# BSI IT-Grundschutz: der Standard für IT-Sicherheit

> Der IT-Grundschutz des BSI ist eine bewährte Methode, um IT-Sicherheit systematisch statt aus dem Bauch heraus umzusetzen. In Bausteinen zu typischen Themen sind konkrete Anforderungen beschrieben, sortiert nach Basis-, Standard- und erhöhtem Schutzbedarf. Ziel ist ein angemessenes, nachvollziehbares Sicherheitsniveau. Der Grundschutz ist mit der internationalen Norm ISO 27001 kompatibel.

**Autor:** Mr. Benjamin · **Beruf:** IT-Grundlagen
**Veröffentlicht:** 2026-07-26 · **Aktualisiert:** 2026-07-26
**Quelle:** https://yellowbluetech.de/blog/bsi-it-grundschutz

---

„Wir sollten mal was für die Sicherheit tun" – aber was genau, in welcher Reihenfolge, und wie viel ist genug? Genau hier setzt der IT-Grundschutz an: Er ersetzt das Bauchgefühl durch eine nachvollziehbare Methode.

## Was ist das BSI?

Das **BSI** ist das Bundesamt für Sicherheit in der Informationstechnik – die zentrale staatliche Stelle für IT-Sicherheit in Deutschland. Es warnt vor Bedrohungen, gibt Empfehlungen heraus und pflegt den **IT-Grundschutz**.

## Was ist der IT-Grundschutz?

Der IT-Grundschutz ist eine **Methode und Sammlung konkreter Maßnahmen**, um IT-Sicherheit systematisch aufzubauen – statt einzelner Zufallsmaßnahmen ein durchdachtes Gesamtkonzept.

> **Merksatz**
>
> Die Grundidee: Für typische Situationen – ein Server, ein Netz, Homeoffice – gibt es fertige **Bausteine** mit erprobten Anforderungen. Man muss das Rad nicht neu erfinden, sondern wählt die passenden Bausteine und setzt ihre Anforderungen um.

## Die drei Anforderungsstufen

Die Anforderungen jedes Bausteins sind nach Dringlichkeit gestuft:

| Stufe | Bedeutung |
| --- | --- |
| **Basis-Anforderungen** | das Minimum – zuerst und immer umzusetzen |
| **Standard-Anforderungen** | der Regelfall für normalen Schutzbedarf |
| **Erhöhter Schutzbedarf** | zusätzliche Maßnahmen für besonders kritische Werte |

Wie hoch der Schutzbedarf ist, ergibt sich daraus, wie schlimm ein Schaden an [Vertraulichkeit, Integrität und Verfügbarkeit](/blog/schutzziele-cia-triade) wäre.

> **Prüfungstipp**
>
> Merke dir den Zweck in einem Satz: **Der IT-Grundschutz stellt ein angemessenes und nachvollziehbares Sicherheitsniveau her, ohne für jede Gefährdung eine eigene [Risikoanalyse](/blog/risikoanalyse-und-tom) führen zu müssen.** Wichtig ist auch das Verhältnis zur Norm **ISO/IEC 27001**: Der Grundschutz ist dazu kompatibel, und eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz ist möglich.

## Der rote Faden: das ISMS

> **Hinweis**
>
> Der Grundschutz ist Teil eines größeren Gedankens, des **Informationssicherheits-Managementsystems (ISMS)**. Das ist kein Programm, sondern ein fortlaufender Prozess: Sicherheit wird geplant, umgesetzt, überprüft und verbessert – immer wieder, weil sich Bedrohungen ändern. Getragen wird das von der Leitung, nicht allein von der IT-Abteilung, denn Sicherheit kostet Geld und braucht Entscheidungen. Der oft zitierte **PDCA-Zyklus** (Plan, Do, Check, Act) beschreibt genau diese Endlosschleife der Verbesserung.

## Selbstkontrolle

**Frage:** Welche Anforderungen des IT-Grundschutzes sind als absolutes Minimum immer zuerst umzusetzen?

- [x] Die Basis-Anforderungen
- [ ] Die Standard-Anforderungen
- [ ] Die Anforderungen für erhöhten Schutzbedarf
- [ ] Alle gleichzeitig, es gibt keine Reihenfolge

**Erklärung:** Die Basis-Anforderungen bilden das Fundament und sind vorrangig und immer umzusetzen. Die Standard-Anforderungen decken den normalen Schutzbedarf ab, und Maßnahmen für erhöhten Schutzbedarf kommen nur bei besonders kritischen Werten hinzu. Die Reihenfolge folgt also der Dringlichkeit.

## Häufige Fragen

### Ist der IT-Grundschutz Pflicht?

Für die meisten Unternehmen nicht direkt, aber er ist der anerkannte Maßstab für angemessene Sicherheit. Behörden und Betreiber kritischer Infrastrukturen unterliegen strengeren gesetzlichen Vorgaben, für die der Grundschutz eine bewährte Grundlage bietet. Und unabhängig von Pflicht hilft er, Sorgfaltspflichten nachweisbar zu erfüllen.

### Was ist ein Baustein im IT-Grundschutz?

Eine in sich abgeschlossene Beschreibung eines Themas, etwa eines Servers, eines Netzes oder des Notfallmanagements. Jeder Baustein nennt die typischen Gefährdungen und die dazu passenden Anforderungen. Man setzt aus den Bausteinen, die zur eigenen Umgebung passen, sein Sicherheitskonzept zusammen.

### Wie hängt der Grundschutz mit der ISO 27001 zusammen?

Die ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme und formuliert Anforderungen eher abstrakt. Der IT-Grundschutz füllt diese mit konkreten, praxisnahen Maßnahmen und ist mit der Norm kompatibel. Deshalb lässt sich eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz erreichen.

### Was bedeutet angemessene Sicherheit?

Dass der Aufwand für Schutzmaßnahmen im Verhältnis zum Wert des Geschützten und zum Risiko steht. Nicht jedes System braucht maximalen Schutz, denn völlige Sicherheit ist weder erreichbar noch bezahlbar. Angemessen heißt, die begrenzten Mittel dort einzusetzen, wo der mögliche Schaden am größten ist.

**Weiterlesen:** [DSGVO und Datenschutz einfach erklärt](/blog/datenschutz-dsgvo) · [Was ist eine Firewall? Einfach erklärt](/blog/was-ist-eine-firewall) · [Backup und 3-2-1-Regel einfach erklärt](/blog/backup-3-2-1-regel)

## Das Wichtigste in Kürze

- Das **BSI** ist die staatliche Stelle für IT-Sicherheit; es pflegt den **IT-Grundschutz**.
- Der Grundschutz liefert **Bausteine** mit erprobten Anforderungen für typische Situationen.
- Anforderungen sind gestuft: **Basis → Standard → erhöhter Schutzbedarf**.
- Ziel ist ein **angemessenes, nachvollziehbares** Sicherheitsniveau.
- Er ist Teil eines **ISMS** und mit der Norm **ISO 27001** kompatibel.