Enterprise-Security-Architecture: Frameworks im Überblick

Ohne klare Enterprise-Security-Architecture bleibt IT-Sicherheit Stückwerk. Diese Cyber-Security-Frameworks schaffen Struktur und machen Risiken steuerbar.

Überblick: Enterprise-Security-Architecture

• Enterprise-Security-Architecture sorgt für Konsistenz und Strategie
• Frameworks unterscheiden sich nach Zweck, Detailgrad und Aufwand
• ISO 27001, NIST, CIS Controls, COBIT, SABSA, TOGAF, Zachman und MITRE ATT&CK sind die zentralen Referenzen
• Die Matrix erleichtert die Auswahl je nach Risiko und Anforderungen
• Kombination mehrerer Frameworks ist in der Praxis üblich
• SoSafe unterstützt beim Human-Risk-Management mit Fokus auf führende Cyber-Security-Frameworks

Frameworks als Fundament der Enterprise-Security-Architecture

Eine Enterprise-Security-Architecture ist der methodische Rahmen, der aus isolierten Maßnahmen eine konsistente Sicherheitskultur formt. Enterprise-Security-Frameworks schaffen Strukturen, definieren Verantwortlichkeiten und verankern Sicherheit als festen Bestandteil der Unternehmensstrategie. So behalten CISOs den Überblick über komplexe IT-Landschaften und stellen sicher, dass technische und organisatorische Kontrollen ineinandergreifen.

Herausforderungen ohne einheitlichen Rahmen

Ohne klare Enterprise-IT-Security-Architecture bleiben Sicherheitsmaßnahmen oft Stückwerk. Jede Abteilung verfolgt ihre eigenen Ansätze – und zwischen den Inseln entstehen Lücken, die Angreifer ausnutzen können. Hinzu kommt, dass Business und IT nicht immer dieselbe Sprache sprechen. Fehlende Abstimmung verlangsamt Entscheidungen und erschwert die Umsetzung. Gleichzeitig wächst der Druck von außen: Regulierungen und Compliance-Anforderungen verlangen ein konsistentes Vorgehen, das sich nur mit klaren Cyber-Security-Frameworks abbilden lässt.

Vergleichskriterien für Enterprise-Security-Frameworks

Die Wahl des richtigen Frameworks ist ein entscheidender Schritt beim Aufbau einer konsistenten Enterprise-Security-Architecture. Die verfügbaren Security-Frameworks unterscheiden sich deutlich in Ausrichtung, Detailgrad und Umsetzungsaufwand. Ein strukturierter Vergleich hilft, ihre jeweiligen Stärken und Grenzen zu verstehen – und die passenden Modelle für Strategie, operative Umsetzung und regulatorische Anforderungen auszuwählen.

Wichtige Kriterien sind:

• Zweck und Scope: Einige Frameworks setzen auf Managementsysteme wie COBIT und ISO 27001, andere auf konkrete Kontrollkataloge wie die CIS Controls.
• Detailgrad: Der Vergleich SABSA vs TOGAF zeigt zwei sehr unterschiedliche Ansätze. SABSA stellt Risiken und Geschäftsziele in den Mittelpunkt, während TOGAF vor allem die Struktur der IT-Architektur betont.
• Implementierungsaufwand: Wer TOGAF einführt, muss mit hoher Komplexität und großem Ressourceneinsatz rechnen. Die CIS Controls dagegen sind deutlich schlanker und lassen sich vergleichsweise schnell umsetzen.
• Compliance-Bezug: Betrachtet man COBIT vs NIST, wird klar, dass beide als Governance-Frameworks Orientierung geben. ISO 27001 geht darüber hinaus, da es eine Zertifizierung ermöglicht und so auch externen Nachweis schafft.
• Aktualität: Ein Blick auf TOGAF vs COBIT macht deutlich: Beide stammen aus den 1990er-Jahren, sind aber mehrfach überarbeitet und bis heute relevant geblieben.
• Kompatibilität: Frameworks schließen sich nicht aus. TOGAF kann als Architekturrahmen dienen, ergänzt etwa durch Governance-Ansätze oder Risiko-Modelle. Vergleicht man TOGAF und Zachman, wird sichtbar, wie unterschiedlich verschiedene Architekturmethoden IT und Business miteinander verknüpfen.

Die folgende Tabelle fasst diese Kriterien für die wichtigsten Enterprise-Security-Frameworks zusammen. Sie bietet eine schnelle Orientierung, welche Modelle sich für welche Schwerpunkte eignen und wie sie sich in eine ganzheitliche Enterprise-Security-Architecture einfügen.

Vergleichstabelle der wichtigsten Frameworks

Human-Risk-Plattform testen

Demo buchen

Abgestimmt auf NIST, ISO/IEC 27001, CIS & mehr: Sicherheitskultur wirksam stärken.

ISO 27001

Das ISO-27001-Framework ist der weltweit anerkannte Standard für Information-Security-Management-Systeme (ISMS). Es bildet das Rückgrat vieler Enterprise-Security-Frameworks, da es sowohl technische als auch organisatorische Maßnahmen definiert. Der besondere Vorteil: Unternehmen können sich nach ISO 27001 zertifizieren lassen und damit die Wirksamkeit ihrer Enterprise-Security-Architecture extern nachweisen. Die aktuelle Version von 2022 iadressiert aktuelle Bedrohungen und lässt sich auf Vorgaben wie NIS2 oder DORA mappen. Dadurch ist der Standarf besonders für regulierte Umfelder geeignet.

Video: Praxis-Einblicke zu ISO 27001

In diesem Video spricht Jörg Buss, einer der ISO-27001-Pioniere in Deutschland, über die Entwicklung von Information-Security und die Vorbereitung auf kommende Anforderungen wie NIS2.

NIST CSF

Das NIST-Security-Framework (Cyber-Security-Framework, CSF) gliedert Cyber-Security in fünf Kernfunktionen: Identify, Protect, Detect, Respond und Recover. In der Version 2.0 von 2024 kam Governance (GOV) als zusätzliche Funktion hinzu, um Verantwortlichkeiten und Steuerung klarer zu verankern. Gleichzeitig berücksichtigt die neue Fassung Supply-Chain-Risiken stärker und definiert Kriterien, mit denen sich Wirksamkeit messen lässt. Das Framework ist zwar nicht zertifizierbar, wird aber häufig auf regulatorische Vorgaben gemappt. Ergänzend beschreibt NIST SP 800-207 die Zero-Trust-Architecture als modernes Gegenmodell zum klassischen Perimeter-Schutz.

CIS-Controls

Die CIS-Controls gelten als praxisnaher Katalog konkreter Maßnahmen gegen typische Cyberangriffe. Anders als abstraktere Security-Frameworks wie NIST oder ISO fasst das CIS-Framework einzelne Kontrollen zusammen, die klar priorisiert und überprüfbar sind. Sie reichen von grundlegenden Schritten wie Inventarisierung bis hin zu anspruchsvolleren Prozessen wie Incident Response. Version 8 aus 2021 fasst 18 Controls zusammen. Ein besonderes Merkmal sind die Implementation Groups (IG1–IG3), die Unternehmen den stufenweisen Rollout nach Risiko und Größe ermöglichen. Für eine Enterprise-Security-Architecture bieten die CIS-Controls damit eine schnelle und messbare Verbesserung der Sicherheitslage.

TOGAF-Framework

Das TOGAF-Framework ist ein international etabliertes Modell für Enterprise-Architecture. Es definiert Methoden und Prozesse, um Geschäftsabläufe, Anwendungen, Daten und Technologien aufeinander abzustimmen. Sicherheitsanforderungen sind dabei kein eigener Schwerpunkt, können aber über den Architecture Development Method (ADM) integriert werden – etwa in der Phase Architecture Vision oder durch Security-Architektur als eigenes Viewpoint. Für die Enterprise-Security-Architecture bedeutet das: TOGAF schafft den Ordnungsrahmen, in dem Security von Anfang an systematisch mitgedacht werden kann. Als eigenständiges Security-Framework ist es nicht ausgelegt – in der Praxis wird es daher häufig mit spezialisierten Modellen wie SABSA oder COBIT kombiniert.

Zachman-Framework

Das Zachman-Framework gehört zu den frühesten Ansätzen der Enterprise-Architecture und wird als Metamodell verstanden. Es strukturiert komplexe Organisationen anhand von sechs grundlegenden Fragen (Was, Wie, Wo, Wer, Wann, Warum) und ordnet diese verschiedenen Ebenen wie Planung, Geschäftsmodell oder Technologie zu. Für die Enterprise-Security-Architecture liefert es damit keinen eigenständigen Kontrollrahmen, sondern eine methodische Matrix, die zeigt, an welchen Stellen Sicherheitsaspekte verankert werden können. Damit eignet es sich vor allem als Strukturgeber, der in Kombination mit Security-Frameworks genutzt wird.

SABSA-Framework

Das SABSA-Framework (Sherwood Applied Business Security Architecture) verfolgt einen streng risikoorientierten Ansatz. Es leitet Sicherheitsanforderungen aus den Geschäftszielen ab und führt diese durch mehrere Abstraktionsebenen – von der Contextual bis zur Component Layer. Damit verbindet SABSA Business-Risiken mit Security-Design und Betrieb. Für die Enterprise-Security-Architecture bietet es die Möglichkeit, Sicherheitsmaßnahmen eng an den Geschäftszweck zu koppeln. In der Praxis wird SABSA häufig mit Frameworks wie ISO 27001 oder COBIT kombiniert, um sowohl Governance- als auch Compliance-Aspekte abzudecken.

COBIT-Framework

Das COBIT-Framework gehört zu den international etablierten Standards für IT-Governance und Management. Es beschreibt Steuerungsziele, Prozesse und Kennzahlen, mit denen Unternehmen den Beitrag ihrer IT besser messen und Risiken kontrollieren können. Auch Sicherheitsanforderungen lassen sich so konsequent an den Geschäftszielen ausrichten. Im Unterschied zu Standards wie ISO 27001 ist COBIT selbst nicht zertifizierbar, wird aber häufig für Governance- und Audit-Zwecke eingesetzt. Für die Enterprise-Security-Architecture bietet es den Vorteil, dass sich Sicherheitsaspekte systematisch in Unternehmensführung und Kontrollsysteme integrieren lassen. Besonders wirksam ist es in Kombination mit ISO 27001 oder NIST CSF.

MITRE-ATT&CK-Matrix

Die MITRE-ATT&CK-Matrix ist eine frei zugängliche Wissensbasis über Angreifertechniken, Taktiken und Verfahren (TTPs). Sie wird kontinuierlich aktualisiert und spiegelt reale Angriffsmethoden wider. Anders als klassische Security-Frameworks bietet MITRE ATT&CK keine Governance-Struktur, sondern unterstützt operative Sicherheit. Für die Enterprise-Security-Architecture ist sie besonders wertvoll beim Threat-Modeling, im Red-Teaming und beim Aufbau von Detection- und Response-Use-Cases. Viele Unternehmen nutzen die Matrix auch für Purple-Teaming-Übungen, um ihre Abwehrmaßnahmen gezielt zu testen und zu verbessern.

Video: MITRE ATT&CK im Kontext von Cloud und Chaos-Engineering

In diesem Video erklärt Kennedy Tokura, wie Unternehmen Security-Chaos- Engineering nutzen können, um ihre Sicherheitsarchitektur zu stärken – und welche Rolle die MITRE-ATT&CK-Matrix dabei spielt.

Weitere Security-Frameworks im Überblick

Auch jenseits der etablierten Modelle gibt es Frameworks, die für spezielle Anforderungen oder Branchen von Bedeutung sind. Sie ergänzen die Enterprise-Security-Architecture und bieten Orientierung in unterschiedlichen Kontexten.

CIS-Framework

Das CIS-Framework bildet den organisatorischen Rahmen um die bekannten CIS Controls. Es bietet Unternehmen eine Struktur, um die Umsetzung priorisierter Maßnahmen besser zu steuern und in ein übergeordnetes Sicherheitsmanagement einzubetten. Für Organisationen, die bereits mit den CIS-Controls arbeiten, schafft es zusätzliche Orientierung und Governance.

Essential 8

Das Essential-8-Framework des Australian Cyber Security Centre definiert acht Basiskontrollen – darunter Patching, Multi-Faktor-Authentifizierung und regelmäßige Backups. Der Ansatz ist pragmatisch und bietet vor allem mittelständischen und öffentlichen Einrichtungen eine schnelle Möglichkeit, die Cyber-Resilienz zu stärken.

DoDAF

Das DoDAF-Framework (Department of Defense Architecture Framework) wird vor allem im US-Verteidigungssektor eingesetzt. Es dient dazu, komplexe Systeme architektonisch zu modellieren und sicherheitsrelevante Abhängigkeiten sichtbar zu machen. Für die Enterprise-Security-Architecture im zivilen Umfeld liefert DoDAF vor allem methodische Impulse für eine systematische Architekturarbeit.

FEAF

Das FEAF-Framework (Federal Enterprise Architecture Framework) ist ein Standard der US-Bundesverwaltung zur Steuerung öffentlicher IT-Systeme. Es soll Investitionen transparenter machen und Sicherheitsrisiken früh adressieren. Für Unternehmen außerhalb der Behördenwelt hat FEAF nur eingeschränkte Bedeutung, bietet aber Inspiration für stark regulierte Umfelder.

Welches Cyber-Security-Framework für Enterprise?

Die Wahl des passenden Frameworks hängt stark von Zielen, Ressourcen und Reifegrad ab. Die folgende Matrix ordnet die wichtigsten Frameworks entlang zweier Achsen ein:

Security-Frameworks meistern

Demo buchen

SoSafe unterstützt nach NIST, ISO/IEC 27001, CIS & mehr beim Human-Risk-Management.

Die Matrix zeigt, dass sich die Frameworks entlang zweier Dimensionen unterscheiden:

• Strategisch vs. operativ: Bieten sie primär Strukturen und Governance oder liefern sie konkrete Maßnahmen?
• Architektur-orientiert vs. Threat-orientiert: Liegt der Schwerpunkt auf der Geschäfts- und IT-Architektur oder geht es um die Abwehr von Bedrohungen?
• Strategisch + Architektur-orientiert: TOGAF, Zachman-Framework, SABSA, DoDAF und FEAF liefern Ordnungsrahmen für Enterprise- und Security-Architectures.
• Strategisch + Threat-orientiert: NIST CSF, COBIT und das CIS-Framework adressieren Governance, Risiko-Management und Compliance.
• Operativ + Architektur-orientiert: ISO 27001 und CIS-Controls geben konkrete Maßnahmen vor, die in Architekturen eingebettet werden können.
• Operativ + Threat-orientiert: MITRE-ATT&CK-Matrix und Essential 8 sind auf die unmittelbare Abwehr realer Angriffe fokussiert.

Empfehlungen für unterschiedliche Unternehmen

• Mittelständische Unternehmen profitieren von einem schnellen Einstieg mit den CIS-Controls oder dem Essential-8-Framework, die ohne großen Aufwand messbare Sicherheitseffekte bringen
• Internationale Konzerne setzen häufig auf eine Kombination aus ISO 27001 für die Zertifizierung und NIST CSF für die Governance – ein Ansatz, der weltweit anerkannt ist
• Stark regulierte Branchen greifen meist zu COBIT und ISO 27001, ergänzt durch Architektur-Frameworks wie FEAF oder DoDAF, um strenge Vorgaben abzusichern
• Unternehmen mit hoher Bedrohungslage nutzen die MITRE-ATT&CK-Matrix zur Analyse realer Angriffsmethoden und ergänzen sie mit den CIS-Controls
• Architekturgetriebene Organisationen arbeiten bevorzugt mit TOGAF, Zachman oder SABSA und kombinieren diese mit Governance-Frameworks und operativen Kontrollen