Cybersecurity-Beratung nach BSI-Standards, DIN SPEC 27076 und NIST

Hintergrund und Zielsetzung

Ein privater Bahndienstleister aus Duisburg (Nordrhein-Westfalen) plant, seine Prozesse im Rahmen der digitalen Transformation zu modernisieren und digital zu vernetzen. Da Bahnbetriebe Teil der kritischen Infrastruktur (KRITIS) sind, gelten strenge Cyber-Security-Anforderungen. Das deutsche KRITIS-Gesetz (IT-Sicherheitsgesetz 2.0) verlangt, dass Betreiber von kritischen Infrastrukturen Sicherheitsmaßnahmen implementieren, ein IT-Notfallmanagement betreiben und sicherstellen, dass wesentliche IT-Sicherheitsvorfälle unverzüglich an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Unternehmen im Verkehrs- und Transportsektor müssen u. a. Angriffserkennungssysteme einsetzen, eine Incident-Response-Organisation etablieren und die Einhaltung der BSI-Standards nachweisen.

Das Projekt hatte folgende Ziele:

Schutz von Betriebs- und IT-Systemen bei der Einführung digitaler Services.

Erfüllung gesetzlicher Vorgaben des KRITIS-Gesetzes sowie der BSI-Standards.

Aufbau eines Informationssicherheits-Managementsystems (ISMS), das modular erweiterbar ist und den Weg zu einer späteren ISO-27001-Zertifizierung öffnet.

Erhöhung der Cyber-Resilienz durch klar definierte Prozesse für Prävention, Erkennung, Reaktion und Wiederherstellung.

Standards und Rahmenwerke

BSI IT-Grundschutz und seine Kernstandards

Der BSI IT-Grundschutz bietet eine umfassende Methodik zum Aufbau eines Informationssicherheits-Managementsystems. Er liefert standardisierte, sofort umsetzbare Sicherheitsmaßnahmen, eine modulare, skalierbare Struktur und konkrete Richtlinien zur Risikoanalyse. Er besteht aus vier Kernstandards:

Die Anwendung des IT-Grundschutzes bringt Vorteile wie standardisierte Sicherheitspraktiken, umfassendes Risikomanagement, erhöhte Resilienz und Regel- und Compliance-Konformität. Dies schafft eine Basis für eine spätere ISO-27001-Zertifizierung.

DIN SPEC 27076 und der Cyber-Risiko-Check

DIN SPEC 27076 (2023) „IT-Sicherheitsberatung für kleine und Kleinstunternehmen“ wurde vom BSI gemeinsam mit dem Bundesverband mittelständische Wirtschaft entwickelt. Der Standard soll kleinen und mittleren Unternehmen (KMU) eine zeitsparende Einstiegsmöglichkeit in die IT-Sicherheit bieten. Der Cyber-Risko-Check basiert auf diesem Standard; er wird in einem 1–3-stündigen Interview durchgeführt, bei dem 27 Anforderungen in sechs Themenfeldern untersucht werden. Für jede Anforderung werden Punkte vergeben, und die Organisation erhält einen Bericht mit priorisierten Handlungsempfehlungen. Der Standard definiert sechs Themenbereiche:

• Organisation und Awareness – klare Zuordnung von IT-Sicherheitsverantwortungen und regelmäßige Mitarbeiterschulungen.
• Identity & Access Management – Passwort-Richtlinien, Multi-Faktor-Authentifizierung (MFA) und Entzug von Zugängen für ausgeschiedene Mitarbeiter.
• Datensicherung – regelmäßige, geprüfte Backups.
• Patch- und Change-Management – zeitnahe Installation von Sicherheitsupdates und definierte Change-Prozesse.
• Malware-Schutz – Einsatz aktueller Antivirus-Lösungen, Filterung von E-Mail-Anhängen und Richtlinien für externe Speichermedien.
• IT-Systeme und Netzwerk – technische Infrastruktur mit Firewall-Konfiguration, WLAN-Sicherheit, Netzwerksegmentierung und Umgang mit mobilen Geräten.

Diese strukturierte Erhebung erzeugt einen Schnellüberblick über den Sicherheitszustand und legt Handlungspunkte fest. Insbesondere kritische („TOP-“) Anforderungen werden hervorgehoben und sollen vorrangig umgesetzt werden.

NIST-Cybersecurity-Framework

Das NIST-Cybersecurity-Framework (CSF) dient als weltweit anerkannte Referenz für Cyber-Security-Management. In Version 1.1 umfasst es fünf Funktionsbereiche – Identify, Protect, Detect, Respond und Recover. Diese bilden das Rückgrat eines ganzheitlichen Sicherheitsprogramms und helfen dabei, das Management von Cyber-Risiken strukturiert abzubilden. Zu den Funktionsbereichen gehören:

Projektablauf beim Bahndienstleister

1. Analysegespräche und Bestandsaufnahme

Gemeinsam mit der Geschäftsführung und den IT-Verantwortlichen des Bahndienstleisters wurde ein Analysegespräch durchgeführt. Im Sinne des NIST-Identify-Funktionsbereichs wurden Assets, Geschäftsprozesse und Verantwortlichkeiten identifiziert. Dabei flossen die KRITIS-Pflichten für Bahnbetreiber ein (z. B. Einsatz von Angriffserkennungssystemen, Einhaltung der Meldepflichten). Die Erhebung orientierte sich am Cyber-Risko-Check: 27 Anforderungen in sechs Themenfeldern wurden systematisch abgefragt und bewertet.

Ergebnis

Klare Dokumentation aller IT-Systeme (u. a. Zugleitstelle, Fahrgast-Information, Werkstattnetz), Identifizierung von Cloud-Diensten sowie OT-Systemen (Bahnstellwerk-Steuerungen). Sicherheitsverantwortliche und Ansprechpartner wurden benannt.

2. Ermittlung von Fehlerquellen und Risikobewertung

Die Analyse zeigte mehrere Schwachstellen:

Fehlende Mehrfaktor-Authentifizierung bei Remote-Zugriffen (Verstoß gegen Identity- & Access-Management aus DIN SPEC 27076).

Unzureichende Backup-Strategie

Backups wurden unregelmäßig durchgeführt und nicht getestet.

Veraltete Softwarestände und fehlendes Patch-Management.

Segmentierungslücken

Das Office-IT-Netzwerk und die OT-Netze (Bahnstellwerke) waren nicht sauber getrennt.

Geringe Awareness in der Belegschaft hinsichtlich Phishing und Social Engineering.

Fehlende Notfall- und Wiederanlaufpläne.

Diese Schwachstellen wurden anhand der BSI-Schutzbedarfsfeststellung bewertet und als TOP-Anforderungen markiert, deren Erfüllung dringend ist.

3. Definition des Soll-Zustands

Basierend auf den Standards wurde ein Soll-Zustand entworfen:

Ein ISMS gemäß BSI 200-1/200-2, das alle relevanten Assets, Prozesse und Risiken abbildet, dokumentiert und regelmäßig auditierbar ist.

Durchgängige Netzwerksegmentierung zwischen Office-IT und Betriebstechnik (OT), die über Firewalls und VLANs voneinander getrennt werden.

Identity-&-Access-Management mit MFA für alle kritischen Systeme.

Regelmäßige, getestete Backups mit Off-Site-Aufbewahrung.

Patch- und Change-Management-Prozess gemäß DIN SPEC 27076.

Bewusstseins- und Schulungsprogramme für Mitarbeitende.

Intrusion-Detection-Systeme (IDS), die Anomalien erkennen (NIST-Detect).

Notfall- und Disaster-Recovery-Pläne nach BSI 200-4 und NIST-Recover.

Dokumentiertes Notfallmanagement mit Meldeprozessen an das BSI nach KRITIS-Vorgaben.

4. Maßnahmenentwicklung und Sicherheitskonzept

Auf Basis der Soll-Zustandsdefinition wurden Maßnahmen definiert. Das resultierende Sicherheitskonzept verbindet BSI-IT-Grundschutz, DIN SPEC 27076 und NIST:

• Organisationsstruktur und Governance – Einführung eines Informationssicherheitsbeauftragten (ISB) mit klarer Berichtsstruktur; Erstellung von Sicherheitsrichtlinien und eines Rollen- & Berechtigungskonzepts (BSI 200-1).
• Netzwerkarchitektur – Segmentierung in Office-IT, Betriebssteuerungsnetz (OT) und DMZ. Firewalls und VLANs regeln den Datenfluss; kritische Komponenten werden redundant ausgelegt.
• Identity- & Access-Management – Einführung von MFA für Fernzugriffe, Rollen-basiertes Berechtigungsmanagement und regelmäßige Prüfung aktiver Benutzerkonten.
• Backup-Management – Implementierung automatisierter Datensicherungen (online/offline), regelmäßige Wiederherstellungstests (Table-Top-Übungen).
• Patch- & Change-Management – Einrichtung eines Systems zur Überwachung von Sicherheitsupdates; Definition eines Change-Boards für geplante Änderungen.
• Malware-Schutz – Installation von zentral verwalteter Antivirensoftware, E-Mail-Gateways mit Malware-Filter und Richtlinien für den Umgang mit Wechseldatenträgern.
• Schulung & Awareness – Regelmäßige Sensibilisierungskampagnen zu Phishing und Social Engineering; Schulungen für technische Mitarbeiter zu OT-Sicherheit und sicheren Konfigurationen.
• Asset-Management – Einrichtung einer zentralen Inventar-Datenbank; Assets werden den BSI-Bausteinen zugeordnet (Hardware, Software, Infrastruktur).
• Incident-Response-Plan – Ausarbeitung einer Reaktionsstrategie mit Kommunikationsmatrix, Zuständigkeiten und Notfallübungen (NIST-Respond).
• Disaster-Recovery-Plan – Festlegung von Wiederanlaufplänen, Datensicherungsszenarien und alternativen Betriebsabläufen (BSI 200-4 und NIST-Recover).

5. Umsetzung

Die Umsetzung erfolgte in mehreren Phasen über sechs Monate:

Planung und Priorisierung

Basierend auf dem Cyber-Risko-Check wurden TOP-Anforderungen priorisiert. Ein Projektplan mit Verantwortlichkeiten wurde erstellt.

Technische Implementierung

Netzwerksegmentierung und Firewalls wurden konfiguriert; ein SIEM-System zur Anomalie-Erkennung implementiert (Detect). Backup-Server und Off-Site-Speicher wurden eingerichtet.

Prozess- und Dokumentationsaufbau

Erstellung von Richtlinien, Notfallplänen und Change-Management-Prozessen. Die Maßnahmen wurden in das ISMS eingegliedert.

Schulung und Test

Mitarbeiterschulungen wurden durchgeführt; Notfall- und Wiederherstellungsübungen simulierten Szenarien wie Ransomware-Angriffe.

Abnahme und Reporting

Abschlussbericht mit Risikobewertung, Umsetzungserfolg und offenen Punkten. Die Ergebnisse wurden der Geschäftsführung präsentiert und für eine mögliche Förderung (z. B. go-digital-Programm) dokumentiert.

Ergebnisse und Nutzen

Erhöhter Sicherheitsstatus

Der Cyber-Risko-Check zeigte eine deutliche Steigerung der Bewertung; alle TOP-Anforderungen wurden erfüllt.

Compliance

Die implementierten Maßnahmen erfüllen die Anforderungen des KRITIS-Gesetzes. Das Unternehmen ist melde- und prüffähig gegenüber dem BSI.

Transparente IT-Landschaft

Durch das Asset-Management existiert ein aktuelles Inventar aller Systeme und Verantwortlichkeiten.

Verbesserte Resilienz

Regelmäßige Backups, Notfallübungen und ein Disaster-Recovery-Plan minimieren Ausfallzeiten.

Sensibilisierte Mitarbeitende

Phishing-Simulationen und Schulungen führten zu einem messbaren Rückgang der Klick-Raten und erhöhter Sicherheitskultur.

Grundlage für ISO 27001

Durch die Anwendung des BSI IT-Grundschutzes ist die Grundlage für eine spätere Zertifizierung geschaffen worden; das Unternehmen plant, den Standard schrittweise auszubauen.

Fazit und Ausblick

Die Fallstudie zeigt, dass die Kombination aus BSI-IT-Grundschutz, DIN SPEC 27076 und NIST-CSF eine praxisorientierte, skalierbare Lösung für mittelständische Bahndienstleister darstellt. Der Cyber-Risko-Check ermöglicht einen schnellen Einstieg und fokussiert die Ressourcen auf dringliche Risiken, während der BSI-Grundschutz die systematische Umsetzung eines ISMS sicherstellt. Die Ergänzung durch NIST verankert globale Best Practices für Erkennung, Reaktion und Wiederherstellung.

Für die Zukunft plant der Bahndienstleister, das ISMS mit weiteren BSI-Bausteinen zu erweitern (z. B. Mobile Device Management, Cloud-Security) und sich an den Anforderungen der EU-NIS2-Richtlinie zu orientieren. Zusätzlich soll der Erfahrungsaustausch mit anderen KRITIS-Betreibern gesucht werden, um Sicherheitsstandards im Bahnbereich kontinuierlich zu verbessern.

Visuelle Darstellung

Die folgende Abbildung veranschaulicht das Sicherheitskonzept für einen Bahndienstleister. Sie zeigt die Trennung von Betriebsnetz (OT) und Office-IT, getrennt durch eine Firewall, sowie Elemente wie Backup-Speicher, Intrusion-Detection, Zugriffskontrolle und Disaster-Recovery.