Welchen Einfluss haben Informationssicherheit und ihre Compliance auf die aktuelle Bedrohungslage – gerade jetzt, da Angreifer selbst zunehmend KI einsetzen, um Schwachstellen in Minuten statt Wochen zu finden?
Die unbequeme Antwort: Ein Sicherheitskonzept, das nur einmal im Jahr auf dem Papier geprüft wird, hält mit dieser Geschwindigkeit nicht mehr Schritt. Wer Angriffen begegnen will, die automatisiert ablaufen, muss auch seine Verteidigung automatisieren – und dazu gehört die Frage, ob die eigene Infrastruktur den Sicherheitsvorgaben überhaupt noch entspricht. Genau hier verschiebt sich gerade etwas Grundlegendes.
Das BSI hat mit Grundschutz++ seinen ersten Anforderungskatalog auf GitHub im OSCAL-Format veröffentlicht – erstmals maschinenlesbar statt als PDF. Damit folgt es dem Ansatz des US-amerikanischen NIST, das OSCAL vor rund neun Jahren entwickelte und seit 2021 in Version 1.0 bereitstellt. Was nach einem technischen Detail klingt, ist der entscheidende Hebel: Compliance-Anforderungen sind nun keine Prosa mehr, die ein Mensch interpretieren muss, sondern strukturierte Daten, die eine Maschine prüfen kann. Das ist die Voraussetzung für Compliance as Code (CaC).
Bislang ist die Compliance-Prüfung in den meisten Organisationen Handarbeit geblieben – Screenshots, Excel-Listen, Berichte, die schon am Tag nach dem Audit veraltet sind. Dabei ist kaum ein Prozess besser für Automatisierung geeignet: hoher Aufwand, ständige Wiederholung, klare Regeln. Im Kern sind viele Anforderungen nichts anderes als Wenn-Dann-Prüfungen. Liegt die Infrastruktur als Code vor und die Anforderungen als Daten, wird die Prüfung zu einer schlichten Funktion: f(Anforderungen, Infrastruktur) -> Ergebnis. Nicht einmal im Jahr, sondern jede Nacht.
OSCAL als gemeinsames Datenmodell
Herzstück ist die Open Security Controls Assessment Language (OSCAL). Sie ordnet Compliance in drei aufeinander aufbauende Ebenen: Der Control Layer hält die Anforderungen selbst – den Katalog. Der Implementation Layer beschreibt, wie ein konkretes System sie umsetzt. Und der Assessment Layer dokumentiert Prüfplan und Ergebnisse. Der Clou liegt in den Verweisen: Jede Ebene referenziert die darunterliegende über eindeutige Kennungen – vom einzelnen Befund lückenlos zurück bis zur ursprünglichen Anforderung im Katalog. Genau diese Rückverfolgbarkeit fehlt manuellen Audits fast immer.
Ein Proof of Concept: Compliance für eine Cisco ACI-Fabric
Wir haben einen durchgängigen Proof of Concept aufgebaut. Das Szenario ist bewusst alltäglich: Eine Organisation betreibt eine Cisco ACI-Fabric und will wissen, ob ihre Konfigurations-Backups den Grundschutz++ erfüllen. Zwei Anforderungen stehen im Fokus – die regelmäßige Sicherung des Systems (NOT4.2) und deren Verschlüsselung mit einem anerkannten Verfahren (NOT.4.8).
Der Weg von der Anforderung bis zum Dashboard führt über wenige Bausteine, die sauber ineinandergreifen. OSCAL liefert Katalog, System Security Plan und Prüfplan. Die eigentliche Prüfregel wird als Policy as Code in der Sprache Rego formuliert und mit dem Open Policy Agent (OPA) ausgeführt – aus „Backups müssen verschlüsselt sein“ wird ausführbarer Code. Als Datenquelle dient die Network-as-Code-Konfiguration der Fabric: Weil diese bereits fachlich strukturiert vorliegt, prüft das schlanke Werkzeug Conftest sie direkt, ohne Umweg. Das Ergebnis wird als OSCAL Assessment Results festgehalten und läuft in Splunk zusammen.
Das Zusammenspiel der Bausteine: Anforderungen und Infrastruktur treffen in der Policy Engine aufeinander – das Ergebnis landet als OSCAL Assessment Results in Splunk.
Vom Pipeline-Lauf zum prüffähigen Nachweis
Das Ergebnis jeder nächtlichen Prüfung ist kein flüchtiges Log, das niemand liest, sondern ein standardisiertes, archivierbares Compliance-Artefakt. Jeder Befund verweist auf die zugehörige Anforderung und trägt Status, Schweregrad und Zeitstempel. Der Auditor bekommt damit nicht das übliche „vertrauen Sie uns, die Pipeline war grün“, sondern eine OSCAL-konforme Antwort auf die entscheidende Frage: Woher wissen Sie, dass diese Anforderung erfüllt ist?
Die Assessment Results im OSCAL Viewer: beide Anforderungen erfüllt, jeder Befund verweist auf sein Prüfziel – auditierbar bis zurück zum Katalog.
Aus dem jährlichen Audit-PDF wird so eine Echtzeit-Sicht auf die Compliance-Lage. Der konkrete Mehrwert: Ergebnisse in Minuten statt Wochen, jedes System und jede Regel statt Stichproben, jeder Befund als maschinenlesbarer Nachweis – und Drift-Erkennung, die manuelle Änderungen sofort sichtbar macht.
Nahtlose Unterstützung mit CX Professional Services
Ein durchgängiger Compliance-as-Code-Prozess entsteht nicht durch ein einzelnes Werkzeug, sondern durch das Zusammenspiel von Anforderungsmanagement, Infrastruktur-Automatisierung und Prüflogik. Genau hier setzt Cisco mit seinen CX Professional Services an. Unser Service-Team unterstützt Kunden bei der Umsetzung von IT-Infrastrukturanforderungen gemäß Grundschutz, ISO und anderen Compliance-Vorgaben.
Bei Fragen zu unseren Services wenden Sie sich gerne an Ihr zuständiges Cisco Account Team.
Ausblick
Das Ökosystem rund um OSCAL ist noch jung: Der BSI-Katalog liegt vor, viele weitere Artefakte und Werkzeuge müssen Anwender heute noch selbst erstellen. Das ist zugleich Hürde und Chance – wer jetzt einsteigt, gestaltet mit.
Auch der Standard selbst steht erst am Anfang: Nach dem Meilensteinplan des BSI (Stand 26. März 2026) läuft die Pilotierungsphase von April bis September 2026, die Vorstellung folgt im Oktober auf der it-sa 2026 in Nürnberg. Ab dem 1. Januar 2027 ist der GS++ nach ISO 27001 zertifizierbar. Wer die eigenen Compliance-Prozesse jetzt auf ein maschinenlesbares Fundament stellt, ist vorbereitet, wenn der Standard verbindlich wird.
Zurück zur Ausgangsfrage: Wenn Angriffe automatisiert und KI-gestützt ablaufen, kann eine Verteidigung, die nur einmal im Jahr manuell geprüft wird, nicht mithalten. Compliance as Code macht aus diesem periodischen Kraftakt einen kontinuierlichen Prozess – kein Allheilmittel, aber ein notwendiger Baustein, um überhaupt Schritt zu halten.
Referenzen
- BSI Grundschutz++
- BSI Stand-der-Technik-Bibliothek (OSCAL-Katalog auf GitHub)
- OSCAL – Open Security Controls Assessment Language (NIST)
- Cisco Network as Code
- Open Policy Agent (OPA) & Rego
- Conftest
Authors
