IT-Grundschutz-Praktiker Prüfungsfragen: 10 typische Fragen mit Lösungen
Wie sicher bist du in der IT-Grundschutz-Methodik? Die zehn Fragen orientieren sich an typischen Inhalten der Prüfung zum IT-Grundschutz-Praktiker: Schutzbedarfsfeststellung, Vorgehensweisen nach BSI-Standard 200-2, Aufbau des IT-Grundschutz-Kompendiums, IT-Grundschutz-Check und Risikoanalyse nach BSI-Standard 200-3.
Wie in der Prüfung gilt das Format des BSI. Die Lösungen mit Erklärung siehst du direkt nach jeder Antwort und gesammelt unter dem Quiz.
Gut zu wissen: Diese Fragen sind Übungsbeispiele. In der Prüfung unserer Schulung BSI IT-Grundschutz-Praktiker kommen sie nicht vor. Mehr zum Hintergrund findest du in der Wissenswelt BSI IT-Grundschutz.
Quiz
Teste dein Wissen: 10 Fragen zum IT-Grundschutz
Klick dich durch die Fragen. Nach jeder Antwort siehst du sofort, welche Aussagen richtig sind, und bekommst die Erklärung dazu.
Frage 1 von 10
0 richtig
Wie in der Prüfung: Bei jeder Frage können keine, eine, mehrere oder alle Antworten richtig sein.
Alle 10 Fragen mit Lösungen und Erklärungen
1. Auf einem Server laufen drei Anwendungen. Für die Vertraulichkeit haben sie den Schutzbedarf normal, hoch und normal. Welche Aussagen zur Schutzbedarfsfeststellung des Servers treffen zu?
- A)Der Schutzbedarf des Servers ergibt sich aus dem Durchschnitt der Anwendungen, also normal.
- B)Nach dem Maximumprinzip erhält der Server für die Vertraulichkeit mindestens den Schutzbedarf hoch. (richtig)
- C)Server werden unabhängig von ihren Anwendungen grundsätzlich mit sehr hoch bewertet.
- D)Der Schutzbedarf wird für Vertraulichkeit, Integrität und Verfügbarkeit getrennt festgestellt. (richtig)
Lösung: B, D
Ein IT-System erbt den Schutzbedarf der Anwendungen, die darauf laufen; maßgeblich ist nach dem Maximumprinzip der höchste Wert. Die Feststellung erfolgt getrennt nach den drei Grundwerten. Einen Durchschnitt oder eine pauschale Einstufung sieht die Methodik nicht vor.
2. Eine Behörde legt für ihre Schutzbedarfsfeststellung fest, welche Schäden zu welcher Kategorie gehören. Welche Kategorien sieht der BSI-Standard 200-2 dafür vor?
- A)normal (richtig)
- B)hoch (richtig)
- C)kritisch
- D)sehr hoch (richtig)
Lösung: A, B, D
Richtig sind normal, hoch und sehr hoch. Mit diesen drei Kategorien wird der Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit eingestuft. Die Institution legt selbst fest, welche Schäden zu welcher Kategorie gehören. Eine Kategorie „kritisch“ gibt es im IT-Grundschutz nicht.
3. Auf einem Virtualisierungshost laufen zwanzig Server, deren Verfügbarkeit jeweils als normal eingestuft ist. Fällt der Host aus, stehen alle Server gleichzeitig still. Welche Aussagen treffen zu?
- A)Der Verteilungseffekt bewirkt, dass der Host zwingend den Schutzbedarf sehr hoch erhält.
- B)Hier kann der Kumulationseffekt greifen, sodass der Host einen höheren Schutzbedarf erhält. (richtig)
- C)Der Host darf nie einen höheren Schutzbedarf haben als der höchste Wert seiner Server.
- D)Die Gründe für die Einstufung des Hosts sollten nachvollziehbar dokumentiert werden. (richtig)
Lösung: B, D
Beim Kumulationseffekt summieren sich viele kleinere Schäden zu einem größeren, deshalb kann der Host höher eingestuft werden als die einzelnen Server. Der Verteilungseffekt wirkt umgekehrt und kann den Schutzbedarf senken. Die Begründungen gehören in die Dokumentation der Schutzbedarfsfeststellung.
4. Eine Kommune möchte mit dem IT-Grundschutz beginnen und schnell ein erstes Sicherheitsniveau erreichen. Welche Aussagen zu den Vorgehensweisen nach BSI-Standard 200-2 treffen zu?
- A)Die Basis-Absicherung ermöglicht einen schnellen Einstieg mit den grundlegenden Anforderungen. (richtig)
- B)Die Basis-Absicherung reicht allein für ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz.
- C)Die Kern-Absicherung konzentriert sich auf besonders schützenswerte Geschäftsprozesse und Assets. (richtig)
- D)Bei der Basis-Absicherung wird jedes Zielobjekt einer vollständigen Risikoanalyse unterzogen.
Lösung: A, C
Die Basis-Absicherung ist der Einstieg mit den Basis-Anforderungen, die Kern-Absicherung schützt gezielt die „Kronjuwelen“, die Standard-Absicherung deckt den gesamten Informationsverbund ab. Für ein ISO-27001-Zertifikat auf Basis von IT-Grundschutz reicht die Basis-Absicherung nicht. Eine Risikoanalyse ist nur in bestimmten Fällen zusätzlich nötig.
5. Welche Aussagen zu den Anforderungen in den Bausteinen des IT-Grundschutz-Kompendiums treffen zu?
- A)Basis-Anforderungen sind vorrangig umzusetzen. (richtig)
- B)Mit SOLLTE formulierte Anforderungen dürfen ohne jede Begründung entfallen.
- C)Standard-Anforderungen gelten nur für Zielobjekte mit sehr hohem Schutzbedarf.
- D)Für erhöhten Schutzbedarf schlagen die Bausteine zusätzliche Anforderungen vor. (richtig)
Lösung: A, D
Basis-Anforderungen haben Vorrang, Standard-Anforderungen bilden zusammen mit ihnen den Stand der Technik für normalen Schutzbedarf. Weicht eine Institution von einer SOLLTE-Anforderung ab, muss sie das begründen. Anforderungen bei erhöhtem Schutzbedarf sind Vorschläge, die je nach Risiko ausgewählt werden.
6. Welche der folgenden Kürzel bezeichnen Schichten der Prozess-Bausteine im IT-Grundschutz-Kompendium?
- A)ISMS (richtig)
- B)ORP (richtig)
- C)NET
- D)DER (richtig)
Lösung: A, B, D
Richtig sind ISMS, ORP und DER. Zu den Prozess-Bausteinen gehören die Schichten ISMS, ORP (Organisation und Personal), CON (Konzepte und Vorgehensweisen), OPS (Betrieb) und DER (Detektion und Reaktion). NET (Netze und Kommunikation) gehört zu den System-Bausteinen, ebenso APP, SYS, IND und INF.
7. Ein Informationsverbund ist modelliert, nun folgt der IT-Grundschutz-Check. Welche Aussagen treffen zu?
- A)Ist eine Anforderung entbehrlich, muss dies nicht begründet oder dokumentiert werden.
- B)Der Check ist ein Soll-Ist-Vergleich zwischen den Anforderungen und dem tatsächlichen Stand. (richtig)
- C)Der IT-Grundschutz-Check ersetzt die Modellierung des Informationsverbunds.
- D)Als Umsetzungsstatus sind unter anderem ja, teilweise, nein und entbehrlich vorgesehen. (richtig)
Lösung: B, D
Im IT-Grundschutz-Check wird für jede Anforderung der modellierten Bausteine geprüft, ob und wie weit sie umgesetzt ist. Wird eine Anforderung als entbehrlich eingestuft, ist das zu begründen. Der Check baut auf der Modellierung auf und ersetzt sie nicht.
8. Wann ist im Rahmen der Standard-Absicherung zusätzlich eine Risikoanalyse nach BSI-Standard 200-3 erforderlich?
- A)Für jedes Zielobjekt mit normalem Schutzbedarf, das durch Bausteine abgedeckt ist.
- B)Wenn ein Zielobjekt einen hohen oder sehr hohen Schutzbedarf hat. (richtig)
- C)Wenn es für ein Zielobjekt im Kompendium keinen passenden Baustein gibt. (richtig)
- D)Wenn ein Zielobjekt in einem Szenario eingesetzt wird, das der Grundschutz nicht vorsieht. (richtig)
Lösung: B, C, D
Die Bausteine decken den normalen Schutzbedarf in üblichen Einsatzszenarien ab. Bei hohem oder sehr hohem Schutzbedarf, ohne passenden Baustein oder bei untypischem Einsatz reicht das nicht, dann folgt eine Risikoanalyse nach BSI-Standard 200-3. Für normal geschützte, modellierbare Zielobjekte ist sie nicht nötig.
9. Welche Optionen zur Behandlung von Risiken sieht der BSI-Standard 200-3 vor?
- A)Risiken vermeiden (richtig)
- B)Risiken reduzieren (richtig)
- C)Risiken transferieren (richtig)
- D)Risiken akzeptieren (richtig)
Lösung: A, B, C, D
Ein Risiko lässt sich vermeiden, etwa indem eine Tätigkeit aufgegeben wird, durch zusätzliche Maßnahmen reduzieren, zum Beispiel über eine Versicherung oder einen Dienstleister teilweise transferieren oder bewusst akzeptieren. Die Entscheidung trifft die Leitung und dokumentiert sie.
10. Welche Aussagen zu den elementaren Gefährdungen im IT-Grundschutz-Kompendium treffen zu?
- A)Sie gelten ausschließlich für Rechenzentren und Serverräume.
- B)Sie werden ausschließlich bei der Basis-Absicherung verwendet.
- C)Sie sind Grundlage für die Risikoanalyse nach BSI-Standard 200-3. (richtig)
- D)Sie ersetzen die Bausteine und Anforderungen des Kompendiums.
Lösung: C
Die elementaren Gefährdungen sind ein allgemeiner Katalog, von Feuer und Wasser bis zu Schadprogrammen und Manipulation. Er dient vor allem als Ausgangspunkt für die Gefährdungsübersicht in der Risikoanalyse. Die Gefährdungen gelten für alle Arten von Zielobjekten und ergänzen die Bausteine, statt sie zu ersetzen.
Häufige Fragen zur Prüfung IT-Grundschutz-Praktiker
Wie läuft die Prüfung zum IT-Grundschutz-Praktiker ab?
Die Prüfung umfasst 50 Fragen aus den Themenfeldern der Schulung und dauert 60 Minuten. Zu jeder Frage gibt es vier Antworten, von denen keine, eine, mehrere oder alle richtig sein können. Einen Punkt gibt es nur, wenn alle Kreuze stimmen; Punktabzüge gibt es nicht. Bestanden hast du mit mindestens 60 % der Punkte.
Wer nimmt die Prüfung ab?
Nach dem Konzept des BSI nimmt der Schulungsanbieter die Prüfung zum IT-Grundschutz-Praktiker ab. Die expertree academy ist beim BSI als Schulungsanbieter für die Basisschulung gelistet. Die Prüfung zum IT-Grundschutz-Berater nimmt dagegen ausschließlich das BSI ab.
Was passiert, wenn ich nicht bestehe?
Du kannst die Prüfung einmal wiederholen und bekommst dabei andere Fragen. Eine weitere Wiederholung ist erst möglich, nachdem du die Schulung erneut besucht hast. Details regelt § 12 unserer Prüfungsordnung.
Kommen diese Fragen in der echten Prüfung vor?
Nein. Die Fragen auf dieser Seite sind eigens für die Website geschrieben und stammen nicht aus der Prüfung. Sie zeigen dir aber das BSI-Format und typische Themen.
Sicher in die Prüfung
In der Basisschulung BSI IT-Grundschutz-Praktiker lernst du die Methodik nach BSI-Standard 200-2 und 200-3 kennen. Im Anschluss legst du bei uns die Prüfung zum IT-Grundschutz-Praktiker ab.