IT-Sicherheitskonzept: Inhalte, Vorlage und Ablauf in 6 Schritten

Firewall, Virenschutz, Backups: Die meisten Unternehmen haben einzelne Schutzmaßnahmen im Einsatz. Was oft fehlt, ist der Plan dahinter. Welche Daten sind besonders schützenswert? Welche Risiken sind realistisch? Und wer ist wofür zuständig? Genau diese Fragen beantwortet ein IT-Sicherheitskonzept.

Das Wichtigste in Kürze

• Ein IT-Sicherheitskonzept ist ein dokumentierter Plan, der festlegt, wie ein Unternehmen Informationen, IT-Systeme und Geschäftsprozesse schützt.
• Es enthält Geltungsbereich, Schutzbedarf, Risikoanalyse, Maßnahmenplan, Zuständigkeiten und Notfallvorsorge.
• Für Unternehmen unter NIS-2 sind dokumentierte Risikomanagementmaßnahmen gesetzlich vorgeschrieben. Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen.
• Der Einstieg erfolgt über eine Bestandsaufnahme: für kleine Unternehmen mit dem CyberRisikoCheck nach DIN SPEC 27076, für größere oder regulierte Unternehmen mit einer GAP-Analyse nach ISO 27001.
• Ein Sicherheitskonzept ist kein einmaliges Dokument. Es sollte mindestens einmal im Jahr überprüft werden.

Was ist ein IT-Sicherheitskonzept?

Ein IT-Sicherheitskonzept ist ein dokumentierter Plan, der festlegt, wie ein Unternehmen seine Informationen, IT-Systeme und Geschäftsprozesse schützt. Es beschreibt den aktuellen Sicherheitsstatus, bewertet die Risiken und legt fest, mit welchen technischen und organisatorischen Maßnahmen diese Risiken reduziert werden.

Der Unterschied zu einzelnen Sicherheitsmaßnahmen: Ein Sicherheitskonzept betrachtet das Unternehmen als Ganzes. Es verbindet Technik, Organisation und Menschen und sorgt dafür, dass Maßnahmen nicht zufällig, sondern auf Basis einer Risikoanalyse umgesetzt werden.

IT-Sicherheitskonzept, ISMS, Sicherheitsleitlinie und Datenschutzkonzept im Vergleich

Diese Begriffe werden oft vermischt. Die Übersicht zeigt, wie sie zusammenhängen:

Das IT-Sicherheitskonzept ist damit ein zentraler Baustein eines ISMS. Die Leitlinie gibt die Richtung vor, das Konzept beschreibt die konkrete Umsetzung, das ISMS sorgt dafür, dass beides aktuell bleibt.

Ist ein IT-Sicherheitskonzept Pflicht?

Eine allgemeine gesetzliche Pflicht für alle Unternehmen gibt es nicht. In vielen Fällen ist ein IT-Sicherheitskonzept jedoch faktisch vorgeschrieben oder wird erwartet:

• NIS-2: Seit Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 müssen wichtige und besonders wichtige Einrichtungen Risikomanagementmaßnahmen umsetzen und dokumentieren (§ 30 BSIG). Dazu gehören unter anderem Konzepte zur Risikoanalyse, Notfallmanagement, Zugriffskontrolle und Schulungen. Ob Ihr Unternehmen betroffen ist, lesen Sie im Beitrag NIS-2: Sind Sie betroffen?
• KRITIS: Betreiber kritischer Infrastrukturen müssen ihre IT-Sicherheit nach dem Stand der Technik nachweisen.
• DSGVO: Artikel 32 verlangt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Ohne Konzept lässt sich kaum belegen, dass diese Maßnahmen angemessen sind.
• Kunden, Versicherer und Partner: Auftraggeber fragen zunehmend nach dem Sicherheitsniveau ihrer Lieferanten. Cyberversicherungen prüfen vor Vertragsabschluss, welche Maßnahmen umgesetzt sind.

Auch ohne Pflicht lohnt sich ein Sicherheitskonzept: Bei einem Cyberangriff wissen Unternehmen mit Konzept, welche Systeme kritisch sind, wer entscheidet und welche Schritte folgen. Unternehmen ohne Konzept verlieren genau diese Zeit.

Welche Inhalte gehören in ein IT-Sicherheitskonzept?

Der Umfang hängt von Größe und Branche Ihres Unternehmens ab. Diese Inhalte sind jedoch in fast jedem IT-Sicherheitskonzept enthalten:

• Geltungsbereich: Welche Standorte, Abteilungen, Systeme und Prozesse umfasst das Konzept?
• Sicherheitsziele und Leitlinie: Welches Sicherheitsniveau strebt das Unternehmen an und welche Grundsätze gelten?
• Strukturanalyse: Welche IT-Systeme, Anwendungen, Netzwerke und Daten gibt es und wie hängen sie zusammen?
• Schutzbedarfsfeststellung: Wie kritisch sind die einzelnen Informationen und Systeme im Hinblick auf Vertraulichkeit, Integrität und Verfügbarkeit?
• Risikoanalyse: Welche Bedrohungen sind realistisch und wie hoch ist der mögliche Schaden?
• Maßnahmenplan: Welche technischen und organisatorischen Maßnahmen werden umgesetzt, mit welcher Priorität und bis wann?
• Rollen und Verantwortlichkeiten: Wer ist für Informationssicherheit zuständig, zum Beispiel ein Informationssicherheitsbeauftragter?
• Notfallvorsorge: Wie reagiert das Unternehmen bei Ausfällen oder Angriffen? Mehr dazu im Beitrag zum IT-Notfallplan.
• Überprüfung und Weiterentwicklung: Wann und wie wird das Konzept aktualisiert?

Vorlage: Gliederung eines IT-Sicherheitskonzepts

Diese Gliederung können Sie als Ausgangspunkt für Ihr eigenes Konzept nutzen:

1. Einleitung und Geltungsbereich
2. Sicherheitsleitlinie und Sicherheitsziele
3. Organisation: Rollen, Zuständigkeiten, Ansprechpartner
4. Strukturanalyse: Systeme, Anwendungen, Netzwerke, Standorte
5. Schutzbedarfsfeststellung
6. Risikoanalyse und Risikobewertung
7. Maßnahmenplan mit Prioritäten, Verantwortlichen und Terminen
8. Notfallvorsorge und Wiederanlauf
9. Schulung und Sensibilisierung der Mitarbeitenden
10. Überprüfung, Aktualisierung und Freigabe

Eine Vorlage ersetzt jedoch nicht die Analyse. Entscheidend ist, dass die Inhalte zu Ihren Systemen, Risiken und Abläufen passen.

IT-Sicherheitskonzept erstellen: Ablauf in 6 Schritten

1. Ist-Zustand erfassen

Am Anfang steht eine ehrliche Bestandsaufnahme. Welche Systeme, Daten und Prozesse gibt es? Welche Schutzmaßnahmen sind bereits umgesetzt? Eine aktuelle IT-Dokumentation erleichtert diesen Schritt erheblich.

2. Sicherheitsstatus bewerten

Im zweiten Schritt wird geprüft, wie gut der aktuelle Schutz tatsächlich ist. Dafür eignen sich zwei bewährte Methoden:

Die GAP-Analyse vergleicht den Ist-Zustand mit den Anforderungen der ISO 27001 und zeigt genau, wo Lücken bestehen. Der CyberRisikoCheck ist der pragmatische Einstieg für kleinere Unternehmen. Beide liefern eine belastbare Grundlage, auf der das Sicherheitskonzept aufbaut.

3. Schutzbedarf festlegen

Nicht jedes System braucht den gleichen Schutz. Lohnbuchhaltung oder Patientendaten sind kritischer als das Intranet. Für jede Information und jedes System wird festgelegt, wie hoch der Schutzbedarf bei Vertraulichkeit, Integrität und Verfügbarkeit ist.

4. Risiken analysieren und bewerten

Jetzt werden die Bedrohungen den schützenswerten Werten gegenübergestellt. Wie wahrscheinlich ist ein Ransomware-Angriff? Was kostet ein Ausfall des Warenwirtschaftssystems für einen Tag? Die Risikobewertung zeigt, wo der Handlungsbedarf am größten ist.

5. Maßnahmen planen und priorisieren

Aus den Risiken ergibt sich der Maßnahmenplan. Typische Maßnahmen sind zum Beispiel:

• Multi-Faktor-Authentifizierung und ein sauberes Berechtigungsmanagement
• Regelmäßige Backups mit getesteter Wiederherstellung
• Konsequentes Patchmanagement
• Security Awareness Trainings für Mitarbeitende
• Überwachung sicherheitsrelevanter Ereignisse, zum Beispiel über ein SIEM

Wichtig ist eine klare Priorisierung: Maßnahmen mit großer Wirkung und geringem Aufwand kommen zuerst.

6. Umsetzen, prüfen, verbessern

Ein IT-Sicherheitskonzept ist kein Dokument für die Schublade. Neue Systeme, neue Mitarbeitende und neue Bedrohungen verändern die Lage laufend. Deshalb sollte das Konzept regelmäßig überprüft und mindestens einmal im Jahr aktualisiert werden.

Beispiel: IT-Sicherheitskonzept für ein mittelständisches Unternehmen

Ein Industrieunternehmen mit 120 Mitarbeitenden möchte seine IT-Sicherheit strukturieren, weil ein Großkunde einen Nachweis verlangt. So könnte das Vorgehen aussehen:

• Bestandsaufnahme: Erfassung von ERP-System, Produktionsnetz, Fileserver, Cloud-Diensten und rund 150 Endgeräten.
• GAP-Analyse: Es fehlen eine Sicherheitsleitlinie, ein Notfallplan und ein geregelter Prozess für Benutzerrechte.
• Schutzbedarf: ERP-System und Produktionssteuerung erhalten den höchsten Schutzbedarf bei der Verfügbarkeit.
• Risiken: Größtes Risiko ist ein Ransomware-Angriff, der Produktion und Auftragsabwicklung stilllegt.
• Maßnahmen: Netztrennung zwischen Büro und Produktion, MFA für alle Fernzugriffe, getestete Offline-Backups, Notfallplan, Schulung der Mitarbeitenden.
• Ergebnis: Ein dokumentiertes Konzept, das dem Großkunden vorgelegt werden kann und die Basis für eine spätere ISO-27001-Zertifizierung bildet.

Sicherheitskonzept nach BSI IT-Grundschutz oder ISO 27001?

Für die Erstellung eines IT-Sicherheitskonzepts gibt es zwei anerkannte Rahmenwerke:

• BSI IT-Grundschutz: Die Methodik nach BSI-Standard 200-2 bietet drei Vorgehensweisen: Basis-, Kern- und Standard-Absicherung. Sie ist sehr detailliert und besonders verbreitet bei Behörden, Kommunen und öffentlichen Einrichtungen.
• ISO 27001: Internationaler Standard mit risikobasiertem Ansatz. Flexibler in der Umsetzung und für viele Unternehmen der Weg zur Zertifizierung.

Welches Rahmenwerk passt, hängt von Ihrer Branche, Ihren Kunden und den gesetzlichen Anforderungen ab. Für kleinere Unternehmen ohne Zertifizierungsziel ist der CyberRisikoCheck häufig der pragmatischere Einstieg.

Typische Fehler bei IT-Sicherheitskonzepten

• Zu theoretisch: Ein 200-seitiges Konzept, das niemand liest, schützt nicht. Ein gutes Konzept ist verständlich und im Alltag anwendbar.
• Nur Technik betrachtet: Viele Angriffe beginnen mit einer Phishing-Mail. Organisation und Mitarbeitende gehören deshalb ins Konzept.
• Keine klaren Zuständigkeiten: Wenn alle verantwortlich sind, ist es niemand.
• Vorlage ohne Analyse: Eine ausgefüllte Vorlage ohne echte Bestandsaufnahme vermittelt Sicherheit, die es nicht gibt.
• Einmal erstellt, nie aktualisiert: Ein veraltetes Konzept ist im Ernstfall wertlos.

So unterstützt keepbit Sie beim IT-Sicherheitskonzept

Die keepbit begleitet Sie vom ersten Check bis zum fertigen Sicherheitskonzept und darüber hinaus. Sie entscheiden, wie viel Sie selbst übernehmen und wobei wir Sie unterstützen.

• Status ermitteln: Mit einem CyberRisikoCheck nach DIN SPEC 27076 oder einer ISO-27001-GAP-Analyse bewerten wir Ihren Sicherheitsstatus und decken Risiken auf. keepbit ist beim BSI als IT-Dienstleister für den CyberRisikoCheck gelistet.
• Konzept erstellen: Darauf aufbauend entwickeln wir ein individuelles Sicherheitskonzept mit Sicherheitsleitlinie, klaren Rollen und priorisierten Maßnahmen, das zu Ihrem Unternehmen passt und im Alltag funktioniert.
• Systeme und Assets erfassen: Mit einer automatisierten IT-Dokumentation schaffen wir die Grundlage für eine fundierte Risikobewertung.
• Für den Ernstfall vorsorgen: Im IT-Notfallmanagement legen wir fest, wer bei einem Vorfall was tut und wie der Geschäftsbetrieb weiterläuft.
• Zugriffe regeln: Mit Identity & Access Management steuern Sie Berechtigungen sicher und nachvollziehbar.
• Dauerhaft steuern: Wir begleiten Sie beim Aufbau eines ISMS nach ISO 27001 oder BSI IT-Grundschutz und bei der Umsetzung der NIS-2-Anforderungen.
• Verantwortung abgeben: Auf Wunsch übernehmen wir die Rolle des externen Informationssicherheitsbeauftragten.
• Angriffe früh erkennen: Mit SIEM und einem 24/7 Security Operations Center überwachen wir Ihre IT rund um die Uhr.

‍Jetzt kostenloses Erstgespräch vereinbaren

FAQ zum IT-Sicherheitskonzept

Was ist ein IT-Sicherheitskonzept einfach erklärt?

Ein IT-Sicherheitskonzept ist der Plan, wie ein Unternehmen seine Daten und IT-Systeme schützt. Es hält fest, was geschützt werden muss, welche Risiken bestehen, welche Maßnahmen umgesetzt werden und wer dafür verantwortlich ist.

Ist ein IT-Sicherheitskonzept Pflicht?

Für Unternehmen, die unter NIS-2 oder KRITIS fallen, sind dokumentierte Risikomanagementmaßnahmen gesetzlich vorgeschrieben. Die DSGVO verlangt angemessene Schutzmaßnahmen für personenbezogene Daten. Für alle anderen Unternehmen ist ein Sicherheitskonzept keine Pflicht, wird aber zunehmend von Kunden und Versicherern erwartet.

Was gehört in ein IT-Sicherheitskonzept?

Geltungsbereich, Sicherheitsziele, Strukturanalyse, Schutzbedarfsfeststellung, Risikoanalyse, Maßnahmenplan, Rollen und Verantwortlichkeiten, Notfallvorsorge sowie Regeln zur Überprüfung und Aktualisierung.

Gibt es eine Vorlage für ein IT-Sicherheitskonzept?

Ja, eine bewährte Gliederung finden Sie oben in diesem Beitrag. Eine Vorlage hilft bei der Struktur, ersetzt aber nicht die Analyse Ihrer eigenen Systeme und Risiken.

Wie lange dauert die Erstellung eines IT-Sicherheitskonzepts?

Das hängt von Größe und Komplexität Ihres Unternehmens ab. Der CyberRisikoCheck für kleine Unternehmen basiert auf einem ein- bis zweistündigen Interview. Ein umfassendes Sicherheitskonzept auf Basis einer ISO-27001-GAP-Analyse dauert in der Regel mehrere Wochen.

Was kostet ein IT-Sicherheitskonzept?

Die Kosten hängen von Unternehmensgröße, Anzahl der Systeme und gewünschtem Rahmenwerk ab. Ein CyberRisikoCheck ist ein klar abgegrenzter Einstieg mit überschaubarem Aufwand. Ein Konzept für eine ISO-27001-Zertifizierung ist deutlich umfangreicher. In einem Erstgespräch lässt sich der Aufwand konkret einschätzen.

Wer erstellt ein IT-Sicherheitskonzept?

Verantwortlich ist die Geschäftsführung. Die Erstellung übernimmt meist der Informationssicherheitsbeauftragte, die IT-Leitung oder ein externer Dienstleister. Externe Unterstützung lohnt sich besonders, wenn intern Zeit oder Fachwissen fehlen.

Was ist der Unterschied zwischen IT-Sicherheitskonzept und ISMS?

Das IT-Sicherheitskonzept beschreibt die konkreten Schutzmaßnahmen. Das ISMS ist das übergeordnete Managementsystem, das dafür sorgt, dass Informationssicherheit dauerhaft gesteuert, überprüft und verbessert wird. Das Sicherheitskonzept ist ein Teil des ISMS.

Was ist der Unterschied zwischen IT-Sicherheitskonzept und Datenschutzkonzept?

Das Datenschutzkonzept bezieht sich auf personenbezogene Daten und die Anforderungen der DSGVO. Das IT-Sicherheitskonzept umfasst alle Informationen und Systeme eines Unternehmens, also auch Betriebsgeheimnisse, Produktionsdaten und die Verfügbarkeit der IT. Beide Konzepte überschneiden sich und sollten aufeinander abgestimmt sein.

Brauchen auch kleine Unternehmen ein IT-Sicherheitskonzept?

Ja. Kleine Unternehmen sind häufig Ziel von Cyberangriffen, weil sie oft weniger geschützt sind. Mit dem CyberRisikoCheck nach DIN SPEC 27076 gibt es einen standardisierten Einstieg, der speziell für kleine Unternehmen entwickelt wurde.

Wie oft sollte ein IT-Sicherheitskonzept aktualisiert werden?

Mindestens einmal im Jahr sowie bei größeren Veränderungen, zum Beispiel neuen Standorten, neuen IT-Systemen, neuen gesetzlichen Anforderungen oder nach einem Sicherheitsvorfall.

Über den Autor

‍Adnan Bastürk ist Gründer und Geschäftsführer der keepbit IT-SOLUTIONS GmbH und schützt seit 15 Jahren Unternehmen, Krankenhäuser und Behörden vor Cyberangriffen.

Quellen

• Bundesamt für Sicherheit in der Informationstechnik (BSI): CyberRisikoCheck
• DIN Media: DIN SPEC 27076, IT-Sicherheitsberatung für Klein- und Kleinstunternehmen
• Bundesamt für Sicherheit in der Informationstechnik (BSI): BSI-Standard 200-2, IT-Grundschutz-Methodik
• ISO: ISO/IEC 27001, Information security management systems
• EUR-Lex: Richtlinie (EU) 2022/2555 (NIS-2), Artikel 21
• EUR-Lex: Verordnung (EU) 2016/679 (DSGVO), Artikel 32