziehung der Verantwortlichen bzw. der Nutzer der Anwendungen herausfinden, welche Anwendungen für die betrachteten Geschäftsprozesse erforderlich sind
- Übersicht über die Anwendungen erstellen und mit eindeutigen Nummern oder Kürzeln kennzeichnen


key: _node_content
string_value:
{"id_": "d3752fc1-24b6-4bbe-8f1f-4ed655c16587", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "169727f7-42c3-459b-b063-8a1e4c6da4e8", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "30f040cbf879ad2701b3e810ab6e9e8ab882d5e70a5a4d61f4f13ff00a39b267", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1239, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1.4 Netzplanerhebung

Einen geeigneten Ausgangspunkt für die weitere technische Analyse stellt ein Netzplan (beispielsweise in Form eines Netztopologieplans) dar. Ein Netzplan ist eine grafische Übersicht über die im betrachteten Bereich der Informations- und Kommunikationstechnik eingesetzten Komponenten und deren Vernetzung. Netzpläne oder ähnliche grafische Übersichten sind auch aus betrieblichen Gründen in den meisten Institutionen vorhanden. Im Einzelnen sollte der Plan in Bezug auf die Informationssicherheit mindestens folgende Objekte darstellen:

- IT-Systeme, d.h. Client- und Server-Computer, aktive Netzkomponenten (wie Switches, Router, WLAN Access Points), Netzdrucker usw.
- ICS- und IoT-Komponenten mit Netzanschluss, d. h. Clients, Handscanner, Industriedrucker, GeräBSI-Standard 200-2te mit speicherprogrammierbarer Steuerung (SPS), Schaltschränke usw.
- Netzverbindungen zwischen diesen Systemen, d. h. LAN-Verbindungen (wie Ethernet), WLAN, Backbone-Techniken (wie ATM) usw.
- Verbindungen des betrachteten Bereichs nach außen, d. h. Einwahlzugänge über ISDN oder Modem, Internetanbindungen über analoge Techniken oder Router, Funkstrecken oder Mietleitungen zu entfernten Gebäuden oder Liegenschaften usw.
---


key: _node_content
string_value:
{"id_": "7d4eeeca-b5ad-46f4-8cd2-7d52d6743fd7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "60ff5c66-6029-4172-944d-6664b4d63e26", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "198ce11bb75ab0413127355d014fdb62ccf3d03b6262d764398052239cb1ebe4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 3086, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1 Strukturanalyse

Zu jedem der dargestellten Objekte gehört weiterhin ein Minimalsatz von Informationen, die einem zugeordneten Katalog zu entnehmen sind. Für jedes IT-System und sonstige Geräte sollten zumindest:

- eine eindeutige Bezeichnung (beispielsweise der vollständige Hostname oder eine Identifikationsnummer),
- Typ und Funktion (beispielsweise Datenbank-Server für Anwendung X),
- die zugrunde liegende Plattform (d. h. Hardware-Plattform und Betriebssystem),
- der Standort (beispielsweise Gebäude- und Raumnummer),
- der zuständige Administrator,
- die vorhandenen Kommunikationsschnittstellen (z. B. Internetanschluss, Bluetooth, WLAN Adapter) sowie
- die Art der Netzanbindung und die Netzadresse.

vermerkt sein. Bei Außenanbindungen oder drahtlosen Kommunikationsverbindungen (WLAN, UMTS, LTE,...) sollten zusätzlich Details zum externen Netz (z. B. Internet, Geschäftspartner, Name des Providers für die Datenübertragung sowie die Art der Leitung, z. B. MPLS, Leased Line, VPN) aufgenommen werden.

Virtuelle IT-Systeme (virtuelle Switches, virtuelle Server usw.) und virtuelle Netzverbindungen, beispielsweise virtuelle LANs (VLANs) oder virtuelle private Netze (VPNs), sollten ebenfalls in einem Netzplan dargestellt werden. Hierbei sind virtuelle IT-Systeme gemäß ihrem Typ und Einsatzzweck genauso wie physische IT-Systeme zu behandeln. Darüber hinaus muss die Zuordnung von virtuellen IT-Systemen zu physischen Host-Systemen nachvollziehbar sein. Um die Übersichtlichkeit zu verbessern, ist es bei zunehmender Größe eines Netzes sinnvoll, den Netzplan in mehrere Teilnetzpläne aufzuteilen.

Eine Cloud-Infrastruktur setzt sich aus einer Vielzahl von Elementen zusammen. Neben den physischen (mit CPU, Arbeitsspeicher und anderer Hardware) und gegebenenfalls virtuellen Servern zählen noch Netze und Speicherlösungen dazu. Die aufgezählten Bereiche verfügen in der Regel über eine Verwaltungssoftware.

Für den Bereich „Netze“ sollten die eingesetzten Netzmanagement-Tools eine automatische Erzeugung von Netzplänen unterstützen. Neben physischen sollten auch virtuelle IT-Systeme (z. B. virtuelle Switches, virtuelle Router, virtuelle Sicherheitsgateways) automatisch abgebildet werden können.

Der ICS-Bereich kann als eigenständiges Netz betrieben werden. Bei der Erfassung der Netzverbindungen sollten dabei auch die Schnittstellen erfasst werden (Auflistung der erlaubten und gesperrten Schnittstellen). Auch die Internetanbindung aus dem ICS-Bereich heraus sollte erfasst werden. Die Trennung der Netze zwischen dem Office-Bereich und dem ICS-Bereich sollte im Netzplan dargestellt werden.

Es empfiehlt sich, Bereiche mit unterschiedlichem Schutzbedarf zu kennzeichnen. Der Netzplan sollte möglichst in elektronischer Form erstellt und gepflegt werden. Hat die Informationstechnik in der Institution einen gewissen Umfang überschritten, bietet es sich an, bei der Erfassung und Pflege des Netzplans auf geeignete Hilfsprogramme zurückzugreifen, da die Unterlagen eine erhebliche Komplexität aufweisen können und einem ständigen Wandel unterzogen sind.


key: _node_content
string_value:
{"id_": "d43de388-7cad-43c3-870d-55fb66adef13", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "23c0213e-c9a7-4bfa-a010-787fc2745992", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5a2b92cc16bbe015227f86f8663e803d1a3855d89b8cd01147e8cdec1014a3e8", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 235, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aktualisierung des Netzplans

Da die IT-Struktur in der Regel ständig an die Anforderungen der Institution angepasst wird und die Pflege des Netzplans entsprechende Ressourcen bindet, ist der Netzplan der Institution nicht immer.
---


key: _node_content
string_value:
{"id_": "f8b36231-a32c-4cd3-b966-e4939c94d1f0", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3d8a6a9e-1a20-4e64-9d36-7137537c0df5", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "39104356dfa8802aa1930423c08a50b3cadbb461796d3504465f550ce8b9c0f6", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2243, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

auf dem aktuellen Stand. Vielmehr werden in der Praxis oftmals nur größere Änderungen an der IT-Struktur einzelner Bereiche zum Anlass genommen, den Plan zu aktualisieren.

Im Hinblick auf die Verwendung des Netzplans für die Strukturanalyse besteht demnach der nächste Schritt darin, den vorliegenden Netzplan (bzw. die Teilpläne, wenn der Gesamtplan aus Gründen der Übersichtlichkeit aufgeteilt wurde) mit der tatsächlich vorhandenen IT-Struktur abzugleichen und gegebenenfalls auf den neuesten Stand zu bringen. Hierzu sind die IT-Verantwortlichen und Administratoren der einzelnen Anwendungen und Netze zu konsultieren. Falls Programme für ein zentralisiertes Netz- und Systemmanagement eingesetzt werden, sollte auf jeden Fall geprüft werden, ob diese Programme bei der Erstellung eines Netzplans Unterstützung anbieten. Zu beachten ist jedoch, dass Funktionen zur automatischen oder halbautomatischen Erkennung von Komponenten temporär zu zusätzlichem Netzverkehr erzeugen. Es muss sichergestellt sein, dass dieser Netzverkehr nicht zu Beeinträchtigungen des IT-Betriebs führt. Ebenso sollte das Ergebnis von automatischen bzw. halbautomatischen Erkennungen stets dahingehend geprüft werden, ob wirklich alle relevanten Komponenten ermittelt wurden.

Der Bereich der industriellen Steuerung sollte ebenfalls in den Netzplan integriert werden. Ansprechpartner sind neben den IT-Verantwortlichen und Administratoren auch die Mitarbeiter der Haustechnik.

Ein bereinigter Netzplan ist auch an anderen Stellen hilfreich. So kann dieser genutzt werden, um Dritten schnell die Geschäftsprozess- und IT-Strukturen innerhalb der Institution darzustellen, da in einem bereinigten Netzplan der Detaillierungsgrad auf das notwendige Maß reduziert wird. Auch für eine Zertifizierung ist ein bereinigter Netzplan eine sinnvolle Grundlage.

Beispiel: RECPLAST GmbH

Die Netzpläne in der RECPLAST GmbH werden in der IT-Abteilung mit einem Tool verwaltet. Die Darstellung aller Netzpläne ist sehr detailliert und oftmals für Dritte sehr unübersichtlich. Die RECPLAST GmbH nutzt deshalb für die Darstellung der erfassten Zielobjekte einen bereinigten Netzplan.

BSI-Standard 200-2
---


key: _node_content
string_value:
{"id_": "fbdcdb69-f05c-4dd3-af67-b7e22566b088", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3f7bf9dd-1687-407d-bd01-8172d4545cd1", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "67b0af30878e67c06cbacb8e62ea0b8c6ab174b61183b41bf9529cecbaa93e2f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 115, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1 Strukturanalyse

Abbildung 15: Auszug aus dem bereinigten Netzplan der RECPLAST GmbH (Teilausschnitt)

90
---


key: _node_content
string_value:
{"id_": "43bf5b29-92ee-40e9-ad79-4d9cad34f99e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "85a6fca9-b345-46e0-a449-e4e26194f931", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "765464c7-1e74-41c7-a23a-604b89fc26a2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "4c40865b-16ba-49d5-a1e0-d1359f7bb5e3", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e8c24bfc2c563b80f009ad69b8857475c30bd82c8ae7806335a716fc06c77c52", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 468, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1.4 Netzplanerhebung

- Existierende grafische Darstellungen des Netzes, beispielsweise Netztopologiepläne, sichten
- Netzpläne gegebenenfalls aktualisieren oder neu erstellen
- Existierende Zusatzinformationen über die enthaltenen IT-, ICS- und IoT-Systeme sichten und gegebenenfalls aktualisieren und vervollständigen
- Existierende Zusatzinformationen über die enthaltenen Kommunikationsverbindungen sichten und gegebenenfalls aktualisieren und vervollständigen


key: _node_content
string_value:
{"id_": "c1ee31e5-a2e7-4129-930a-fcd04f8c3ca7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cfeeb18a-8ca9-464b-831a-4f416b299759", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "79475a35ef7fb448e01859172d7e285121c5bbc08c08eb3f491f3652e05bf169", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2372, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1.5 Erhebung der IT-Systeme

Im Hinblick auf die später durchzuführende Schutzbedarfsfeststellung und Modellierung des Informationsverbunds sollte eine Liste der vorhandenen und geplanten IT-Systeme in tabellarischer Form aufgestellt werden. Der Begriff IT-System umfasst dabei nicht nur Computer im engeren Sinn, sondern auch die IoT- und ICS-Geräte, aktive Netzkomponenten, Netzdrucker, TK-Anlagen, Smartphones, virtuelle IT-Systeme usw. Die technische Realisierung eines IT-Systems steht im Vordergrund, beispielsweise Apple MacBook, Client unter Windows, Linux-Server, TK-Anlage usw. An dieser Stelle sollen nur die Systeme als solche erfasst werden (z. B. Linux-Server), nicht die einzelnen Bestandteile, aus denen die IT-Systeme zusammengesetzt sind (also nicht Rechner, Tastatur, Bildschirm usw.).

Hinweis: Für einen ordnungsmäßigen IT-Betrieb ist eine vollständige und korrekte Erfassung der vorhandenen und geplanten IT-Systeme notwendig, beispielsweise für die Überprüfung, Wartung, Fehlersuche und Instandsetzung von IT-Systemen. Für die Erstellung eines Sicherheitskonzepts reicht es, sich einen Überblick über die gruppierten IT-Systeme zu verschaffen.

Zu erfassen sind sowohl die vernetzten als auch die nicht vernetzten IT-Systeme, insbesondere also auch solche, die nicht im zuvor betrachteten Netzplan aufgeführt sind. IT-Systeme, die im Netzplan zu einer Gruppe zusammengefasst worden sind, können weiterhin als ein Objekt behandelt werden. Auch bei den IT-Systemen, die nicht im Netzplan aufgeführt sind, ist zu prüfen, ob sie sinnvoll zusammengefasst werden können. Möglich ist dies beispielsweise bei einer größeren Anzahl von nicht vernetzten Einzelplatz-PCs, die die im Kapitel 8.1.1 Komplexitätsreduktion durch Gruppenbildung genannten Bedingungen für eine Gruppierung erfüllen.

Bei dieser Erfassung sollten folgende Informationen vermerkt werden, die für die nachfolgende Arbeit BSI-Standard 200-2 nützlich sind:

- eine eindeutige Bezeichnung der IT-Systeme bzw. der jeweiligen Gruppe (bei Gruppen sollte auch die Anzahl der zusammengefassten IT-Systeme vermerkt sein),
- Beschreibung (z. B. Funktion, Typ),
- Plattform (z. B. Hardware-Architektur/Betriebssystem),
- Aufstellungsort der IT-Systeme (z. B. Ort, Gebäude, Raum),
- Status der IT-Systeme (in Betrieb, im Test, in Planung) und
- Benutzer bzw. Administratoren der IT-Systeme.
---


key: _node_content
string_value:
{"id_": "85645a57-d264-414d-8238-e990a3593f29", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "43e67cb3-71fe-4b0f-9a84-4055d1407a78", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "272181e0a295fe9ad1d925db6eb51d6ca29a947cd1076ac4333b72fbb6621672", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 440, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1 Strukturanalyse

Anschließend werden die Anwendungen jeweils denjenigen IT-Systemen zugeordnet, die für deren Ausführung benötigt werden. Dies können die IT-Systeme sein, auf denen die Anwendungen verarbeitet werden, oder auch diejenigen, die Daten dieser Anwendungen transferieren. Das Ergebnis ist eine Übersicht, in der die Zusammenhänge zwischen den wichtigen Anwendungen und den entsprechenden IT-Systemen dargestellt werden.
---


key: _node_content
string_value:
{"id_": "205b4730-1967-4849-8e18-5f14638f288c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "e9e039aa-e72f-4b03-8cb2-ff715a7444d5", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "7bf6b291-eeb4-401c-9d23-b8abd958327b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "23da66ed-fe46-4a57-a98f-4477d634faf4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "f0b8ad4e395eb28e18beaa1706213179ccc33103558c29a36fe07ca4f4900d55", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 25, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "4a48d76f-1adf-40ea-9083-ce2b940a2a0f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "8ce70b6c-6d21-41e7-80f3-d75c9bc2f046", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "85c13b13c5f18d4b6c4845602a8c51b64b924b85c5c9f39be79bc98aae582247", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 39, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "a6ce1f27-71b4-4213-aa90-5ebc74969280", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0fe15276-c35b-4194-9d06-d57d1cb92c99", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "625a2bec1221617b2c67343ad2f0e77f512b861211edd7ed5bae8c2476d6522f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 743, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beschreibung des Zielobjekts

|Bezeichnung / der Gruppe der Zielobjekte|Plattform|Verantwortlich|Baustein|Ort|Gebäude|Raum|Anzahl|Status|Benutzer|Administrator|
|---|---|---|---|---|---|---|---|---|---|---|
|Router Internetanbindung:|Server|N001|Router und Switches|Bonn|BGraum|1|in Betrieb|Administratoren|IT-Betrieb| |
|Firewall Internet-Eingang:|Server|N002|Firewall|Bonn|BGraum|1|in Betrieb|Administratoren|IT-Betrieb| |
|Switch – Verteilung|Server|N003|Router und Switches|Bonn|BGraum|1|in Betrieb|Administratoren|IT-Betrieb| |
|Router Bonn BG – Beuel|Server|N004|Router und Switches|Bonn|BGraum|2|in Betrieb|Administratoren|IT-Betrieb| |
|Print-Server:|Windows Server|S008|Server|Bonn|BGraum|1|in Betrieb|Alle Mitarbeiter|IT-Betrieb| |


key: _node_content
string_value:
{"id_": "8fc06cda-363d-44ec-b364-1d1faaaba784", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b7de4e6d-b3c0-4c7a-a136-09f91e727db4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a46b8635e1420c4efd3eda39caa7952ea1cc063518deccfb925e980ec661b3b7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 24, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "a007e42e-cb87-4436-a5ec-e73594b9e0be", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "88775105-5e8a-4c91-81da-5cb405a06a0f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c6828ebeb85bb346f93868af11019ff3c323c5cb9adf8085271f8f687b27ac07", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 21, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "8c940f6a-9a76-4692-a882-0425af50de2b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7d8a2a1b-b254-45f2-a912-573ae400fc4d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "85c13b13c5f18d4b6c4845602a8c51b64b924b85c5c9f39be79bc98aae582247", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 39, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "286ceee2-3294-4af0-9d58-bec3e704b5d6", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "90c10a2d-c542-4c6f-a214-7740771f51d4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4b095d276d58978b63b78a717240fe06865b81a5ddce6993ff15276d94d9f85d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 510, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beschreibung des Zielobjekts

|Bezeichnung / der Gruppe der Zielobjekte|Plattform|Verantwortlich / Baustein|Ort|Gebäude|Raum|Anzahl|Status|Benutzer|Administrator|
|---|---|---|---|---|---|---|---|---|---|
|Virtueller Server (Konfiguration 1)|Server unter Unix|IT-Betrieb|Bonn|BGraum|2|20|in Betrieb|Administratoren|Administrator|
|Server Produktion|Server unter Unix|IT-Betrieb|Bonn|Beuel|1| |in Betrieb|Produktion|Mitarbeiter|

Abbildung 16: Auszug aus der Strukturanalyse der RECPLAST GmbH (IT-Systeme)
---


key: _node_content
string_value:
{"id_": "79fa9c3e-65c3-4012-b669-6928ac2b515c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "c313b800-6e1c-43b8-8635-fb8caac0b3e1", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "539bb1f2cec82e4a807abf118f9fb331f7bedd7a384510304718ea0068351576", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 384, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

Für die Zuordnung der Anwendungen zu den IT-Systemen setzt die RECPLAST GmbH ein Tool ein, da die Pflege in Form einer Tabelle aufwendig ist. Jede Änderung, sei es ein IT-System oder eine Anwendung, muss immer dokumentiert werden. Diese Zuordnung ist für die später folgende Schutzbedarfsfeststellung erforderlich.


key: _node_content
string_value:
{"id_": "31f99496-f8cb-4b50-84bb-234fb80a9ab6", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b090bc89-3f79-464c-8a2d-f8e53e5c4c5c", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "cd00dcfb17c133f0f7ab1cc26f00042ae7ea409f14a4fe3dc6b7858c5171ab6d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1817, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1.6 Erhebung der ICS-Systeme

In Institutionen mit Produktion und Fertigung müssen auch die industriellen Steuerungssysteme (ICS), die von der Institution eingesetzt werden, erhoben werden. Oftmals werden in der Produktion und Fertigung neben IT-Systemen noch eine Reihe weiterer Geräte eingesetzt. Alle ICS-Geräte sollten entsprechend erfasst werden.

Im ICS-Bereich gibt es Arbeitsplatz-PCs, die auch hier zu Gruppen zusammengefasst werden sollten. Oftmals sind diese PCs mit den gleichen Anwendungen wie die der Büroumgebung ausgestattet. Darüber hinaus sind auf einigen PCs spezielle Anwendungen installiert. Zu vielen PC-Arbeitsplätzen gehört ein Drucker und neben der Standardperipherie (Maus, Tastatur) werden weitere periphere Endgeräte (z. B. Handscanner) eingesetzt, die mit den Arbeitsplatz-PCs direkt verbunden sind. Bei allen peripheren Endgeräten müssen die Kommunikationsverbindungen (z. B. Bluetooth) ebenfalls berücksichtigt werden.

Im Bereich der Produktion und Fertigung werden weitere Endgeräte eingesetzt. Für die industrielle Steuerung gibt es spezielle Endgeräte, z. B. Geräte mit speicherprogrammierbaren Steuerungen (SPSen), WLAN-Module für Industriemaschinen, selbstfahrende Gabelstapler (Flurfahrzeuge).

Bei der Erfassung der ICS-Systeme sollten folgende Informationen vermerkt werden, die für die nachfolgenden Schritte erforderlich sind:

- eine eindeutige Bezeichnung der ICS-Systeme bzw. der jeweiligen Gerätegruppe (die Anzahl der Geräte in den Gruppen sollte ebenfalls vermerkt sein),
- Beschreibung (Typ und Funktion),
- Plattform (z. B. Betriebssystem, Art der (Netz-)Anbindung),
- Aufstellungsort der Geräte (z. B. Gebäude, Halle, Raum),
- Status der ICS-Systeme (in Betrieb, im Test, in Planung) und
- Verantwortliche für den Betrieb der ICS-Systeme.

BSI-Standard 200-2
---


key: _node_content
string_value:
{"id_": "a737b711-6c4d-4939-bde4-34c7362331b2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7dd0cb87-e6ad-4191-85f7-626feaae87af", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c6828ebeb85bb346f93868af11019ff3c323c5cb9adf8085271f8f687b27ac07", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 21, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "e60bf2f2-cf65-4760-9e24-e9e546d82bca", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a34a8cc8-b9b2-4ec8-a02d-f432616f1642", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "70f6174c79e30ef941553c93e21491f3cf5d68f19748ec925d2ea7ba833c0b67", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 95, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "bc358f62-9ad2-4b9b-a79c-6d7920de79a0", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cd49faff-48ff-4fc4-9c6b-b15e9f173724", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "fb99e07d1d9f097698938b4aa09f9aaec23467e74465dc2d789b0874a7be14a1", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 777, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.1 Strukturanalyse der RECPLAST GmbH

|Bezeichnung|Beschreibung des Zielobjektes / Plattform|Verantwortlich / Ort|Gebäude|Raum|Anzahl|Status|Benutzer|Administrator|
|---|---|---|---|---|---|---|---|---|
|SPS:|Die Maschinensteuerung für die Produktionsanlagen wird über die SPS-Programmierung S100|Bonn|Beueltion|3|in Betrieb|Haustechnik|Haustechnik| |
|SCADA:|Das Computersystem ermöglicht die Überwachung der Produktionsprozesse|Bonn|Beuelonshalle|1|in Betrieb|Alle Mitarbeiter|Haustechnik| |
|Server für Betriebsdatenerfassung:|Der Server wird für die Anwendung BDE benötigt. Dieser Server ist mit den Produktionsanlagen verbunden.|Bonn|Beuelraum|1|in Betrieb|Alle Mitarbeiter|IT-Betrieb| |

Abbildung 17: Auszug aus der Strukturanalyse der RECPLAST GmbH (ICS-Systeme)
---


key: _node_content
string_value:
{"id_": "c3eebae3-cab6-4185-9406-00bb5efde47a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7b8c5eff-99b1-4380-a41b-22beb99a3f3d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "07dcf662-9c7f-4901-b1ab-c4869d35b588", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "81ea955b-b594-4df3-ad2d-d147554f1963", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4ad6989e47e244844b4f701222478089545faa3754553192c620e3d5a0564431", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1872, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1.7 Erhebung sonstiger Geräte

In Institutionen werden je nach Branche unterschiedlichste Geräte eingesetzt, um die Geschäftsprozesse zu unterstützen. Neben IT-Systemen, die unmittelbar als solche zu identifizieren sind, können auch viele andere Arten von Geräten Einfluss auf die Informationssicherheit haben. Zu solchen Geräten gehören beispielsweise Geräte mit Funktionalitäten aus dem Bereich IoT.

Auch Geräte, wie beispielsweise Klimaanlagen, Gefahrenmeldeanlagen oder Kaffeemaschinen, die nicht der direkten Unterstützung der Informationsverarbeitung oder anderer Geschäftsprozesse dienen, können die Informationssicherheit beeinträchtigen, wenn z. B. ein Kabelbrand Folgeschäden nach sich zieht, aber auch, wenn Geräte dieser Art zur besseren Ressourcensteuerung ins IT-Netz integriert werden.

Daher sollte die Institution einen Überblick darüber haben, welche Geräte wo eingesetzt werden und welche Anforderungen an die Informationssicherheit sich hieraus ergeben könnten, wie regelmäßige Überprüfung der Betriebssicherheit, Wartung oder das Einspielen von Patches.

Für die IT-Grundschutz-Modellierung sollten die Geräte mit IoT-Funktionalität erfasst werden, die vernetzt sind, insbesondere auch solche, die nicht im zuvor betrachteten Netzplan aufgeführt sind. Solche Geräte sollten möglichst zu Gruppen zusammengefasst und als ein Objekt behandelt werden.

Bei dieser Erfassung sollten folgende Informationen vermerkt werden, die für die nachfolgende Arbeit nützlich sind:

- eine eindeutige Bezeichnung der Geräte bzw. der jeweiligen Gruppe (bei Gruppen sollte auch die Anzahl der zusammengefassten Geräte vermerkt sein),
- Beschreibung (Typ und Funktion),
- Plattform (z. B. Betriebssystem, Art der Netzanbindung),
- Aufstellungsort der Geräte,
- Status der IT-Systeme (in Betrieb, im Test, in Planung) und
- Verantwortliche für den Betrieb der Geräte.


key: _node_content
string_value:
{"id_": "04c2116b-8f02-40ec-a9bf-ca8632b71b7b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "52a594c2-d08b-40fb-bea3-2ae624216bf1", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "063f85fff2978cf99adc6ab3e4ed7759564066762a8143c56daa0093701cddea", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1284, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Internet of Things (IoT)

IoT-Geräte sind häufig dadurch gekennzeichnet, dass sie überschaubare, begrenzte Außenmaße haben, oftmals preislich unterhalb von Grenzen liegen, die einen aufwendigen Beschaffungsvorgang in Institutionen nach sich ziehen, und/oder bei denen die Internetfunktionalität nicht hervorsticht. Daher ist es wahrscheinlich, dass bei jeder Art von Übersicht oder Bestandserhebung IoT-Geräte übersehen werden. Es ist wichtig, sich darüber einen Überblick zu verschaffen,

- welche IoT-Geräte in der Institution derzeit oder demnächst eingesetzt werden und
- wer die Akteure in der Institution sind, die typischerweise IoT-Geräte nutzen, und mit diesen ins Gespräch zu kommen.

Dafür kann es ein sinnvoller Ansatz für den ISB sein, in verschiedene Räumlichkeiten der Institution zu gehen und zu überlegen, welche der dort vorhandenen Komponenten Strom benötigen und ob diese über IT-Netze vernetzt sein könnten. Der ISB sollte insbesondere mit den Kollegen der Haustechnik, aber auch mit den anderen Geräteverantwortlichen sprechen und sich die Funktionalitäten der verschiedenen Geräte erläutern lassen. Die Vernetzung könnte beispielsweise über IT-Verkabelung oder WLAN mit dem LAN erfolgen, über Mobilfunk mit dem Internet, aber auch über freie WLANs in der.
---


key: _node_content
string_value:
{"id_": "db1395b9-b148-41b2-8f6e-ea1f38c10bbb", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "c352c32f-bfa0-48c6-9397-46c8b9540232", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1fa1be242cd1dfe7fd9f36b0c44ae0ca9152f4c12cf713f7b55e3d38e74e1009", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1327, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1 Strukturanalyse

Umgebung oder andere Funkschnittstellen wie Bluetooth erfolgen. Zusätzlich sollten regelmäßig Netzscans durchgeführt werden und dabei nach nicht zuzuordnenden Geräten gesucht werden.

Geräte mit IoT-Funktionalitäten können in Institutionen beispielsweise folgende sein:

- Durch Mitarbeiter oder Externe mitgebrachte private Geräte, z. B. Smartwatches, digitale Bilderrahmen, Wetterstationen, Fitnessarmbänder und andere Gadgets.
- Durch die Institution beschaffte und betriebene Geräte wie Brand-, Gas- und andere Warnmelder, Kaffeemaschinen oder Elemente der Gebäudesteuerung. Die Übergänge zu ICS-Systemen sind hier fließend.

Dabei sind IoT-Geräte nicht immer direkt auf den ersten Blick als solche zu erkennen, beispielsweise wenn die IoT-Funktionalität kein kaufentscheidendes Merkmal ist, aber für den Hersteller dadurch eine für ihn gewinnbringende Datensammlung möglich wird, z. B. über die Art und Menge der Verbrauchsmaterialien.

Ein Beispiel für Geräte, in denen sich IoT-Funktionalitäten verstecken könnten, sind Komfortmöbel, die sich automatisch an die jeweiligen Benutzer anpassen und nicht nur lokal die Einstellungen speichern, sondern diese über IT-Netze mit anderen Arbeitsplätzen austauschen, sodass Mitarbeiter an beliebigen Arbeitsplätzen arbeiten können („Smart Workplaces“).
---


key: _node_content
string_value:
{"id_": "5bde4798-80de-4782-82eb-4783d5c12d1b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "643979ea-95f9-4cb3-af93-34dea02e3ccf", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "dc26e39a-d059-4f28-955c-021b4eb10683", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "60e9af67-566d-4c8a-92a4-ead5b7191e2e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "cec7b538e003b04bb2f9066af29b29511902e99f7f017fb7520804a9496421fe", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 106, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel: RECPLAST GmbH

In der folgenden Tabelle sind Beispiele für sonstige und IoT-Geräte aufgeführt:


key: _node_content
string_value:
{"id_": "7c891b58-ac7d-4f0c-bcca-9dfa0013e5dd", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b9b96020-2d76-4c66-b2ee-507426e5e842", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "03c7e62b999c8c71ae25252135839f42e22ec031a5c70fc83c6494cee47714e5", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1186, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.1 Strukturanalyse der RECPLAST GmbH

|Bezeichnung|Beschreibung des Zielobjektes / Plattform|Verantwortlich / Ort|Gebäude|Raum|Anzahl|Status|Benutzer|Administrator|
|---|---|---|---|---|---|---|---|---|
|Alarmanlage BG:|Die Alarmanlage wird von der Pforte gesteuert. Zuständig für die Sicherheitsfachkraft in Bad Godesberg.|Alarmanlage Bonn|BG|Pforte|1|in Betrieb|Haustechnik| |
|Alarmanlage Beuel:|Die Alarmanlage wird seit 1996 eingesetzt und erfüllt die Grundlagen einer Alarmanlage. Mit dieser Alarmanlage wird die Liegenschaft in Beuel abgedeckt.|Arbeitssicherheitsfachkraft|Alarmanlage Bonn|Beuel|Pforte|1|in Betrieb|Haustechnik|
|Video-Überwachung:|Rund um das Gelände in der Liegenschaft Bad Godesberg sind die Türen und teilweise die Fenster mit Kameras überwacht. Innen wird jeder Notausgang bewacht.|Server|Unix|Bonn|Beuelraum|1|in Betrieb|Pforte IT-Betrieb|
|Kühlschrank IT-Abteilung:|In der IT-Abteilung ist ein Kühlschrank, der mittels einer internen Kamera und einer App eine Inventarliste führt.|Teeküche|Bonn|BGEG|1|in Betrieb|IT-Abteilung|Haustechnik|

Abbildung 18: Auszug aus der Strukturanalyse der RECPLAST GmbH (sonstige und IoT-Geräte)

BSI-Standard 200-2
---


key: _node_content
string_value:
{"id_": "5c928aae-f1c2-4745-9700-ff8a270dfde2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "290cc8c0-8ae2-415b-9f63-697ef1384e5a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c6828ebeb85bb346f93868af11019ff3c323c5cb9adf8085271f8f687b27ac07", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 21, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "b79e0f1d-2d56-4bc1-aa9a-7e0987011684", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3328b179-3b89-48af-a5f4-19b6594b77c4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1fb09a87f9c62fa80302d405afab57415473793e2a2dbf74f3dce10b2303d258", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 674, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aktionspunkte zu 8.1.5, 8.1.6 und 8.1.7 Erhebung der IT-, ICS-Systeme und sonstiger Geräte

- Prüfen, ob existierende Datenbanken oder Übersichten über die vorhandenen oder geplanten IT-, ICS-Systeme sowie die sonstigen Geräte als Ausgangsbasis für die weitere Vorgehensweise geeignet sind
- Liste der vernetzten und nicht vernetzten IT-Systeme, IoT- und ICS-Geräte erstellen beziehungsweise aktualisieren und vervollständigen
- IT-, ICS-, IoT-Systeme beziehungsweise Systemgruppen mit eindeutigen Nummern oder Kürzeln kennzeichnen
- Die Anwendungen den IT-, ICS-, IoT-Systemen (Servern, Clients, Netzkoppelelementen usw.) zuordnen, die für ihre Ausführung benötigt werden


key: _node_content
string_value:
{"id_": "4cbca6ba-470a-4711-a562-2f5d28caae23", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "11a34e50-3e00-41e6-a981-beed5fc64285", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "20d7dfa98e2da6e20ab265884a2ccf78d2e8946a42036003d54e5463e76f761d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2224, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1.8 Erfassung der Räume

Die betrachteten Geschäftsprozesse und Fachaufgaben werden nicht nur auf definierten IT-Systemen betrieben, sondern auch innerhalb der Grenzen der räumlichen Infrastruktur einer Institution. Je nach Größe der Institution und abhängig von vielen anderen Faktoren kann sich eine Institution in einem allein genutzten Gebäude oder auch nur auf einer Etage befinden. Viele Institutionen nutzen Liegenschaften, die weit verstreut sind oder mit anderen Nutzern geteilt werden müssen. Häufig sind Geschäftsprozesse und Fachaufgaben auch in fremden Räumlichkeiten angesiedelt, zum Beispiel im Rahmen von Dienstleistungsverträgen.

In ein Sicherheitskonzept müssen alle Liegenschaften, innerhalb derer die betrachteten Geschäftsprozesse und Fachaufgaben betrieben werden, einbezogen werden. Dazu gehören Betriebsgelände, Gebäude, Etagen, Räume sowie die Wegstrecke zwischen diesen. Alle Kommunikationsverbindungen, die über für Dritte zugängliche Gelände verlaufen, müssen als Außenverbindungen behandelt werden. Dies gilt auch für drahtlose Kommunikationsverbindungen, wenn nicht ausgeschlossen werden kann, dass Dritte darauf zugreifen können. Nicht vergessen werden sollten auch Räumlichkeiten, die außerhalb der offiziellen Liegenschaften liegen, die aber auch sporadisch oder regelmäßig genutzt werden, um dort Geschäftsprozesse und Fachaufgaben zu bearbeiten. Dazu gehören beispielsweise Telearbeitsplätze oder temporär angemietete Arbeitsplätze und Lagerflächen.

Für die weitere Vorgehensweise der Modellierung nach IT-Grundschutz und für die Planung des Soll-Ist-Vergleichs ist es hilfreich, eine Übersicht über die Liegenschaften, vor allem die Räume, zu erstellen, in denen IT-, ICS- oder IoT-Systeme aufgestellt oder die für deren Betrieb genutzt werden. Dazu gehören Räume, die ausschließlich dem IT-Betrieb dienen (wie Serverräume, Datenträgerarchive), solche, in denen unter anderem IT-, ICS- oder IoT-Systeme betrieben werden (wie Büroräume oder Werkhallen), aber auch die Wegstrecken, über die Kommunikationsverbindungen laufen. Wenn IT-Systeme statt in einem speziellen Technikraum in einem Schutzschrank untergebracht sind, ist der Schutzschrank ebenfalls wie ein Raum zu erfassen.
---


key: _node_content
string_value:
{"id_": "300042cc-2a20-4093-88b7-0baf88d73a07", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "84674515-b8bc-4386-b20a-62ac87ccb311", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "140f29ffb6035db35b1a9b0fe6580231b749f2d1484d654022fcff14a5a35b84", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 634, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

Hinweis: Bei der Erhebung der IT-, ICS- und IoT-Systeme sind schon die Aufstellungsorte aufgelistet worden.

Zusätzlich muss untersucht werden, ob schutzbedürftige Informationen in weiteren Räumen aufbewahrt werden. Diese Räume müssen dann ebenfalls benannt werden. Hierbei müssen auch Räume hinzugezählt werden, in denen nicht elektronische schutzbedürftige Informationen aufbewahrt werden, also beispielsweise Aktenordner oder Mikrofilme. Die Art der verarbeiteten Informationen muss anhand dieser Dokumentation nachvollziehbar sein.

BSI-Standard 200-2

101
---


key: _node_content
string_value:
{"id_": "770a7cc4-b701-48d7-a760-104aaf1fdfe8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cd2cb4a6-f504-4ab8-a9e2-4c32dfc9641d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1042c05a6544a01a48532a8f7a109aa3b42171bc71a27364558ae40fb17191a0", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 361, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.1 Strukturanalyse

Beispiel: RECPLAST GmbH

Im folgenden Ausschnitt wird anhand des fiktiven Beispiels der RECPLAST GmbH gezeigt, wie eine tabellarische Übersicht über die Räume aussehen könnte. Räume können wie alle Zielobjekte gruppiert werden. Dies ist möglich, sofern die Räume eine ähnliche Ausstattung und vergleichbare Sicherheitsanforderungen haben.


key: _node_content
string_value:
{"id_": "d8f60a35-ba83-47f4-8f55-16fad862f3ad", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "af379abc-4438-4931-986d-c884e1683ee7", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1fbf6095e2ae5230ab368144498dce985c5bb535ceeed2e91ee2bd55f224b87f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 850, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.1 Strukturanalyse der RECPLAST GmbH

|Beschreibung des Zielobjek|Bezeichtes / der Gruppe der Zielobjekte|Plattform / Baustein|Ort|Gebäude|Raum|Anzahl|Status|Benutzer|Administrator|
|---|---|---|---|---|---|---|---|---|---|
|Büroraum|Ein Standard-Büroraum enthält Schreibtische, Schränke, die erforderliche Verkabelung, Präsenzmelder für die Alarmanlage. Die Büroräume sind abschließbar. Die Anzahl der Mitarbeiter je Büroraum ist begrenzt auf ein bis sechs Mitarbeiter.|Gebäude|Bonn|BG - 27|in Betrieb|Alle|Mitarbeitermanagement| | |
|Besprechungsräume:|Verteilt in der Liegenschaft Bad Godesberg gibt es Besprechungsräume, die mit Tischen, Stühlen, Schränken und Verkabelung bestückt sind. In diesen Räumen dürfen sich Besucher in Begleitung von Mitarbeitern aufhalten.|Besprechungsraum|Bonn|BG - 5|in Betrieb|Alle|Mitarbeitermanagement| | |
---


key: _node_content
string_value:
{"id_": "f529e0e0-2d90-4a96-89b8-f1d5bda4fe54", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "fb07a3da-ebc5-4ca1-8790-a1d7eb02fa33", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "24d69528-637b-4fc2-841b-547c08ae0140", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b4237619-5e75-4ccd-945e-70d1c343f11a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "85c13b13c5f18d4b6c4845602a8c51b64b924b85c5c9f39be79bc98aae582247", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 39, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "88c25599-777a-49e1-a6c0-8aaf0908b681", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7dd7efc4-8d14-47b1-8b76-af00c98b7642", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8bd25dc2434885e21069dca3931409fdd9fe3750a2911245a2beb2923771ef1f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 979, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beschreibung des Zielobjekts

|Bezeichnung / der Gruppe der Zielobjekte|Plattform|Verantwortlich / Baustein|Ort|Gebäude|Raum|Anzahl|Status|Benutzer|Administrator|
|---|---|---|---|---|---|---|---|---|---|
|Häuslicher Arbeitsplatz:|Telearbeit|-|-|-|R003|27|in Betrieb|Telearbeitnehmer|ISB|
|Mobiler Arbeitsplatz:|Mobiler|Führungskräfte,|-|-|R004|75|in Betrieb|Mitarbeiter|IT-Betrieb|

Der häusliche Arbeitsplatz muss vor Dritten so geschützt sein, dass alle Firmenunterlagen sicher verschlossen werden können. Der ISB kontrolliert mit vorheriger Ankündigung einen mobilen häuslichen Arbeitsplatz.

Alle Mitarbeiter, die ein Notebook als IT-System nutzen, können mobil arbeiten. Dies ist innerhalb als auch außerhalb der Räumlichkeiten der RECPLAST GmbH gestattet. Es müssen hierzu verbindliche Richtlinien eingehalten werden. Firmenunterlagen dürfen nur begrenzt mitgenommen werden.

Abbildung 19: Auszug aus der Strukturanalyse der RECPLAST GmbH (Räume)

BSI-Standard 200-2
---


key: _node_content
string_value:
{"id_": "cf709ffd-7743-4fd6-b0ba-a6de1fd46bf5", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3f99149b-5fbb-4b12-830b-7511759c29ae", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ed61829b80f86b592223b17c697542d407d9dacab388bd7eea34ad429db8ca75", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 267, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2  Schutzbedarfsfeststellung

- Liste aller bei der Erfassung der IT-, ICS- und IoT-Systeme notierten Liegenschaften, Gebäude und Räume erstellen
- Weitere Räume ergänzen, in denen schutzbedürftige Informationen aufbewahrt oder auf andere Weise verarbeitet werden


key: _node_content
string_value:
{"id_": "fb3d5bd9-51b4-4885-9599-3a42e1f52a36", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "be13085d-62d8-4d94-a1c8-ab147a7a95b9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b09e4cc9b9b5ac6a52f1e2ebe5c270750a7cd15aa9ea218eefa4c54303a0d73c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1246, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2      Schutzbedarfsfeststellung

Ziel der Schutzbedarfsfeststellung ist es, für die erfassten Objekte im Informationsverbund zu entscheiden, welchen Schutzbedarf sie bezüglich Vertraulichkeit, Integrität und Verfügbarkeit besitzen. Dieser Schutzbedarf orientiert sich an den möglichen Schäden, die mit einer Beeinträchtigung der betroffenen Anwendungen und damit der jeweiligen Geschäftsprozesse verbunden sind.

Die Schutzbedarfsfeststellung für den Informationsverbund gliedert sich in mehrere Schritte:

- Definition der Schutzbedarfskategorien
- Schutzbedarfsfeststellung für Geschäftsprozesse und Anwendungen
- Schutzbedarfsfeststellung für IT-Systeme, IoT- und ICS-Geräte
- Schutzbedarfsfeststellung für Gebäude, Räume, Werkhallen usw.
- Schutzbedarfsfeststellung für Kommunikationsverbindungen
- Schlussfolgerungen aus den Ergebnissen der Schutzbedarfsfeststellung

Nach der Definition der Schutzbedarfskategorien wird anhand von typischen Schadensszenarien zunächst der Schutzbedarf der Geschäftsprozesse und Anwendungen bestimmt. Anschließend wird daraus der Schutzbedarf der einzelnen IT-Systeme, Räume und Kommunikationsverbindungen abgeleitet. Die Vorgehensweise hierfür wird in den folgenden Abschnitten detailliert dargestellt.


key: _node_content
string_value:
{"id_": "878d3861-e8bb-4a71-a8c1-41c18822d1af", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "e084373c-ff37-439b-9fa5-814f121ac6e0", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "2dbb848dd89e7fb6209ca4adc912b521e2ed40b1ca18a3337488674d93f84f0e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 874, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2.1    Definition der Schutzbedarfskategorien

Da der Schutzbedarf meist nicht quantifizierbar ist, beschränkt sich der IT-Grundschutz somit auf eine qualitative Aussage, indem der Schutzbedarf in drei Kategorien unterteilt wird:

|Schutzbedarfskategorien| |
|---|---|
|„normal“|Die Schadensauswirkungen sind begrenzt und überschaubar.|
|„hoch“|Die Schadensauswirkungen können beträchtlich sein.|
|„sehr hoch“|Die Schadensauswirkungen können ein existenziell bedrohliches, katastrophales Ausmaß erreichen.|

Hinweis: Es kann für eine Institution auch sinnvoll sein, weitere Kategorien zu definieren. Beispielsweise kann eine Abstufung nach unten, z. B. „unkritisch“, eingeführt werden. (Diese könnte wie folgt definiert sein: „Schäden an Ressourcen der Schutzbedarfskategorie ,unkritisch‘ haben keine oder nur minimale Beeinträchtigungen der Institution zur Folge.“)
---


key: _node_content
string_value:
{"id_": "fe3ce81a-0793-40d2-a98c-ad2a6e4a420b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "36562fb5-100d-43d2-9e76-c8782d4adafd", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e84e2a6a37fcbdc94447c20beec3d698db247e4f7aae02df26251686b3490711", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2122, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

Werden nur ein oder zwei Kategorien genutzt, ist die damit erreichbare Abstufung meist nicht granular genug. Werden dagegen fünf oder mehr Schutzbedarfskategorien verwendet, ist eine klare Unterscheidung zwischen den einzelnen Stufen schwieriger. Zudem ist die Zuordnung von Ressourcen zu einer der möglichen Schutzbedarfskategorien schwer nachvollziehbar und es steigt dadurch auch der Aufwand sowohl bei der Zuordnung als auch bei Revisionen.

Eine andere Möglichkeit ist es, für Vertraulichkeit andere Kategorien als für Integrität oder Verfügbarkeit zu nutzen. Einige Institutionen unterteilen beispielsweise Vertraulichkeit in die Kategorien „offen“, „intern“, „vertraulich“ und „geheim“, aber die Kategorien Integrität oder Verfügbarkeit nur in zwei Stufen „normal“ und „kritisch“.

Wenn mehr als drei Schutzbedarfskategorien definiert werden, so ist zu überlegen, welche der neu definierten Kategorien den Schutzbedarfskategorien „hoch“ bzw. „sehr hoch“ entsprechen, denn diese Information wird zur Überprüfung der Entscheidung benötigt, welche Objekte in die Risikoanalyse aufgenommen werden.

Die nachfolgenden Schritte erläutern, wie für Geschäftsprozesse und die mit diesen verbundenen Anwendungen jeweils die adäquate Schutzbedarfskategorie ermittelt werden kann.

Die Schäden, die bei dem Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit für einen Geschäftsprozess bzw. eine Anwendung einschließlich ihrer Daten entstehen können, lassen sich typischerweise folgenden Schadensszenarien zuordnen:

- Verstoß gegen Gesetze/Vorschriften/Verträge,
- Beeinträchtigung des informationellen Selbstbestimmungsrechts,
- Beeinträchtigung der persönlichen Unversehrtheit,
- Beeinträchtigung der Aufgabenerfüllung,
- negative Innen- oder Außenwirkung und
- finanzielle Auswirkungen.

Häufig treffen dabei für einen Schaden mehrere Schadensszenarien zu. So kann beispielsweise der Ausfall einer Anwendung die Aufgabenerfüllung beeinträchtigen, was direkte finanzielle Einbußen nach sich zieht und gleichzeitig auch zu einem Imageverlust führt.


key: _node_content
string_value:
{"id_": "9aaf5001-76f2-4eb9-adb9-589c55940acb", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "39f40ba9-1ac8-4b31-b4dc-5989f39908a6", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "aebeeedb8516a65b17b65d24addc10dbdbbc92c28bc9db649135a274a5e50d39", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 932, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Hinweis:

Auch die Art und Anzahl der betrachteten Szenarien können individuell angepasst werden. Je nach Institution gibt es unterschiedliche Schwerpunkte, auf die sich das Sicherheitsmanagement BSI-Standard 200-2 konzentrieren kann. So könnte das Szenario „Beeinträchtigung des informationellen Selbstbestimmungsrechts“ entfallen, wenn beispielsweise in der Institution das Datenschutzmanagement dieses Szenario bereits ausreichend betrachtet hat. In vielen Institutionen kann das Szenario „Beeinträchtigung der persönlichen Unversehrtheit“ weggelassen werden, es sei denn, es handelt sich um ein Unternehmen, bei dem Fehlfunktionen von IT-Systemen unmittelbar Personenschäden nach sich ziehen können. Dies könnte beispielsweise im Gesundheitswesen oder in Produktionsbereichen der Fall sein.

Es könnten auch zusätzliche Szenarien betrachtet werden, wie beispielsweise:

- Einschränkung der Dienstleistungen für Dritte oder
---


key: _node_content
string_value:
{"id_": "7a79b60f-4202-4707-a7c7-f3b41a878fa7", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "72e64b90-2687-47eb-a1e5-f19ad2e16d95", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "91ba34379799f35e3edc81b772e418590f24707846d460e53a462cb227c5c679", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 586, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2 Schutzbedarfsfeststellung

• Auswirkungen auf weitere Infrastrukturen außerhalb des eigenen Informationsverbunds (z. B. Rechenzentren, IT-Betrieb von Kunden oder Dienstleistern).

Um die Schutzbedarfskategorien „normal“, „hoch“ und „sehr hoch“ voneinander abgrenzen zu können, bietet es sich an, die Grenzen für die einzelnen Schadensszenarien zu bestimmen. Zur Orientierung, welchen Schutzbedarf ein potenzieller Schaden und seine Folgen erzeugen, dienen die folgenden Tabellen. Die Tabellen sollten von der jeweiligen Institution auf ihre eigenen Gegebenheiten angepasst werden.


key: _node_content
string_value:
{"id_": "9fcf9d43-022d-45e3-8686-8be6db4d3aeb", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9a8a1d81-8762-4de8-9b30-9a9045b9af7f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "df26bd629947017c5989baa56eea0598dfa700ccca54075eb7a9adbaa6d8212c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1088, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Schutzbedarfskategorie „normal“

|1. Verstoß gegen Gesetze/ Vorschriften/Verträge|• Verstöße gegen Vorschriften und Gesetze mit geringfügigen Konsequenzen|
|---|---|
| |• Geringfügige Vertragsverletzungen mit maximal geringen Konventionalstrafen|
|2. Beeinträchtigung des informationellen Selbstbestimmungsrechts|• Es handelt sich um personenbezogene Daten, durch deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen beeinträchtigt werden kann.|
|3. Beeinträchtigung der persönlichen Unversehrtheit|• Eine Beeinträchtigung erscheint nicht möglich.|
|4. Beeinträchtigung der Aufgabenerfüllung|• Die Beeinträchtigung würde von den Betroffenen als tolerabel eingeschätzt werden.|
| |• Die maximal tolerierbare Ausfallzeit liegt zwischen 24 und 72 Stunden.|
|5. Negative Innen- oder Außenwirkung|• Eine geringe bzw. nur interne Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten.|
|6. Finanzielle Auswirkungen|• Der finanzielle Schaden bleibt für die Institution tolerabel.|

Tabelle 2: Schutzbedarfskategorie „normal“


key: _node_content
string_value:
{"id_": "12516e16-44b7-4dd6-a2c8-61623fa967ca", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "bbf3b2c1-05ed-4076-a3b4-87a5e1750b5b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8dc81212521da092be532d1988a082550e5b7b173de068cf087182b41e81dfca", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 466, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Schutzbedarfskategorie „hoch“

• Verstöße gegen Vorschriften und Gesetze mit erheblichen Konsequenzen

• Vertragsverletzungen mit hohen Konventionalstrafen

• Es handelt sich um personenbezogene Daten, bei deren Verarbeitung der Betroffene in seiner gesellschaftlichen Stellung oder in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden kann.

• Eine Beeinträchtigung der persönlichen Unversehrtheit kann nicht absolut ausgeschlossen werden.
---


key: _node_content
string_value:
{"id_": "d0a5787d-66c8-42ce-9919-1ff2ae186d3d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1e687a62-cee9-4e70-9517-6782044c2481", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "74827842-d4ae-4e0f-bd48-671bd2f56fb8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "6d289b49-25b3-4872-88ba-ea2850a11a8d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "12770ee48fd0f315fe2fa2f8d11ee2cfa9c2c5610762ca5b26b1e8426da8c7a2", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 43, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "0506aee7-3803-427d-af39-b0f587cecbd4", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "c72054cb-ca82-4ca4-ba76-5ca65d4b23d0", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "056b50f8c8531d41d08ad5bb2440b18d959517c3f8ad3e3dddf90075f9bfb7ff", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 38, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "485abaa0-71cf-41fa-b921-f5f34c76cb3b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1c0048d1-ea5f-41cd-9545-ddd37ece1ddc", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "137b4d792e332370dff7fe2e88e45d608795403a7c539c6edd23ba62e472fa6a", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2677, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
6. Finanzielle Auswirkungen

|Tabelle 3: Schutzbedarfskategorie „hoch“|Tabelle 3: Schutzbedarfskategorie „hoch“|
|---|
|Schutzbedarfskategorie „hoch“|• Die Beeinträchtigung würde von einzelnen Betroffenen als nicht tolerabel eingeschätzt. • Die maximal tolerierbare Ausfallzeit liegt zwischen einer und 24 Stunden. • Eine breite Ansehens- oder Vertrauensbeeinträchtigung ist zu erwarten. • Der Schaden bewirkt beachtliche finanzielle Verluste, ist jedoch nicht existenzbedrohend.|

|Schutzbedarfskategorie „sehr hoch“|Schutzbedarfskategorie „sehr hoch“|
|---|
|1. Verstoß gegen Gesetze/ Vorschriften/Verträge|• Fundamentaler Verstoß gegen Vorschriften und Gesetze • Vertragsverletzungen, deren Haftungsschäden ruinös sind|
|2. Beeinträchtigung des informationellen Selbstbestimmungsrechts|• Es handelt sich um personenbezogene Daten, bei deren Verarbeitung eine Gefahr für Leib und Leben oder die persönliche Freiheit des Betroffenen gegeben ist.|
|3. Beeinträchtigung der persönlichen Unversehrtheit|• Gravierende Beeinträchtigungen der persönlichen Unversehrtheit sind möglich. • Gefahr für Leib und Leben|
|4. Beeinträchtigung der Aufgabenerfüllung|• Die Beeinträchtigung würde von allen Betroffenen als nicht tolerabel eingeschätzt werden. • Die maximal tolerierbare Ausfallzeit ist kleiner als eine Stunde.|
|5. Negative Innen- oder Außenwirkung|• Eine landesweite Ansehens- oder Vertrauensbeeinträchtigung, eventuell sogar existenzgefährdender Art, ist denkbar.|
|6. Finanzielle Auswirkungen|• Der finanzielle Schaden ist für die Institution existenzbedrohend.|

Tabelle 4: Schutzbedarfskategorie „sehr hoch“

BSI-Standard 200-2 Wenn bei individuellen Betrachtungen festgestellt wird, dass über diese sechs Schadensszenarien hinaus weitere infrage kommen, sollten diese entsprechend ergänzt werden. Für alle Schäden, die sich nicht in diese Szenarien abbilden lassen, muss ebenfalls eine Aussage getroffen werden, wo die Grenzen zwischen „normal“, „hoch“ oder „sehr hoch“ zu ziehen sind.

Darüber hinaus sollten die individuellen Gegebenheiten der Institution berücksichtigt werden: Bedeutet in einem Großunternehmen ein Schaden in Höhe von 200.000,- € gemessen am Umsatz noch einen geringen Schaden, so kann für ein Kleinunternehmen schon ein Schaden in Höhe von 10.000,- € existenziell bedrohlich sein. Daher kann es sinnvoll sein, eine prozentuale Größe als Grenzwert zu definieren, der sich am Gesamtumsatz, am Gesamtgewinn oder an einer ähnlichen Bezugsgröße orientiert.

Ähnliche Überlegungen können bezüglich der Verfügbarkeitsanforderungen angestellt werden. So kann beispielsweise ein Ausfall von 24 Stunden Dauer in der Schutzbedarfskategorie „normal“ als
---


key: _node_content
string_value:
{"id_": "5f379612-ba29-4775-9786-3791571d46a3", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "c868b88a-e740-42f6-913c-b12e89a93cb4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b366af9cfffc0035f1a304c2cd4399d61174d53ef9d77a57b562cff47a5119d5", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1681, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2 Schutzbedarfsfeststellung

noch tolerabel eingeschätzt werden. Tritt jedoch eine Häufung dieser Ausfälle ein, z. B. mehr als einmal wöchentlich, so kann dies in der Summe nicht tolerierbar sein. Die anhand der Schutzbedarfs-kategorien festgelegten Verfügbarkeitsanforderungen sollten daher bei Bedarf konkretisiert werden. Es kann erforderlich sein, für den Bereich ICS die Schutzbedarfskategorien separat festzulegen, aber diese auf die des restlichen Informationsverbunds abzustimmen. In produzierenden Bereichen ist es beispielsweise oftmals erforderlich, für die jeweiligen Kategorien kürzere Ausfallzeiten festzulegen als im Bereich der Büro-IT. Zeitliche Vorgaben können z. B. aus Wartungsverträgen abgeleitet werden. Unter Umständen müssen auch andere Punkte angepasst werden. Auch im Datenschutz muss der Schutzbedarf festgelegt werden, um angemessen technische und organisatorische Schutzmaßnahmen bestimmen und konfigurieren zu können. Das Standard-Datenschutzmodell (SDM) bietet eine ganze Reihe an Kriterien, um das Risiko eines Grundrechtseingriffs, und daraus folgend des Schutzbedarfs, anhand von drei Stufen zu bestimmen. Das SDM bietet zudem Hilfestellungen, sollten die Schutzbedarfe aus Sicht der Informationssicherheit und des Datenschutzes nicht übereinstimmen. Bei der Festlegung der Grenze zwischen „normal“ und „hoch“ sollte berücksichtigt werden, dass für den normalen Schutzbedarf die Basis- und Standardsicherheitsanforderungen des IT-Grundschutzes ausreichen sollten. Die getroffenen Festlegungen sind in geeigneter Weise im Sicherheitskonzept zu dokumentieren, da hiervon die Auswahl von Sicherheitsmaßnahmen und damit meist Folgekosten abhängen.


key: _node_content
string_value:
{"id_": "c38a2a40-308c-4247-8c95-d605629d1197", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "205f4217-ed25-4eb9-bed9-0ffc233c821e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "0229e464f883ded6cbaa8d129c87153c2fdca619ce51a977f323b8b0d3b48f5b", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 272, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aktionspunkte zu 8.2.1 Definition der Schutzbedarfskategorien

- Typische Schadensszenarien für die Definition von Schutzbedarfskategorien betrachten
- Schutzbedarfskategorien „normal“, „hoch“ und „sehr hoch“ definieren beziehungsweise an die eigene Institution anpassen


key: _node_content
string_value:
{"id_": "f53c1957-a19a-490c-8b61-e0368721f1f8", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0c8ad940-e040-4fea-ac8e-2efbc8a2aca7", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "793e2c2c63192b30ee231dce968810e8f926e9fe25c8b717163b28343b5ae4e7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1665, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2.2 Vorgehen bei der Schutzbedarfsfeststellung

Zunächst wird der Schutzbedarf der Geschäftsprozesse und Anwendungen bestimmt. Anschließend wird daraus der Schutzbedarf der einzelnen Objekte (z. B. IT-Systeme, Räume und Kommunikationsverbindungen) abgeleitet. Die Grundlage zur Bestimmung des Schutzbedarfs verschiedener Objekte ist der Schutzbedarf der Geschäftsprozesse und der zugehörigen Informationen. Der für diese Elemente ermittelte Schutzbedarf vererbt sich auf die für deren Verarbeitung genutzten Objekte, also Anwendungen, IT-Systeme, ICS- und sonstige Geräte, Räume und Kommunikationsverbindungen (Vererbung).

Zur Ermittlung des Schutzbedarfs eines Objektes müssen die möglichen Schäden der relevanten Teilobjekte in ihrer Gesamtheit betrachtet werden. Beispielsweise müsste bei einem IT-System beleuchtet werden, welche Auswirkungen Schäden bei den darauf betriebenen Anwendungen und den damit verarbeiteten Informationen haben. Im Wesentlichen bestimmt der Schaden bzw. die Summe der Schäden mit den schwerwiegendsten Auswirkungen den Schutzbedarf eines Objektes (Maximumprinzip).

Bei der Betrachtung der möglichen Schäden und ihrer Folgen muss auch beachtet werden, dass die verschiedenen betrachteten Objekte eines Informationsverbunds natürlich eng miteinander verzahnt sind. So kann z. B. eine IT-Anwendung Arbeitsergebnisse anderer Anwendungen als Input nutzen. Eine, für sich betrachtet, weniger bedeutende Anwendung A kann wesentlich an Wert gewinnen, wenn eine andere wichtige Anwendung B auf ihre Ergebnisse angewiesen ist. In diesem Fall muss der ermittelte Schutzbedarf der Anwendung B auch auf die Anwendung A übertragen werden.
---


key: _node_content
string_value:
{"id_": "25d3d3c2-1819-4485-b2cc-07fcc30c29ee", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "391b33b1-b77e-49b6-a085-8da4e71802bf", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "65845558c4ff65ecfad27227f47b392f80697ac522ac661d8d9722b40d4a2be4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 650, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

Es sich dabei um Anwendungen verschiedener IT-Systeme, dann müssen Schutzbedarfsanforderungen des einen IT-Systems auch auf das andere übertragen werden (Beachtung von Abhängigkeiten). Werden mehrere Anwendungen bzw. Informationen auf einem IT-System (oder in einem Raum oder über eine Kommunikationsverbindung) verarbeitet, so ist zu überlegen, ob durch Kumulation mehrerer (z. B. kleinerer) Schäden auf einem IT-System ein insgesamt höherer Gesamtschaden entstehen kann. Dann erhöht sich der Schutzbedarf des Objektes, also hier des IT-Systems, entsprechend (Kumulationseffekt).


key: _node_content
string_value:
{"id_": "bb90644c-c964-401c-9aaf-8f5c814ed209", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9b8e8a08-127a-4660-aaee-b10e8a664d12", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "407e7195586dbdba2f0e0dcf5be53e7ea7a31f1fe46a9aa66ce7c7f1d86b010e", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1091, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel:

Auf einem Netzserver befinden sich sämtliche für die Kundendatenerfassung benötigten Anwendungen einer Institution. Der Schaden bei Ausfall einer dieser Anwendungen wurde als gering eingeschätzt, da genügend Ausweichmöglichkeiten vorhanden sind. Fällt jedoch der Server (und damit alle Anwendungen, die diesen Server benötigen) aus, so ist der dadurch entstehende Schaden deutlich höher zu bewerten. Die Aufgabenerfüllung kann unter Umständen nicht mehr innerhalb der notwendigen Zeitspanne gewährleistet werden. Daher ist auch der Schutzbedarf dieser „zentralen“ Komponente entsprechend höher zu bewerten.

Auch der umgekehrte Effekt kann eintreten. So ist es möglich, dass eine Anwendung einen hohen Schutzbedarf besitzt, ihn aber deshalb nicht auf ein betrachtetes IT-System überträgt, weil auf diesem IT-System nur unwesentliche Teilbereiche der Anwendung laufen. Hier ist der Schutzbedarf zu relativieren (Verteilungseffekt). Der Verteilungseffekt kann natürlich auch bei anderen Zielobjekten, wie beispielsweise Räumen, Gebäuden oder Kommunikationsverbindungen, auftreten.


key: _node_content
string_value:
{"id_": "d985d4c8-e89d-4817-9427-8e693ab07815", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d0e3d819-8393-4464-8918-951447ad0321", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "1ba75d1d622e0c10175183c6ba247ef33c6284e1341f039c24921a7b1c565390", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 971, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel:

Der Verteilungseffekt tritt hauptsächlich bezüglich des Grundwertes der Verfügbarkeit auf. So kann bei redundanter Auslegung von IT-Systemen der Schutzbedarf der Einzelkomponenten niedriger sein als der Schutzbedarf der Gesamtanwendung. Auch im Bereich der Vertraulichkeit sind Verteilungseffekte vorstellbar: Falls sichergestellt ist, dass ein Client nur unkritische Daten einer hochvertraulichen Datenbankanwendung abrufen kann, so besitzt der Client im Vergleich zum Datenbankserver unter Umständen einen geringeren Schutzbedarf.

Ein Verteilungseffekt tritt häufig auf, wenn bei der Einrichtung oder dem Aufbau von Zielobjekten durch entsprechende Redundanzen bereits den Anforderungen an einen hohen Schutzbedarf Rechnung getragen wurde. Dies ist im Grunde ein Vorgriff auf Betrachtungen, die im Rahmen der Risikoanalyse erforderlich sind. Deshalb sollten im Rahmen der Schutzbedarfsfeststellung getroffene Entscheidungen sorgfältig dokumentiert werden.


key: _node_content
string_value:
{"id_": "0dcd8ed6-032f-44c0-99b9-415d9755cee2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "4eb96034-bbee-4e33-9c82-460001655148", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "cb99a8ccb720197d8140bb93c01cbbd5bcf7dcea505ece594d41d39ce6ac82b7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 784, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
BSI-Standard 200-2 Beispiel:

Bei Anwendungen, die im Hinblick auf Verfügbarkeit einen hohen Schutzbedarf haben, wurden bereits Redundanzen vorgesehen, unter anderem Ausweicharbeitsplätze in Nachbargebäuden. Durch die entstandenen Verteilungseffekte haben diese Arbeitsplätze normalen Schutzbedarf bezüglich Verfügbarkeit, solange ausreichend Ausweicharbeitsplätze zur Verfügung stehen.

Die Schutzbedarfsfeststellung ist ein iterativer Prozess. Bereits ganz am Anfang, bei der ersten Diskussion darüber, welche Geschäftsprozesse und Informationen welche Bedeutung für die Institution haben, wird eine erste grobe Schutzbedarfsfeststellung durchgeführt. Auch nach Durchführung von Risikoanalysen sollte die Schutzbedarfsfeststellung erneut dahingehend geprüft werden, ob sie an.
---


key: _node_content
string_value:
{"id_": "708a2583-08ea-4c86-9fc9-14bbbdc23780", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5f0fd28f-8166-4d15-949b-27e0983c976f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "001e6f1a4b6a80768bde886cb2d8bf4ca36fdd571fe981c3f1f4f8f36be1c69c", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 183, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2 Schutzbedarfsfeststellung

gepasst werden muss, da sich während der Risikoanalyse und der Auswahl von Maßnahmen neue Erkenntnisse für den Schutzbedarf von Assets ergeben können.


key: _node_content
string_value:
{"id_": "fbef21dc-00d0-4019-bb10-3990c4c59a40", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a27c98e8-bfde-44fa-8c24-cf153599e247", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "33f0b8c5410256736d96d45e1cb4e1dc18449352e83e1346cc7026792028ade9", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1290, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2.3 Schutzbedarfsfeststellung für Geschäftsprozesse und Anwendungen

Um den Schutzbedarf in den verschiedenen Bereichen eines Informationsverbunds zu bestimmen, muss zunächst der Schutzbedarf der Geschäftsprozesse und der zugehörigen Informationen ermittelt werden. Darauf aufbauend wird daraus der Schutzbedarf der einzelnen Anwendungen, IT-Systeme, ICS- und sonstigen Geräte, Räume und Kommunikationsverbindungen abgeleitet.

Um den Schutzbedarf der Geschäftsprozesse zu ermitteln, sollte zunächst die Bedeutung der einzelnen Geschäftsprozesse für die Institution beleuchtet werden. Davon ausgehend sollte hinterfragt werden, welche Abhängigkeiten zwischen Geschäftsprozessen und Anwendungen bestehen und wie die sich daraus ergebenden Risiken entschärft werden können. Hierzu hat es sich bewährt, mit der Fragestellung „Was wäre, wenn...?“ zusammen mit den Anwendern realistische Schadensszenarien zu diskutieren und die zu erwartenden materiellen oder ideellen Schäden zu beschreiben. Oft führt dies auch dazu, dass kritische Abhängigkeiten zwischen Geschäftsprozessen und weiteren Zielobjekten aufgedeckt werden, die vorher nicht im Fokus standen.

Aus dem Schutzbedarf der Geschäftsprozesse ergibt sich der Schutzbedarf der Anwendungen, die für deren Erledigung eingesetzt werden.


key: _node_content
string_value:
{"id_": "9a189c77-423d-44d5-9da5-9458205afa8a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "4e323097-e27a-43eb-8b03-e9595bb89d39", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c8f848d3086dc0870765561e988bdac417e4bd25d3cce1922003e7649a1f0a1a", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2096, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Hinweis:

Zur Einschätzung des Schutzbedarfs sollten die geeigneten Ansprechpartner gesucht werden, es ist nicht erforderlich, größere Gruppe von Benutzern zu befragen. Beispielsweise ist es zur Bewertung des Schutzbedarfs bestimmter zentraler Dienste, wie zum Beispiel DNS oder E-Mail, ausreichend, den Schutzbedarf durch die Organisationseinheit festlegen zu lassen, die als Dienstanbieter für die Institution auftritt (meist die IT-Abteilung oder das Provider-Management). Der Schutzbedarf dieser Dienste ist in der Institution zu kommunizieren. Wird ein höherwertiger Schutzbedarf der Dienste durch einzelne Fachabteilungen benötigt, so sind mögliche Lösungen zwischen Fachabteilung, Sicherheitsmanagement und dem Betreiber oder Anbieter des Dienstes zu erörtern. Ein IT-Dienstleister kann im Regelfall seine Services nicht für jede mögliche Schutzbedarfskategorie bereitstellen. Deshalb wird er seine Dienste mit einer von ihm festgelegten Schutzbedarfseignung anbieten. Der Informationseigentümer muss bei Nutzung eines Service für seinen Geschäftsprozess entscheiden, ob die ihm vom IT-Dienstleister angebotene Schutzbedarfseignung ausreicht oder ob zusätzliche Sicherheitsmaßnahmen infolge höheren Schutzbedarfs umgesetzt werden müssen.

In die Schutzbedarfsfeststellung müssen auch die in der Strukturanalyse erfassten Gruppen von Datenträgern und Dokumenten einbezogen werden. Um die Ermittlung der möglichen Schäden und Auswirkungen zu vereinfachen, werden im Anhang dieses Standards entsprechende Fragestellungen vorgestellt. Diese Anregungen erheben nicht den Anspruch auf Vollständigkeit, sie dienen lediglich zur Orientierung. Um die individuelle Aufgabenstellung und die Situation der Institution zu berücksichtigen, müssen diese Fragen gegebenenfalls entsprechend ergänzt und angepasst werden.

Die Festlegung des Schutzbedarfs der Geschäftsprozesse und Anwendungen ist eine Entscheidung im Rahmen des Risikomanagements und hat oft weitreichende Auswirkungen auf das Sicherheitskonzept für den betrachteten Informationsverbund. Der Schutzbedarf der Geschäftsprozesse und An
---


key: _node_content
string_value:
{"id_": "33c861a3-d3ac-4c8a-a5f1-5d0c704e017f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "cc346090-1a0e-4726-b190-6a44f1647fec", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8a8dc6e30b95eab923a7288d452ff28141343d75123d192a28320fb749f0e6f7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1152, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

wendungen fließt in die Schutzbedarfsfeststellung der betroffenen technischen und infrastrukturellen Objekte, wie zum Beispiel Server und Räume, ein.

Bei komplexen Geschäftsprozessen, insbesondere wenn diese hohen oder sehr hohen Schutzbedarf haben, kann es sinnvoll sein, diese in Teilprozesse zu zerlegen. Wenn dabei der Bereich mit einem hohen oder sehr hohen Schutzbedarf auf wenige Teilprozesse eingegrenzt werden kann, hat das den Vorteil, dass sich der hohe bzw. sehr hohe Schutzbedarf auf wenige Objekte vererbt.

Um die Ergebnisse der Schutzbedarfsfeststellung und die daraus resultierenden Entscheidungen im Rahmen des Informationssicherheitsmanagements später jederzeit nachvollziehen zu können, müssen die Ergebnisse der Schutzbedarfsfeststellung der Geschäftsprozesse und Anwendungen gut dokumentiert werden. Dabei ist darauf zu achten, dass nicht nur die Festlegung des Schutzbedarfs festgehalten wird, sondern auch die entsprechenden Begründungen. Diese Begründungen erlauben es später, die Festlegungen zu überprüfen und weiter zu verwenden.

BSI-Standard 200-2
---


key: _node_content
string_value:
{"id_": "cbbdc6ee-284a-45ae-bcb3-edd32f675592", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0617e1f1-b475-48a6-8627-c7fbb6068563", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a0cb19e7134acc8948be12224ee30a42944a22568215254d45cd800114f1d6b7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 221, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2 Schutzbedarfsfeststellung

Beispiel: RECPLAST GmbH

In der nachfolgenden Tabelle werden für das Unternehmen RECPLAST GmbH die wesentlichen Anwendungen, deren Schutzbedarf und die entsprechenden Begründungen erfasst.


key: _node_content
string_value:
{"id_": "f29c0475-daef-49e6-b02e-d97d2b6c52da", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "143df201-2033-4d64-bd95-d9ac41b489b7", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "a75350429fa58e7571a3f18611559505ae8d8ba51e1f10860806458e190b39dd", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1224, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.2 Schutzbedarfsfeststellung der RECPLAST GmbH

|Beschreibung des Zielobjektes / der Verantwortlichen|Bezeichnungsgruppe der Zielobjekte|Plattform / Administrator|Vertraulichkeit|Begründung für die Vertraulichkeit|Integrität|Begründung für die Integrität|Verfügbarkeit|Begründung für die Verfügbarkeit|
|---|---|---|---|---|---|---|---|---|
|Die Anwendung wird lokal installiert. Die Lizenzen sind entsprechend aufgehoben, so dass eine Neuinstallation schnell ermöglicht werden kann.|Textverarbeitung, Office-Produkte|A003 Tabellenkalkulation|normal|Die Anwendung selbst enthält keine Informationen.|normal|Eine Ausfallzeit von mehr als 24 Stunden ist tolerierbar.|normal| |
|Über das E-Mailsystem werden viele, teilweise vertrauliche Informationen versendet. Durch die Anwendung werden alle E-Mails vereinfacht.|A007 Lotus Notes|Lotus Notes|IT-Betrieb|hoch|Durch eine Signatur kann die Integrität der Kommunikationsmittel festgestellt werden.|sehr hoch|Das Mailsystem sollte auch dann zur Verfügung stehen, falls an Faxserver.|Maximumprinzip|
|Auf dem Arbeitsplatzrechner werden keine Informationen gespeichert.|C002 Laptop|Verwaltung|normal| |normal| |normal|Es ist ein Ausfall von höchstens 4 Stunden tolerierbar.|
---


key: _node_content
string_value:
{"id_": "00f6133f-552a-4101-99c7-1f99b5095c08", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "af7a8ddf-f4f3-49f0-a848-408182090313", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "ad8fc07b-5a11-457b-b0e8-7a3aa52104e2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0e6b791b-cf44-48db-a162-853632d69f64", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "585b8163035db825ad28d12db3c72d09706a8a1b4ef081df40cfa6cf27cf50e5", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1279, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.2 Schutzbedarfsfeststellung der RECPLAST GmbH

|Beschreibung des Zielobjektes / der Verantwortlichkeit|BezeichGruppe der Zielobjekte|Plattform / Administrator|Vertraulichkeit|Begründung für die Vertraulichkeit|Integrität|Begründung für die Integrität|Verfügbarkeit|Begründung für die Verfügbarkeit|
|---|---|---|---|---|---|---|---|---|
|In dem Gebäude|G003 Vertrieb Berlin|Gebäude - hochn|hoch|Maximumprinzip|hoch|Maximumprinzip|hoch|Maximumprinzip|
|In dem Gebäude|K001 Internet – Bonn|BG - IT-Betrieb|hoch|Maximumprinzip|hoch|Maximumprinzip|hoch|Maximumprinzip|
|Häuslicher Arbeitsplatz|R003 Telearbeit|IT-Betrieb|hoch|Maximumprinzip|hoch|Maximumprinzip|hoch|Maximumprinzip|

Der Router stellt den Anschluss zwischen dem Internet und dem Produktionsnetz dar. Der Zugang und Zugriff liegt nur für autorisierte Personen und kann schnell durch den IT-Betrieb normal ausgetauscht werden.

Die Server sind im eigenen Serverraum mit Zugriff-, Zugangs- und Zutrittsberechtigung untergebracht. Durch die Redundanz der Server kann bei Ausfall eines Servers der Dienst von einem anderen Server übernommen werden.

Virtueller Server S020 (Konfiguration 1) unter Unix IT-Betrieb normal.

Abbildung 20: Auszug aus der Schutzbedarfsfeststellung der RECPLAST GmbH

BSI-Standard 200-2
---


key: _node_content
string_value:
{"id_": "0d94b63e-fdd3-44d2-b5d6-816a48e4b18d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "940d6e6d-4d39-436d-ac51-13b9f91d6216", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8c7e17e5054ba98f4f27ae96e5992be37455a48fc2987e63da741accaeb1bc6f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1488, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2 Schutzbedarfsfeststellung

An dieser Stelle kann es sinnvoll sein, über diese Informationen hinaus den Schutzbedarf auch aus einer gesamtheitlichen Sicht der Geschäftsprozesse oder Fachaufgaben zu betrachten. Dazu bietet es sich an, den Zweck einer Anwendung in einem Geschäftsprozess oder in einer Fachaufgabe zu beschreiben und daraus wiederum deren Bedeutung abzuleiten. Diese Bedeutung kann wie folgt klassifiziert werden.

Die Bedeutung der Anwendung ist für den Geschäftsprozess bzw. die Fachaufgabe:

- normal: Der Geschäftsprozess bzw. die Fachaufgabe kann mit tolerierbarem Mehraufwand mit anderen Mitteln (z. B. manuell) durchgeführt werden.
- hoch: Der Geschäftsprozess bzw. die Fachaufgabe kann nur mit deutlichem Mehraufwand mit anderen Mitteln durchgeführt werden.
- sehr hoch: Der Geschäftsprozess bzw. die Fachaufgabe kann ohne die Anwendung überhaupt nicht durchgeführt werden.

Der Vorteil, eine solche ganzheitliche Zuordnung vorzunehmen, liegt insbesondere darin, dass bei der Schutzbedarfsfeststellung die Leitungsebene als Regulativ für den Schutzbedarf der einzelnen Anwendungen agieren kann. So kann es sein, dass ein Verantwortlicher für eine Anwendung deren Schutzbedarf aus seiner Sicht als „normal“ einschätzt, die Leitungsebene aus Sicht des Geschäftsprozesses bzw. der Fachaufgabe diese Einschätzung jedoch nach oben korrigiert.

Diese optionalen Angaben sollten ebenfalls tabellarisch oder mithilfe entsprechender Softwareprodukte dokumentiert werden.


key: _node_content
string_value:
{"id_": "0c4f6656-595b-4fd2-9b73-6f68bd3f78c0", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1087b5cc-a385-4f68-843d-009d86200b8f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "32ff4f399fc6905bd40de03754da98114fb6e08eb4469a61b8fd8fd2d9775045", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 326, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aktionspunkt zu 8.2.3 Schutzbedarfsfeststellung für Geschäftsprozesse und Anwendungen

- Schutzbedarf der erfassten Geschäftsprozesse und Anwendungen anhand von Schadensszenarien und Fragenkatalogen ermitteln
- Schutzbedarf der Geschäftsprozesse und Anwendungen und die entsprechenden Begründungen tabellarisch dokumentieren


key: _node_content
string_value:
{"id_": "7c3e6b42-f71d-48d2-9936-bfa3ff0976fe", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "737ce448-cb4f-46e0-8555-04b7144bd5f6", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "326eaee365d5eae0c3657179c9b50ddafdfd66877b965b51215af37946e49baf", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1505, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2.4 Schutzbedarfsfeststellung für IT-Systeme

Um den Schutzbedarf eines IT-Systems festzustellen, müssen zunächst die Anwendungen betrachtet werden, die in direktem Zusammenhang mit dem IT-System stehen. Eine Übersicht, welche Anwendungen für die unterschiedlichen IT-Systeme relevant sind, wurde im Rahmen der Strukturanalyse (siehe Kapitel 8.1) ermittelt. Der Schutzbedarf der Geschäftsprozesse und Anwendungen (siehe Kapitel 8.2.3) fließt in die Schutzbedarfsfeststellung für die jeweils betroffenen IT-Systeme ein. Hierbei ist darauf zu achten, dass nicht nur die IT-Systeme berücksichtigt werden, auf denen die jeweilige Anwendung installiert ist. Vielmehr ist auch der Datenfluss der Anwendung zu beachten, über den der Schutzbedarf der Anwendung auf die dazwischenliegenden Netzkomponenten vererbt wird.

Zur Ermittlung des Schutzbedarfs eines IT-Systems müssen nun die möglichen Schäden der relevanten Anwendungen in ihrer Gesamtheit betrachtet werden. Die Ergebnisse der Schutzbedarfsfeststellung der IT-Systeme sollten wiederum in einer Tabelle festgehalten werden. Darin sollte verzeichnet sein, welchen Schutzbedarf jedes IT-System bezüglich Vertraulichkeit, Integrität und Verfügbarkeit hat. Der Gesamtschutzbedarf eines IT-Systems leitet sich wiederum aus dem Maximum des Schutzbedarfs bezüglich der drei Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit ab. Ein IT-System ist also hochschutzbedürftig, wenn es bezüglich eines oder mehrerer Grundwerte den Schutzbedarf „hoch“.
---


key: _node_content
string_value:
{"id_": "a33c631d-8346-4678-86f5-9ef3c9ff5b1f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3a0c3b05-50c8-4b04-b4b2-c7530ffaa31e", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "9c303213e461940d1eddd127b8767b09151548744623fe8f513fbd59c5db3130", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 900, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

Der Schutzbedarf eines IT-Systems sollte für alle drei Grundwerte einzeln dokumentiert werden, da sich hieraus typischerweise verschiedene Arten von Sicherheitsmaßnahmen ergeben. Bei einem IT-System kann sich beispielsweise der hohe Gesamtschutzbedarf daraus ableiten, dass der Schutzbedarf bezüglich Vertraulichkeit hoch ist, bezüglich Integrität und Verfügbarkeit allerdings normal. Dann kann zwar der Gesamtschutzbedarf mit „hoch“ angegeben werden, dies zieht aber nicht nach sich, dass dadurch der Schutzbedarf bezüglich Integrität und Verfügbarkeit angehoben werden muss.

Die Festlegungen des Schutzbedarfs der IT-Systeme müssen begründet werden, damit die Entscheidungen auch für Außenstehende nachvollziehbar sind. Hier kann auf die Schutzbedarfsfeststellung der Anwendungen zurückverwiesen werden.

BSI-Standard 200-2
---


key: _node_content
string_value:
{"id_": "76b69533-9d9d-42bf-b263-c900bc03da37", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "dd3c4e7b-1d7d-4a56-ba78-6354e6c3d074", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "dd4ac92b81690fc1338a96176da33bb93defee3c2c4978d02a2231622c6302fe", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 183, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2 Schutzbedarfsfeststellung

Beispiel: RECPLAST GmbH

Die Ergebnisse der Schutzbedarfsfeststellung für die IT-Systeme können beispielsweise wie folgt dokumentiert werden (Auszug):


key: _node_content
string_value:
{"id_": "05d0b602-4797-489d-a618-f3119749b736", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b41e6cf1-efd6-4ea3-8a3e-7a14cf0793ec", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "63da8908dded9d54f96973c615ae8a9065b0537211f5d53f52b7eace5297bc20", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1327, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.2 Schutzbedarfsfeststellung der RECPLAST GmbH

|Beschreibung des Zielobjektes / der Gruppe|Plattform|Vertraulichkeit|Begründung für die Vertraulichkeit|Integrität|Begründung für die Integrität|Verfügbarkeit|Begründung für die Verfügbarkeit|
|---|---|---|---|---|---|---|---|
|Router Internetanbindung|N001|hoch|Zutritt, Zugang und Zugriff nur für autorisierte Personen möglich|normal|Die Konfigurationseigenschaften müssen vertraulich bleiben.|normal|Ersatzgerät liegt auf Lager und kann schnell durch den IT-Betrieb ausgetauscht werden.|
|Firewall Eingang|N002|hoch|Zutritt, Zugang und Zugriff nur für autorisierte Personen möglich|normal|Die Konfigurationseigenschaften müssen vertraulich bleiben.|normal|Ersatzgerät liegt auf Lager und kann schnell durch den IT-Betrieb ausgetauscht werden.|
|Switch – Verteilung|N003|normal|Zutritt, Zugang und Zugriff nur für autorisierte Personen möglich|normal|Die Konfigurationseigenschaften müssen vertraulich bleiben.|normal|Ersatzgerät liegt auf Lager und kann schnell durch den IT-Betrieb ausgetauscht werden.|
|Router Bonn BG – Beuel|N004|normal|Zutritt, Zugang und Zugriff nur für autorisierte Personen möglich|normal|Die Konfigurationseigenschaften müssen vertraulich bleiben.|normal|Ersatzgerät liegt auf Lager und kann schnell durch den IT-Betrieb ausgetauscht werden.|
---


key: _node_content
string_value:
{"id_": "42b377da-3348-414e-9fdc-66b7b922c1a2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "a3472593-5ca9-4033-ae4c-3e61878267f5", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "f6a96f79-525e-450e-9870-abcbd2e63546", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1f6a550a-b3c1-4313-aff6-45e528234146", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "7b0503faa1774899b1676e8b51cc1896c2d8b18ded0753a0ba5628a1232ea024", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 990, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.2 Schutzbedarfsfeststellung der RECPLAST GmbH

|Bezeichobjektes / der Gruppe|Plattform|Vertraulichkeit|Begründung für die Verfügbarkeit|Begründung für die Integrität|
|---|---|---|---|---|
|S008 Print-Server|Windows Server 2012|normal|Es werden keine vertraulichen Dokumente verkannt, und können sofort normal behoben werden.|Durch die Redundanz der Server kann bei Ausfall eines Servers der Dienst von einem anderen Server übernommen werden.|
|S020|Virtueller Server (Konfiguration 1)|Unix|normal|Der Server muss zu allen Produktionszeiten (täglich 6 – 22 Uhr) zur Verfügung stehen.|
|S033 Server Produktion|Unix|sehr hoch|Die Informationen auf dem Server müssen für den produzierenden Bereich vollständig und korrekt vorliegen.|Insbesondere werden Stücklisten, Arbeitspläne und weitere Informationen zum Produktionsprozess auf diesem Server in einer Datenbank gespeichert.|

Abbildung 21: Auszug aus der Schutzbedarfsfeststellung der RECPLAST GmbH (IT-Systeme)

BSI-Standard 200-2
---


key: _node_content
string_value:
{"id_": "10a9ecb9-baf8-47ad-8287-83171d02a08a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "effbebe2-33e8-460d-b931-06aa1829811a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ac025aaf0f090d08856941c7207510ff559c878d8efff1eca3eef84685aefbf4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 31, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "1b006e73-64f8-4f58-9db6-8b65f620ff5c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9a30fd99-42ab-4815-b5a5-1bd554453697", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "4953573dd8e78ff3128a5417893f7a8741c4809f1c8f5bba3e110f1f1be04433", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 695, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Schutzbedarfsfeststellung bei virtualisierten Infrastrukturen

Wird Virtualisierung eingesetzt, bleibt die Schutzbedarfsfeststellung im Prinzip gleich. Um den Schutzbedarf eines IT-Systems zu bestimmen, müssen zunächst die Anwendungen betrachtet werden, die im direkten Zusammenhang mit dem IT-System stehen. In virtualisierten Infrastrukturen werden in der Regel mehrere IT-Systeme auf einem Virtualisierungsserver betrieben. Der Schutzbedarf der Anwendungen vererbt sich auf die virtuellen IT-Systeme. Die virtuellen IT-Systeme ihrerseits vererben ihren Schutzbedarf auf den Virtualisierungsserver. Für den Schutzbedarf eines Virtualisierungsservers lassen sich folgende Fälle unterscheiden:


key: _node_content
string_value:
{"id_": "38c4dcc8-939b-46af-834e-b445043dfc7b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5ebdb1f1-b734-4123-9166-522fa1c2b42d", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "bda9a29200600f834e59f16f2164891c145995188a09694188e24d29622da0cd", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 477, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Vertraulichkeit

Ist der Schutzbedarf der virtuellen IT-Systeme beispielsweise „normal“, so vererbt sich dieser auf den Virtualisierungsserver. Er bekommt in der Regel auch den Schutzbedarf „normal“. Es sollte überlegt werden, ob durch die Kumulation mehrerer (z. B. kleinerer) Schäden auf dem Virtualisierungsserver ein insgesamt höherer Gesamtschaden entstehen kann. Dann erhöht sich der Schutzbedarf des Virtualisierungsservers entsprechend auf „hoch“ (Kumulationseffekt).


key: _node_content
string_value:
{"id_": "6170698a-031d-4531-b3d8-32f4f5940233", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "da8fb49e-c52f-4083-b8ae-023601217a31", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "c02432512c94acf944ce2b0e30eed35e51534259ce079a4b623bacdcda06f38a", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 113, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Integrität

Das Schutzziel Integrität wird nicht gesondert betrachtet und ist wie Vertraulichkeit zu behandeln.


key: _node_content
string_value:
{"id_": "71232c80-ce84-4cd9-afe8-e3a3bbf33180", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3e7cbec5-4aa2-4472-91e0-86e292c39326", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d5b3b0133ffe30501b119c766fae3dac28ec74a3eb2e1bc1445465124f4b18c8", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1318, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Verfügbarkeit

Ist der Schutzbedarf der virtuellen IT-Systeme beispielsweise „normal“, dann kommt es durch den Kumulationseffekt in der Regel zu einer Erhöhung der Verfügbarkeit. Gleichzeitig bietet Virtualisierung mit Konzepten wie Cold-, Warm- oder Hot-Standby die Möglichkeit, Redundanzen zu schaffen. Dabei wird parallel zum Produktivsystem ein identisches Ersatzsystem auf einem weiteren physischen Server aufgebaut und entweder ausgeschaltet (Cold-Standby) oder kurzfristig einschaltbar gehalten, aber nicht eingesetzt (Warm-Standby) oder eingeschaltet und synchron gespiegelt mit Daten versorgt (Hot-Standby). Sind entsprechende Maßnahmen umgesetzt, dann sinkt der Schutzbedarf (Verteilungseffekt). Es können unter anderem folgende Fälle auftreten:

- Die virtuellen Maschinen weisen in Bezug auf Verfügbarkeit den Schutzbedarf „normal“ auf, dann gibt es in der Regel eine Kumulation nach „hoch“ und dann durch Verteilung sinkt der Schutzbedarf wieder auf „normal“. In diesem Fall reicht der Warm-Standby-Ansatz aus.
- Die virtuellen Maschinen haben den Schutzbedarf „hoch“ in Bezug auf Verfügbarkeit. Aufgrund von Kumulation kann sich ein insgesamt sehr hoher Schutzbedarf ergeben, der dann wegen Verteilung auf „hoch“ abgesenkt werden kann, wenn entsprechende Maßnahmen (z. B. Hot-Standby) umgesetzt werden.


key: _node_content
string_value:
{"id_": "be9ca2a0-4b69-4c51-8a2d-764b2bba760f", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "9cb7c87a-e154-4a44-bec1-4f9eb8567ee9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b70e2be813266b20145fddc4616de4957547f3fe93eba63f7173563994324ca7", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 948, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Schutzbedarfsfeststellung beim Cloud-Computing (IaaS Compute)

Auch beim Cloud Computing ändert sich gegenüber der oben beschriebenen Schutzbedarfsfeststellung wenig. Bei Angeboten der Form „IaaS Compute“ werden den Benutzern virtuelle Maschinen zur Verfügung gestellt, z. B. über eine Webschnittstelle. Ähnlich wie bei der Virtualisierung wird der Schutzbedarf des Virtualisierungsservers durch den Schutzbedarf der auf ihm betriebenen virtuellen IT-Systeme beeinflusst. Techniken wie Live Migration, vMotion oder XenMotion ermöglichen, dass die virtuellen Maschinen zwischen den Virtualisierungsservern verschoben werden oder Hostsysteme bei geringer Last in den Stand-by-Modus geschaltet oder sogar heruntergefahren werden können, um Strom zu sparen. Die Vorteile, die sich dadurch ergeben, sind unbestritten. Aber die Live Migration, also die Verschiebung von VMs zwischen Virtualisierungsservern, erschwert die Schutzbedarfsfeststellung.
---


key: _node_content
string_value:
{"id_": "ba9aad4c-6417-42a9-9991-f6fd16acedf5", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "d5075163-3cc8-4279-975d-a56b58c2e5c0", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "eef3dcd92a3cdd33320622f88fe057a7b933f1f1c34fc825be2820aff3e1b787", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1130, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8 Erstellung einer Sicherheitskonzeption nach Standard-Absicherung

stellung. Daher wird empfohlen, die Cloud-Computing-Plattform für unterschiedliche Bereiche (Virtualisierungscluster) anzulegen, abhängig vom Schutzbedarf (zum Beispiel „normal“ oder „hoch“). Anwendungen, die denselben Schutzbedarf aufweisen, sollten dann auf einem hierfür vorgesehenen Virtualisierungscluster betrieben werden. Die einzelnen Bereiche sollten untereinander physisch getrennt sein und es ist sicherzustellen, dass virtuelle Maschinen nicht bereichsübergreifend verschoben werden können.

Auf eine gesonderte Schutzbedarfsfeststellung für virtuelle IT-Systeme und Virtualisierungsserver kann verzichtet werden.

Hinweis:

Besitzen die meisten Anwendungen auf einem IT-System nur einen normalen Schutzbedarf und sind nur eine oder wenige hochschutzbedürftig, so sollte in Erwägung gezogen werden, die hochschutzbedürftigen Anwendungen auf ein isoliertes IT-System auszulagern, da dies wesentlich gezielter abgesichert werden kann und somit häufig kostengünstiger ist. Eine solche Alternative kann dem Management zur Entscheidung vorgelegt werden.


key: _node_content
string_value:
{"id_": "84fbdf60-192c-4db1-ad2a-f92437b14c11", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "45ee7033-f9d8-4c96-9a09-64196ddc44fe", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5af6c690e5fabfb92e869f9757fbb5045a68b895b83cf434f4e9b14710cddeba", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1341, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2.5 Schutzbedarfsfeststellung für ICS-Systeme

Im Bereich industrieller Steuerungsanlagen muss der Schutzbedarf aller ICS-Systeme festgestellt werden. Die ICS-Systeme wurden bereits in Kapitel 8.1.6 erfasst.

Bei der Feststellung des Schutzbedarfes für die ICS-Systeme muss berücksichtigt werden, dass nicht per se alle Objekte einem sehr hohen Schutzbedarf unterliegen. In enger Abstimmung ist es sinnvoll, mit den Verantwortlichen der ICS-Systeme in einem Gespräch die Schutzbedarfsfeststellung durchzuführen, da diese wissen, welche ICS-Geräte welche Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit haben. Der Schutzbedarf leitet sich hierbei aus dem Anwendungszweck der industriellen Steuerungsanlage ab.

Dabei sollte berücksichtigt werden, dass ICS-Systeme für verschiedene Aufgaben verwendet werden können. So kann in einer Produktionsstraße im Wechsel ein für ein Unternehmen wichtiges umsatzstarkes Produkt produziert werden und ein weniger umsatzstarkes Produkt. Bei der Feststellung des Schutzbedarfs müssen diese Abhängigkeiten beachtet werden (Maximumprinzip).

Für die Definition des Schutzbedarfes kann es sinnvoll sein, die für alle weiteren Schutzbedarfsfeststellungen definierten Klassifikationen zu übernehmen. Darüber hinaus können die Schutzbedarfs-kategorien entsprechend angepasst formuliert werden.


key: _node_content
string_value:
{"id_": "66075005-8634-4e13-bbb0-d50863580c3e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5acbf07d-25a6-4701-afb2-ba5cacc39f02", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "e9551db22a9e4f686828ad1d9c931706981c825e968d42c774667fea7adb06b3", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 766, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Beispiel: RECPLAST GmbH

Für ein IT-System aus einer Büroumgebung liegt eine Ausfallzeit von bis zu 30 Stunden im normalen Bereich. Diese Ausfallzeit kann auch für den Betrieb von ICS-Systemen sinnvoll sein, möglicherweise ist es jedoch erforderlich, die Ausfallzeit für die ICS-Geräte im normalen Schutzbedarf auf zwölf bis 24 Stunden zu reduzieren.

Der Schutzbedarf für jedes ICS-System wird bezüglich Vertraulichkeit, Integrität und Verfügbarkeit ermittelt. Der Gesamtschutzbedarf der ICS-Systeme leitet sich nach dem Maximumprinzip bezüglich der drei Grundwerte der Vertraulichkeit, Integrität und Verfügbarkeit ab.

Die Festlegungen des Schutzbedarfs von ICS-Systeme müssen kurz begründet werden, damit die Entscheidungen für Dritte nachvollziehbar sind.
---


key: _node_content
string_value:
{"id_": "2fe7ca1c-fa9a-4722-9c48-20c1eefb792d", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7d02e983-9b8a-496f-a97b-1c846b381321", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ac025aaf0f090d08856941c7207510ff559c878d8efff1eca3eef84685aefbf4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 31, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "a22df4cf-f924-43e7-91bd-f75451e1948e", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "22f43721-dab7-4301-abf3-3be9abd5ba3b", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "fc2ef8578c426ad954a879e63dc7f873b484471129af83fa37397c35916c1655", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1139, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.2 Schutzbedarfsfeststellung der RECPLAST GmbH

|Bezeichobjektes / der Gruppe|Plattform|Vertraulichkeit|Begründung für die Verfügbarkeit|Begründung für die Integrität|
|---|---|---|---|---|
|Der Quellcode enthält nur wenige vertrauliche Informationen.|S100 SPS|normal|Die SPSen müssen jederzeit verfügbar sein. Bei Nichtverfügbarkeit kann die Produktion nicht weiterlaufen.|Die Konfigurationsdaten müssen sehr hoch korrekt sein.|
|Der Quellcode enthält nur wenige vertrauliche Informationen.|S101 SCADA|normal|Ohne den Server können keine Informationen in der Produktion verarbeitet werden.|Die verarbeiteten Informationen müssen korrekt und vollständig vorhanden sein.|
|Ein Ausfall der Betriebsdatensteuerung ist bis 7 Stunden tolerierbar, da es einen entsprechenden Puffer in der Produktion gibt.|S103 Server für Betriebsdaten|Unix|normal|Maximumprinzip|
|Ein Ausfall der Betriebsdatensteuerung ist bis 7 Stunden tolerierbar, da es einen entsprechenden Puffer in der Produktion gibt.|S104 Server für Betriebsdaten|Unix|normal|Maximumprinzip|

Abbildung 22: Auszug aus der Schutzbedarfsfeststellung der RECPLAST GmbH (ICS-Systeme)
---


key: _node_content
string_value:
{"id_": "534dfab0-cd39-438f-9d6b-0fd4ab06be4c", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "3a93aa10-c713-4e0d-aad7-aae1f71d15b3", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "102d00e5-0f5e-4517-aa07-d41a21ea4dbf", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1db8c259-fa55-46a0-952d-86638459d10f", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "5ce1afebe792b3a217b145789470477e3b5858ad4ce4d43c0c8d63970f08d0d3", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2012, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2.6 Schutzbedarfsfeststellung für sonstige Geräte

Um den Schutzbedarf sonstiger Geräte festzustellen, muss zunächst bestimmt werden, für welche Geschäftsprozesse und Anwendungen diese Geräte eingesetzt werden und wie sich deren Schutzbedarf vererbt. Diese Informationen wurden in Kapitel 8.1.7 ermittelt. Dabei muss der Datenfluss über diese Geräte beachtet werden, über den sich der Schutzbedarf auf die dazwischenliegenden Netzkomponenten vererbt.

Um den Schutzbedarf eines Geräts zu ermitteln, müssen nun die möglichen Schäden der relevanten Geschäftsprozesse in ihrer Gesamtheit betrachtet werden. Die Ergebnisse der Schutzbedarfsfeststellung von Geräten sollten wiederum in einer Tabelle festgehalten werden, wenn diese Einfluss auf die Informationssicherheit haben. Um nicht beliebig viele Geräte in einer Institution erfassen zu müssen, sollten nur Geräte betrachtet werden, die die Informationssicherheit nennenswert beeinträchtigen könnten. Diese sollten möglichst zu Gruppen zusammengefasst und als ein Objekt behandelt werden.

Es sollte vermerkt werden, welchen Schutzbedarf jedes Gerät bezüglich Vertraulichkeit, Integrität und Verfügbarkeit hat. Der Gesamtschutzbedarf eines Geräts leitet sich wiederum aus dem Maximum des Schutzbedarfs bezüglich der drei Grundwerte Vertraulichkeit, Integrität und Verfügbarkeit ab.

Die Festlegungen des Schutzbedarfs von Geräten müssen kurz begründet werden, damit die Entscheidungen auch für Außenstehende nachvollziehbar sind. Hier kann auf die Schutzbedarfsfeststellung der Geschäftsprozesse und Anwendungen zurückverwiesen werden.

In Institutionen werden je nach Branche unterschiedlichste Geräte eingesetzt, um die Geschäftsprozesse zu unterstützen. Neben IT-Systemen, die unmittelbar als solche zu identifizieren sind, können auch viele andere Arten von Geräten Einfluss auf die Informationssicherheit haben. Zu solchen Geräten gehören beispielsweise Geräte mit Funktionalitäten aus dem Bereich Internet of Things (IoT).

BSI-Standard 200-2

121
---


key: _node_content
string_value:
{"id_": "7db34c72-9660-4509-9d99-eb3e8e70028a", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "fd1ec1e7-595f-4d76-90f9-783f0bb279e2", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ac025aaf0f090d08856941c7207510ff559c878d8efff1eca3eef84685aefbf4", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 31, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "988820c6-615f-4608-8ab8-821f0d6582aa", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "1d0a4fcc-d67c-473b-9a88-fd80ceb932b4", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "41da8f206d93ea36a9e79b2a6ffa1d7815949659e71446c12a420beaf3a07b05", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1282, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.2 Schutzbedarfsfeststellung der RECPLAST GmbH

|Beschreibung des Zielobjektes / der Bezeichnungsgruppe|Plattform / Verfügbarkeit|Vertraulichkeit|Integrität|Begründung für die Vertraulichkeit|Begründung für die Integrität|Begründung für die Verfügbarkeit|
|---|---|---|---|---|---|---|
|S200 Alarmanlage|BG Alarmanlage|sehr hoch|wichtig|Aufgrund der sofortigen Meldung an die Feuerwehr und den entsprechenden Sen|Die Alarmanlage schützt das Gebäude|und muss zu jeder Zeit verfügbar sein.|
|S201 Alarmanlage|Beuel Alarmanlage|sehr hoch|wichtig|Aufgrund der sofortigen Meldung an die Feuerwehr und den entsprechenden Sen|Die Alarmanlage schützt das Gebäude|und muss zu jeder Zeit verfügbar sein.|
|S202 Video-Überwachung|Unix|normal|hoch|Durch überlappende Aufnahmebereiche|Ein Ausfall der Videokameras kann durch weitere Maßnahmen kompensiert werden.|normalsiert werden.|
|S203 Kühlschrank|IT-Abteilung|normal|normal|Der Kühlschrank kann bei einem Ausfall nicht geöffnet werden.|Die gespeicherten Daten sollten korrekt sein, jedoch wird der Kühlschrank in einem separaten Netz betrieben.|Aufgrund der darin enthaltenen Lebensmittel ist ein Ausfall bis 12 Stunden tolerierbar.|

Abbildung 23: Auszug aus der Schutzbedarfsfeststellung der RECPLAST GmbH (sonstige und IoT-Geräte)
---


key: _node_content
string_value:
{"id_": "5de460c8-40b4-4fc3-bd35-000f20bf7e9b", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "23f3e6aa-196a-4a95-af94-c0505eceeeed", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "f6e77b6d-bb71-4ac1-a8cb-e93e86fe9b67", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "64cbc820-1a56-4005-8d46-4533cff5c4a8", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "d900ae380a72a42a8e8130f863d22a3ea6ab8eef008ea4ac4bbeef469e5abf19", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 486, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
Aktionspunkte zu 8.2.4, 8.2.5 und 8.2.6 Schutzbedarfsfeststellung für IT-, ICS-Systeme und sonstige Geräte

- Schutzbedarf der IT-, ICS-Systeme und sonstigen Geräte anhand des Schutzbedarfs der Geschäftsprozesse und Anwendungen ermitteln
- Abhängigkeiten, das Maximumprinzip und gegebenenfalls den Kumulations- beziehungsweise Verteilungseffekt berücksichtigen
- Pro System(-Gruppe) die Ergebnisse für Vertraulichkeit, Integrität und Verfügbarkeit sowie die Begründungen dokumentieren


key: _node_content
string_value:
{"id_": "cca7e69c-2fe8-44a7-bf5d-ae404b431fb9", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "7b32b6e0-1a0d-4363-a890-876644863f36", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "6f4fde1d9dc8e6b1af8688a9370f464394401e00453ec49139e6aa8538b59817", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1077, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2.7 Schutzbedarfsfeststellung für Räume

Aus den Ergebnissen der Schutzbedarfsfeststellung der Geschäftsprozesse und Anwendungen sowie der IT-Systeme, ICS- und sonstigen Geräte sollte abgeleitet werden, welcher Schutzbedarf für die jeweiligen Liegenschaften bzw. Räume daraus resultiert. Dieser Schutzbedarf leitet sich aus dem Schutzbedarf der im jeweiligen Raum installierten Objekte, verarbeiteten Informationen oder der Datenträger, die in diesem Raum gelagert und benutzt werden, nach dem Maximumprinzip ab. Dabei sollten eventuelle Abhängigkeiten und ein möglicher Kumulationseffekt berücksichtigt werden, wenn sich in einem Raum eine größere Anzahl von IT-Systemen oder ICS-Geräten, Datenträgern usw. befindet, wie typischerweise bei Serverräumen, Rechenzentren, Werkhallen oder Datenträgerarchiven. Für jede Schutzbedarfseinschätzung sollte eine Begründung dokumentiert werden. Hilfreich ist auch hier eine tabellarische Erfassung der notwendigen Informationen, aufbauend auf der bereits vorher erstellten Übersicht über die erfassten Räume.

BSI-Standard 200-2
---


key: _node_content
string_value:
{"id_": "e611180b-bdd3-41ee-ab05-e52dc734dff6", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "14e4d8ba-397a-4894-8d3c-0fc53ce12302", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "558fe65add6b34fbefaf1941b7fd97b9820773c8051aeab901b613bdd49f9dac", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 180, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2 Schutzbedarfsfeststellung

Beispiel: RECPLAST GmbH

Die folgende Tabelle zeigt einen Auszug aus den Ergebnissen der Schutzbedarfsfeststellung für die Räume der RECPLAST GmbH:


key: _node_content
string_value:
{"id_": "ef0da092-6972-4568-92bc-b77faa1ae9f2", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "b1f346f9-02c0-46e4-951f-773c811b1293", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "27909c524402ab18d2fcfee0f48cf6b396bbcc380158983d203e494d43e62750", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1229, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
A.2 Schutzbedarfsfeststellung der RECPLAST GmbH

|Beschreibung des Zielobjektes / der BezeichGruppe der ZielPlattform /Vertrau|Begründung für die Vertraulichkeit|Begründung für die Integrität|Begründung für die Verfügbarkeit|
|---|---|---|---|
|R001 Büroräume|In den Büroräumen stehen ausreichend abschließbare Schränke zur Verfügung. Die Mitarbeiter sind angewiesen, vertrauliche Informationen nach Arbeitsende zu verschließen.|Die Büroräume können normal verschlossen werden, Fremde haben keinen Zutritt.|Es stehen ausreichend Büroräume zur Verfügung.|
|R002 Besprechungsräume|In den Besprechungsräumen werden keine Unterlagen aufbewahrt.|Besprechungen können auch in anderen Räumlichkeiten durchgeführt werden.|normal|
|R003 Häuslicher Arbeitsplatz|Am häuslichen Arbeitsplatz dürfen keine vertraulichen Dokumente verarbeitet werden.|Der generelle Arbeitsintegrität liegt innerhalb der RECPLAST in Büroräumen.|normal|
|R004 Mobiler Arbeitsplatz|Ein mobiler Arbeitsplatz wird nur sporadisch genutzt, dürfen keine vertraulichen Dokumente verarbeitet werden.|Der generelle Arbeitsintegrität liegt innerhalb der RECPLAST in Büroräumen.|normal|

Abbildung 24: Auszug aus der Schutzbedarfsfeststellung der RECPLAST GmbH (Räume)
---


key: _node_content
string_value:
{"id_": "58f7888f-cd5f-4bb4-a04c-6fe1f51760f9", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "ae539add-1904-4a89-b31a-45efcbb1975a", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: _node_content
string_value:
{"id_": "17fa7842-079a-46c4-acfb-be366191a8e9", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "0e15e052-597f-4442-b9fe-efd4e04583dc", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "ba4eceef59b005e491542c5cd0d82459acf5b84bc5f6f8d56c802ad18b7c6b4f", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 330, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2.7 Schutzbedarfsfeststellung für Räume

- Schutzbedarf der Räume aus dem Schutzbedarf der Geschäftsprozesse, Anwendungen und IT-Systeme, ICS- und sonstigen Geräte ableiten
- Abhängigkeiten, das Maximumprinzip und gegebenenfalls den Kumulationseffekt berücksichtigen
- Ergebnisse und Begründungen nachvollziehbar dokumentieren


key: _node_content
string_value:
{"id_": "802b39ca-679c-4476-bd0f-e7b742e929dd", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "5fe1a5c7-eed8-42f1-b285-d76666da1b58", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "8d597cbc2a9f4a6b617797c7bc7695436cb3586e1765d8033d5389e8a204577d", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 2940, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2.8 Schutzbedarfsfeststellung für Kommunikationsverbindungen

Nachdem die Schutzbedarfsfeststellung für die betrachteten Geschäftsprozesse, Anwendungen, IT-Systeme, ICS- und sonstigen Geräte und Räume abgeschlossen wurde, wird nun der Schutzbedarf bezüglich der Vernetzungsstruktur erarbeitet. Grundlage für die weiteren Überlegungen ist der in Kapitel 8.1.4 Netzplanerhebung erarbeitete Netzplan des zu untersuchenden Informationsverbunds.

Um die Entscheidungen vorzubereiten, auf welchen Kommunikationsstrecken kryptografische Sicherheitsmaßnahmen eingesetzt werden sollten, welche Strecken redundant ausgelegt sein sollten und über welche Verbindungen Angriffe durch Innen- und Außentäter zu erwarten sind, müssen die Kommunikationsverbindungen analysiert werden. Hierbei werden folgende Kommunikationsverbindungen als kritisch gewertet:

- Kommunikationsverbindungen, die Außenverbindungen darstellen, d. h. die in oder über unkontrollierte Bereiche führen (z. B. ins Internet oder über öffentliches Gelände). Dazu können auch drahtlose Kommunikationsverbindungen gehören, da es hierbei schwierig ist, zu verhindern, dass auf diese von öffentlichem Gelände aus zugegriffen wird. Bei Außenverbindungen besteht die Gefahr, dass durch externe Angreifer Penetrationsversuche auf das zu schützende System vorgenommen oder Schadprogramme eingespielt werden können. Darüber hinaus könnten unter Umständen Innentäter über eine solche Verbindung vertrauliche Informationen nach außen übertragen. Auch in Bezug auf den Grundwert Verfügbarkeit sind Außenverbindungen oft besonders gefährdet. Es darf nicht vergessen werden, Außenverbindungen für die Fernadministration mit zu erfassen.
- Kommunikationsverbindungen, über die hochschutzbedürftige Informationen übertragen werden, wobei dies sowohl Informationen mit einem hohen Anspruch an Vertraulichkeit wie auch Integrität oder Verfügbarkeit sein können. Diese Verbindungen können das Angriffsziel vorsätzlichen Abhörens oder vorsätzlicher Manipulation sein. Darüber hinaus kann der Ausfall einer solchen Verbindung die Funktionsfähigkeit wesentlicher Teile des Informationsverbunds beeinträchtigen.
- Kommunikationsverbindungen, die im produzierenden Bereich eingesetzt werden, müssen im Netzplan ebenfalls erfasst werden. Dazu gehören (z. B. bei einer Netztrennung) die Kommunikationsverbindungen zwischen den Netzen.

Bei der Erfassung der kritischen Kommunikationsverbindungen kann wie folgt vorgegangen werden. Zunächst werden sämtliche „Außenverbindungen“ als kritische Verbindungen identifiziert und erfasst. Anschließend werden sämtliche Verbindungen untersucht, die von einem IT-System oder einer Gruppe von IT-Systemen mit hohem oder sehr hohem Schutzbedarf ausgehen. Dabei werden diejenigen Verbindungen identifiziert, über die hochschutzbedürftige Informationen übertragen werden. Danach werden die Verbindungen untersucht, über die diese hochschutzbedürftigen Daten weiter.
---


key: _node_content
string_value:
{"id_": "d8e20808-3f01-48e5-b47e-7d5b3a972a94", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "e9e97897-322c-4470-a031-37c775fd67fd", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "91d1852a78574ba546aa3ca6b933dc9d94bb6dfe14f1a968953faf13b72d9af2", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 1067, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


key: chroma:document
string_value:
8.2 Schutzbedarfsfeststellung

geleitet werden. Abschließend sind die Kommunikationsverbindungen zu identifizieren, über die der lei Informationen nicht übertragen werden dürfen. Zu erfassen sind dabei:

- die Verbindungsstrecke,
- ob es sich um eine Außenverbindung handelt und
- ob hochschutzbedürftige Informationen übertragen werden und ob der Schutzbedarf aus der Vertraulichkeit, Integrität oder Verfügbarkeit resultiert.

Die Entscheidungen, welche Kommunikationsverbindungen als kritisch zu betrachten sind, sollten tabellarisch dokumentiert oder grafisch im Netzplan hervorgehoben werden.

Beispiel: RECPLAST GmbH

Für das Unternehmen RECPLAST GmbH ergeben sich die Kommunikationsverbindungen, die im Netzplan im Kapitel 8.1.4 Netzplanerhebung dargestellt wurden. Diese wurden bei der RECPLAST auf grund von ähnlichen Anforderungen gruppiert und sowohl in der Strukturanalyse als auch in der Schutzbedarfsfeststellung beschrieben und bewertet. Anhand der folgenden Tabellen können die oben dargestellten Kommunikationsverbindungen nachvollzogen werden:
---


key: _node_content
string_value:
{"id_": "be69bab2-a99b-4743-9117-b46ff37a5475", "embedding": null, "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "excluded_embed_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "excluded_llm_metadata_keys": ["file_name", "file_type", "file_size", "creation_date", "last_modified_date", "last_accessed_date"], "relationships": {"1": {"node_id": "f21927b4-bd5a-4120-b8c1-e8472ed8c2a9", "node_type": "4", "metadata": {"file_path": "H:\\Uni\\Master\\Masterarbeit\\Masterarbeit\\daten\\_parsed\\standard_200_2.pdf.md", "file_name": "standard_200_2.pdf.md", "file_size": 443781, "creation_date": "2024-10-20", "last_modified_date": "2024-10-20"}, "hash": "b23076349fd930d9be3c73ddf2fde405d69869b1f76f151d31041f0e44186ade", "class_name": "RelatedNodeInfo"}}, "text": "", "mimetype": "text/plain", "start_char_idx": 2, "end_char_idx": 68, "text_template": "{metadata_str}\n\n{content}", "metadata_template": "{key}: {value}", "metadata_seperator": "\n", "class_name": "TextNode"}


