Eine Firewall am Internetanschluss, ein separates Gäste-WLAN und einige VLANs: Auf den ersten Blick kann eine IT-Infrastruktur ordentlich abgesichert erscheinen. Interessant wird es, wenn man wissen möchte, welche Systeme tatsächlich miteinander kommunizieren dürfen. Und warum.
Genau an dieser Stelle setzt die Praktik ARCH des neuen IT-Grundschutz++ an. Sie beschäftigt sich mit der Architektur von IT-Infrastrukturen, insbesondere mit Netzdesign, Segmentierung, Zugangsbeschränkungen und der Frage, wie technische Schutzmaßnahmen zusammenwirken.
Mit Grundschutz++ entwickelt das Bundesamt für Sicherheit in der Informationstechnik (BSI) seinen bisherigen IT-Grundschutz grundlegend weiter. Für Unternehmen bedeutet das nicht zwangsläufig neue Hardware oder einen vollständigen Umbau ihrer Netze. Vielmehr rückt die nachvollziehbare Gestaltung der Sicherheitsarchitektur stärker in den Mittelpunkt.
Grundschutz++: Was sich gegenüber dem bisherigen IT-Grundschutz verändert
Mit der Veröffentlichung des BSI-Standards 300-1 im Oktober 2026 liegt die neue Methodik Grundschutz++ in ihrer ersten anwendbaren Fassung vor.
Eine wesentliche Veränderung betrifft die Struktur des Regelwerks. Das bisherige IT-Grundschutz-Kompendium mit seinen Bausteinen wird durch ein System aus sogenannten Praktiken abgelöst. Diese bündeln Anforderungen nach fachlichen und organisatorischen Aufgabenbereichen.
Grundschutz++ setzt stärker bei den Geschäftsprozessen einer Organisation an. Aus ihrem Schutzbedarf und den dafür benötigten Informationen, Systemen und Infrastrukturen werden die relevanten Sicherheitsanforderungen abgeleitet.
Neu ist außerdem die technische Bereitstellung. Der Anwenderkatalog wird in der Stand-der-Technik-Bibliothek des BSI maschinenlesbar veröffentlicht. Anforderungen lassen sich dadurch perspektivisch unmittelbar in digitale Management-, Dokumentations- und Prüfprozesse übernehmen. Die dafür benötigten Werkzeuge und Schnittstellen müssen allerdings jeweils tatsächlich verfügbar und geeignet sein.
Die neue Methodik folgt einem kontinuierlichen Sicherheitsprozess mit Planung, Anforderungsanalyse, Umsetzung, Überwachung und Verbesserung.
Nach dem BSI-Meilensteinplan können ab dem 1. Januar 2027 Zertifizierungsanträge nach ISO 27001 auf Basis von Grundschutz++ gestellt werden. Für den bisherigen IT-Grundschutz ist eine mehrjährige Übergangszeit vorgesehen; seine Zertifizierbarkeit endet nach der aktuellen Planung am 30. November 2031.
Daraus folgt keine allgemeine gesetzliche Pflicht für jedes Unternehmen, kurzfristig auf Grundschutz++ umzustellen. Ob der Standard anzuwenden ist, hängt unter anderem von vertraglichen, regulatorischen oder selbst gewählten Zertifizierungsanforderungen ab.
ARCH: Sicherheit beginnt mit der Struktur
Die Praktik ARCH steht für Architektur. Ihr Gegenstand ist die grundlegende Struktur der IT-Infrastruktur und die Einbettung geeigneter Sicherheitsprinzipien. In der gegenwärtigen Fassung konzentrieren sich die konkreten Anforderungen vor allem auf die Netzarchitektur.
Sie umfassen neun Themenbereiche: grundlegende Architekturregelungen, Netzdesign, WLAN, Zugangsbeschränkungen, Perimeterschutz, Weitverkehrsverbindungen, dedizierte Systeme, Ausfallsicherheit und Kapazitätsmanagement. Dahinter steckt eine technische Fragestellung, die im Betriebsalltag häufig unterschätzt wird: Welche Auswirkungen hat es auf andere Systeme, wenn ein einzelner Netzbereich kompromittiert wird?
Netzwerke wachsen über Jahre. Neue Anwendungen benötigen Schnittstellen, externe Dienstleister erhalten Fernwartungszugänge, Produktionsanlagen werden an zentrale Server angebunden. Für jede dieser Entscheidungen mag es gute Gründe geben. Zusammengenommen entsteht jedoch gelegentlich eine Infrastruktur, deren tatsächliche Kommunikationsbeziehungen kaum noch vollständig überblickt werden.
Ein sauber dokumentiertes Netz ist dabei nur der Anfang. Seine Sicherheitsarchitektur muss auch technisch wirksam sein.
Was ARCH verbindlich verlangt – und was nicht
Der Anwenderkatalog unterscheidet zwischen MUSS-, SOLLTE- und KANN-Anforderungen. Diese Abstufung ist für die praktische Umsetzung entscheidend. Die Praktik ARCH enthält im Katalogstand vom 29. Oktober 2026 insgesamt 63 Anforderungen. Davon sind fünf als MUSS, 42 als SOLLTE und 16 als KANN formuliert.
Die fünf MUSS-Anforderungen befinden sich im Bereich ARCH.1 und betreffen die organisatorische Verankerung der Netzarchitektur. Unternehmen, die Grundschutz++ entsprechend dem für sie maßgeblichen Anforderungspaket umsetzen, müssen insbesondere sicherstellen, dass:
- Verfahren und Regelungen zur Netzarchitektur festgelegt sind;
- diese Verfahren und Regelungen dokumentiert werden;
- die damit verbundenen Aufgaben zuständigen Personen oder Rollen zugewiesen sind;
- die zuständigen Personen oder Rollen darüber informiert werden;
- die Regelungen regelmäßig und bei entsprechenden Anlässen auf Aktualität überprüft werden.
Bemerkenswert ist, dass die weiteren technischen Anforderungen innerhalb von ARCH im genannten Katalogstand nicht als MUSS formuliert sind.
Das bedeutet allerdings nicht, dass Unternehmen nach Belieben auf Netzsegmentierung, Perimeterschutz oder andere grundlegende Sicherheitsmaßnahmen verzichten können. Eine SOLLTE-Anforderung ist grundsätzlich umzusetzen. Abweichungen erfordern eine sorgfältige Abwägung und eine nachvollziehbare, stichhaltige Begründung. Hinzu kommen gegebenenfalls Anforderungen aus anderen Praktiken, gesetzlichen Regelungen, Verträgen oder einer eigenen Risikobetrachtung.
Die Unterscheidung ist wichtig: Grundschutz++ verlangt eine begründete und überprüfbare Sicherheitsarchitektur, nicht den unreflektierten Einkauf einer bestimmten technischen Lösung.
Netzsegmentierung: Die wichtigste Grenze liegt häufig innerhalb des Unternehmens
Man stelle sich einen industriellen Zulieferbetrieb vor. Die Büroarbeitsplätze befinden sich in einem anderen VLAN als die Produktionssysteme. Technisch erscheint die Trennung zunächst ausreichend. Beide Bereiche können jedoch denselben Administrationsserver erreichen. Über diesen bestehen wiederum weitreichende Verbindungen zu weiteren Systemen. Die eigentliche Sicherheitsfrage betrifft nun nicht mehr allein die VLAN-Struktur. Entscheidend sind die tatsächlich erlaubten Kommunikationswege, die Berechtigungen der beteiligten Systeme und die Schutzmechanismen an den Übergängen.
ARCH.2 behandelt genau solche Fragestellungen.
Die Praktik sieht unter anderem vor, interne Netze unter Berücksichtigung des Schutzbedarfs zu segmentieren und Verbindungen zwischen den Segmenten gezielt einzuschränken. Besondere Aufmerksamkeit verdienen beispielsweise Management-Netze, Produktionsumgebungen, Entwicklungs- und Testsysteme, Gastnetze sowie Schnittstellen zu externen Partnern.
Für Unternehmen im Defence-Umfeld kann das erhebliche praktische Bedeutung haben. Projektbezogene Entwicklungsdaten, industrielle Steuerungssysteme, externe Integratoren und zentrale Unternehmensdienste sollten nicht allein deshalb miteinander kommunizieren können, weil ihre technische Anbindung historisch gewachsen ist.
Eine Trennung auf dem Papier ersetzt keine wirksamen Zugriffsbeschränkungen. Umgekehrt genügt eine Firewallregel ohne Kenntnis der dahinterliegenden Geschäftsprozesse selten für eine fundierte Architekturentscheidung.
Fernwartung und externe Verbindungen verdienen besondere Aufmerksamkeit
In industriellen Umgebungen sind externe Zugänge oft unverzichtbar. Maschinenhersteller müssen Systeme warten, Softwarelieferanten benötigen Supportverbindungen und Projektpartner greifen auf gemeinsame Entwicklungsressourcen zu. Eine solche Verbindung ist technisch schnell eingerichtet. Ihre langfristige Absicherung kann erheblich anspruchsvoller sein.
ARCH berücksichtigt deshalb nicht nur interne Netzbereiche, sondern auch Perimeterschutz und Verbindungen über Weitverkehrsnetze. Dazu gehören die Einschränkung und Kontrolle von Kommunikationsbeziehungen sowie geeignete Maßnahmen zum Schutz von Vertraulichkeit und Integrität.
Die praktische Prüfung sollte sich nicht darauf beschränken, ob ein VPN verschlüsselt ist. Ebenso relevant sind seine erreichbaren Zielsysteme, die Zugriffssteuerung, die Überwachung und die Möglichkeit, die Verbindung im Bedarfsfall zuverlässig zu unterbrechen. Diese Betrachtung muss gemeinsam mit den Anforderungen anderer Praktiken erfolgen, insbesondere Berechtigung (BER), Konfiguration (KONF) und Detektion (DET). Ein sicherer Netzaufbau allein verhindert noch keinen missbräuchlichen Zugang. Er kann aber die Auswirkungen eines solchen Zugangs erheblich begrenzen.
Ausfallsicherheit ist ebenfalls eine Architekturentscheidung
Bei ARCH geht es nicht ausschließlich darum, unerwünschte Zugriffe zu verhindern. Die Praktik behandelt auch Redundanz, Kapazitätsplanung und die Widerstandsfähigkeit von Netzverbindungen und zentralen Systemen. Das ist gerade dort relevant, wo IT-Störungen unmittelbare Auswirkungen auf Produktion, Projekttermine oder vertragliche Lieferverpflichtungen haben können.
Eine zweite Internetanbindung schafft beispielsweise noch keine belastbare Redundanz, wenn beide Leitungen von derselben zentralen Netzkomponente abhängen. Auch redundant ausgelegte Server helfen nur begrenzt, wenn kritische Kommunikationswege einen gemeinsamen Ausfallpunkt besitzen.
Welche zusätzlichen Maßnahmen erforderlich sind, richtet sich nach den relevanten Anforderungen, den betrieblichen Abhängigkeiten und dem Schutzbedarf. Nicht jede in ARCH beschriebene Redundanzmaßnahme ist pauschal verpflichtend.
Was Unternehmen jetzt konkret prüfen sollten
Für eine erste Bestandsaufnahme muss kein vollständiges Architekturprojekt gestartet werden. Aussagekräftiger kann es sein, die bestehende Infrastruktur anhand einiger gezielter Fragen zu untersuchen:
Ist die tatsächliche Netzstruktur bekannt? Ein aktuelles Netzinventar und ein nachvollziehbarer Netzplan gehören zu den SOLLTE-Anforderungen der Praktik ARCH. Beide sollten die realen Verbindungen abbilden und nicht nur einen früheren Planungszustand.
Welche Kommunikationswege sind ausdrücklich erlaubt? Dazu gehören Verbindungen zwischen Büro- und Produktionsnetzen, externe Fernwartungszugänge, Administrationsschnittstellen und Übergänge zu Dienstleistern.
Wer entscheidet über Änderungen? Neue Verbindungen, temporäre Ausnahmen und zusätzliche Netzsegmente benötigen klare Verantwortlichkeiten. Besonders problematisch sind Ausnahmen, die nach Projektabschluss unbeachtet bestehen bleiben.
Was passiert bei einem Ausfall oder Sicherheitsvorfall? Eine Architektur sollte erkennen lassen, welche Systeme voneinander abhängen, welche Verbindungen getrennt werden können und wo gemeinsame Ausfallpunkte liegen.
Neben Konzepten und Zeichnungen sollten bei einer vertieften Prüfung auch die tatsächlichen technischen Einstellungen betrachtet werden. Dazu gehören beispielsweise Routingtabellen, Firewallregeln, Netzkonfigurationen und bestehende Fernzugriffswege. Erst der Vergleich zwischen dokumentierter Architektur und realem Betriebszustand zeigt, ob die vorgesehenen Sicherheitsgrenzen tatsächlich bestehen.
Die Verantwortung liegt nicht allein bei der IT-Abteilung
Architekturentscheidungen werden häufig im Zusammenhang mit Geschäfts- und Projektentscheidungen getroffen. Wenn eine Entwicklungsumgebung kurzfristig an einen externen Partner angebunden werden muss, ein neuer Produktionsstandort hinzukommt oder ein Dienstleister zusätzliche Zugänge verlangt, sind neben der IT auch Projektleitung, Einkauf und fachliche Verantwortliche beteiligt.
Die IT kann eine Verbindung technisch absichern. Ob sie notwendig ist, welche Informationen darüber verarbeitet werden dürfen und welches Restrisiko akzeptabel bleibt, lässt sich jedoch nicht immer allein technisch entscheiden. Gerade in sicherheitssensiblen Branchen müssen deshalb betriebliche Anforderungen, Informationsschutz und technische Architektur zusammen betrachtet werden.
Grundschutz++ schafft dafür einen strukturierten Rahmen. Die Praktik ARCH ersetzt allerdings weder eine projektspezifische Risikoanalyse noch zusätzliche Geheimschutzanforderungen oder vertragliche Sicherheitsvorgaben.
Eine Architektur muss auch morgen noch erklärbar sein
Der neue Grundschutz++ ist kein Anlass, sämtliche bestehenden Netze vorschnell neu aufzubauen. Viele der beschriebenen Sicherheitsprinzipien sind seit Jahren bekannt und werden in professionell betriebenen Infrastrukturen bereits angewendet. Der Unterschied liegt in ihrer systematischen Zuordnung, der Dokumentation und der regelmäßigen Überprüfung.
Ein Netzplan zeigt, wie eine Infrastruktur verbunden ist. Eine belastbare Sicherheitsarchitektur erklärt darüber hinaus, weshalb diese Verbindungen notwendig sind, wer sie verantwortet und wie ihre Sicherheit erhalten bleibt. Wenn niemand mehr beantworten kann, warum zwei Netzsegmente miteinander kommunizieren dürfen, ist aus einer Architekturentscheidung längst eine Gewohnheit geworden.
Gewohnheit ist keine Sicherheitskontrolle.
BSI – Offizielle Stand-der-Technik-Bibliothek mit dem maschinenlesbaren Anwenderkatalog.
ARCH – Aufbereitete Einzelanforderungen, Stand 29.10.2026 – unabhängige Darstellung der BSI-Katalogdaten.
BSI-Standard 300-1, Version 1.0 vom 20. Oktober 2026, veröffentlicht am 26. Oktober 2026.
