Experten für IT-Sicherheit im Rheingau - Hindricks Systems GmbH

Hindricks Systems

Kontakt aufnehmen

IT-Grundschutz für KMU: der passende Einstieg in IT-Sicherheit

Der BSI IT-Grundschutz ist der gründlichste Sicherheitsstandard, den Deutschland zu bieten hat – und für die meisten mittelständischen Betriebe nicht zu stemmen. Diese Seite erklärt, woran das liegt, was das BSI selbst für kleine Unternehmen vorsieht und warum wir mit Securepoint Cert+ arbeiten, statt ISO 27001 anzupeilen. Sie möchten wissen, wie Ihre IT dasteht und welche Maßnahmen zuerst sinnvoll sind? Wir helfen Ihnen, Anforderungen, vorhandene Schutzmaßnahmen und nächste Schritte zu ordnen.
Kostenlose Erstberatung anfragen

Was IT-Grundschutz tatsächlich verlangt

Fangen wir beim Namen an, denn der ist das erste Missverständnis: „Grundschutz“ klingt nach dem Fundament, nach der Grundausstattung, nach dem Minimum, das man eben macht. Tatsächlich ist der IT-Grundschutz des BSI das größte Sicherheitswerk, das in Deutschland öffentlich verfügbar ist. „Grund“ meint hier nicht „klein“, sondern „von Grund auf“ — und das ist ein gewaltiger Unterschied. Wer den Namen wörtlich nimmt und annimmt, das sei schnell erledigt, plant an der Realität vorbei.

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik — meist kurz BSI-Grundschutz genannt — ist kein Ratgeber, sondern ein Bauplan für ein vollständiges Managementsystem für Informationssicherheit (ISMS). Das IT-Grundschutz-Kompendium umfasst über hundert Bausteine in zehn Themenbereichen, zusammen rund 1.500 Seiten, dazu die drei begleitende Standards — vom ISMS-Rahmen (BSI-Standard 200-1) über die Methodik (BSI-Standard 200-2) bis zur Risikoanalyse (BSI-Standard 200-3). Jeder Baustein bringt eigene Anforderungen mit, die dokumentiert, umgesetzt und nachgehalten werden wollen.
01

Es ist ein Prozess, kein Projekt

Grundschutz endet nicht mit der Umsetzung. Er verlangt eine benannte Rolle im Haus, jährliche Reviews und gepflegte Dokumentation. Wer das einmal aufsetzt und dann liegen lässt, hat Aufwand ohne Nutzen.
02

Selbst die Basis-Absicherung ist groß

Das BSI kennt eine abgespeckte Variante. Auch die bindet erfahrungsgemäß über Monate ein bis zwei Personen. In einem Betrieb mit 30 Beschäftigten gibt es diese zwei Personen nicht — jedenfalls nicht zusätzlich zu ihrer eigentlichen Arbeit.
03

Extern begleitet wird es teuer

Für Grundschutz oder ISO 27001 mit Beratung werden in der Praxis schnell fünfstellige Beträge aufgerufen. Für viele Mittelständler ist das der Punkt, an dem das Thema wieder in der Schublade landet.
04

Und dann ist die IT noch nicht sicherer

Das ist der unbequemste Teil: Ein Zertifikat belegt einen Prozess, keinen Zustand. Wer die Zeit stattdessen in Backup, Segmentierung und Awareness steckt, ist am Ende oft besser geschützt.

Das BSI hat das Problem selbst erkannt: DIN SPEC 27076

Es gibt einen offiziellen Weg für kleine Betriebe, und er ist erstaunlich schlank. Die DIN SPEC 27076 beschreibt eine IT-Sicherheitsberatung für kleine und Kleinstunternehmen — ausgelegt auf Betriebe mit weniger als 50 Mitarbeitenden: Arztpraxen, Kanzleien, Handwerksbetriebe, Zulieferer. Umgesetzt wird sie als CyberRisikoCheck.
  • 27 Anforderungen aus sechs Themenfeldern statt über hundert Bausteinen
  • Erhebung in einem ein- bis zweistündigen Gespräch
  • Ergebnis: Punktwert, Netzdiagramm und Handlungsempfehlungen nach Dringlichkeit
  • Herstellerneutral — getragen von DIN und BSI, nicht von einem Anbieter
  • Vom BSI getragen — kein Anbieterverfahren, das etwas verkaufen will
Für die allermeisten Betriebe, die uns mit der Frage nach „Grundschutz“ ansprechen, ist das der richtige erste Schritt. Man weiß hinterher, wo man steht, und hat eine Liste, die man tatsächlich abarbeiten kann.

Securepoint Cert+ — der Rahmen, mit dem wir arbeiten

Der CyberRisikoCheck sagt Ihnen, wo Sie stehen. Er sorgt aber nicht dafür, dass sich etwas ändert. Genau dafür nutzen wir Securepoint Cert+: einen Audit-Rahmen mit elf Themenblöcken — Netzwerksicherheit, Notfall, Dokumentation und weitere — der Sicherheit in Stufen abbildet statt in „erfüllt oder nicht erfüllt“.

Und die beiden stehen sich nicht im Weg — sie hängen zusammen. Securepoint saß im Konsortium, das die DIN SPEC 27076 erarbeitet hat: Das Vorwort der DIN SPEC 27076:2023-05 führt die Securepoint GmbH unter den Initiatoren und Verfassern auf, neben dem BSI, dem Mittelstandsverband BVMW und rund zwanzig weiteren Beteiligten. Entsprechend ist die DIN SPEC in den Cert+-Maßnahmenkatalog eingearbeitet (Katalog 2.0.0, 29 neue und 39 überarbeitete Maßnahmen), samt Checkliste, welche Cert+-Maßnahme welche Anforderung der DIN SPEC abbildet.

Praktisch heißt das: Wer den CyberRisikoCheck gemacht hat, arbeitet die Ergebnisse in Cert+ ab, statt bei null anzufangen — und bekommt über Silber und Gold einen Weg, der über die 27 Mindestanforderungen hinausführt.
Bronze

Die Pflicht

Rund 80 Maßnahmen, die Securepoint als „must have“ einstuft. Das ist das Niveau, unter dem wir einen Betrieb nicht laufen lassen wollen.
Silber

Der Normalfall

Etwa 20 von 60 weiteren Maßnahmen kommen dazu. Eine stabile Umgebung, in der die naheliegenden Wege ins Netz zu sind.
Gold

Der Absprung

Nahezu alle rund 180 Maßnahmen. Securepoint selbst beschreibt diese Stufe als den Punkt, ab dem eine weiterführende Zertifizierung wie ISO/IEC 27001 sinnvoll beginnen kann.

Die drei Wege nebeneinander

 CyberRisikoCheck
(DIN SPEC 27076)		Securepoint Cert+IT-Grundschutz / ISO 27001
Umfang27 Anforderungen in 6 Themenfeldernrund 80 Maßnahmen (Bronze) bis rund 180 (Gold), 11 Themenblöckeüber 100 Bausteine, Kompendium rund 1.500 Seiten
Aufwandein bis zwei Stunden GesprächWochen bis Monate, schrittweiseMonate bis Jahre, eigene Rolle im Haus nötig
Wer trägt esDIN und BSI — herstellerneutralSecurepoint — HerstellerstandardBSI bzw. ISO — anerkannt, prüffähig
ErgebnisPunktwert, Netzdiagramm, priorisierte EmpfehlungenSicherheitsniveau Bronze / Silber / Gold, dokumentiertZertifikat, das Kunden und Auditoren akzeptieren
Verhältnis zueinanderdie StandortbestimmungSecurepoint war Mitverfasser der DIN SPEC; sie steckt im Maßnahmenkatalog — die Umsetzungeigenständige Systeme, deutlich größer
Passt fürStandortbestimmung, unter 50 Mitarbeitendelaufender Betrieb im Mittelstandwenn ein Kunde, eine Ausschreibung oder eine Aufsicht es verlangt

In eigener Sache — damit Sie das richtig einordnen

Wir sind Securepoint Professional Partner und Cert+ Auditor. Wenn wir Ihnen Cert+ empfehlen, empfehlen wir also etwas, mit dem wir arbeiten und an dem wir verdienen. Das sollten Sie wissen, bevor Sie diese Seite als neutrale Beratung lesen.

Deshalb die ehrliche Abgrenzung – auch wenn Securepoint an der DIN SPEC 27076 mitgeschrieben hat: Cert+ selbst ist ein Herstellerstandard, kein staatlicher und kein international anerkannter. Es ersetzt weder ISO 27001 noch den IT-Grundschutz, und es hilft Ihnen nicht, wenn ein Großkunde in der Lieferkette ausdrücklich ein ISO-Zertifikat sehen will. Keines dieser Verfahren ist allein wegen seiner Bezeichnung der richtige Weg für jeden Betrieb; wenn ein bestimmter Nachweis gefordert ist, muss genau diese Anforderung geprüft werden. Was Cert+ kann: ein Sicherheitsniveau definieren, das ein Mittelständler tatsächlich erreicht – und belegen, dass er es erreicht hat. Der neutrale Einstieg ist und bleibt der CyberRisikoCheck nach DIN SPEC 27076. Den empfehlen wir zuerst, obwohl er nicht von unserem Hersteller kommt.

Für Unternehmen in Geisenheim, Rüdesheim und dem Rheingau verbinden wir die Beratung auf Wunsch mit laufender Betreuung. So werden aus priorisierten Empfehlungen konkrete Aufgaben.

Was wir wem raten

A

Unter 50 Mitarbeitende, noch nichts gemacht

CyberRisikoCheck nach DIN SPEC 27076 – oder eine Bestandsaufnahme im vereinbarten Umfang: Zugänge, Updates, Backup, Netztrennung, Notfallabläufe. Danach wissen Sie, wo die Lücken sind, und haben eine priorisierte Liste. Alles Weitere entscheidet sich danach.
B

Laufende Betreuung, Niveau soll nachweisbar sein

Cert+ als Rahmen im Servicevertrag: Bronze als Untergrenze, dann in Stufen weiter. Sie bekommen ein dokumentiertes Sicherheitsniveau statt einer Sammlung von Einzelmaßnahmen.
C

Kunde, Ausschreibung oder Aufsicht verlangt ein Zertifikat

Dann führt an ISO 27001 oder Grundschutz kein Weg vorbei — und dann sagen wir Ihnen das auch. Wir begleiten die Vorarbeit, die Zertifizierung selbst gehört in die Hände eines akkreditierten Auditors.

Häufige Fragen zu Grundschutz, Cert+ und ISO 27001

In der Vollausprägung nicht. Das IT-Grundschutz-Kompendium umfasst über hundert Bausteine auf rund 1.500 Seiten, und selbst die abgespeckte Basis-Absicherung bindet über Monate Personen, die der Betrieb an anderer Stelle braucht. Realistisch ist der Weg über eine Standortbestimmung nach DIN SPEC 27076 und danach ein Maßnahmenkatalog, den man auch wirklich abarbeitet.
Ein vom BSI getragenes Verfahren für Unternehmen mit weniger als 50 Mitarbeitenden: 27 Anforderungen aus sechs Themenfeldern, abgefragt in einem ein- bis zweistündigen Gespräch. Ergebnis ist ein Punktwert, ein Netzdiagramm über die sechs Felder und für jede offene Anforderung eine Handlungsempfehlung nach Dringlichkeit. Herstellerneutral — das ist der entscheidende Unterschied zu jedem Anbieterstandard.
Cert+ ist ein Audit-Rahmen von Securepoint für den Mittelstand: elf Themenblöcke, rund 80 Maßnahmen auf der Stufe Bronze, rund 180 auf Gold. Es ersetzt keine ISO-Zertifizierung — Securepoint selbst beschreibt die Stufe Gold als den Punkt, ab dem eine weiterführende Zertifizierung wie ISO/IEC 27001 sinnvoll begonnen werden kann. Der Maßnahmenkatalog setzt außerdem die DIN SPEC 27076 mit um, samt Checkliste zur Zuordnung — die beiden Verfahren doppeln sich also nicht. Wichtig zu wissen bleibt: Cert+ ist ein Herstellerstandard, kein staatlicher.
Nicht automatisch. NIS2 verlangt angemessene Maßnahmen und deren Nachweis, nicht ein bestimmtes Zertifikat. ISO 27001 ist ein bequemer Nachweis, aber kein Selbstzweck — teuer wird es meist erst dann, wenn ein großer Kunde es in der Lieferkette einfordert. Dann allerdings führt selten ein Weg daran vorbei. Was NIS2 an laufender Überwachung erwartet, steht auf unserer Seite zu SIEM und Angriffserkennung.
Der CyberRisikoCheck ist der günstigste Einstieg: ein bis zwei Stunden Gespräch plus Auswertung. Die ISO-27001-Kosten liegen mit externer Begleitung schnell im fünfstelligen Bereich, beim Grundschutz ist es nicht weniger. Cert+ liegt dazwischen und lässt sich über Stufen strecken.

Was braucht Ihre IT als Nächstes?

Beschreiben Sie uns Ihr Anliegen. Im kostenlosen Erstgespräch klären wir die nächsten sinnvollen Schritte.
Kostenlose Erstberatung anfragen

Sprechen wir über Ihre IT

Schreiben Sie uns über die Kontaktseite oder rufen Sie an: +49 6722 919 224 0.

Zur Kontaktseite