M 2.548 Erstellung eines Lastenheftes

Verantwortlich für Initiierung: Fachverantwortliche

Verantwortlich für Umsetzung: Fachverantwortliche, IT-Sicherheitsbeauftragter, Leiter IT

Ein Lastenheft beschreibt die Anforderungen, die eine Anwendung im Rahmen des betrachteten Geschäftsprozesses oder Verwaltungsverfahrens erfüllen soll. Dabei sind nicht nur die fachlichen (funktionalen) Anforderungen an die Anwendung zu betrachten, sondern auch nicht-funktionale Anforderungen.

Neben den fachlichen und IT-betrieblichen Anforderungen sind dabei auch Sicherheitsanforderungen zu betrachten. Auch bei diesen sind funktionale und nicht-funktionale Sicherheitsanforderungen zu unterscheiden. Funktionale Sicherheitsanforderungen decken konkrete Funktionen der Anwendung ab wie beispielsweise:

Die Art und Ausprägung von funktionalen Sicherheitsanforderungen wie beispielsweise zu der Integration einer Zwei-Faktor-Authentisierung, dem Aufbau einer PKI, die Nutzung von SAML oder WS-Security sind stark von dem jeweiligen Schutzbedarf der Anwendung abhängig.

Über nicht-funktionale Sicherheitsanforderungen wird beschrieben, welche Qualitätseigenschaften die Anwendung haben soll. Hierzu gehören Aspekte wie Softwarequalität, Zuverlässigkeit, Fehlertoleranz, Wartbarkeit und natürlich die Gewährleistung von Vertraulichkeit, Integrität und Verfügbarkeit. Ein Beispiel einer nicht-funktionalen Anforderung ist es, die Anwendung resistent gegenüber bestimmten Angriffen zu machen.

Bei einem Lastenheft handelt es sich um das Grobkonzept aus Sicht des Auftraggebers, das die Art der Umsetzung in weiten Teilen noch offen lassen kann. Das Lastenheft ist die wesentliche Grundlage, um ein Entwicklungsprojekt zu starten, in ähnlicher Weise wie dies der Anforderungskatalog im Fall von Standardsoftware ist (siehe M 2.80 Erstellung eines Anforderungskatalogs für Standardsoftware).

Bei der Erstellung des Lastenheftes müssen die folgenden Aspekte Berücksichtigung finden:

Beispiele für solche Vorgaben und Kriterienwerke sind:

Zur Vorbereitung des Lastenheftes, insbesondere um die benötigten Sicherheitsfunktionen herzuleiten und auszugestalten, hat es sich als zweckmäßig erwiesen, bei Bedarf (d. h. insbesondere bei hohem oder sehr hohem Schutzbedarf) bereits eine erste Risikoanalyse, beispielsweise auf Grundlage der im BSI-Standard 100-3 beschriebenen Methode, durchzuführen. Diese erste Fassung der Risikoanalyse muss dann im Zuge der Erstellung des Pflichtenheftes (siehe M 2.552 Erstellung eines Pflichtenheftes), bei der Fertigstellung der Anwendung und der Vorbereitung der Freigabe fortgeschrieben werden. In dieser ersten Runde der Risikoanalyse kann natürlich nur untersucht werden, gegen welche Gefährdungen die Anwendung widerstehen können soll und erste Sicherheitsziele gesetzt werden. Konkrete Sicherheitsmaßnahmen können erst im Pflichtenheft festgelegt werden.

Das Lastenheft sollte so detailliert, wie in dieser Phase möglich, über die funktionalen (fachlichen) Anforderungen hinaus Aussagen zu folgenden nicht-funktionalen Aspekten enthalten:

Diese Sicherheitsfunktionen können unter anderem beinhalten:

Das Lastenheft sollte die Anforderungen an die Anwendung so ausreichend beschreiben, dass hierauf aufbauend die Anwendung so erstellt werden kann, dass sich mit ihr die erforderlichen Sicherheitsmaßnahmen umsetzen lassen und sich eine dem Schutzbedarf angemessene Gesamtsicherheit erreichen lässt.

Prüffragen: