.png){kind=logo}
Die Standard-Absicherung des BSI ist auf einen angemessenen Schutz im Normalfall ausgelegt. Bei hohem oder sehr hohem Schutzbedarf sieht die IT-Grundschutz-Methodik eine zusätzliche Risikoanalyse vor. Wenn sensible Daten auch in fremden Infrastrukturen verarbeitet werden, braucht es eine zusätzliche Schutzschicht – Confidential Computing.
Entwickelt und betrieben in Deutschland.
IT-Grundschutz ist die Methodik des BSI für den Aufbau und die Weiterentwicklung eines Informationssicherheitsmanagementsystems. Die BSI-Standards beschreiben das Vorgehen, das IT-Grundschutz-Kompendium liefert dazu Bausteine mit konkreten Anforderungen für Prozesse, Anwendungen, IT-Systeme und Infrastruktur. Entscheidend ist dabei derInformationsverbund: also der abgegrenzte Bereich, für den das Sicherheitskonzept erstellt wird. Für die darin enthaltenen Zielobjekte wird der Schutzbedarf in den Kategorien normal, hoch oder sehr hoch bestimmt. Davon hängt ab, wie weit die Standard-Anforderungen des IT-Grundschutzes ausreichen und wo eine zusätzliche Risikoanalyse notwendig wird.
Drei Punkte sind dabei besonders wichtig:
Basis- und Standard-Anforderungen decken viele etablierte Sicherheitsmaßnahmen ab. Anspruchsvoller wird es dort, wo neue Vertrauensgrenzen entstehen oder der tatsächliche Zustand laufender Systeme nachgewiesen werden soll.
Indicative mapping at building-block (Baustein) level: where enclaive adds enforcement, and the evidence each control gives your audit. German block names are kept as the compendium writes them, with the English reading alongside.
Confidential Computing ergänzt den Schutz von Data at Rest und Data in Transit um Data in Use. Geschützte Workloads laufen hardwareisoliert, ihr Arbeitsspeicher bleibt gegenüber der Infrastruktur verschlüsselt.
Attestation-Daten belegen den gemessenen Zustand und die geschützte Laufzeitumgebung einer Workload zum Zeitpunkt der Attestation.
Kundenseitig kontrollierte Schlüssel und attestationsgebundene Schlüsselfreigabe verhindern privilegierte Infrastrukturzugriffe. Cloud-Administratoren und Hypervisor erhalten keinen regulären Klartextzugriff auf geschützte Workloads.
Key-Release-Protokolle zeigen, dass Schlüssel nur an attestierte Workloads freigegeben wurden – unabhängig vom Cloud-Betreiber.
Pods können als abgeschottete Confidential VMs ausgeführt werden. Die Kubernetes Control Plane bleibt außerhalb der geschützten Workload; Secrets lassen sich an erfolgreiche Attestation binden.
Workload-Identität und Attestation zeigen, welcher geschützte Pod tatsächlich ausgeführt wurde und ob sein Zustand den definierten Policies entsprach.
Confidential Computing verstärkt die Isolation auf Workload-Ebene und damit die Mandantentrennung.
Technische Evidenz über die zusätzliche Isolation einzelner Workloads gegenüber Host, Cluster und anderen Mandanten.
Ergibt die Risikoanalyse zusätzlichen Schutzbedarf, kann Confidential Computing als konkrete technische Maßnahme zur Behandlung entsprechender Risiken eingesetzt werden — bei genau den Assets, die als besonders schützenswert erkannt wurden.
Dokumentierte technische Maßnahme mit zugehörigen Policies, Attestation-Ergebnissen und Key-Release-Daten als Teil der Risikobehandlung.
Evidence Packs bündeln technische Betriebsdaten wie Attestation-Status und Schlüsselfreigaben auf Knopfdruck für Prüfungen und Audits.
Wiederholbar erzeugte technische Evidenz unterstützt Grundschutz-Checks, Risikoanalyse und Auditvorbereitung.
Die Bausteinverweise dienen der Orientierung im IT-Grundschutz-Kompendium und stellen keine Aussage über eine Zertifizierung dar.
Der Wert von enclaive liegt gezielt bei den technischen Maßnahmen – insbesondere dort, wo eine Risikoanalyse bei hohem oder sehr hohem Schutzbedarf zusätzlichen Schutz erforderlich macht. Confidential Computing kann organisatorische Vorgaben durch technisch durchgesetzte Schutzmechanismen ergänzen. Remote Attestation und Key-Release-Protokolle liefern dazu überprüfbare technische Evidenz aus der Laufzeitumgebung, die automatisiert und wiederholt erzeugt werden kann.Die Modellierung bleibt bei Ihnen – besonders anspruchsvolle technische Schutzbehauptungen werden belastbarer nachweisbar.
Was Verantwortliche für IT-Grundschutz wissen wollen
Führt der Einsatz von enclaive zur Zertifizierung?
Nein. Zertifiziert wird der betrachtete Informationsverbund beziehungsweise das darin umgesetzte ISMS – nicht ein einzelnes Produkt. enclaive kann technische Anforderungen umsetzen und dafür überprüfbare Evidenz liefern. Strukturanalyse, Modellierung, Sicherheitskonzept und organisatorische Maßnahmen bleiben Teil Ihrer IT-Grundschutz-Umsetzung.
Unsere Risikoanalyse ergibt hohen Schutzbedarf. Wie dokumentieren wir enclaive als zusätzliche Maßnahme?
Das hängt vom konkret identifizierten Risiko ab. Wird beispielsweise der privilegierte Zugriff auf sensible Workloads als Risiko behandelt, kann Confidential Computing als zusätzliche technische Maßnahme dokumentiert werden – einschließlich Schutzmechanismus, betroffenen Workloads und technischer Evidenz wie Attestation- oder Key-Release-Daten. Entscheidend ist, dass die Maßnahme nachvollziehbar aus der Risikoanalyse abgeleitet wird.
Können wir unter IT-Grundschutz überhaupt Public Cloud nutzen?
Ja. IT-Grundschutz schließt Cloud-Nutzung nicht aus; mit OPS.2.2 gibt es dafür einen eigenen Baustein. Mit Confidential Computing, kundenseitig kontrollierten Schlüsseln und attestationsgebundener Freigabe lässt sich die Vertrauensgrenze dabei deutlich verschieben: Cloud-Administratoren und Hypervisor können die Infrastruktur betreiben, erhalten aber keinen regulären Klartextzugriff auf die geschützten Workloads. Betriebsrechte und Datenzugriff werden technisch voneinander getrennt.
Wie verhält sich das zum BSI C5?
C5 bewertet die Sicherheitskontrollen eines Cloud-Dienstes, während IT-Grundschutz den eigenen Informationsverbund und das eigene ISMS betrachtet. Im C5:2026 wird Confidential Computing auch ausdrücklich adressiert. Damit greifen beide Ebenen ineinander: C5 macht Confidential Computing zu einem prüfbaren Cloud-Sicherheitsmechanismus, während es im IT-Grundschutz als konkrete technische Maßnahme für besonders schutzbedürftige Workloads eingesetzt werden kann.
Wir sind nach IT-Grundschutz zertifiziert und fallen zusätzlich unter NIS2/BSIG. Doppelte Arbeit?
Nur bedingt. Ein etabliertes ISMS und umgesetzte IT-Grundschutz-Maßnahmen schaffen eine gute Ausgangsbasis. Sie ersetzen aber nicht die Prüfung, welche zusätzlichen Pflichten sich aus dem BSIG ergeben. § 30 verlangt unter anderem wirksame Risikomanagementmaßnahmen, Wirksamkeitsbewertung, Kryptografie, Zugriffskontrolle und Lieferkettensicherheit. Bestehende Kontrollen und Nachweise können dafür weiterverwendet werden; verbleibende Lücken müssen separat bewertet werden.
Muss der Auditor unseren Aussagen zur Attestation vertrauen?
Nein. Remote Attestation ist unabhängig überprüfbar. Autorisierte Prüfer oder das eigene Security-Team können kryptografisch verifizieren, ob der gemessene Zustand einer geschützten Workload und ihrer Ausführungsumgebung den definierten Referenzwerten und Policies entspricht. Diese Prüfung lässt sich zum Audit-Zeitpunkt ebenso durchführen wie wiederholt im laufenden Betrieb.
Wenn Ihre Risikoanalyse mehr Schutz verlangt
Zeigen Sie uns, wo Ihr IT-Grundschutz heute steht und wo hoher oder sehr hoher Schutzbedarf festgestellt wurde. Wir zeigen Ihnen, welche zusätzlichen technischen Maßnahmen sinnvoll sind – und wie sich deren Umsetzung belastbar nachweisen lässt.
