Wenn Budget, Personal, Zeit oder Infrastruktur fehlen, erodiert die Informationssicherheit stillschweigend — oft lange bevor ein konkreter Vorfall eintritt.
Ressourcenmangel (G 0.27) betrifft den gesamten IT-Betrieb: von der Server-Kapazität über die Personalausstattung bis zur Finanzierung von Sicherheitsmaßnahmen. Im Regelbetrieb lassen sich Engpässe vorübergehend kompensieren. Unter Zeitdruck — etwa in einer Notfallsituation — werden sie zum kritischen Risiko.
Was steckt dahinter?
Ressourcenmangel wirkt als Verstärker für nahezu jede andere Bedrohung. Wenn die Grundausstattung einer Organisation — Personal, Budget, Infrastruktur, Zeit — nicht zu den Anforderungen passt, greifen auch die besten Sicherheitskonzepte ins Leere.
Betroffene Ressourcen
- Personelle Ressourcen — Zu wenige Administratoren, fehlende Vertretungsregelungen, unbesetzte Sicherheitsrollen. Kritische Aufgaben wie Patch-Management, Log-Auswertung oder Notfallübungen bleiben liegen.
- Technische Ressourcen — Nicht ausreichend dimensionierte Server, zu geringe Netzwerk-Bandbreite, fehlende Redundanz. Neue Anwendungen werden auf eine Infrastruktur aufgesetzt, die für die ursprüngliche Last ausgelegt war.
- Finanzielle Ressourcen — Kein Budget für Ersatzteile, Lizenzverlängerungen oder externe Spezialisten. Im Insolvenzfall können selbst grundlegende Wartungsverträge nicht mehr bedient werden.
- Zeitliche Ressourcen — Zu enge Projektpläne, die keine Zeit für Sicherheitstests lassen. Sicherheitsmaßnahmen werden „nachgeholt” — und dann nie umgesetzt.
Schadensausmass
Ressourcenmangel verursacht selten einen einzelnen, dramatischen Vorfall. Sein Schadensausmass entfaltet sich schleichend: Patches werden verspätet eingespielt, Monitoring-Alarme nicht zeitnah bearbeitet, Notfallpläne nicht getestet. Wenn dann ein konkreter Vorfall eintritt — ein Ransomware-Angriff, ein Hardwareausfall, eine Compliance-Prüfung — fehlt die Fähigkeit, angemessen zu reagieren.
Praxisbeispiele
Überlastete Administratoren. In einem Unternehmen ist ein einziger Administrator für Netzwerk, Server und Sicherheit zuständig. Protokolldateien werden nur alle paar Wochen geprüft. Ein Angreifer nutzt eine bekannte Schwachstelle aus, die seit Monaten ungepatcht ist. Der Einbruch fällt erst auf, als Kundendaten im Darknet auftauchen — Wochen nach dem initialen Zugriff.
Netzwerküberlastung durch neue Anwendungen. Eine Organisation führt eine Videokonferenz-Lösung ein, deren Bandbreitenbedarf bei der Netzwerkplanung nicht berücksichtigt wurde. In Stoßzeiten bricht das gesamte Netz zusammen, weil die Infrastruktur nicht skalieren kann. Geschäftskritische Anwendungen wie ERP und E-Mail sind stundenlang nicht erreichbar.
Kein Budget für Ersatzteile. Ein Unternehmen in finanziellen Schwierigkeiten kann keine Festplatten für ein in die Jahre gekommenes Speichersystem nachkaufen. Als eine Platte im RAID-Verbund ausfällt, gibt es keinen Ersatz. Ein zweiter Plattenausfall innerhalb weniger Tage führt zum Totalverlust des Arrays.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 56 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.5.2 — Rollen und Verantwortlichkeiten: Klare Zuweisung von Sicherheitsrollen stellt sicher, dass personelle Ressourcen ausreichend eingeplant werden.
- A.8.6 — Kapazitätssteuerung: Systematische Überwachung und Prognose des Ressourcenbedarfs verhindern technische Engpässe.
- A.5.29 — Informationssicherheit bei Störungen: Continuity-Planung berücksichtigt den Ressourcenbedarf in Notfallsituationen.
- A.5.1 — Informationssicherheitsrichtlinie: Die Leitungsebene verpflichtet sich zur Bereitstellung der notwendigen Ressourcen.
Erkennung:
- A.8.15 — Protokollierung: Zentrales Logging macht sichtbar, wenn Wartungs- und Sicherheitsaufgaben nicht termingerecht erledigt werden.
- A.5.35 — Unabhängige Überprüfung der Informationssicherheit: Audits decken auf, ob die zugewiesenen Ressourcen den Anforderungen entsprechen.
Reaktion:
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Incident-Response-Pläne müssen den Ressourcenbedarf im Ernstfall realistisch einkalkulieren.
- A.5.26 — Reaktion auf Informationssicherheitsvorfälle: Definierte Eskalationswege, wenn interne Ressourcen nicht ausreichen (externe Dienstleister, CERT).
BSI IT-Grundschutz
G 0.27 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- ISMS.1 (Sicherheitsmanagement) — Anforderungen an die Bereitstellung von Ressourcen für das ISMS.
- ORP.1 (Organisation) — Organisatorische Rahmenbedingungen und Personalausstattung.
- DER.4 (Notfallmanagement) — Ressourcenplanung für Notfall- und Krisensituationen.
- OPS.1.1.1 (Allgemeiner IT-Betrieb) — Grundlegende Anforderungen an die Ausstattung des IT-Betriebs.
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland — Jahreslagebericht mit Erkenntnissen zu organisatorischen Schwachstellen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.27 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 8.6 — Umsetzungshinweise zur Kapazitätssteuerung