Auf den Punkt: Ein Informationssicherheits-Managementsystem (ISMS) klingt nach Konzern, ist aber gerade für KMU machbar — wenn man klein anfängt. Die drei Bausteine, mit denen jedes ISMS steht und fällt: ein Verzeichnis Ihrer schützenswerten Werte (Assets), eine Einstufung ihres Schutzbedarfs und ein nachvollziehbarer Umgang mit Risiken. Der BSI-Standard 200-2 liefert dafür eine erprobte Methodik, die sich auf KMU herunterskalieren lässt.
Was ein ISMS ist — und was nicht
Ein ISMS ist kein Produkt, das man kauft, sondern ein gelebter Prozess: Es legt fest, wie Ihr Unternehmen Informationssicherheit plant, umsetzt, überprüft und verbessert. Der BSI-Standard 200-2 (IT-Grundschutz-Methodik) beschreibt dafür einen strukturierten Weg. Wichtig für KMU: Sie müssen nicht am ersten Tag eine Zertifizierung anstreben. Es genügt, mit einer klar abgegrenzten Domäne — etwa der zentralen Kundendatenbank oder dem ERP-System — zu starten und von dort zu wachsen.
Der Antrieb für ein ISMS kommt zunehmend von außen: Große Auftraggeber verlangen von ihren Zulieferern Nachweise über Informationssicherheit, Cyber-Versicherer knüpfen Policen an Mindeststandards, und regulatorische Vorgaben wie NIS2 weiten den Kreis der betroffenen Unternehmen aus. Wer ein strukturiertes Managementsystem vorweisen kann, verschafft sich hier einen Wettbewerbsvorteil — und vermeidet, im Vergabeprozess oder bei der nächsten Versicherungsverlängerung leer dazustehen. Ein ISMS ist insofern kein reiner Kostenposten, sondern eine Investition in Geschäftsfähigkeit.
Der größte Fehler ist, alles auf einmal absichern zu wollen. Ein ISMS lebt von Iteration: kleiner, sauber abgegrenzter Geltungsbereich, dann Schritt für Schritt erweitern.
Grundprinzip der IT-Grundschutz-Methodik (BSI 200-2)
Baustein 1: Das Asset-Register
Sie können nur schützen, was Sie kennen. Am Anfang steht deshalb eine Bestandsaufnahme aller Werte, die für Ihre Informationssicherheit relevant sind. In der Praxis ist dieser erste Schritt oft der augenöffnendste: Viele Unternehmen entdecken dabei Schatten-IT, vergessene Cloud-Zugänge oder Systeme, für die sich niemand zuständig fühlt. Genau diese blinden Flecken sind die typischen Einfallstore. Dazu gehören nicht nur Server und Laptops, sondern auch:
- Informationen — Kundendaten, Verträge, Konstruktionsdaten, Quellcode
- Anwendungen — ERP, CRM, E-Mail, Branchensoftware
- IT-Systeme — Server, Clients, mobile Geräte, Netzkomponenten
- Räume und Infrastruktur — Serverraum, Arbeitsplätze, Stromversorgung
Für den Start reicht eine strukturierte Tabelle. Wichtig ist, dass jedes Asset einen Verantwortlichen hat und sich später dem Schutzbedarf zuordnen lässt.
Baustein 2: Schutzbedarfsfeststellung nach BSI 200-2
Im nächsten Schritt bewerten Sie, wie schützenswert jedes Asset ist. Der BSI-Standard 200-2 nutzt dafür drei Grundwerte und drei Schutzbedarfskategorien. Bewertet wird jeweils der mögliche Schaden bei Verletzung von Vertraulichkeit, Integrität und Verfügbarkeit.
| Schutzbedarf | Bedeutung | Beispiel |
|---|---|---|
| Normal | Schadensauswirkungen begrenzt und überschaubar | Interne Telefonliste, allgemeine Aushänge |
| Hoch | Schadensauswirkungen können beträchtlich sein | Kundendaten, Buchhaltung, Personaldaten |
| Sehr hoch | Schadensauswirkungen können existenziell bedrohlich sein | Geschäftskritische Produktionssteuerung, sensible Gesundheitsdaten |
Die Methodik kennt zudem das Maximumprinzip (der höchste Schutzbedarf einer verarbeiteten Information vererbt sich auf das System) sowie Kumulations- und Verteilungseffekte. Für den KMU-Einstieg reicht zunächst eine ehrliche Einstufung der drei Grundwerte je Asset — das schafft schon ein klares Bild, wo Sie wirklich investieren müssen.
Ein praktisches Beispiel macht das greifbar: Ihr ERP-System verarbeitet Auftragsdaten (normal), aber auch Bonitätsinformationen und Bankverbindungen Ihrer Kunden (hoch). Nach dem Maximumprinzip erbt das gesamte System den Schutzbedarf „hoch” — und damit gelten für den Server, auf dem es läuft, strengere Anforderungen an Zugriffsschutz, Verschlüsselung und Verfügbarkeit. Diese Logik verhindert, dass kritische Daten unbemerkt auf schwach geschützten Systemen landen. Gleichzeitig zeigt sie, wo Sie nicht übertreiben müssen: Ein reines Aushang-System ohne sensible Daten braucht keinen Hochsicherheits-Aufwand.
Die Kumulation ist der zweite wichtige Effekt: Viele Werte mit jeweils normalem Schutzbedarf können in Summe einen höheren Schutzbedarf ergeben. Ein einzelner Kundendatensatz mag unkritisch sein — die vollständige Kundendatenbank mit zehntausenden Datensätzen ist es nicht. Wer das berücksichtigt, vermeidet die typische Falle, Risiken durch zu kleinteilige Betrachtung kleinzurechnen.
Praxis-Tipp: Beginnen Sie die Schutzbedarfsfeststellung bei den Informationen und Geschäftsprozessen, nicht bei der Hardware. Der Schutzbedarf eines Servers ergibt sich aus den Daten, die er verarbeitet — nicht umgekehrt.
Baustein 3: Risikomanagement
Wo der Schutzbedarf hoch oder sehr hoch ist, folgt eine Risikobetrachtung: Welche Gefährdungen bestehen, wie wahrscheinlich sind sie, und welcher Schaden droht? Aus der Kombination von Eintrittswahrscheinlichkeit und Schadenshöhe ergibt sich das Risiko — gern visualisiert in einer Risikomatrix. Für jedes relevante Risiko entscheiden Sie dann zwischen vier Optionen:
Reduzieren
Maßnahmen umsetzen, die Wahrscheinlichkeit oder Schaden senken (z. B. Backups, MFA).
Vermeiden
Die risikobehaftete Tätigkeit ganz einstellen oder anders gestalten.
Übertragen
Risiko verlagern, etwa per Cyber-Versicherung oder Dienstleister-Vertrag.
Akzeptieren
Restrisiko bewusst tragen — dokumentiert und von der Leitung freigegeben.
Entscheidend ist die Dokumentation: Jede Risikoentscheidung muss nachvollziehbar und von der Geschäftsführung getragen sein. Genau das verlangt auch eine spätere Zertifizierung — und es schützt Sie im Schadensfall.
Die Rolle der Geschäftsführung
Ein häufig unterschätzter Punkt: Ein ISMS ist Chefsache. Der BSI-Standard 200-2 macht unmissverständlich klar, dass die Leitungsebene die Gesamtverantwortung für Informationssicherheit trägt und sie nicht vollständig delegieren kann. Praktisch bedeutet das, dass die Geschäftsführung den Geltungsbereich freigibt, Ressourcen bereitstellt und vor allem die Risikoakzeptanz verantwortet. Wenn ein Restrisiko bewusst getragen wird, muss diese Entscheidung von oben kommen — nicht von der IT, die das Risiko zwar erkennt, aber nicht für das ganze Unternehmen abwägen kann.
Für KMU ist das eher Erleichterung als Bürde: Es zwingt zu Klarheit darüber, was wirklich wichtig ist, statt sich in technischen Details zu verlieren. Eine kurze, regelmäßige Management-Bewertung — etwa einmal pro Quartal — genügt am Anfang völlig, um das ISMS lebendig zu halten und Verbesserungen anzustoßen.
So starten KMU realistisch
- Geltungsbereich abstecken — eine überschaubare Domäne wählen, nicht das ganze Unternehmen.
- Assets erfassen — Informationen, Anwendungen, Systeme, Räume in einer Tabelle.
- Schutzbedarf einstufen — pro Asset Vertraulichkeit, Integrität, Verfügbarkeit bewerten.
- Risiken behandeln — für hohe Schutzbedarfe Maßnahmen festlegen und dokumentieren.
- Verbessern — regelmäßig prüfen und den Geltungsbereich erweitern.
Wer diese Schritte nicht nebenbei stemmen kann, findet in einer geführten Hugo ISMS-Lösung Strukturen, Vorlagen und Begleitung, um das Managementsystem methodisch sauber aufzubauen, statt mit verstreuten Excel-Dateien zu starten.
FAQ
Muss ein KMU ein ISMS zertifizieren lassen?
Nicht zwingend. Eine Zertifizierung (etwa nach ISO 27001 oder ISO 27001 auf Basis IT-Grundschutz) kann durch Kunden oder Regulierung gefordert sein. Viele KMU starten zunächst mit einem nicht-zertifizierten, aber methodisch sauberen ISMS.
Was unterscheidet die drei Schutzbedarfskategorien?
Der BSI-Standard 200-2 unterscheidet „normal”, „hoch” und „sehr hoch” — gestaffelt nach der möglichen Schadensauswirkung bei Verletzung von Vertraulichkeit, Integrität oder Verfügbarkeit.
Womit fängt man konkret an?
Mit dem Asset-Register und einem klar abgegrenzten Geltungsbereich. Erst Werte erfassen, dann Schutzbedarf einstufen, dann Risiken behandeln. Klein anfangen schlägt großes Konzept ohne Umsetzung.
Ist BSI 200-2 dasselbe wie ISO 27001?
Nein, aber sie sind kompatibel. BSI 200-2 beschreibt die IT-Grundschutz-Methodik; sie kann als Weg zu einer ISO-27001-Zertifizierung auf Basis von IT-Grundschutz genutzt werden.
Fazit
Ein ISMS aufzubauen ist für KMU kein Megaprojekt, wenn man die Methodik des BSI-Standards 200-2 nutzt und klein anfängt: Assets kennen, Schutzbedarf ehrlich einstufen, Risiken bewusst behandeln. Der Wert liegt nicht im perfekten Dokument, sondern im wiederkehrenden Prozess. Wer den Geltungsbereich Schritt für Schritt erweitert, kommt zu belastbarer Informationssicherheit — und hat den Grundstein für eine spätere Zertifizierung gelegt.