Lernfeld 4: Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen

Lernfeld 4 heißt amtlich „Schutzbedarfsanalyse im eigenen Arbeitsbereich durchführen“. Der Kern ist eine einzige Frage, die du für jedes System, jede Anwendung und jeden Datenbestand beantworten sollst: Wie schlimm wäre es, wenn hier etwas schiefgeht. Aus dieser Frage leiten sich die drei Schutzziele ab, die Einstufung des Schutzbedarfs und die Maßnahmen, mit denen ein Betrieb reagiert.

Im Unterricht beginnt das meist mit den Begriffen, die den Rest tragen. Eine Bedrohung ist ein möglicher Schaden von außen oder innen, eine Schwachstelle die Lücke, durch die er wirksam wird, und das Risiko die Kombination aus Eintrittswahrscheinlichkeit und Schadenshöhe. Erst danach folgt der IT-Grundschutz des BSI, also das Standardwerk, das für typische Bausteine fertige Maßnahmen vorschlägt.

Der zweite Block ist praktischer: technische und organisatorische Maßnahmen. Technisch sind Verschlüsselung, Zugriffsrechte, Protokollierung und Backups; organisatorisch sind Regelungen, Zuständigkeiten, Schulungen und Notfallpläne. Dazu kommt der Datenschutz nach DSGVO, der im Unterricht meist an personenbezogenen Daten festgemacht wird — an der Frage, welche Daten überhaupt erhoben werden dürfen und wie lange sie bleiben.

Die drei Schutzziele lassen sich an einem einzigen Beispiel auseinanderhalten. Vertraulichkeit heißt: Nur wer darf, sieht die Gehaltsliste. Integrität heißt: Die Zahlen darin sind unverändert und stimmen. Verfügbarkeit heißt: Die Buchhaltung kommt am Zahltag auch wirklich an die Datei heran. Wer diese drei an einem eigenen Beispiel durchspielt, verwechselt sie in der Prüfung nicht mehr.

Bei den Schutzbedarfsstufen ist die häufigste Stolperstelle nicht das Vokabular, sondern die Begründung. Normal, hoch und sehr hoch beschreiben, wie groß der Schaden bei einer Verletzung wäre — nicht, wie wahrscheinlich sie ist, und nicht, wie teuer das System war. In Aufgaben zählt deshalb selten die Stufe allein, sondern der Satz, mit dem du sie belegst.

Die zweite Stelle, an der Punkte liegen bleiben, ist die Zuordnung von Maßnahmen. Verschlüsselung schützt in erster Linie die Vertraulichkeit, eine Prüfsumme die Integrität, ein Backup die Verfügbarkeit. Beim Backup gehört die zweite Hälfte dazu: Ein Sicherungskonzept ohne getestete Wiederherstellung ist keins. Prüfe bei jeder Maßnahme, die du nennst, welches Schutzziel sie trägt — genau danach wird gefragt.

Eine amtliche Zuordnung „Lernfeld 4 wird in der AP1 geprüft“ gibt es nicht. Lernfelder stammen aus dem KMK-Rahmenlehrplan der Berufsschule, Prüfungsbereiche aus der Ausbildungsordnung der IHK — zwei Ordnungen, die sich inhaltlich weitgehend decken, aber formal nichts voneinander wissen. Die AP1 prüft den gemeinsamen Stoff der ersten anderthalb Jahre, und die Lernfelder sind die Landkarte dazu.

Lernfeld 4 nimmt darin eine Sonderrolle ein. Der Prüfungsbereich der AP1 heißt „Einrichten eines IT-gestützten Arbeitsplatzes“, und fast jede Aufgabe darin trägt eine Nebenbedingung mit sich: unter Beachtung von Datenschutz und IT-Sicherheit. Diese Punkte hängen nicht an einer eigenen Sicherheitsaufgabe, sondern verteilen sich über Aufgaben, die auf den ersten Blick von Hardware, Netzwerk oder Beschaffung handeln.

Daraus folgt eine unspektakuläre, aber verlässliche Rechnung: Wer die drei Schutzziele und die drei Schutzbedarfsstufen jederzeit sauber benennen und an einem Beispiel begründen kann, sammelt in vielen Aufgaben Teilpunkte ein, ohne die eigentliche Fachfrage perfekt zu treffen. Was in deinem Bildungsgang wann unterrichtet und verbindlich geprüft wird, sagen dir am Ende nur deine Berufsschule und deine zuständige IHK.

Lernfeld 4 sitzt inhaltlich nicht zufällig zwischen seinen Nachbarn. In Lernfeld 3 bindest du Clients in ein Netzwerk ein und lernst Adressierung und Dienste kennen — also genau das, was in Lernfeld 4 zum Schutzobjekt wird. Eine Firewallregel oder ein getrenntes Netzsegment ergibt erst Sinn, wenn du sagen kannst, welches Schutzziel sie tragen soll.

Nach hinten schließt Lernfeld 5 an: Dort geht es um Software zur Datenverwaltung, um Datenbestände und ihre Struktur. Der Schutzbedarf, den du in Lernfeld 4 feststellst, hängt fast immer an solchen Daten — Kundendaten, Personaldaten, Protokolle. Wenn du beide Lernfelder zusammen wiederholst, beantwortest du nicht nur, wie Daten gespeichert werden, sondern auch, wer sie sehen darf und wie lange sie bleiben.

Zum Selbsttest reichen drei Aufgaben, für die du kein Buch brauchst. Nenne die drei Schutzziele und je ein Beispiel für ihre Verletzung. Stufe ein selbst gewähltes System deines Betriebs ein und begründe die Stufe in einem Satz. Nenne zu jedem Schutzziel eine technische und eine organisatorische Maßnahme. Wenn das ohne Nachschlagen klappt, sitzt Lernfeld 4.