ISO 27001 oder BSI IT-Grundschutz: Wo liegt der entscheidende Unterschied?

Als international anerkannter Maßstab hat sich die ISO/IEC 27001 etabliert. In Deutschland gibt es darüber hinaus die Möglichkeit einer „ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz“. Beide Zertifizierungen bestätigen ein wirksames ISMS. Dennoch unterscheiden sie sich deutlich hinsichtlich Methodik, Prüfungstiefe und Aussagekraft.

Zunächst eine wichtige begriffliche Einordnung

Im allgemeinen Sprachgebrauch ist häufig von einem „BSI-Grundschutz-Zertifikat“ die Rede. Die offizielle Bezeichnung lautet jedoch: ISO 27001-Zertifikat auf der Basis von IT-Grundschutz.

Es handelt sich also nicht um eine von ISO 27001 unabhängige Zertifizierung. Vielmehr verbindet das Verfahren die Anforderungen der internationalen Norm mit der methodischen und technischen Konkretisierung des BSI IT-Grundschutzes. Der Antrag wird beim Bundesamt für Sicherheit in der Informationstechnik (BSI) gestellt; geprüft wird auf Grundlage der vom BSI festgelegten Zertifizierungsanforderungen und des jeweils maßgeblichen IT-Grundschutz-Kompendiums.

Genau darin liegt der wesentliche Unterschied: Während eine klassische ISO-27001-Zertifizierung bestätigt, dass ein normkonformes ISMS eingerichtet wurde, weist die Zertifizierung auf Basis von IT-Grundschutz zusätzlich nach, dass die detaillierten IT-Grundschutz-Anforderungen im betrachteten Informationsverbund wirksam umgesetzt sind.

Was bestätigt eine ISO-27001-Zertifizierung?

Die ISO/IEC 27001 ist der weltweit bekannteste Standard für Informationssicherheitsmanagementsysteme. Sie definiert Anforderungen, nach denen Unternehmen ein ISMS aufbauen, betreiben, überwachen und kontinuierlich verbessern müssen. Dazu gehören unter anderem:

• die Festlegung des Geltungsbereichs,
• die Bewertung von Informationssicherheitsrisiken,
• die Auswahl geeigneter Sicherheitsmaßnahmen,
• die Definition von Verantwortlichkeiten,
• interne Audits und Managementbewertungen,
• die Behandlung von Abweichungen,
• die kontinuierliche Verbesserung des ISMS.

Die derzeit gültige ISO/IEC 27001:2022 beschreibt damit vor allem, was ein wirksames Managementsystem leisten muss. Sie ermöglicht Organisationen, ihr Risikomanagement an Größe, Geschäftsmodell, Prozesse und individuellen Schutzbedarf anzupassen.

Diese Flexibilität ist eine große Stärke der Norm. Gleichzeitig liegt ein erheblicher Teil der Konkretisierung beim zertifizierten Unternehmen. Es muss selbst bewerten, welche Risiken relevant sind, welche Kontrollen benötigt werden und wie diese konkret umgesetzt werden.

Eine ISO-Zertifizierung bestätigt daher nicht automatisch, dass zwei zertifizierte Unternehmen technisch und organisatorisch dasselbe Sicherheitsniveau besitzen. Beide können normkonform sein, obwohl sie unterschiedliche Maßnahmen, Technologien und Risikobewertungen verwenden.

Was ergänzt der BSI IT-Grundschutz?

Der BSI IT-Grundschutz verfolgt einen stärker methodisch strukturierten Ansatz. Er stellt Unternehmen ein umfangreiches System aus Standards, Bausteinen, Gefährdungen, Anforderungen und Umsetzungshinweisen zur Verfügung.

Das IT-Grundschutz-Kompendium enthält Bausteine für unterschiedliche Ebenen und Zielobjekte, beispielsweise:

• Organisation und Personal,
• Sicherheitskonzeption,
• Betrieb und Administration,
• Anwendungen,
• Server und Clients,
• industrielle IT,
• Netze und Kommunikation,
• Gebäude und Infrastruktur,
• Detektion und Reaktion.

Für die jeweils relevanten Zielobjekte wird geprüft, welche Bausteine anzuwenden sind und in welchem Umfang deren Anforderungen erfüllt werden. Die Anforderungen sind nach Basis-Anforderungen, Standard-Anforderungen und Anforderungen bei erhöhtem Schutzbedarf gegliedert.

Hinzu kommt ein festgelegtes Vorgehensmodell. Dazu gehören typischerweise:

• Festlegung des Informationsverbunds Strukturanalyse
• Schutzbedarfsfeststellung
• Modellierung mit IT-Grundschutz-Bausteinen
• Durchführung des IT-Grundschutz-Checks
• ergänzende Risikoanalyse
• Konsolidierung und Umsetzung der Sicherheitsmaßnahmen
• regelmäßige Kontrolle und Verbesserung

Rahmenwerk oder detaillierter Baukasten?

Der wesentliche Unterschied zwischen ISO-27001 und BSI IT-Grundschutz liegt aber in der stärkeren operativen Konkretisierung und Standardisierung des BSI-Vorgehens.

Vereinfacht lässt sich der Unterschied folgendermaßen darstellen:

Die ISO 27001 legt somit den normativen Rahmen fest. Der IT-Grundschutz ergänzt diesen durch eine systematische Methodik und einen umfangreichen Anforderungskatalog.

Mehr Prüfungstiefe durch Strukturanalyse und Modellierung

Einer der größten Mehrwerte des BSI IT-Grundschutzes liegt in der systematischen Erfassung des Informationsverbunds.

Im Rahmen der Strukturanalyse werden unter anderem Geschäftsprozesse, Anwendungen, IT-Systeme, Kommunikationsverbindungen, Netze, Räume und organisatorische Abhängigkeiten aufgenommen. Vergleichbare Systeme können gruppiert werden, sofern sie hinsichtlich Schutzbedarf und technischer Eigenschaften ausreichend ähnlich sind.

Anschließend wird der Schutzbedarf ermittelt. Dabei wird bewertet, welche Auswirkungen eine Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit auf Prozesse und Zielobjekte hätte. Die Schutzbedarfsfeststellung bestimmt damit wesentlich, welche Anforderungen und weitergehenden Maßnahmen erforderlich sind.

Danach erfolgt die Modellierung: Für jedes relevante Zielobjekt werden passende Bausteine aus dem IT-Grundschutz-Kompendium ausgewählt. Im Grundschutz-Check wird anschließend der tatsächliche Umsetzungsgrad der Anforderungen dokumentiert und geprüft. Das BSI empfiehlt dabei nicht nur Interviews, sondern ausdrücklich auch Nachweise und Überprüfungen vor Ort, etwa Begehungen von Serverräumen oder Kontrollen von Konfigurationseinstellungen.

Damit bietet eine Zertifizierung auf Basis von IT-Grundschutz zahlreiche Vorteile:

1. Konkreterer Nachweis der tatsächlichen Sicherheitsumsetzung

Eine klassische ISO-27001-Zertifizierung bestätigt, dass ein funktionierendes Managementsystem vorhanden ist und Risiken methodisch behandelt werden.

Die Zertifizierung auf Basis von IT-Grundschutz geht hier deutlich weiter. Sie verlangt zusätzlich eine detaillierte Modellierung des Informationsverbunds sowie die Prüfung der relevanten Grundschutz-Anforderungen.

Damit wird nicht nur untersucht, ob ein Unternehmen einen funktionierenden Prozess zur Auswahl von Sicherheitsmaßnahmen besitzt. Es wird auch tatsächlich geprüft, wie diese Anforderungen in den betrachteten Systemen, Anwendungen, Netzen und organisatorischen Strukturen umgesetzt wurden.

2. Höhere Nachvollziehbarkeit und Vergleichbarkeit

Da der IT-Grundschutz auf einheitlichen Bausteinen, Schutzbedarfskategorien und Anforderungsstrukturen beruht, sind Sicherheitskonzepte leichter nachvollziehbar.

Kunden, Auditoren und Auftraggeber können besser erkennen:

• welche Bereiche vom Zertifikat umfasst werden,
• welche Zielobjekte betrachtet wurden,
• welche Bausteine angewendet wurden,
• welche Anforderungen erfüllt sind,
• welche Risiken gesondert behandelt wurden,
• wo Abweichungen oder Ersatzmaßnahmen bestehen.

Diese Standardisierung reduziert Interpretationsspielräume. Sie kann dadurch besonders in komplexen Lieferketten oder bei sicherheitskritischen Dienstleistungen Vertrauen schaffen.

3. Tiefere Durchdringung der technischen und organisatorischen Realität

Die ISO 27001 verlangt ein angemessenes Risikomanagement, überlässt die konkrete Ausgestaltung jedoch weitgehend der Organisation.

Der BSI IT-Grundschutz dagegen zwingt Unternehmen dazu, ihre tatsächliche IT- und Prozesslandschaft detailliert zu erfassen. Dadurch werden häufig Abhängigkeiten sichtbar, die in einer rein übergeordneten Betrachtung übersehen werden könnten, beispielsweise:

• gemeinsam genutzte Administrationssysteme,
• kritische Netzwerkverbindungen,
• veraltete Anwendungen,
• unklare Systemverantwortlichkeiten,
• Abhängigkeiten von Dienstleistern,
• unzureichend abgesicherte Räume,
• Lücken im Identitäts- und Berechtigungsmanagement,
• fehlende oder unvollständige Protokollierung.

Beim BSI IT-Grundschutz müssen für jeden Baustein zahlreiche Einzelanforderungen geprüft, bewertet und dokumentiert werden.

4. Klarere Verantwortlichkeiten

Die BSI-IT-Grundschutz-Bausteine benennen Rollen beziehungsweise Verantwortlichkeiten für die Umsetzung der jeweiligen Anforderungen.

Damit lässt sich Informationssicherheit konkreter in der Organisation verankern. Anforderungen werden nicht nur abstrakt beschrieben, sondern Verantwortlichen, Zielobjekten und Nachweisen zugeordnet.

Das erleichtert:

• die Maßnahmenplanung,
• die Steuerung von Verantwortlichkeiten,
• die Nachverfolgung offener Punkte,
• interne Kontrollen,
• Audits,
• die regelmäßige Berichterstattung an die Geschäftsführung.

5. Belastbarere Dokumentation

Im Audit gilt grundsätzlich: Eine Maßnahme muss nachvollziehbar geregelt, umgesetzt und nachgewiesen sein. Eine nur informell gelebte Vorgehensweise genügt in der Regel nicht.

Der BSI IT-Grundschutz erzeugt durch Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Grundschutz-Check, Risikoanalyse und Umsetzungsplanung eine umfangreiche Nachweiskette.

Diese Dokumentation ist aufwendig. Sie bietet jedoch einen wesentlichen praktischen Vorteil: Sicherheitsentscheidungen, Abweichungen und Restrisiken lassen sich später klar rekonstruieren – insbesondere relevant bei Personalwechseln, Kundenprüfungen, Sicherheitsvorfällen oder regulatorischen Nachweispflichten.

6. Bessere Grundlage für Audits und kontinuierliche Verbesserung

Informationssicherheit ist kein einmaliges Projekt. Systeme, Bedrohungen, Geschäftsprozesse und regulatorische Anforderungen verändern sich kontinuierlich.

Das BSI betont deshalb, dass eingeführte Sicherheitsmaßnahmen regelmäßig auf ihre Angemessenheit und Wirksamkeit überprüft werden müssen. Auch das IT-Grundschutz-Kompendium wird fortlaufend aktualisiert, um neue Technologien und Gefährdungen abzubilden.

9. Future Readiness

In Zukunft profitieren Organisationen beim BSI IT-Grundschutz zusätzlich vom Grundschutz++. Die vom BSI eingeführte, objektorientierte Weiterentwicklung des klassischen IT-Grundschutzes, die am 1. Januar 2026 gestartet ist und den "Stand der Technik" für ein modernes Informationssicherheitsmanagementsystem (ISMS) definiert, ersetzt starre Bausteine durch maschinenlesbare Formate, setzt auf Automatisierung und bietet schlankere Wege für die Umsetzung. Dadurch ergeben sich zahlreiche Vorteile und Erleichterungen:

• Maschinenlesbarkeit: Nutzung offener, standardisierter Formate (wie OSCAL/JSON) für die automatisierte Überwachung und Modellierung von Sicherheitsanforderungen durch Software-Tools.
• Objektorientierter Ansatz: Ablösung der bisherigen Bausteine durch ein System aus Praktiken, Zielobjektkategorien und Assets, was die Dokumentationslast senkt.
• Einfache Checklisten: Übernahme bewährter Checklisten (aus dem WiBA-Weg) für den schnellen Einstieg kleiner Institutionen oder erster Pilotprojekte ohne sofortigen, großen ISMS-Aufbau.

Engere ISO-Verknüpfung: Bessere Kombinierbarkeit mit internationalen Normen wie ISO/IEC 27001 zur Vermeidung von Doppelarbeit.

Ist BSI IT-Grundschutz grundsätzlich „besser“ als ISO 27001?

Nicht pauschal. Dennoch ist der BSI IT-Grundschutz besonders wertvoll, wenn Unternehmen:

• detaillierte und standardisierte Sicherheitsmethodik benötigen,
• viele komplexe technische Abhängigkeiten besitzen,
• besonders schutzbedürftige Informationen verarbeiten,
• gegenüber deutschen Auftraggebern einen vertieften Sicherheitsnachweis erbringen müssen,
• ihre Sicherheitsarchitektur systematisch dokumentieren möchten,
• nicht nur das Managementsystem, sondern auch die operative Umsetzung belastbar nachweisen wollen.

Unternehmen müssen sich allerdings bewusst sein: Die größere Prüfungstiefe hat ihren Preis. Strukturanalyse, Modellierung, Grundschutz-Check, Nachweisdokumentation und Auditvorbereitung erfordern erhebliche personelle und organisatorische Ressourcen.

Dennoch kann sich der Mehraufwand insbesondere für Organisationen lohnen, die hohe Anforderungen an Nachvollziehbarkeit, technische Prüfungstiefe und Vertrauen erfüllen müssen.