Dr. Benjamin Quasinowski

Dr. Benjamin Quasinowski

+49 5258 93777-0

5 Minuten Lesezeit

14. Juli 2026

Verwandte Themen:

Insights

Informationssicherheit an Hochschulen wirksam umsetzen: ISMS und Cybersecurity zusammendenken

Hochschulen investieren zunehmend in Informationssicherheitskonzepte, entwerfen Pläne für die Notfallvorsorge, konzipieren technische Schutzmaßnahmen und setzen diese in Teilen auch bereits in hinreichendem Maße um. Informationssicherheit wird dabei längst nicht mehr als nur operative Aufgabe der IT verstanden, sondern als strategische Herausforderung auf Leitungsebene. Die Hochschulrektorenkonferenz (HRK) etwa hat bereits vor 10 Jahren ausdrücklich empfohlen, Informationssicherheit als “originär strategische Aufgabe der Hochschulleitung” (HRK Empfehlung der Mitgliederversammlung der HRK vom 06.11.2018, Seite 4) zu verstehen und geeignete Strukturen an den Hochschulen zu etablieren. Angesichts der aktuellen Bedrohungslage hat die HRK die Relevanz der Informationssicherheit 2025 durch eine erneute Stellungnahme bekräftigt. Hochschulen sollen unter anderem abgestufte Sicherheitskonzepte entwickeln, Präventionsmaßnahmen etablieren, Notfallpläne aufstellen und Cybersicherheitsübungen ähnlich wie Brandschutzübungen regelmäßig und obligatorisch durchzuführen.

Mit der Etablierung eines Managementsystems für Informationssicherheit (ISMS) lassen sich wichtige Schritte in Richtung der Empfehlungen tun. Dabei bleibt jedoch oft eine zentrale Frage bestehen: 

Wie wirken die im Rahmen des Betriebs eines ISMS vorgesehenen Maßnahmen in der Praxis? 

 --> Genau hier setzt die Zusammenarbeit von myconsult und Admijalo an. Gemeinsam unterstützen wir Hochschulen dabei, Informationssicherheitsmanagement und Cybersecurity zu einem wirkungsvollen Gesamtsystem zu verbinden.


Warum Hochschulen einen spezifischen Sicherheitsansatz benötigen

Hochschulen verbinden Offenheit in Forschung und Lehre mit dem Schutz sensibler Personen-, Verwaltungs- und Forschungsdaten. Ihre IT-Landschaften sind häufig historisch gewachsen und dezentral organisiert. Neben der Zentralverwaltung betreiben Fakultäten, Lehrstühle oder Institute eigene Systeme und Anwendungen. Hinzu kommt eine unvermeidbare Öffnung nach Außen, etwa durch Kooperationen, kooperativ genutzte, technisch schwer abzusichernden Großgeräten oder Gastzugänge. 

Standardisierte Sicherheitslösungen gehen dagegen oft von zentralen Verantwortlichkeiten, weitgehend homogenen Systemlandschaften und einer übersichtlichen und einfach zu steuernden Prozesslandschaft aus. An Hochschulen muss Informationssicherheit deshalb in die vorhandenen Governance-Strukturen und Geschäftsprozesse übersetzt werden. Dabei sind einerseits die Verantwortlichkeiten in der zentralen Verwaltung zu berücksichtigen, die hochschulübergreifend ein überschaubares Maß an Variabilität haben mögen. Gleichzeitig müssen jedoch die überaus variablen Bedingungen und Strukturen von Forschung, Lehre und Transfereinrichtungen mitgedacht werden.


IT-Grundschutz-Profil schafft Orientierung, umgesetzt werden muss es vor Ort

Mit dem IT-Grundschutz-Profil für Hochschulen steht ein hochschulspezifischer Orientierungsrahmen zur Verfügung. Es wurde vom Arbeitskreis Informationssicherheit des ZKI unter Begleitung des BSI entwickelt und soll Hochschulen den Einstieg in die Erstellung eines Informationssicherheitskonzepts auf Basis des BSI IT-Grundschutzes ermöglichen.

Mit der Nutzung des Profils bekommt eine Hochschule kein fertig implementiertes ISMS. Das Profil beschreibt ein Musterszenario, das jede Hochschule auf den abgegrenzten Informationsverbund mit seinen Geschäftsprozessen, IT-Systemen, Anwendungen, Kommunikationsnetzen und Infrastrukturen übertragen muss. Hinzu kommen die Klärung der Prozesslandschaft, die Bewertung der Kritikalität einzelner Geschäftsprozesse, die Analyse der Abhängigkeiten zwischen Prozessen, Informationswerten und technischen Ressourcen, die Festlegung von Verantwortlichkeiten sowie die Identifikation und Bewertung von Risiken. Darauf aufbauend sind geeignete Maßnahmen zu konzipieren und umzusetzen.

Für die Nutzung des IT-Grundschutz-Profils für Hochschulen im konkreten Anwendungsszenario einer Hochschule ist tiefes Wissen über Hochschulorganisation erforderlich. Das Rahmenwerk gibt zwar methodische Orientierung. Erst durch die Einbindung in reale Prozesse und organisatorische Zusammenhänge der Hochschule entsteht ein arbeitsfähiges ISMS.


Ein ISMS ist notwendig, aber nicht hinreichend

Ein ISMS schafft Transparenz über Schwachstellen und Risiken, organisatorische Zuständigkeiten und die einzuplanenden Maßnahmen zur Steigerung der Informationssicherheit. Es kann somit die notwendige Grundlage für eine systematische Steuerung der Informationssicherheit schaffen. Der Aufbau eines ISMS ist jedoch nicht mit einer umfassenden technischen Absicherung gleichzusetzen.

Wie relevant diese Unterscheidung für Hochschulen ist, zeigt die Studie “ATHENE Cybernation Deutschland - Sicherheit der IT der Universitäten”, durchgeführt unter Leitung von Prof. Dr. Haya Schulmann (Professur Cybersicherheit, Goethe-Universität Frankfurt). Untersucht wurde zwischen 2023 und 2025 die extern sichtbare Angriffsfläche von 92 Universitäten aus dem Mitgliederkreis der Hochschulrektorenkonferenz. Rund 75 Prozent der festgestellten offenen Schwachstellen bestanden laut Studienergebnissen bereits länger als ein Jahr. Die Studie verweist unter anderem auf Legacy-Systeme und nicht mehr unterstützte Software, fehlende Wartung, dezentrale Insellösungen und unklare Zuständigkeiten. Die Modernisierung der Systemlandschaft halte oft nicht mit dem Wachstum und der steigenden Komplexität der Hochschul-IT Schritte.

Der Bericht zu den Studienergebnissen warnt davor, Informationssicherheit auf Compliance, Prozessbeschreibungen und formale Managementstrukturen zu reduzieren.  Selbst richtige Sicherheitskonzepte könnten ihre Wirkung verfehlen, wenn sie auf einer technisch mangelhaften Infrastruktur aufsetzen. ATHENE empfiehlt daher zwei Schritte zur Verbesserung der IT-Resilienz und Sicherheit: In einem ersten Schritt soll die potenzielle Angriffsfläche analysiert und inventarisiert werden, in einem zweiten Schritt folgen dann die darauf aufbauende Transformation der IT-Infrastruktur und der Aufbau einer modernen Sicherheitsarchitektur.

Für Hochschulen bedeutet dies: Das Vorhandensein einer Richtlinie für das Schwachstellenmanagement bewirkt nicht automatisch, dass exponierte Systeme auch zeitnah gepatcht werden; ein solides Berechtigungskonzept garantiert noch nicht, dass Rechte technisch auch korrekt vergeben werden; ein dokumentierter Prozess für Notfälle lässt noch nicht erkennen, ob Kommunikation und Wiederanlauf im Ernstfall auch funktionieren. Ein ISMS muss deshalb nicht nur aufgebaut, sondern (auch durch technische Maßnahmen begleitend) umgesetzt und kontinuierlich überprüft werden.


Vom Sicherheitskonzept zum Wirksamkeitsnachweis

Ein bewährtes Vorgehen beginnt mit der Festlegung des Geltungsbereichs und Abgrenzung dgeschlossen wurdees Informationsverbunds. Dabei ist zu bedenken, welche Geschäftsprozesse für den Betrieb der Hochschule zentral sind und welche zentralen Informationswerte damit verbunden sind. Daran anschließend sind die Abhängigkeiten der Geschäftsprozesse und Informationswerte von IT-Systemen, Anwendungen und anderen Größen zu identifizieren.

Aufbauend auf dieser Grundlage können passende Sicherheitsprüfungen ausgewählt werden. Technische Schwachstellenscans geben einen Überblick über die bekannten technischen Risiken. Penetrationstests und Web-Application-Tests untersuchen, ob Schwachstellen unter realistischen Bedingungen ausgenutzt werden können. Phishing-Simulationen können messbare Erkenntnisse zur Wirksamkeit von Awareness-Maßnahmen liefern. Je nach Ausgestaltung beziehen diese Prüfungen neben der Technik auch Prozesse und organisatorische Rahmenbedingungen ein.

Entscheidend ist dabei, dass die genannten Tests und Prüfungen nicht isoliert neben dem ISMS stehen. Ihre Ergebnisse müssen zurück in die Risikobewertungen und Maßnahmenpläne geführt werden. Nach der Umsetzung können Retests und wiederholte Überprüfungen dann belegen, ob die festgestellten Schwachstellen tatsächlich geschlossen wurden.


Sich ergänzende Beratungskompetenzen: Die Zusammenarbeit von myconsult und Admijalo

myconsult verfügt aufgrund von fast 25 Jahren Beratungstätigkeit über umfassende Erfahrung mit den Organisationsstrukturen, Geschäftsprozessen und Entscheidungswegen von Hochschulen und anderen Einrichtungen des öffentlichen Sektors. Für den Bereich der Informationssicherheit ist das unmittelbar relevant bei der geschäftsprozessbasierten Umsetzung des BSI-IT-Grundschutzes für Informationsverbünde von Hochschulen, der Analyse fachlicher und technischer Abhängigkeiten, der Strukturierung der ISMS-Dokumentation sowie des der Entwicklung von Roadmaps, der Projektsteuerung und operativen Unterstützung von Informationssicherheitsbeauftragten und IT-Leitungen.


Admijalo ergänzt diese organisatorische und methodische Perspektive durch praktische Kompetenz im Bereich der Cybersecurity. Schwachstellenanalysen, Pentests, Prüfungen von Webanwendungen und Schnittstellen oder Phishing-Simulationen gehören ebenso wie die Konzeption und Umsetzung technischer Schutzmaßnahmen zum Werkzeugkasten der Admijalo. Ein gemeinsam konzipiertes Angebot verbindet damit vier Perspektiven: Geschäftsprozesse, Organisation, Menschen und IT-Sicherheit. Die Integration dieser Perspektiven bildet den Kern des Leistungsverständnisses der beiden Unternehmen.


Fazit - Informationssicherheit muss organisiert, umgesetzt und geprüft werden

Ein wirksames Informationssicherheitsmanagement ist für Hochschulen heute unverzichtbar. Es schafft Verantwortlichkeiten, strukturiert Risiken und bildet die Grundlage für nachvollziehbare und dokumentierte Entscheidungen. Sicherheit entsteht allerdings nicht allein “auf dem Papier”. Erst wenn organisatorische und technische Anforderungen in die konkrete Hochschulorganisation übersetzt und umgesetzt werden sowie unter realistischen Bedingungen geprüft werden, lässt sich ihre Wirksamkeit sinnvoll beurteilen.

myconsult und Admijalo verbinden dafür Hochschul- und Organisationskompetenz mit operativer Cybersecurity. So entsteht Informationssicherheit aus einer Hand - zugeschnitten auf die je besonderen Strukturen und Herausforderungen Ihrer Hochschule. Gerne stellen wir Ihnen unser gemeinsames Leistungsangebot in einem unverbindlichen Gespräch vor!


Weitere Infos zum Thema IT & Cybersecurity finden Sie auf unserer Website: https://myconsult.de/fokusthemen/it-und-informationssicherheit/it-cybersecurity


Quellen