Suchen
Sie sind aktuell nicht angemeldet:
Login
Registrierung
Wie Unternehmen Informationsverbünde, Zertifizierungen und den Übergang zu Grundschutz++ strategisch gestalten können
Grundschutz++ und IT-Grundschutz: So finden Organisationen den richtigen Einstieg
Berlin, 11.11.2026 (PresseBox) - HiScout GmbH
Die HiScout GmbH mit Hauptsitz in Berlin ist ein Softwareunternehmen mit etwa 50 Mitarbeitenden und wurde als 100%ige Tochter der HiSolutions AG am 19.03.2009 gegründet. Die HiScout GRC Suite besteht u.a. aus den Modulen HiScout Grundschutz, HiScout Datenschutz, HiScout ISM, HiScout Auditmanagement, HiScout Geheim- und Sabotageschutz und HiScout BCM und ist bei zahlreichen Bundes- und Landesbehörden sowie Unternehmen der Privatwirtschaft im Einsatz.
Der neue Grundschutz++ stößt in der Informationssicherheits-Community auf großes Interesse. Entsprechend häufig erreichen uns bei HiScout Fragen wie:
Sollten wir direkt mit Grundschutz++ starten?
Müssen bestehende Informationsverbünde migriert werden?
Welche Auswirkungen hat Grundschutz++ auf Zertifizierungen?
Sollten wir auf den neuen Ansatz warten oder heute mit dem Aufbau unseres ISMS beginnen?
Die Fragen zeigen: Viele Organisationen beschäftigen sich intensiv mit den Möglichkeiten des neuen Ansatzes und suchen nach Orientierung für ihre eigene Planung.
Die kurze Antwort lautet: Die wichtigste Entscheidung ist nicht die Wahl der Methodik. Die wichtigste Entscheidung ist, mit Informationssicherheit zu beginnen. Denn unabhängig davon, ob am Ende IT-Grundschutz oder Grundschutz++ zum Einsatz kommt, sind die ersten Schritte in beiden Welten weitgehend identisch.
Der wichtigste Schritt: Anfangen
Organisationen, die vor der Einführung eines ISMS stehen, beschäftigen sich häufig intensiv mit der Frage nach der richtigen Methodik. Aus unserer Sicht wird dieser Aspekt jedoch oftmals überschätzt.
Erfolgreiche Informationssicherheitsprojekte beginnen unabhängig vom gewählten Ansatz mit denselben grundlegenden Aufgaben:
den Geltungsbereich festlegen,
Verantwortlichkeiten definieren,
Prozesse erfassen,
Anwendungen und Systeme inventarisieren,
organisatorische Rahmenbedingungen schaffen.
Wer diese Grundlagen schafft, profitiert schnell von mehr Transparenz, klaren Zuständigkeiten und einem höheren Sicherheitsniveau.
Keine Frage - die Wahl der Methodik wird wichtig. Sie sollte jedoch nicht dazu führen, den Aufbau eines Informationssicherheitsmanagements aufzuschieben.
IT-Grundschutz und Grundschutz++ verfolgen dasselbe Ziel
In vielen Diskussionen entsteht der Eindruck, Unternehmen müssten sich zwischen IT-Grundschutz und Grundschutz++ entscheiden. Tatsächlich verfolgen beide Ansätze dasselbe Ziel: Informationssicherheit systematisch, nachvollziehbar und wirksam umzusetzen.
Während der etablierte IT-Grundschutz seit vielen Jahren erfolgreich eingesetzt wird, eröffnet Grundschutz++ zusätzliche Möglichkeiten bei der Modellierung, Strukturierung und Weiterverarbeitung von Sicherheitsanforderungen.
Zum jetzigen Zeitpunkt betrachten wir beide Ansätze daher nicht als konkurrierende Modelle, sondern als unterschiedliche Perspektiven auf dieselbe Aufgabe. Zukünftig wird Grundschutz++ als Weiterentwicklung jedoch an die Stelle des IT-Grundschutzes treten.
Vom Objekt zur Aufgabe
Ein wesentlicher Unterschied liegt im Blickwinkel.
Der klassische IT-Grundschutz betrachtet Informationssicherheit überwiegend aus einer objektorientierten Perspektive: Anwendungen, IT-Systeme, Netze und Räume werden erfasst, modelliert und mit passenden Anforderungen abgesichert. Die zentrale Frage lautet: ?Welches Objekt muss geschützt werden??
Grundschutz++ setzt einen Schritt früher an, bei den Aufgaben und Abläufen, die eine Organisation erfüllt. Hier lautet die Frage: ?Welche Aufgabe wird durchgeführt und welche Sicherheitsanforderungen ergeben sich daraus??
Ein Beispiel: Bei der Gehaltsabrechnung betrachtet der klassische Ansatz den Server, die Abrechnungssoftware und den Raum, in dem die Technik steht, jeweils für sich. Grundschutz++ fragt zuerst, was bei der Gehaltsabrechnung eigentlich passiert, wer daran beteiligt ist und was dabei schiefgehen darf. Die Technik bleibt wichtig, wird aber aus der Aufgabe heraus betrachtet.
Das macht Informationssicherheit für Fachbereiche greifbarer: Anforderungen entstehen dort, wo gearbeitet wird, und Verantwortlichkeiten lassen sich klarer zuordnen. Genau darin liegt ein wesentlicher Teil des Mehrwerts von Grundschutz++.
Strukturierte Anforderungen als Grundlage für die Zukunft
Ein weiteres Merkmal von Grundschutz++ ist die stärkere Formalisierung von Anforderungen.
Durch Modalsätze und Satzschablonen werden Sicherheitsanforderungen strukturierter und konsistenter beschrieben. Dadurch entsteht eine Wissensbasis, die nicht nur für Menschen leichter verständlich ist, sondern auch technisch weiterverarbeitet werden kann.
Dies schafft die Grundlage für:
konsistente Modellierungen,
automatisierte Auswertungen,
bessere Wiederverwendbarkeit von Wissen,
effizientere Pflege von Anforderungen,
zukünftige KI-gestützte Unterstützungsfunktionen.
Informationssicherheit entwickelt sich damit zunehmend von einer dokumentenorientierten zu einer datenorientierten Disziplin.
Maschinenlesbare Daten schaffen neue Möglichkeiten
Grundschutz++ verfolgt konsequent das Ziel, Sicherheitsinformationen maschinenlesbar bereitzustellen.
Dadurch entstehen neue Potenziale für:
Qualitätsprüfungen,
Automatisierung,
Wissensmanagement,
Integration in Governance-, Risk- und Compliance-Prozesse,
zukünftige KI-Anwendungen.
Gerade vor dem Hintergrund wachsender regulatorischer Anforderungen und steigender Komplexität bietet dieser Ansatz interessante Perspektiven für die Zukunft.
Welche Methodik ist die richtige?
Eine pauschale Antwort gibt es nicht. Orientierungshilfen bieten folgende Überlegungen:
Wenn eine Zertifizierung kurzfristig erforderlich ist
Wenn Kunden, Auftraggeber oder regulatorische Anforderungen zeitnah einen Zertifizierungsnachweis verlangen, bietet der etablierte IT-Grundschutz heute einen bewährten und verlässlichen Rahmen. Methodik, Prozesse und Zertifizierungsverfahren sind seit Jahren etabliert und breit erprobt.
Wenn keine kurzfristige Zertifizierung geplant ist
Steht eine Zertifizierung aktuell nicht im Vordergrund, kann es sinnvoll sein, sich frühzeitig mit Grundschutz++ auseinanderzusetzen und die neue Methodik direkt zu nutzen. So lassen sich Erfahrungen mit dem aufgaben- und prozessorientierten Ansatz sammeln und zukünftige Entwicklungen von Anfang an berücksichtigen.
Warum wir bei bestehenden Informationsverbünden einen parallelen Ansatz empfehlen
Besonders interessant wird Grundschutz++ für Organisationen, die bereits nach IT-Grundschutz arbeiten.
Wer sich erstmals mit Grundschutz++ beschäftigt, betrachtet ihn häufig als mögliche Weiterentwicklung oder Nachfolge des etablierten IT-Grundschutzes.
Tatsächlich geht es jedoch um mehr als eine technische Weiterentwicklung. Grundschutz++ eröffnet eine zusätzliche Sichtweise auf Informationssicherheit und ergänzt damit bestehende Ansätze um neue Möglichkeiten.
Deshalb sollte die Frage weniger lauten:
?Wann müssen wir umstellen??
Sondern vielmehr:
?Wie können wir die neue Perspektive für unsere Organisation nutzbar machen??
Den größten Nutzen sehen wir derzeit deshalb nicht in einer schnellen Ablösung bestehender Strukturen, sondern in einer parallelen Betrachtung beider Perspektiven.
Dank mandantenfähiger Werkzeuge können bestehende Informationsverbünde unverändert bestehen bleiben, während Grundschutz++ parallel in einem separaten Mandanten aufgebaut wird.
Dadurch ergeben sich mehrere Vorteile:
Bestehende Modellierungen bleiben erhalten.
Audit- und Zertifizierungsgrundlagen werden nicht beeinflusst.
Die neue Methodik kann schrittweise erprobt werden.
Teams sammeln praktische Erfahrungen.
Die neue Perspektive kann ohne organisatorischen Druck bewertet werden.
Der Fokus liegt dabei nicht auf einer Migration um jeden Preis, sondern auf dem Gewinn zusätzlicher Erkenntnisse.
HiScout empfiehlt
Organisationen ohne bestehenden IT-Grundschutz
Starten Sie mit dem Aufbau Ihres Informationssicherheitsmanagements. Die ersten Schritte sind unabhängig von der gewählten Methodik nahezu identisch. Ob Sie sich zunächst am etablierten IT-Grundschutz orientieren oder sich bereits intensiv mit Grundschutz++ beschäftigen, ist weniger entscheidend als der Beginn des Projekts selbst.
Organisationen mit bestehendem IT-Grundschutz
Nutzen Sie die Möglichkeiten eines parallelen Aufbaus von Grundschutz++ in einem separaten Mandanten. So können Sie die neue Methodik kennenlernen und bewerten, während bestehende Informationsverbünde und Zertifizierungen unverändert bestehen bleiben.
Unser Fazit: Die Wahl der Methodik sollte den Aufbau von Informationssicherheit nicht verzögern. Wer heute beginnt, schafft eine belastbare Grundlage und kann die Potenziale von IT-Grundschutz und Grundschutz++ je nach Bedarf nutzen und miteinander verbinden.
Fazit
Grundschutz++ erweitert den Werkzeugkasten der Informationssicherheit um eine neue Perspektive. Sein besonderer Beitrag liegt nicht nur in maschinenlesbaren Datenstrukturen oder neuen Modellierungsmöglichkeiten, sondern vor allem in der stärkeren Ausrichtung auf Aufgaben, Tätigkeiten und Prozesse. Der eigentliche Nutzen entsteht derzeit nicht durch eine möglichst schnelle Umstellung, sondern durch die Möglichkeit, beide Sichtweisen parallel kennenzulernen und ihre Potenziale zu bewerten, ohne bestehende Strukturen verändern zu müssen. So entsteht Raum für Erfahrungen, Erkenntnisse und Innovationen ? und gleichzeitig die notwendige Kontinuität für den laufenden Betrieb und bestehende Zertifizierungen.
Gleichzeitig bleiben die grundlegenden Herausforderungen eines ISMS dieselben: Verantwortlichkeiten festlegen, Strukturen schaffen, Prozesse verstehen und Sicherheitsanforderungen systematisch umsetzen.
Deshalb lautet unsere wichtigste Empfehlung: Beginnen Sie mit dem Aufbau von Informationssicherheit. Die Frage nach der Methodik ist wichtig, sollte aber nicht zum Hindernis werden.
Ob IT-Grundschutz, Grundschutz++ oder beide Ansätze parallel: Entscheidend ist, dass Informationssicherheit in der Organisation gelebt und kontinuierlich weiterentwickelt wird.
Die HiScout GmbH mit Hauptsitz in Berlin ist ein Softwareunternehmen mit etwa 50 Mitarbeitenden und wurde als 100%ige Tochter der HiSolutions AG am 19.03.2009 gegründet. Die HiScout GRC Suite besteht u.a. aus den Modulen HiScout Grundschutz, HiScout Datenschutz, HiScout ISM, HiScout Auditmanagement, HiScout Geheim- und Sabotageschutz und HiScout BCM und ist bei zahlreichen Bundes- und Landesbehörden sowie Unternehmen der Privatwirtschaft im Einsatz.
Der neue Grundschutz++ stößt in der Informationssicherheits-Community auf großes Interesse. Entsprechend häufig erreichen uns bei HiScout Fragen wie:
Sollten wir direkt mit Grundschutz++ starten?
Müssen bestehende Informationsverbünde migriert werden?
Welche Auswirkungen hat Grundschutz++ auf Zertifizierungen?
Sollten wir auf den neuen Ansatz warten oder heute mit dem Aufbau unseres ISMS beginnen?
Die Fragen zeigen: Viele Organisationen beschäftigen sich intensiv mit den Möglichkeiten des neuen Ansatzes und suchen nach Orientierung für ihre eigene Planung.
Die kurze Antwort lautet: Die wichtigste Entscheidung ist nicht die Wahl der Methodik. Die wichtigste Entscheidung ist, mit Informationssicherheit zu beginnen. Denn unabhängig davon, ob am Ende IT-Grundschutz oder Grundschutz++ zum Einsatz kommt, sind die ersten Schritte in beiden Welten weitgehend identisch.
Der wichtigste Schritt: Anfangen
Organisationen, die vor der Einführung eines ISMS stehen, beschäftigen sich häufig intensiv mit der Frage nach der richtigen Methodik. Aus unserer Sicht wird dieser Aspekt jedoch oftmals überschätzt.
Erfolgreiche Informationssicherheitsprojekte beginnen unabhängig vom gewählten Ansatz mit denselben grundlegenden Aufgaben:
den Geltungsbereich festlegen,
Verantwortlichkeiten definieren,
Prozesse erfassen,
Anwendungen und Systeme inventarisieren,
organisatorische Rahmenbedingungen schaffen.
Wer diese Grundlagen schafft, profitiert schnell von mehr Transparenz, klaren Zuständigkeiten und einem höheren Sicherheitsniveau.
Keine Frage - die Wahl der Methodik wird wichtig. Sie sollte jedoch nicht dazu führen, den Aufbau eines Informationssicherheitsmanagements aufzuschieben.
IT-Grundschutz und Grundschutz++ verfolgen dasselbe Ziel
In vielen Diskussionen entsteht der Eindruck, Unternehmen müssten sich zwischen IT-Grundschutz und Grundschutz++ entscheiden. Tatsächlich verfolgen beide Ansätze dasselbe Ziel: Informationssicherheit systematisch, nachvollziehbar und wirksam umzusetzen.
Während der etablierte IT-Grundschutz seit vielen Jahren erfolgreich eingesetzt wird, eröffnet Grundschutz++ zusätzliche Möglichkeiten bei der Modellierung, Strukturierung und Weiterverarbeitung von Sicherheitsanforderungen.
Zum jetzigen Zeitpunkt betrachten wir beide Ansätze daher nicht als konkurrierende Modelle, sondern als unterschiedliche Perspektiven auf dieselbe Aufgabe. Zukünftig wird Grundschutz++ als Weiterentwicklung jedoch an die Stelle des IT-Grundschutzes treten.
Vom Objekt zur Aufgabe
Ein wesentlicher Unterschied liegt im Blickwinkel.
Der klassische IT-Grundschutz betrachtet Informationssicherheit überwiegend aus einer objektorientierten Perspektive: Anwendungen, IT-Systeme, Netze und Räume werden erfasst, modelliert und mit passenden Anforderungen abgesichert. Die zentrale Frage lautet: ?Welches Objekt muss geschützt werden??
Grundschutz++ setzt einen Schritt früher an, bei den Aufgaben und Abläufen, die eine Organisation erfüllt. Hier lautet die Frage: ?Welche Aufgabe wird durchgeführt und welche Sicherheitsanforderungen ergeben sich daraus??
Ein Beispiel: Bei der Gehaltsabrechnung betrachtet der klassische Ansatz den Server, die Abrechnungssoftware und den Raum, in dem die Technik steht, jeweils für sich. Grundschutz++ fragt zuerst, was bei der Gehaltsabrechnung eigentlich passiert, wer daran beteiligt ist und was dabei schiefgehen darf. Die Technik bleibt wichtig, wird aber aus der Aufgabe heraus betrachtet.
Das macht Informationssicherheit für Fachbereiche greifbarer: Anforderungen entstehen dort, wo gearbeitet wird, und Verantwortlichkeiten lassen sich klarer zuordnen. Genau darin liegt ein wesentlicher Teil des Mehrwerts von Grundschutz++.
Strukturierte Anforderungen als Grundlage für die Zukunft
Ein weiteres Merkmal von Grundschutz++ ist die stärkere Formalisierung von Anforderungen.
Durch Modalsätze und Satzschablonen werden Sicherheitsanforderungen strukturierter und konsistenter beschrieben. Dadurch entsteht eine Wissensbasis, die nicht nur für Menschen leichter verständlich ist, sondern auch technisch weiterverarbeitet werden kann.
Dies schafft die Grundlage für:
konsistente Modellierungen,
automatisierte Auswertungen,
bessere Wiederverwendbarkeit von Wissen,
effizientere Pflege von Anforderungen,
zukünftige KI-gestützte Unterstützungsfunktionen.
Informationssicherheit entwickelt sich damit zunehmend von einer dokumentenorientierten zu einer datenorientierten Disziplin.
Maschinenlesbare Daten schaffen neue Möglichkeiten
Grundschutz++ verfolgt konsequent das Ziel, Sicherheitsinformationen maschinenlesbar bereitzustellen.
Dadurch entstehen neue Potenziale für:
Qualitätsprüfungen,
Automatisierung,
Wissensmanagement,
Integration in Governance-, Risk- und Compliance-Prozesse,
zukünftige KI-Anwendungen.
Gerade vor dem Hintergrund wachsender regulatorischer Anforderungen und steigender Komplexität bietet dieser Ansatz interessante Perspektiven für die Zukunft.
Welche Methodik ist die richtige?
Eine pauschale Antwort gibt es nicht. Orientierungshilfen bieten folgende Überlegungen:
Wenn eine Zertifizierung kurzfristig erforderlich ist
Wenn Kunden, Auftraggeber oder regulatorische Anforderungen zeitnah einen Zertifizierungsnachweis verlangen, bietet der etablierte IT-Grundschutz heute einen bewährten und verlässlichen Rahmen. Methodik, Prozesse und Zertifizierungsverfahren sind seit Jahren etabliert und breit erprobt.
Wenn keine kurzfristige Zertifizierung geplant ist
Steht eine Zertifizierung aktuell nicht im Vordergrund, kann es sinnvoll sein, sich frühzeitig mit Grundschutz++ auseinanderzusetzen und die neue Methodik direkt zu nutzen. So lassen sich Erfahrungen mit dem aufgaben- und prozessorientierten Ansatz sammeln und zukünftige Entwicklungen von Anfang an berücksichtigen.
Warum wir bei bestehenden Informationsverbünden einen parallelen Ansatz empfehlen
Besonders interessant wird Grundschutz++ für Organisationen, die bereits nach IT-Grundschutz arbeiten.
Wer sich erstmals mit Grundschutz++ beschäftigt, betrachtet ihn häufig als mögliche Weiterentwicklung oder Nachfolge des etablierten IT-Grundschutzes.
Tatsächlich geht es jedoch um mehr als eine technische Weiterentwicklung. Grundschutz++ eröffnet eine zusätzliche Sichtweise auf Informationssicherheit und ergänzt damit bestehende Ansätze um neue Möglichkeiten.
Deshalb sollte die Frage weniger lauten:
?Wann müssen wir umstellen??
Sondern vielmehr:
?Wie können wir die neue Perspektive für unsere Organisation nutzbar machen??
Den größten Nutzen sehen wir derzeit deshalb nicht in einer schnellen Ablösung bestehender Strukturen, sondern in einer parallelen Betrachtung beider Perspektiven.
Dank mandantenfähiger Werkzeuge können bestehende Informationsverbünde unverändert bestehen bleiben, während Grundschutz++ parallel in einem separaten Mandanten aufgebaut wird.
Dadurch ergeben sich mehrere Vorteile:
Bestehende Modellierungen bleiben erhalten.
Audit- und Zertifizierungsgrundlagen werden nicht beeinflusst.
Die neue Methodik kann schrittweise erprobt werden.
Teams sammeln praktische Erfahrungen.
Die neue Perspektive kann ohne organisatorischen Druck bewertet werden.
Der Fokus liegt dabei nicht auf einer Migration um jeden Preis, sondern auf dem Gewinn zusätzlicher Erkenntnisse.
HiScout empfiehlt
Organisationen ohne bestehenden IT-Grundschutz
Starten Sie mit dem Aufbau Ihres Informationssicherheitsmanagements. Die ersten Schritte sind unabhängig von der gewählten Methodik nahezu identisch. Ob Sie sich zunächst am etablierten IT-Grundschutz orientieren oder sich bereits intensiv mit Grundschutz++ beschäftigen, ist weniger entscheidend als der Beginn des Projekts selbst.
Organisationen mit bestehendem IT-Grundschutz
Nutzen Sie die Möglichkeiten eines parallelen Aufbaus von Grundschutz++ in einem separaten Mandanten. So können Sie die neue Methodik kennenlernen und bewerten, während bestehende Informationsverbünde und Zertifizierungen unverändert bestehen bleiben.
Unser Fazit: Die Wahl der Methodik sollte den Aufbau von Informationssicherheit nicht verzögern. Wer heute beginnt, schafft eine belastbare Grundlage und kann die Potenziale von IT-Grundschutz und Grundschutz++ je nach Bedarf nutzen und miteinander verbinden.
Fazit
Grundschutz++ erweitert den Werkzeugkasten der Informationssicherheit um eine neue Perspektive. Sein besonderer Beitrag liegt nicht nur in maschinenlesbaren Datenstrukturen oder neuen Modellierungsmöglichkeiten, sondern vor allem in der stärkeren Ausrichtung auf Aufgaben, Tätigkeiten und Prozesse. Der eigentliche Nutzen entsteht derzeit nicht durch eine möglichst schnelle Umstellung, sondern durch die Möglichkeit, beide Sichtweisen parallel kennenzulernen und ihre Potenziale zu bewerten, ohne bestehende Strukturen verändern zu müssen. So entsteht Raum für Erfahrungen, Erkenntnisse und Innovationen ? und gleichzeitig die notwendige Kontinuität für den laufenden Betrieb und bestehende Zertifizierungen.
Gleichzeitig bleiben die grundlegenden Herausforderungen eines ISMS dieselben: Verantwortlichkeiten festlegen, Strukturen schaffen, Prozesse verstehen und Sicherheitsanforderungen systematisch umsetzen.
Deshalb lautet unsere wichtigste Empfehlung: Beginnen Sie mit dem Aufbau von Informationssicherheit. Die Frage nach der Methodik ist wichtig, sollte aber nicht zum Hindernis werden.
Ob IT-Grundschutz, Grundschutz++ oder beide Ansätze parallel: Entscheidend ist, dass Informationssicherheit in der Organisation gelebt und kontinuierlich weiterentwickelt wird.