800-53 Baselines und Tailoring: Low, Moderate und High sinnvoll wählen

Problem in der Praxis

Bei der Control-Auswahl entstehen zwei typische Fehlerbilder. Im ersten Fall wählt eine Organisation die Baseline zu hoch, weil High intuitiv nach mehr Sicherheit klingt. Es entsteht ein überdimensioniertes Kontrollset, das Ressourcen bindet und in Assessments dauerhaft Lücken zeigt, weil die Controls nie vollständig betrieben werden. Im zweiten Fall wird zu niedrig oder unsystematisch gewählt, und kritische Systeme laufen ohne angemessene Tiefe.

Verschärft wird das durch fehlende oder uneinheitliche Schutzbedarfseinstufung; ohne saubere Kategorisierung wird die Baseline-Wahl zur Bauchentscheidung. Zudem wird Tailoring oft als Formalie behandelt und nicht dokumentiert. Dann existiert zwar ein Control-Set, aber niemand kann erklären, warum ein Control entfällt, ersetzt oder ergänzt wurde. Genau diese Begründung will ein Assessment nach SP 800-53A sehen.

CISO-Einordnung

Die Baselines sind in SP 800-53B an die Schutzbedarfsfeststellung gekoppelt. FIPS 199 stuft ein System für Vertraulichkeit, Integrität und Verfügbarkeit jeweils in Low, Moderate oder High ein; FIPS 200 leitet über das höchste der drei Ergebnisse die Gesamtkategorie ab (High-Water-Mark-Prinzip), und diese bestimmt die geltende Baseline.

Die Mengenbeziehung ist maßgeblich: Moderate enthält die Low-Controls und ergänzt sie, High baut auf Moderate auf. Mit steigender Stufe wächst vor allem die Zahl der Enhancements. Es ist keine Wahl zwischen drei unabhängigen Paketen, sondern eine Frage der Tiefe. Das High-Water-Mark-Prinzip ist zugleich der häufigste Grund für Überdimensionierung: Ein einzelnes hohes Schutzziel zieht das ganze System auf High. Hier setzt Tailoring an. Auch ohne RMF-Zwang ist diese Kette wertvoll, weil sie nachvollziehbar von der Geschäftskritikalität zu angemessener Control-Tiefe führt.

Umsetzungsperspektive

Eine belastbare Auswahl folgt einer wiederholbaren Reihenfolge:

• Schutzbedarf je System ermitteln (Vertraulichkeit, Integrität, Verfügbarkeit), Gesamtkategorie ableiten.
• Passende Baseline aus SP 800-53B wählen; Privacy-Baseline zusätzlich bei Verarbeitung personenbezogener Daten.
• Baseline tailoren und jede Anpassung begründen.
• Verbleibendes Control-Set implementieren, Verantwortliche zuweisen, mit Nachweisen hinterlegen.

Das Tailoring kennt benannte Aktivitäten, die ein CISO als Werkzeugkasten nutzen sollte: gemeinsame Controls ausweisen (Common Controls, von Plattform oder Provider geerbt); Scoping anwenden, also nicht zutreffende Controls begründet streichen (etwa Mobile-Controls für ein System ohne mobile Komponenten); kompensierende Controls wählen, wenn ein vorgesehenes Control nicht umsetzbar ist; organisationsdefinierte Parameter (Organization-Defined Parameters) mit Werten wie Fristen oder Schwellen belegen; und die Baseline ergänzen, wo das Risiko über sie hinausgeht.

Für wiederkehrende Konstellationen lohnt der Blick auf Overlays. Ein Overlay ist eine vorgefertigte, abgestimmte Spezialisierung einer Baseline für einen Sektor, eine Technologie oder einen Kontext, etwa die FedRAMP-Baselines für Cloud-Dienste oder Anpassungen für industrielle Steuerungssysteme (Umfeld SP 800-82). Ein passendes Overlay erspart einen Großteil der individuellen Tailoring-Arbeit.

Typische Fehler

1. Baseline-Wahl ohne saubere Schutzbedarfsfeststellung; die Stufe wird gefühlt statt hergeleitet.
2. High als vermeintlich sichere Standardwahl, ohne Betriebs- und Ressourcenfolgen zu prüfen.
3. Tailoring ausgelassen oder nicht dokumentiert; später fehlt jede Begründung für Streichungen.
4. Organisationsdefinierte Parameter bleiben leer; Controls sind dadurch nicht prüfbar konkretisiert.
5. Common Controls werden nicht als geerbt ausgewiesen; jedes System implementiert dasselbe erneut.
6. Die Privacy-Baseline wird vergessen, obwohl personenbezogene Daten verarbeitet werden.
7. Bestehende Overlays werden ignoriert und die Anpassung für jedes System neu erfunden.

Risiken und Trade-offs

Der zentrale Trade-off liegt zwischen Schutztiefe und Betreibbarkeit. Eine höhere Baseline senkt Restrisiko, erhöht aber Aufwand und Komplexität und die Wahrscheinlichkeit, dass Controls nur auf dem Papier stehen. Ein Control-Set, das niemand vollständig leben kann, erzeugt trügerische Sicherheit und dauerhafte Findings.

Beim Tailoring steht Standardisierung gegen Passgenauigkeit. Wer kaum tailored, behält eine einheitliche Auswahl, schleppt aber unpassende Controls mit; wer stark tailored, erreicht Passgenauigkeit, riskiert aber Intransparenz und Begründungslast. Zu aggressives Scoping kann reale Risiken wegdefinieren, der gefährlichste Fall, weil er nach Effizienz aussieht. In Cloud-Modellen senken geerbte Common Controls den Aufwand, verlagern aber Vertrauen auf einen Provider; ohne Wirksamkeitsnachweis wird Vererbung zur unsichtbaren Lücke.

Entscheidungspunkte

• Auf welcher Granularität stufen wir ein: pro System, pro Service oder pro Datenkategorie?
• Akzeptieren wir das High-Water-Mark-Prinzip pauschal, oder zerlegen wir Systeme für eine gezieltere Einstufung?
• Welche Baseline bildet unseren organisationsweiten Mindeststandard, auch ohne föderale Pflicht?
• Welche Controls definieren wir als Common Controls, und wer verantwortet deren Wirksamkeit?
• Nutzen wir ein vorhandenes Overlay (z. B. FedRAMP, OT/ICS) oder tailoren wir selbst?
• Wie tief darf Scoping gehen, bevor eine Streichung ins Management eskaliert werden muss?

Praktische Empfehlungen

1. Etablieren Sie zuerst eine konsistente Schutzbedarfsfeststellung; sie ist Voraussetzung jeder begründbaren Baseline-Wahl.
2. Behandeln Sie die gewählte Baseline als Startpunkt, nicht als Ziel; planen Sie Tailoring als festen Arbeitsschritt.
3. Dokumentieren Sie jede Tailoring-Entscheidung, besonders Streichungen und kompensierende Controls.
4. Belegen Sie organisationsdefinierte Parameter aktiv mit Werten; ohne sie sind Controls nicht prüfbar.
5. Führen Sie einen Katalog von Common Controls und weisen Sie geerbte Controls samt Nachweisquelle aus.
6. Prüfen Sie vor eigenem Tailoring, ob ein etabliertes Overlay Ihren Kontext bereits abdeckt.
7. Verknüpfen Sie die Auswahl mit Assessment (SP 800-53A) und Continuous Monitoring (SP 800-137).
8. Verankern Sie die Baseline-Logik im Risikomanagement (RMF nach SP 800-37, Risikobewertung nach SP 800-30).

Relevante Normreferenzen

• NIST SP 800-53 Rev. 5: Katalog der Security- und Privacy-Controls (20 Familien).
• NIST SP 800-53B: Control Baselines (Low, Moderate, High), Privacy-Baseline und Tailoring-Leitlinien.
• NIST SP 800-53A: Assessment-Prozeduren zur Wirksamkeitsprüfung.
• FIPS 199 / FIPS 200: Schutzbedarfsfeststellung und Mindestanforderungen (High-Water-Mark).
• NIST SP 800-37 Rev. 2 / SP 800-30 / SP 800-137: RMF, Risikobewertung und Continuous Monitoring.
• NIST CSF 2.0 (NIST.CSWP.29): Outcome-Rahmen, über offizielle Mappings mit 800-53 verknüpft.