Schutzbedarfsanalyse im KMU: Kronjuwelen finden

Welche Informationen und Systeme braucht Ihr Unternehmen am dringendsten, und wie stark müssen sie geschützt sein? Die Schutzbedarfsanalyse beantwortet genau das: Sie bewertet, wie schwer die Folgen wären, wenn Vertraulichkeit, Integrität oder Verfügbarkeit verletzt würden. Am Ende kennen Sie Ihre Kronjuwelen und wissen, wo Sicherheitsmassnahmen zuerst ansetzen müssen.

Was die Schutzbedarfsanalyse leistet

Ein ausgefallenes Fachsystem, ein falsch adressiertes E-Mail oder eine manipulierte Zahlung in der Buchhaltung kann den Betrieb weit stärker treffen, als die technische Ursache vermuten lässt. Ohne Schutzbedarf werden Massnahmen oft nach Sichtbarkeit umgesetzt: Die jüngste Schwachstelle bekommt Aufmerksamkeit, kritische Abhängigkeiten bleiben im Hintergrund. Das Ergebnis ist entweder Unterabsicherung an der falschen Stelle oder unnötiger Aufwand dort, wo wenig auf dem Spiel steht.

Die Schutzbedarfsanalyse fragt nicht, wie wahrscheinlich ein Angriff ist. Sie fragt, wie schwer der Schaden wäre, wenn ein Schutzziel verletzt würde. Damit ist sie der Ausgangspunkt für die Risikobewertung, die anschliessend die Wahrscheinlichkeit dazunimmt, und für ein Informationssicherheitsmanagementsystem (ISMS), wie es der Leitfaden ISMS für Schweizer KMU beschreibt.

Für KMU, Gemeinden und öffentliche Organisationen hat das einen praktischen Zweck: Begrenzte Mittel gehen dorthin, wo ein Vorfall wirklich geschäftskritisch wird. Wer den Schutzbedarf dokumentiert hat, kann Sicherheitsanforderungen begründen und gegenüber Geschäftsleitung, Revision oder Aufsicht belastbar Auskunft geben.

Kronjuwelen zuerst: eine Frage für die Geschäftsleitung

Bevor Sie Systeme inventarisieren, lohnt sich eine kurze Runde mit der Geschäftsleitung. Die Leitfrage lautet: Welche Informationen und Abläufe dürfen auf keinen Fall abfliessen, verfälscht werden oder ausfallen? Typische Antworten sind Kunden- und Personaldaten, Konstruktionspläne oder Rezepturen, Offerten und Preiskalkulationen, die Zahlungsfreigabe, die Auftragsabwicklung oder bei Gemeinden die Einwohnerdaten.

Diese Liste ist kurz, und das ist gewollt. Sie gibt der Analyse eine Richtung und macht klar, dass Schutzbedarf eine Geschäftsfrage ist. Die IT kann sagen, welche Systeme diese Werte verarbeiten. Welcher Schaden bei einem Verlust entsteht, kann nur die Unternehmensleitung zusammen mit den Fachbereichen beurteilen.

Wenn Ihre Geschäftsleitung den Einstieg sucht: Das Selbstlernmodul «SCMC Cyber-Risiken: Führung gefordert», entstanden mit der HWZ Hochschule für Wirtschaft Zürich, zeigt in rund 50 Minuten und ohne Technik, warum Informationssicherheit Chefsache ist und wie sich der Reifegrad des eigenen Unternehmens sichtbar machen lässt. Es eignet sich gut als Vorbereitung auf diese erste Runde.

Die drei Schutzziele

Bewertet wird in der Regel getrennt nach drei Schutzzielen. Sie sind verständlich genug für Fachbereiche und präzise genug, um daraus Massnahmen abzuleiten.

Vertraulichkeit

Wer darf die Information sehen oder weitergeben? Betroffen ist die Vertraulichkeit, wenn Unbefugte Einsicht in Personaldossiers, Kunden- oder Gesundheitsdaten, Verträge, Sicherheitskonfigurationen oder Zugangsdaten erhalten. Eine pauschale Einstufung als «intern» hilft wenig. Massgebend ist die konkrete Folge eines Abflusses: rechtliche Konsequenzen, Schaden für Betroffene, Vertrauensverlust. Je sensibler die Daten und je grösser der Kreis der Betroffenen, desto höher der Schutzbedarf.

Integrität

Sind die Daten vollständig, korrekt und vor unbefugter Änderung geschützt? Die Integrität wird oft unterschätzt. Fehlerhafte Bankverbindungen, manipulierte Freigaben, falsche Messwerte oder unvollständige Buchungen können mehr Schaden anrichten als ein kurzer Ausfall, obwohl die Daten jederzeit verfügbar bleiben. Besonders heikel sind Systeme, deren Daten automatisch in nachgelagerte Prozesse fliessen: Ein falscher Wert aus einem Vorsystem vervielfacht sich in Buchhaltung, Produktion oder Einsatzplanung.

Verfügbarkeit

Wie lange darf ein Prozess oder System ausfallen, bevor ein untragbarer Schaden entsteht? Ein Dokumentenarchiv verträgt vielleicht einen Arbeitstag Unterbruch, ein System für Alarmierung, Zahlungsverkehr oder Produktionssteuerung oft nicht einmal Stunden. Hilfreiche Fragen: Welche Arbeit steht still? Gibt es einen manuellen Ersatzprozess, und wie lange trägt er wirklich? Von welchen Lieferanten, Cloud-Diensten oder internen Anwendungen hängt das System ab?

Je nach Organisation kommen weitere Anforderungen dazu, etwa Nachvollziehbarkeit, Authentizität oder der Schutz von Personendaten. Halten Sie die Liste kurz: Die Bewertung muss zu Ihren gesetzlichen Pflichten, Ihren Leistungen und Ihren tatsächlichen Abhängigkeiten passen, zusätzliche Kategorien machen sie nur schwerer handhabbar.

Den Untersuchungsgegenstand richtig abgrenzen

Der häufigste Fehler passiert am Anfang: Bewertet werden einzelne Dateien oder Anwendungen ohne ihren fachlichen Kontext. Eine Lohnliste hat einen anderen Schutzbedarf als eine allgemeine Vorlage. Ein Ticketsystem ist technisch austauschbar, wird aber kritisch, sobald es den Störungsdienst steuert.

Gehen Sie deshalb von oben nach unten vor:

1. Geschäftsprozesse und Dienstleistungen, etwa Rechnungsstellung, Patientenaufnahme, Werkbetrieb oder Schalterdienst.
2. Informationen, die diese Prozesse brauchen: Personaldaten, Verträge, technische Dokumentation, Finanzdaten.
3. Anwendungen und IT-Systeme, die diese Informationen verarbeiten, einschliesslich Fachtools, Cloud-Diensten, Datenablagen und Schnittstellen.
4. Infrastruktur und externe Abhängigkeiten: Identitätsdienst, Hosting, Fachanbieter, Kommunikationsplattformen.

Diese Reihenfolge verhindert, dass die Analyse zur reinen Inventarliste wird. Sie zeigt auch, wo ein unscheinbares System einen besonders schutzbedürftigen Prozess trägt, zum Beispiel ein Administrationstool mit wenigen Nutzenden, über das alle Berechtigungen laufen.

Eine Skala mit klaren Kriterien

Für die meisten Organisationen genügen drei Stufen: normal, hoch, sehr hoch. Die Bezeichnungen sind zweitrangig. Wichtig ist, dass «hoch» überall im Unternehmen dasselbe bedeutet. Das erreichen Sie mit vorab festgelegten Schadensszenarien je Stufe.

Stufe	Vertraulichkeit	Integrität	Verfügbarkeit
normal	Offenlegung wäre unangenehm, ohne nennenswerte Folgen für Betroffene oder das Unternehmen	Fehler fallen auf und lassen sich ohne grossen Aufwand korrigieren	Ausfall über mehrere Tage ist mit Ersatzprozessen überbrückbar
hoch	Offenlegung führt zu rechtlichen Folgen, Vertrauensverlust oder erheblichem Aufwand für Betroffene	Falsche Daten führen zu finanziellen Schäden oder Fehlentscheiden	Nach einem Arbeitstag Ausfall entstehen deutliche Schäden oder Verzug
sehr hoch	Besonders schützenswerte Personendaten, Berufs- oder Geschäftsgeheimnisse, sicherheitsrelevante Informationen	Manipulation gefährdet Personen, Anlagen oder die Erfüllung gesetzlicher Pflichten	Schon ein kurzer Unterbruch ist nicht tragbar

Passen Sie die Formulierungen an Ihr Geschäft an. Bei der Verfügbarkeit sollten Sie konkrete Zeiträume nennen: Was passiert sofort, was nach einem Arbeitstag, was nach mehreren Tagen? So wird die Bewertung für Fachbereiche verständlich und später überprüfbar.

Die Bewertung mit den Fachbereichen erarbeiten

IT und Informationssicherheit bringen Methode, Struktur und die technische Sicht auf Architektur und Schnittstellen. Den fachlichen Schaden beurteilt die prozessverantwortliche Person. Ein verschickter Fragebogen ohne Rückkopplung liefert selten brauchbare Einstufungen. Besser sind kurze, moderierte Gespräche.

Pro Prozess oder Informationswert reichen wenige präzise Fragen:

• Was passiert, wenn Unbefugte diese Informationen sehen?
• Welche Entscheidungen oder Zahlungen wären bei falschen Daten gefährdet?
• Wie lange darf der Prozess ausfallen, und wie lange trägt der Ersatzprozess?
• Welche Verträge, Gesetze oder internen Vorgaben wären betroffen?
• Wer müsste bei einem Vorfall informiert werden?

Halten Sie zu jeder Stufe die Begründung fest. «Personendaten» genügt nicht, denn Art, Umfang und Kontext entscheiden. Eine brauchbare Begründung lautet etwa: «Die Daten enthalten Lohn- und Bankangaben, eine Offenlegung kann Betroffenen erheblich schaden und arbeitsrechtliche Folgen haben.» Diese Begründung brauchen Sie bei Audits, beim Wechsel von Verantwortlichen und bei der nächsten Überprüfung.

Ein Beispiel: HR-System und Informationsportal

Nehmen wir ein HR-System mit Personalakten, Lohndaten und Absenzen. Die Vertraulichkeit ist hoch, weil sensible Personendaten verarbeitet werden. Die Integrität ist ebenfalls hoch, denn falsche Lohn- oder Vertragsdaten haben finanzielle und rechtliche Folgen. Bei der Verfügbarkeit fällt die Bewertung je nach Zeitpunkt unterschiedlich aus: Ausserhalb des Lohnlaufs ist ein kurzer Unterbruch tragbar, zum Abrechnungstermin nicht.

Ein öffentliches Informationsportal einer Gemeinde hat dagegen kaum Vertraulichkeitsbedarf, kann aber einen hohen Verfügbarkeitsbedarf haben, wenn es in einer Krise zur Kommunikation mit der Bevölkerung dient. Das Beispiel zeigt, warum eine einzige Gesamtklasse pro System selten ausreicht: Die getrennte Bewertung der drei Schutzziele führt zu genaueren Massnahmen.

Vom Informationswert zum Schutzbedarf des Systems

Ein System verarbeitet selten nur eine Art von Information. Ein ERP enthält Finanzdaten, Lieferanteninformationen, Personalstammdaten und Freigaben. Hier gilt grundsätzlich das Maximumprinzip: Der höchste Schutzbedarf der verarbeiteten Informationen bestimmt den Schutzbedarf des Systems, getrennt je Schutzziel.

Wenden Sie das Prinzip mit Augenmass an:

• Wirksame Trennung erlaubt Differenzierung. Sind besonders schützenswerte Daten technisch und organisatorisch sauber von anderen getrennt, kann eine feinere Einstufung angemessen sein. Getrennte Ordner oder Berechtigungsgruppen ohne weitere Schutzmassnahmen reichen dafür nicht.
• Abhängigkeiten vererben Schutzbedarf. Hat der zentrale Identitätsdienst einen hohen Verfügbarkeitsbedarf, betrifft das alle Anwendungen, die davon abhängen. Ein Drucker im selben Netz erbt dagegen nicht automatisch den Schutzbedarf des Fachsystems.
• Datenflüsse prüfen. Übernimmt ein System Daten aus einer hoch eingestuften Quelle, steigt sein Schutzbedarf in der Regel. Werden die Daten wirksam anonymisiert oder stark reduziert übertragen, kann die Bewertung anders ausfallen.

Dokumentieren Sie solche Entscheide mit Begründung. Eine gute Analyse macht die Abhängigkeiten sichtbar, ohne jede Komponente pauschal hochzustufen.

Vom Schutzbedarf zu Massnahmen und Risiken

Eine bewertete Liste schafft noch keine Sicherheit. Die Einstufung beschreibt die benötigte Absicherung. Die vorhandene erfassen Sie getrennt davon. Wo der Ist-Zustand darunter liegt, entsteht eine Lücke. Einen hohen Wert herunterzuhandeln, weil die Umsetzung aufwendig wäre, verfälscht das Ergebnis.

Je Schutzziel ergeben sich typische Massnahmen:

Hoher Bedarf bei	Typische Massnahmen
Vertraulichkeit	Berechtigungskonzept, Mehrfaktor-Authentisierung, Verschlüsselung, regelmässige Überprüfung der Zugriffsrechte
Integrität	Vier-Augen-Freigaben, manipulationssichere Protokollierung, Plausibilitätsprüfungen, Testverfahren, Wiederherstellungspunkte
Verfügbarkeit	Getestete Wiederherstellung, Backup- und Restore-Tests, Überwachung, Notfallpläne, Supportvereinbarungen, wo nötig Redundanz

Hohe Verfügbarkeit heisst nicht zwingend teure Hochverfügbarkeitsarchitektur. Ein kleines Unternehmen muss nicht jede Anwendung doppelt auslegen. Es sollte aber für seine kritischen Systeme belegen können, wie Wiederanlauf, Kommunikation und Verantwortlichkeiten im Störungsfall funktionieren.

Priorisieren Sie die Lücken nach Schadenspotenzial, Aufwand, Abhängigkeiten und regulatorischer Dringlichkeit. Ein fehlendes Backup für ein kritisches Fachsystem geht der Überarbeitung einer Richtlinie für ein wenig kritisches System vor. Wie Sie daraus einen Plan mit Verantwortlichen und Fristen machen, zeigt der Leitfaden zum Massnahmenplan Informationssicherheit.

Lässt sich eine Lücke nicht sofort schliessen, gehört das Risiko in ein Register mit Ursache, Auswirkung, verantwortlicher Person, geplanter Behandlung und Termin. Die Schutzbedarfsanalyse liefert dort die Grundlage für die Schadensbewertung. Eine Vorlage finden Sie im Leitfaden zum Risikoregister Informationssicherheit. Ob ein verbleibendes Risiko getragen werden kann, entscheidet die Geschäftsleitung nach festgelegten Kriterien, wie im Beitrag zur Risikoakzeptanz beschrieben.

Vorlage: Felder einer Schutzbedarfsliste

Für den ersten Durchgang genügt eine Tabelle mit diesen Spalten:

Feld	Inhalt
Objekt	Prozess, Informationswert oder System
Fachlich verantwortlich	Person, die den Schaden beurteilt und die Einstufung verantwortet
Unterstützter Prozess	Wofür das Objekt gebraucht wird
Verarbeitete Informationen	Art der Daten, etwa Personaldaten, Finanzdaten, Konstruktionsdaten
Abhängigkeiten	Vorsysteme, Schnittstellen, Dienstleister, Identitätsdienst
Vertraulichkeit / Integrität / Verfügbarkeit	Stufe je Schutzziel
Begründung	Konkrete Folge bei Verletzung, je Schutzziel
Bestehende Kontrollen	Was heute schon schützt
Lücke und Massnahme	Was fehlt, wer es umsetzt, bis wann
Akzeptiertes Restrisiko	Entscheid, entscheidende Person, Datum
Letzte Überprüfung	Datum und Anlass

Typische Fehler

• Die IT stuft allein nach Gefühl ein. Ohne Fachbereiche fehlt die Sicht auf den tatsächlichen Schaden.
• Alles wird vorsorglich «hoch» eingestuft. Dann lässt sich nichts mehr priorisieren.
• Eine Gesamtklasse statt drei Schutzziele. Das verdeckt, ob Verschlüsselung oder Wiederherstellung das eigentliche Thema ist.
• Stufen ohne Begründung. Beim nächsten Audit oder Personalwechsel weiss niemand mehr, warum ein System «sehr hoch» ist.
• Einmal erstellt, nie überprüft. Schutzbedarf ändert sich mit neuen Dienstleistungen, Schnittstellen, Cloud-Migrationen, Datenkategorien oder Gesetzen.

Dokumentation und Überprüfung

Versionieren Sie die Analyse, weisen Sie Verantwortlichkeiten zu und überprüfen Sie sie regelmässig. Ein jährlicher Zyklus passt für viele Organisationen, bei wesentlichen Änderungen früher.

Für einen ersten Überblick genügt eine Tabelle. Mit mehr Systemen, Beteiligten und Massnahmen entstehen jedoch Brüche: Bewertungen werden per E-Mail abgestimmt, Nachweise liegen in verschiedenen Ordnern, Risikoeinträge veralten. Wann sich der Wechsel auf eine Software lohnt, behandelt der Leitfaden ISMS-Software oder Excel.

In SCMC bewerten Sie Risiken im Modul Cyber-Risikomanagement nach Eintrittswahrscheinlichkeit und Schadenspotenzial, verknüpfen sie mit Massnahmen und sehen Risiko und Restrisiko in Matrizen nebeneinander. Massnahmen tragen Frist und verantwortliche Person, Erinnerungen gehen per E-Mail hinaus. Wer zuerst einen groben Überblick über den Stand der Informationssicherheit will, beginnt mit dem kostenlosen Cyber Security Basis Check.

Beginnen Sie mit den Prozessen, deren Ausfall oder Datenverlust Ihr Unternehmen morgen am stärksten treffen würde. Ein vollständiger erster Durchgang für diese Kronjuwelen bringt mehr als eine perfekte Klassifikation auf Papier.