BSI IT-GRUNDSCHUTZ & ISMS

Grundschutz++ lesbar machen – und endlich steuern: vom OSCAL-Katalog zum gelebten ISMS

📖 Lesezeit: ca. 14 Minuten · Aktualisiert Juli 2026 · ISW Grundschutz++ Cockpit

Das BSI hat den IT-Grundschutz modernisiert. Der neue „Grundschutz++“ erscheint im OSCAL-Format – maschinenlesbar, standardisiert, zukunftssicher. Ein echter Fortschritt für Werkzeuge und Automatisierung. Für den Menschen, der den Grundschutz tatsächlich umsetzen soll, ist eine OSCAL-Datei allerdings ein Problem.

Wie lese ich hunderte verschachtelte Anforderungen im Klartext? Wer setzt was bis wann um? Wie hoch ist der Umsetzungsgrad? Wie modelliere ich meine Zielobjekte und weise den Grundschutz strukturiert je System nach? Wo ist der Nachweis für die Revision? Wie arbeiten mehrere im Team am selben Katalog? Und was passiert mit meinen Bewertungen, wenn das BSI den Katalog aktualisiert?

Genau dafür habe ich das ISW Grundschutz++ Cockpit gebaut. Es beantwortet diese Fragen in einer Oberfläche – lokal oder gemeinsam im Netzwerk, ohne Cloud-Zwang, in deutscher Sprache. Es vereint zwei Dinge, die man sonst getrennt pflegt: einen lesbaren Katalog-Browser für OSCAL und einen vollwertigen Umsetzungs-, Aufwands- und Nachweistracker für Ihr ISMS. Neu kommt das klassische BSI-Vorgehen je Zielobjekt hinzu – von der Strukturanalyse über den Schutzbedarf bis zum IT-Grundschutz-Check.

Das Problem: maschinenlesbar heißt nicht menschenlesbar

OSCAL (Open Security Controls Assessment Language) ist ein maschinenlesbares Format für Sicherheitskataloge, Profile und Nachweise. Der Vorteil: Anforderungen lassen sich maschinell verarbeiten und vergleichen. Der Nachteil: Ohne passendes Werkzeug ist der Inhalt für Menschen praktisch unzugänglich – interne IDs, Parameter-Platzhalter, tief verschachtelte Strukturen. Wer den Grundschutz umsetzen will, braucht die Anforderung im Klartext: mit aufgelösten Parametern, klarer MUSS/SOLLTE-Kennzeichnung, Schutzzielen und Umsetzungshinweisen.

Und selbst wenn man die JSON lesen könnte: Ein gelebtes ISMS besteht nicht aus Lesen. Es besteht aus Planen, Zuständigkeiten verteilen, Fristen einhalten, Aufwände schätzen, Nachweise sammeln und der Leitung berichten. Die meisten Teams behelfen sich mit einer Sammlung aus Katalog-PDF, Excel-Tracker und Berichtsvorlage – drei getrennte Werkzeuge bedeuten dreifache Pflege und Medienbrüche an jeder Ecke.

Was das Werkzeug macht

Der Ablauf ist so einfach wie naheliegend: Katalog laden, im Baum navigieren, Anforderungen im Klartext lesen und filtern, pro Anforderung den Umsetzungsstand erfassen, speichern – und daraus per Klick Auswertungen, Berichte und Nachweise erzeugen. Wer strukturiert nach BSI-Methodik arbeiten will, geht den Weg über einzelne Zielobjekte (siehe nächster Abschnitt). Jede Anforderung wird um das angereichert, was zur Steuerung nötig ist:

Lesbarer Katalog	Baumnavigation, Volltextsuche und Filter nach Sicherheitsstufe, MUSS/SOLLTE, Status, Bearbeiter und Überfälligkeit – Anforderungen im Klartext mit aufgelösten Parametern
Umsetzung erfassen	Status, Priorität, Bearbeiter, Fälligkeit, Aufwand in Stunden, Bemerkung, Nachweis, echte Dateianhänge, SOLLTE-Abweichungsbegründung und eigene Schlagworte – je Anforderung
Zielobjekte & Schutzbedarf NEU	Strukturanalyse des Informationsverbunds: Zielobjekte erfassen und je Zielobjekt Vertraulichkeit, Integrität und Verfügbarkeit einstufen – mit automatischem Maximumprinzip
Modellierung NEU	Jedem Zielobjekt die passenden Grundschutz-Bausteine zuordnen – so wird je Zielobjekt genau die relevante Anforderungsmenge geprüft statt des gesamten Katalogs
IT-Grundschutz-Check je Zielobjekt NEU	Umsetzungsstatus der Anforderungen je Zielobjekt erfassen, Umsetzungsgrad live – der Status ist strikt zielobjektbezogen (umgesetzt für das eine, offen für das andere)
Berichte je Zielobjekt NEU	Statusbericht, Erklärung zur Anwendbarkeit (SoA) und Maßnahmenplan für ein einzelnes Zielobjekt – aus dem Check-Reiter oder dem Report-Menü
Auswertung	Umsetzungsgrad in % mit Fortschrittsbalken je Baustein, Aufwand in Stunden und Personentagen, Statusverteilung und Fälligkeitssicht – live
Verlauf & Trend	Snapshots je Stichtag mit Liniendiagramm beantworten die Frage „Wie war der Stand vor drei Monaten?“
Fristen im Blick	Erinnerung beim Start an überfällige und demnächst fällige Anforderungen – mit Direktsprung zur Arbeitsliste
Maßnahmenplan & Priorität	Offene Anforderungen als priorisierte Arbeitsliste (Hoch/Mittel/Niedrig), sortiert nach Priorität und Frist – als PDF oder HTML, überfällige rot markiert
Revisionssicher	Nachweisfelder, Dateianhänge und ein lückenloses Änderungsprotokoll (Audit-Trail) über alle Reiter – exportierbar als CSV
Erklärung zur Anwendbarkeit (SoA)	Je Anforderung anwendbar oder ausgeschlossen, mit Begründung, Status und Nachweis – als PDF, HTML oder CSV; fehlende Ausschluss-Begründungen werden markiert
Berichte & Export	Management-Statusbericht (PDF/HTML), Katalog-Report, Umsetzungsplan als Excel/CSV inkl. Rück-Import, Einzelnachweis je Anforderung – auf Wunsch per E-Mail
Netzwerk & Team	Wahlweise lokal oder gemeinsam im Netzwerk: Katalog, Verlauf, Protokoll, Nachweise und Team-Einstellungen zentral – mehrere Bearbeiter gleichzeitig, ohne Datenverlust
Update-fest	Bewertungen überstehen BSI-Katalog-Updates; die Übernahme erfolgt automatisch mit strukturiertem Änderungsbericht, dazu Referenzprüfung gegen die BSI-Edition 2023

Neu: das klassische BSI-Vorgehen – jetzt je Zielobjekt

NEU IM JULI 2026

Bisher haben Sie den Grundschutz katalogweit bewertet – ideal für den schnellen Überblick. Neu unterstützt das Cockpit zusätzlich das klassische BSI-Vorgehensmodell mit einzelnen Zielobjekten. So planen und weisen Sie den IT-Grundschutz strukturiert nach – je Anwendung, IT-System, Raum oder Organisationseinheit, genau wie es die BSI-Methodik vorsieht. Der rote Faden führt in fünf Schritten von der Struktur bis zum prüffähigen Bericht:

1	Strukturanalyse Sie erfassen Ihre Zielobjekte – die Bausteine Ihres Informationsverbunds: Anwendungen, IT-Systeme, Räume, Netze oder Organisationseinheiten, jeweils mit Kürzel, Name und Typ.
2	Schutzbedarf feststellen Je Zielobjekt stufen Sie Vertraulichkeit, Integrität und Verfügbarkeit ein (normal, hoch, sehr hoch) – mit Begründung. Den höchsten Schutzbedarf ermittelt das Cockpit automatisch nach dem Maximumprinzip.
3	Modellierung Sie ordnen jedem Zielobjekt die passenden Grundschutz-Bausteine zu. So arbeiten Sie je Zielobjekt genau die relevanten Anforderungen ab – nicht den ganzen Katalog.
4	IT-Grundschutz-Check je Zielobjekt Je Zielobjekt erfassen Sie den Umsetzungsstatus seiner Anforderungen; der Umsetzungsgrad wird live angezeigt. Der Status ist strikt zielobjektbezogen – dieselbe Anforderung kann für ein Zielobjekt umgesetzt und für ein anderes offen sein.
5	Berichte je Zielobjekt Statusbericht, Erklärung zur Anwendbarkeit (SoA) und Maßnahmenplan erzeugen Sie für ein einzelnes Zielobjekt – aus dem Check-Reiter oder aus dem Report-Menü. Beschreibende Angaben aus dem Katalog (z. B. Bearbeiter oder Begründung) übernimmt der Bericht automatisch.

Durchgängig BSI-konform. Damit bildet das Cockpit das klassische BSI-Vorgehensmodell vollständig ab – von der Strukturanalyse bis zum prüffähigen Bericht je Zielobjekt. Die katalogweite Arbeitsweise bleibt erhalten: Beide Sichten ergänzen sich, und beim ersten Öffnen eines bereits bewerteten Katalogs übernimmt das Cockpit Ihren Stand automatisch in ein Zielobjekt „Gesamt“ – Sie verlieren nichts.

Für wen ist das gedacht?

🔒 Informationssicherheitsbeauftragte und ISMS-Verantwortliche

Behalten den Umsetzungsstand jeder Anforderung im Griff – katalogweit oder strukturiert je Zielobjekt –, priorisieren die nächsten Maßnahmen, sehen Aufwände und Fristen auf einen Blick und berichten fundiert an die Leitung – mit einer Kennzahl statt eines 300-Seiten-Katalogs.

💼 Berater und Auditoren

Sichten Kataloge im Klartext, modellieren den Informationsverbund je Zielobjekt, stellen kundenspezifische Baselines zusammen und liefern prüffähige Nachweise samt Erklärung zur Anwendbarkeit – auf Wunsch im eigenen Branding, denn Firmenname und Logo des Kunden erscheinen im Kopf aller Reports und E-Mails.

🏢 Behörden und Unternehmen

Erhalten eine institutionsspezifische Auswahl relevanter Anforderungen samt Umsetzungsplan, Fristenüberwachung und Revisionsnachweis – je Zielobjekt strukturiert – und arbeiten im Team gemeinsam am selben Katalog im Netzwerk.

Management und Revision: die zwei entscheidenden Perspektiven

Zwei Anforderungen entscheiden in der Praxis über den Erfolg eines ISMS-Werkzeugs. Erstens das Management-Reporting: Die Leitung will keinen Katalog, sondern eine Kennzahl. Zweitens die Revisionsfähigkeit: Prüfer wollen belegt sehen, wodurch eine Anforderung erfüllt ist und wer wann etwas verändert hat.

Beides ist eingebaut. Umsetzungsgrad in Prozent, Trendkurve und kompakter Statusbericht liefern der Leitung genau die Kennzahl, die sie braucht – gesamt oder je Zielobjekt. Nachweisfelder, echte Dateianhänge und ein lückenloser Audit-Trail über alle Reiter machen für die Revision dokumentierbar, wodurch eine Anforderung erfüllt ist – und wer wann welchen Status gesetzt hat.

Von der Planung bis zum Audit – und jetzt auch im Team

Drei Bausteine schließen den Kreis von der ersten Sichtung bis zur Prüfung. Der Maßnahmenplan beantwortet die Frage „Was ist als Nächstes zu tun?“: Er bündelt die noch offenen Anforderungen zu einer priorisierten Arbeitsliste – nach Priorität (Hoch, Mittel, Niedrig) und Frist sortiert, überfällige zuoberst, mit Bearbeiter und Aufwand. So wird aus „offen“ eine konkrete, abarbeitbare Reihenfolge.

Die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) ist das Dokument, das Prüfer zuerst sehen wollen: je Anforderung anwendbar oder ausgeschlossen, mit Begründung, Status und Nachweis. Das Cockpit erzeugt sie auf Knopfdruck als PDF, HTML oder CSV – und markiert automatisch, wo ein Ausschluss („Entfällt“) noch nicht begründet ist. Eine Kennzahl zeigt sofort, ob die SoA vollständig ist. Beide Berichte gibt es katalogweit und je einzelnem Zielobjekt.

Und im Team: Wahlweise arbeitet das Cockpit lokal auf einem PC oder gemeinsam über einen Netzwerkordner. Im Netzwerkbetrieb liegen Katalog, Verlauf, Änderungsprotokoll, Nachweise und die Team-Einstellungen zentral – alle Bearbeiter sehen denselben Stand, und gleichzeitige Änderungen werden sauber zusammengeführt, ohne dass Einträge verloren gehen.

Update-fest: Bewertungen überstehen Katalog-Updates

Ein Grundschutzkatalog ist nicht in Stein gemeißelt – das BSI aktualisiert ihn. In einer Excel-Lösung bedeutet jedes Update mühsames Abgleichen von Hand, oft verbunden mit Datenverlust. Das Cockpit speichert Ihre Bewertungen strukturiert an der Anforderung selbst. Beim Laden eines neuen Katalogstands werden sie automatisch übernommen, und ein strukturierter Änderungsbericht zeigt, was hinzugekommen, entfallen oder geändert ist. So bleibt Ihre Arbeit erhalten, und Sie sehen sofort, wo Handlungsbedarf entsteht.

Technischer Rahmen

Plattform	Windows-Desktopanwendung (.NET / WPF), eigenständig ausgeliefert und lizenzgeschützt, Start mit Administratorrechten
Format	OSCAL 1.1.3 – BSI Grundschutz++ und Edition 2023 (ED23)
Datenhaltung	Wahlweise lokal im Benutzerprofil oder gemeinsam in einem Netzwerkordner (Mehrbenutzerbetrieb); SMTP-Kennwort AES-256-verschlüsselt, kein Cloud-Zwang
Ausgaben	PDF, HTML und CSV/Excel; Versand direkt per E-Mail (SMTP), auf Wunsch im Kunden-Branding

Fazit

Der Umstieg auf OSCAL ist die Zukunft des IT-Grundschutzes – aber erst mit dem passenden Werkzeug wird aus dem Format ein Nutzen. Das ISW Grundschutz++ Cockpit macht den Grundschutz++ lesbar, planbar und nachweisbar: vom schnellen katalogweiten Überblick bis zum strukturierten BSI-Vorgehen je Zielobjekt – Strukturanalyse, Schutzbedarf, Modellierung, IT-Grundschutz-Check und Bericht. Von der ersten Sichtung über Priorisierung und Umsetzungsplanung bis zur Erklärung zur Anwendbarkeit und zum Bericht für Leitung und Revision – allein oder im Team. Ein Werkzeug statt drei – lokal, deutsch und update-fest.

ISW Grundschutz++ Cockpit

Lesbarer OSCAL-Katalog, BSI-Vorgehen je Zielobjekt (Strukturanalyse, Schutzbedarf, Modellierung, IT-Grundschutz-Check), Umsetzungsplanung mit Priorisierung, Auswertung, Verlauf, Fristen, Audit-Trail, Erklärung zur Anwendbarkeit und Maßnahmenplan – lokal oder gemeinsam im Team-Netzwerk.

Mehr erfahren →

Jörn Walter · IT-Service Walter ·
der-windows-papst.de |
isw-adtools.de