Grundschutz ohne Zertifikatsdruck: Wie ein kleines Team eine tragfähige BSI-Richtlinie aufsetzt

Wer als mittelständisches Unternehmen heute mit IT-Sicherheit beginnt, gerät schnell in eine Welt, die für Konzerne gebaut wurde: ISMS-Handbücher mit mehreren hundert Seiten, Zertifizierungsaudits, externe Datenschutzbeauftragte und Beratungsleistungen, die schnell das Budget einer ganzen IT-Abteilung verschlingen. Dabei verlangt weder der Gesetzgeber noch das BSI, dass ein Maschinenbauer mit 180 Beschäftigten dieselben Prozesse aufbaut wie ein DAX-Konzern. Gefordert ist vielmehr ein dokumentierter, nachvollziehbarer und gelebter Mindeststandard – und genau den kann ein kleines Team selbst erstellen.

Warum die eigene Richtlinie dem Standardpaket oft überlegen ist

Der BSI-IT-Grundschutz bietet mit seinem Bausteinmodell genau die Modularität, die der Mittelstand braucht. Statt alle Anforderungen zu übernehmen, wählt man diejenigen Bausteine aus, die zur eigenen Systemlandschaft passen. Wer keine Hochverfügbarkeitsrechenzentren betreibt, muss auch keine entsprechenden Kapitel abarbeiten. Das klingt trivial, wird aber in der Praxis selten konsequent umgesetzt – meist, weil die Erstellung der Richtlinie an eine externe Beratung ausgelagert wird, die lieber vollständig als passgenau dokumentiert.

Der entscheidende Vorteil der Eigenarbeit liegt nicht im Preis, sondern in der Wirkung: Eine Richtlinie, die das Team selbst formuliert hat, wird eher verstanden, eher befolgt und eher aktualisiert. Eine zugekaufte Vorlage landet dagegen häufig im Intranet-Ordner, den niemand öffnet – bis der Ernstfall eintritt.

Das Szenario: Vier Personen, zwölf Wochen, ein Dokument

Stellen wir uns ein typisches Unternehmen vor: ein Anlagenbauer mit rund 250 Mitarbeitenden, einer IT-Abteilung von drei Personen und einem Datenschutzbeauftragten in Teilzeit. Aus dieser Gruppe wird ein Kern-Team gebildet – ergänzt um eine Vertretung der Geschäftsführung, die formal die Verantwortung trägt und später als Sponsor wirkt.

Der Ablauf lässt sich in vier Phasen gliedern:

1. Strukturaufnahme (Wochen 1–3): Zunächst wird ein einfaches Inventar erstellt. Welche Systeme, Anwendungen und Datenbestände existieren? Wo liegen Schnittstellen zu Kunden und Lieferanten? Das BSI-Modell der Schutzbedarfsfeststellung hilft hier, denn es zwingt dazu, für jede Domäne die Kategorien Vertraulichkeit, Integrität und Verfügbarkeit einzuschätzen – in einfachen Worten: Was passiert, wenn das weg ist oder öffentlich wird?

2. Bausteinauswahl (Wochen 4–6): Auf Basis der Schutzbedarfe werden passende Grundschutz-Bausteine ausgewählt. Für die meisten Mittelständler ergeben sich daraus 15 bis 25 relevante Bausteine – ein Bruchteil des Gesamtkatalogs.

3. Formulierung (Wochen 7–10): Jetzt entsteht der eigentliche Richtlinientext. Wichtig ist hier die Regel: pro Anforderung ein Satz, pro Satz eine klare Zuweisung. Wer macht was, bis wann, mit welchem Ergebnis?

4. Freigabe und Kommunikation (Wochen 11–12): Die Geschäftsführung zeichnet die Richtlinie formal ab. Anschließend folgt keine E-Mail-Flut, sondern eine kurze Schulungsreihe pro Abteilung, in der nur die jeweils relevanten Abschnitte behandelt werden.

Musterinhalt: Die sechs Kapitel, die es braucht

Eine schlanke Richtlinie für den Mittelstand kommt mit sechs Kapiteln aus:

1. Geltungsbereich und Verantwortlichkeiten – wer ist wofür verantwortlich, wer vertritt wen?
2. Schutzbedarfsfeststellung – die übersichtliche Systemliste mit Bewertung
3. Zugriffs- und Berechtigungsmanagement – Rollenkonzept, Onboarding, Offboarding
4. Passwort-, MFA- und Endpunktregeln – inklusive privater Geräte (BYOD), wenn vorhanden
5. Backup, Notfall und Wiederanlauf – Wiederanlaufzeiten pro System, dokumentierte Restore-Tests
6. Vorfallmanagement und Meldeverfahren – wer wird informiert, ab wann besteht Meldepflicht etwa nach DSGVO oder NIS2

Alles darüber hinaus – etwa ausführliche Kryptografievorgaben oder Cloud-Anforderungen – kann als Anlage folgen, wenn es tatsächlich relevant wird.

Die drei typischen Stolperfallen

Falle 1: Die Vollständigkeitsspirale. Teams geraten in den Versuch, jede denkbare Situation zu regeln. Das Ergebnis ist ein Dokument, das niemand liest. Besser: Lieber zehn verbindliche Regeln als hundert unverbindliche.

Falle 2: Fehlende Geschäftsführungsanbindung. Ohne formale Freigabe durch die Leitung bleibt die Richtlinie eine IT-Interneinung. Das schwächt nicht nur die Durchsetzung gegenüber Abteilungen, sondern kann im Haftungsfall auch problematisch sein.

Falle 3: Der fehlende Review-Turnus. Eine Richtlinie ohne festes Überprüfungsdatum ist in zwei Jahren wertlos. Ein jährlicher Review-Termin, fest im Kalender verankert, genügt völlig.

Fazit: Pragmatismus schlägt Perfektion

Eine eigene BSI-orientierte Sicherheitsrichtlinie ist für den Mittelstand keine Kür, sondern längst Pflicht – sei es durch Kundenanforderungen in Ausschreibungen, durch die wachsende Regulatorik oder schlicht durch das wirtschaftliche Interesse an funktionierenden Abläufen. Der Weg dorthin muss aber nicht über Zertifizierungsprojekte führen. Ein kleines, intern getragenes Team, der Grundschutz als Ordnungsrahmen und der Mut zur Schlankheit reichen aus, um in einem Quartal ein Dokument zu schaffen, das im Ernstfall tatsächlich trägt.