← Zurück zu News 27.09.2026 Reihe Grundbegriffe, Folge 5

Eine Leitlinie ist keine Richtlinie

Grundbegriffe, Folge 5: Leitlinie, Richtlinie, Sicherheitskonzept und Arbeitsanweisung landen in vielen Häusern im selben Ordner und oft im selben Dokument. Der BSI-Standard 200-1 unterscheidet sie nach Zweck, Zielgruppe und Freigeber. Wer die Ebenen mischt, bekommt eine Leitlinie, die niemand ändern darf, und Anweisungen, die niemand liest.

In vielen Häusern gibt es ein Dokument mit dem Titel „IT-Sicherheitsrichtlinie“. Es hat vierzig Seiten, beginnt mit einem Satz der Geschäftsführung zum Stellenwert der Informationssicherheit, regelt auf Seite zwölf die Mindestlänge von Passwörtern und beschreibt auf Seite dreißig, wie die Datensicherung zurückgespielt wird. Unterschrieben hat es die Geschäftsführung, vor vier Jahren.

Das Dokument ist nicht falsch. Es sind vier Dokumente in einem, mit vier verschiedenen Zwecken, Zielgruppen und Freigebern. Deshalb wird es nicht aktualisiert: Jede geänderte Passwortregel bräuchte eine neue Unterschrift der Geschäftsführung.

Leitlinie: das Bekenntnis der Leitung

Die Leitlinie zur Informationssicherheit, englisch Information Security Policy, ist das oberste Dokument. Der BSI-Standard 200-1 beschreibt ihren Zweck so:

„Die Kernaspekte der Sicherheitsstrategie werden in der Leitlinie zur Informationssicherheit dokumentiert. Die Sicherheitsleitlinie ist von zentraler Bedeutung, da sie das sichtbare Bekenntnis der Leitungsebene zu ihrer Strategie enthält.“

Als Mindestinhalt nennt der Standard den Stellenwert der Informationssicherheit, den Bezug der Sicherheitsziele zu den Geschäftszielen, die Sicherheitsziele und Kernelemente der Strategie, die Zusicherung, dass die Institutionsleitung die Leitlinie durchsetzt, und die Organisationsstruktur des Sicherheitsprozesses. Passwortlängen stehen nicht darin. Eine gute Leitlinie hat wenige Seiten, wird von der Leitung verabschiedet und ändert sich nur, wenn sich Strategie oder Organisation ändern.

ISO/IEC 27001 kennt dasselbe Dokument als Informationssicherheitspolitik nach Abschnitt 5.2, festgelegt durch die oberste Leitung.

Richtlinie: Regeln zu einem Thema

Richtlinien setzen die Leitlinie für ein Thema und einen Personenkreis um: Nutzung von E-Mail und Internet, mobiles Arbeiten, Umgang mit Passwörtern, Klassifizierung von Informationen. Der Standard nennt als Beispiele „Sicherheitsrichtlinien für die Nutzung von E-Mail und Internet“ und „Verhaltensregeln für Mitarbeiter beim Verdacht eines Sicherheitsvorfalls“, mit dem Ziel, dass Sicherheitsvorfälle „durch Unkenntnis oder Fehlhandlungen vermieden werden“.

Richtlinien sind verbindlich für die Beschäftigten, an die sie sich richten, und sie ändern sich häufiger als die Leitlinie. Die ISO 27001 führt sie im Anhang A unter 5.1 als themenspezifische Richtlinien, sinngemäß: festgelegt, von der Leitung genehmigt, veröffentlicht, den Betroffenen bekannt gemacht, von ihnen zur Kenntnis genommen und in geplanten Abständen überprüft. Genehmigen muss also die Leitung, aber nicht jede Passwortregel in derselben Urkunde wie die Strategie.

Sicherheitskonzept: der Plan für den Informationsverbund

Das Sicherheitskonzept ist kein Regelwerk für Beschäftigte, sondern ein Planungsdokument. Es beschreibt für einen Informationsverbund, welche Maßnahmen gegen welche Gefährdungen umgesetzt werden, auf Grundlage von Strukturanalyse, Schutzbedarf und Modellierung. Der Standard ordnet es klar ein:

„Sicherheitsorganisation und Sicherheitskonzept sind dabei die Werkzeuge des Managements zur Umsetzung ihrer Sicherheitsstrategie.“

Seine Leser sind der ISB, das Sicherheitsmanagement und die Verantwortlichen der Zielobjekte, nicht die Belegschaft. Es ändert sich mit dem Informationsverbund, und es enthält, was eine Richtlinie nie enthalten sollte: Schwachstellen, offene Maßnahmen, Restrisiken.

Arbeitsanweisung: wie es konkret gemacht wird

Die unterste Ebene beschreibt Handgriffe. Der Standard nennt unter der technischen Dokumentation „Anleitungen zur Installation von IT-Anwendungen, zur Durchführung von Datensicherungen, zum Rückspielen einer Datensicherung“ oder zum Wiederanlauf nach einem Stromausfall. Die Zielgruppe benennt er ausdrücklich: Experten. Der Maßstab ist, dass der Soll-Zustand nach einer Störung „in angemessener Zeit“ wiederhergestellt werden kann.

Arbeitsanweisungen ändern sich mit jedem Release und jeder neuen Firewall. Freigeben sollte sie, wer fachlich verantwortlich ist, nicht die Geschäftsführung, sonst sind sie beim nächsten Update veraltet.

Warum die Trennung zählt

Die vier Ebenen unterscheiden sich in vier Merkmalen: Zweck, Zielgruppe, Freigeber und Änderungsrhythmus. Mischt man sie, erbt jedes Detail den trägsten Freigeber. Die Passwortregel wartet auf die Geschäftsführung, die Rücksicherungsanleitung auch, und im Audit liegt eine Leitlinie vor, deren Seite dreißig seit drei Server-Generationen nicht mehr stimmt.

Umgekehrt verliert eine Richtlinie ohne Leitlinie ihren Rückhalt: Wer eine Regel bricht, kann auf keine Entscheidung der Leitung verwiesen werden, die sie trägt. Und ein Sicherheitskonzept, das als Richtlinie an alle verteilt wird, veröffentlicht die eigenen Schwachstellen im Intranet.

In isidaten tragen gelenkte Dokumente deshalb eine eigene Freigabe, einen Prüfzyklus je Dokumenttyp und eine Kenntnisnahme je Fassung, sodass jede Ebene ihren eigenen Rhythmus behalten kann.