Sicherheit als Code: Wie die BSI-Reform den IT-Grundschutz maschinenlesbar macht
Ein IT-Dienstleister stellt ein Werkzeug vor, das den reformierten BSI-Standard „Grundschutz++" auswertbar machen soll. Dahinter steht der größte Umbau des IT-Grundschutzes seit Jahrzehnten – und die Idee, Informationssicherheit nicht mehr in Prosa, sondern in Code zu gießen.
Wenn ein kleiner IT-Dienstleister ein neues Software-Cockpit ankündigt, ist das für sich genommen keine große Nachricht. Interessant wird sie durch das, worauf sie sich bezieht: den „Grundschutz++", die runderneuerte Fassung eines Regelwerks, das seit rund drei Jahrzehnten prägt, wie Behörden und Unternehmen in Deutschland ihre Informationssicherheit organisieren. Dass sich um diesen neuen Standard bereits erste Werkzeuge gruppieren, ist ein Signal dafür, dass der Umbau in der Praxis ankommt.
Von 6.500 Anforderungen auf unter 1.000
Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) galt lange als gründlich, aber auch als sperrig. Wer ihn umsetzen wollte, arbeitete sich durch Bausteine, Gefährdungskataloge und Maßnahmenlisten, die über die Jahre auf mehrere tausend Einzelanforderungen angewachsen waren. Für große Organisationen mit eigener Sicherheitsabteilung war das machbar. Für kleinere Betriebe wirkte der Standard oft abschreckend.
Der reformierte Grundschutz++, der laut BSI-Angaben seit Anfang 2026 vorliegt und über die kommenden Jahre schrittweise verbindlich werden soll, setzt genau hier an. Die ursprünglich mehr als 6.500 Teilanforderungen wurden nach Darstellung des BSI auf knapp tausend konsolidierte Anforderungen zusammengeführt und in einer überschaubaren Zahl prozessorientierter „Praktiken" gebündelt. Der Anspruch: weniger Bürokratie, mehr Risikoorientierung – und ein Regelwerk, das sich stärker daran ausrichtet, was ein Betrieb tatsächlich schützen muss.
Der eigentliche Bruch liegt im Format
Die auffälligste Neuerung ist jedoch keine inhaltliche, sondern eine technische. Der Grundschutz++ liegt nicht mehr nur als Text für Menschen vor, sondern zusätzlich in einem maschinenlesbaren Format. Grundlage ist OSCAL, die „Open Security Controls Assessment Language" – ein offener Standard, der Sicherheitsanforderungen in strukturierten Daten beschreibt, statt in Fließtext. Fachleute sprechen von „Compliance as Code": Die Regeln werden so formuliert, dass Software sie direkt lesen, abgleichen und auswerten kann.
Was technisch klingt, hat handfeste Folgen. Bisher mussten Sicherheitsverantwortliche den Erfüllungsstand einzelner Anforderungen von Hand in Tabellen oder Spezialprogramme übertragen. Wenn Anforderungen dagegen als Daten vorliegen, lässt sich dieser Abgleich teilweise automatisieren – von der Bestandsaufnahme über die Nachverfolgung offener Maßnahmen bis zum prüffähigen Bericht. Genau in diese Lücke stoßen Werkzeuge wie das erwähnte Cockpit, das nach Angaben des Anbieters die maschinenlesbaren Kataloge einliest und in eine steuerbare Übersicht überführt.
Reifegrade statt Ja oder Nein
Verändert hat sich auch die Bewertungslogik. Wo früher oft nur zwischen „erfüllt" und „nicht erfüllt" unterschieden wurde, tritt nun eine mehrstufige Reifegrad-Einordnung. Eine Maßnahme kann also nicht nur vorhanden oder abwesend sein, sondern in unterschiedlicher Tiefe umgesetzt werden. Für Organisationen ergibt das ein differenzierteres Bild ihres eigenen Sicherheitsstands, für Auditoren einen genaueren Maßstab. Ergänzt wird das Ganze durch einen ungewöhnlich offenen Bereitstellungsweg: Teile des Standards werden nach Angaben aus der Fachszene über eine öffentliche Plattform gepflegt, was fortlaufende Aktualisierungen erleichtern soll.
Warum das über die IT-Abteilung hinausreicht
Der Umbau fällt in eine Zeit, in der die Anforderungen an digitale Sicherheit ohnehin steigen – etwa durch europäische Vorgaben, die deutlich mehr Unternehmen als bisher zu einem strukturierten Sicherheitsmanagement verpflichten. Ein Standard, der schlanker und zugleich werkzeuggestützt auswertbar ist, könnte gerade für den Mittelstand die Einstiegshürde senken. Zugleich gilt: Ein maschinenlesbarer Katalog nimmt niemandem die eigentliche Arbeit ab. Ob Zugänge sauber verwaltet, Datensicherungen getestet und Notfälle geübt werden, entscheidet weiterhin die Organisation selbst – die Automatisierung macht nur sichtbarer, wo es hakt.
Für die kommenden Jahre ist eine Übergangsphase vorgesehen, in der alte und neue Fassung nebeneinander bestehen. Betriebe geraten also nicht über Nacht unter Zugzwang. Wer sich frühzeitig mit dem neuen Format befasst, dürfte aber im Vorteil sein – nicht wegen der Software, die es dazu gibt, sondern weil die Grundidee, Sicherheit systematisch und nachvollziehbar zu steuern, unabhängig vom Werkzeug trägt.
Dieser Beitrag ist eine redaktionelle Einordnung eines Branchentrends und keine Empfehlung für ein bestimmtes Produkt. Angaben zu einzelnen Werkzeugen beruhen auf Herstellerangaben.