Anforderungen als Excel-Tabelle exportieren

Für den Soll-Ist-Abgleich arbeitet man im Alltag in einer Tabelle: pro Anforderung ein Status, ein Verantwortlicher, eine Frist. Hier wählst du die Anforderungen aus, die für dich gelten, und lädst sie als Excel-Datei. Auf Wunsch gibt es auch eine CSV-Datei für andere Werkzeuge.

Nichts angehakt heißt: keine Einschränkung. Die Datei entsteht in deinem Browser, es wird nichts an einen Server gesendet.

Fertige Dateien zum Download

Datenstand des Katalogs: 29.10.2026. Die Dateien werden täglich mit dem Katalog des BSI abgeglichen.

Was in der Excel-Datei steht

Die Datei hat drei Blätter.

Anforderungen. Eine Zeile je Anforderung. Die gelb hinterlegten Spalten (Umsetzungsstatus, Verantwortlich, Frist, Bemerkung) sind für deine Eingaben und stehen direkt hinter dem Aufwand, damit du nicht nach rechts scrollen musst. Der Umsetzungsstatus ist eine Auswahlliste. Erfüllt, Nicht erfüllt und Nicht anwendbar sind die Statuswerte des Standards 300-1 (4.1.1). „In Umsetzung“ ergänzen wir, weil der Standard Anforderungen kennt, die noch nicht erfüllt, aber schon in der Umsetzungsplanung sind. In der Kopfzeile sitzen Filterpfeile, die Kopfzeile und die ID bleiben beim Scrollen stehen.

Dokumente. Der Katalog sagt bei fast jeder Anforderung, in welchem Dokument das Ergebnis festzuhalten ist. Dieses Blatt dreht das um: Welche Dokumente braucht es, und wie viele Anforderungen hängen an jedem? Es richtet sich nach deiner Auswahl. Dazu stehen Kategorie, Zielgruppe und Beschreibung aus der Dokumentationstabelle des BSI, wo sie dort vorhanden sind, und gelbe Spalten für Ablageort, Verantwortliche und Prüftermine. Ohne Excel: Dieselben Dokumenttypen stehen mit der Beschreibung des BSI auch als Seiten.

Info & Lizenz. Datenstand, Urheber, Lizenz, Änderungshinweis und die Erklärung der Spalten.

Spalte	Inhalt
ID, Titel, Praktik	die Anforderung und die Praktik, zu der sie gehört
Anforderung	der Text aus dem Katalog; Parameter stehen als `[Platzhalter]`
Pflichtgrad	MUSS, SOLLTE oder KANN
Aufwand	0 bis 5 nach der Skala des BSI; 0 heißt „wird nicht bewertet“
Sicherheitsstufe	Standard oder erhöht
Zielobjektkategorien	worauf sich die Anforderung direkt bezieht; „Ohne Zielobjektkategorie“ heißt: gilt unabhängig von den Assets
Gilt auch für Unterkategorien	die Kategorien unterhalb der direkten, für die die Anforderung wegen der Vererbung ebenfalls gilt (siehe unten)
Ergebnis	der Gegenstand der Anforderung, wie der Katalog ihn nennt, zum Beispiel „die Datensicherung getrennt von den Originaldaten“ (NOT.4.10). Kein Nachweis und keine Prüfvorgabe
Dokumentiert in	der Dokumenttyp, in dem der Katalog das Ergebnis festhalten lässt (bei einigen Anforderungen nennt er keinen). Was ein solches Dokument enthalten soll, steht, wo vorhanden, in der Beschreibung auf dem Blatt „Dokumente“
Gefährdungen	die zugeordneten elementaren Gefährdungen
Vorgänger im Kompendium 2023	die ID der entsprechenden Anforderung im alten Kompendium und die Art der Beziehung (aus der Zuordnung des BSI, die das BSI selbst als Entwurf kennzeichnet)
Seite	Link zur Anforderung auf dieser Website
Quelle	Urheber, Lizenz und Hinweis auf die Bearbeitung (siehe unten)

In der CSV-Datei stehen dieselben Spalten, die vier Arbeitsspalten dort am Ende.

Der Text des alten Kompendiums und des Standards 300-1 gehört nicht dazu. Für beide gelten die Nutzungsbedingungen des BSI, nicht die Lizenz des Katalogs. In der Spalte „Vorgänger“ stehen deshalb nur IDs.

Zu den Zielobjektkategorien

Der Katalog verlangt in STM.2.1.4.1, dass ein Asset auch die in der Hierarchie übergeordneten Zielobjektkategorien erbt. Eine Anforderung für „Anwendungen“ gilt damit auch für ein Asset der Kategorie „Webserver“. Der Filter auf dieser Seite berücksichtigt das immer. In der Datei steht in „Zielobjektkategorien“ die direkt zugeordnete Kategorie und in „Gilt auch für Unterkategorien“ die Kategorien darunter. Wer in Excel selbst nach einer Kategorie filtert, braucht beide Spalten, der Filter auf der Seite ist der einfachere Weg. Wer keine Datei braucht, findet die Auswahl je Kategorie auch als Seite, zum Beispiel für Webserver.

Bei einigen Anforderungen sind zwei Kategorien eingetragen. Ob die Anforderung gilt, wenn eine zutrifft oder nur, wenn beide zutreffen, geht aus dem Katalog nicht hervor. Der Filter nimmt sie auf, wenn eine der beiden zutrifft.

Zu den Dokumenten

Die Dokumentationstabelle des BSI ist noch nicht fertig, und die Namen der Dokumente im Katalog und in der Tabelle stimmen nicht immer überein. Eine Beschreibung gibt es deshalb nur, wenn der Name entweder exakt gleich ist oder sich nur in Groß- und Kleinschreibung, Leerzeichen und Bindestrichen unterscheidet. Die Spalte „Hinweis zur Beschreibung“ sagt jeweils, wie es dazu kam. Bei allen anderen bleibt die Beschreibung leer. Geraten wird nicht.

Auswahl weitergeben

Jede Auswahl hat eine Adresse. Sie ändert sich mit jedem Häkchen, „Link zu dieser Auswahl kopieren“ legt sie in die Zwischenablage. Ein Beispiel mit zwei Kategorien: Webserver und Cloud-Dienste. Die Adresse kennt praktik, pflicht, stufe, aufwand und ziel (mehrere Werte mit Komma) und ohne=nein, wenn die Anforderungen ohne Zielobjektkategorie nicht dabei sein sollen. Nennt ein Link einen Wert, den es nicht mehr gibt, zum Beispiel weil das BSI eine Kategorie umbenannt hat, sagt die Seite es und zeigt nicht still alle Anforderungen.

Als Checkliste für Tickets und Wikis. „Checkliste als Markdown kopieren“ legt reinen Text ab, zum Beispiel für GitHub-Issues: je Anforderung eine Zeile mit - [ ], der ID als Link auf die Seite mit dem Text, dem Titel und dem Pflichtgrad, nach Praktik gruppiert, dazu die Dokumente, die sie nennen, und die Quelle. „Formatiert kopieren“ legt zusätzlich eine formatierte Liste mit Links ab, für Editoren, die formatierten Text einfügen können. „Als .md speichern“ lädt die Datei herunter. Den Volltext der Anforderungen enthält die Liste nicht, damit sie in einem Ticket lesbar bleibt, der Link führt zum Text.

Was dein Editor beim Einfügen daraus macht, hängt von ihm ab. In Jira und Confluence wandelt der Editor [] und ein Leerzeichen beim Tippen in eine Aufgabe um; was beim Einfügen einer fertigen Markdown-Liste passiert, steht in deren Dokumentation nicht. Schlimmstenfalls wird aus - [ ] eine Aufzählung mit „[ ]“. GitHub unterstützt Aufgabenlisten.

Für Werkzeuge. Die JSON-Datei enthält je Anforderung in zielobjekte ihre direkt zugeordneten Kategorien und in unterkategorien die Kategorien darunter, für die sie wegen der Vererbung (STM.2.1.4.1) ebenfalls gilt. Wer die Anforderungen einer Kategorie sucht, prüft beide, dann ist die Vererbung schon richtig:

const gilt = (anforderung, kategorie) =>
  anforderung.zielobjekte.includes(kategorie) || anforderung.unterkategorien.includes(kategorie);

Anforderungen ohne Kategorie haben ["Ohne Zielobjektkategorie"] in zielobjekte. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket.

Quelle und Lizenz

Die Anforderungen stammen aus dem Anwenderkatalog Grundschutz++ des BSI, veröffentlicht unter CC BY-SA 4.0. Die Dateien hier sind eine Bearbeitung davon: Auswahl der Felder, Texte ohne Formatierung, Zielobjekte, Ergebnis, Dokument, Gefährdungen und Vorgänger-IDs ergänzt, Spalten für die eigene Arbeit angehängt. Der Inhalt der Anforderungen ist nicht verändert.

Die Bearbeitung steht ebenfalls unter CC BY-SA 4.0. Wer sie weitergibt, nennt das BSI als Urheber, verweist auf die Lizenz und gibt eigene Änderungen an. Dieser Hinweis steht im Blatt „Info & Lizenz“, in jeder Zeile der Spalte „Quelle“ und als LIZENZ.txt neben den Dateien. Die Dateien sind kein offizielles Angebot des BSI und keine Rechtsberatung.

Tipp für die CSV-Datei

Öffne die Datei per Doppelklick. Falls alle Spalten in einer stehen oder Umlaute falsch erscheinen, nutze in Excel „Daten → Aus Text/CSV“ und wähle als Dateiursprung UTF-8 und als Trennzeichen Semikolon.