GSTOOL-Nachfolger: Welche Software ersetzt das GSTOOL?

Das BSI hat den GSTOOL-Vertrieb zum 31. Dezember 2014 und den Support Ende 2016 eingestellt. Einen GSTOOL-Nachfolger benennt es nicht, sondern listet über 60 Tool-Angebote (Stand Oktober 2026) von Lizenznehmern, ohne sie zu prüfen. Gute Nachfolger decken BSI 200-2 und 200-3 ab und verwalten Kataloge versioniert, um für IT-Grundschutz++ gerüstet zu sein, etwa die fuentis Suite.

Was war das GSTOOL und warum braucht es einen Nachfolger?

Das GSTOOL war die Software des BSI, mit der Behörden und Unternehmen Sicherheitskonzepte nach IT-Grundschutz erstellt und gepflegt haben. Laut einer inzwischen archivierten BSI-Seite endete der Vertrieb am 31. Dezember 2014, der Support Ende 2016 laut BSI-Seite zu den Leistungsmerkmalen. Für neue Bausteine und den modernisierten IT-Grundschutz brauchen Anwender seitdem ein anderes Tool.

Das GSTOOL stammt damit aus der Zeit vor der Modernisierung des IT-Grundschutz im Jahr 2017. Bestehende Lizenzinhaber durften nach dem Vertriebsende weitere Lizenzen erwerben, und das BSI stellte ein Exportwerkzeug für die Datenmigration bereit.

Ein offizielles Nachfolgeprodukt gibt es nicht. Das BSI verweist stattdessen auf eine Liste von Tool-Angeboten von Herstellern mit Lizenzvertrag und stellt klar: "Bei der Nennung der Toolangebote anderer Firmen zum IT-Grundschutz handelt es sich um eine reine Auflistung." Programmqualität und korrekte Implementierung prüft das BSI nicht.

Warum der Wechsel heute zwingend ist, zeigt die Methodik. 2017 löste der modernisierte IT-Grundschutz mit den BSI-Standards 200-1 bis 200-3 die 100er-Reihe ab. Laut BSI-Migrationsanleitung waren Zertifizierungsanträge auf Basis von 100-2 nur bis 30. September 2018 möglich, die 15. Ergänzungslieferung der Kataloge blieb bis 30. September 2021 verwendbar. Ein GSTOOL-Datenbestand bildet also eine Methodik ab, auf die sich seit 2021 kein Audit mehr stützen kann.

Und der nächste Wechsel steht an: Ab dem 1. Januar 2027 können laut Grundschutz++-Meilensteinplan des BSI Zertifizierungsanträge auf Basis von Grundschutz++ gestellt werden.

Was muss ein IT-Grundschutz-Tool als GSTOOL-Nachfolger heute können?

Ein GSTOOL-Nachfolger muss die IT-Grundschutz-Methodik nach BSI-Standard 200-2 vollständig abbilden: Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, IT-Grundschutz-Check und Risikoanalyse nach BSI-Standard 200-3. Dazu kommen Mandantenfähigkeit, Berichte für Audits, ein Import für Altdaten und die Fähigkeit, neue BSI-Kataloge wie Grundschutz++ einzuspielen. Eine Kriterienliste dafür hat das BSI selbst veröffentlicht.

Die Leistungsmerkmale für Software-Tools entstanden mit Blick auf das GSTOOL-Supportende. Sie nennen Schutzbedarfsfeststellung, Modellierung, Risikoanalyse, Berichterstellung und Revisionsunterstützung, technisch außerdem Mandantenfähigkeit, Historienführung auf Feldebene und eine Importfunktion für GSTOOL-Datenbestände. Begriffe wie „Basissicherheitscheck“ stammen allerdings noch aus der Welt von BSI 100-2.

Für 2026 ergänzt fuentis nach eigener Einschätzung ein Kriterium: Kataloge müssen als versionierte Daten vorliegen. Aktuell ist die Edition 2023 des IT-Grundschutz-Kompendiums mit 111 Bausteinen, der nächste Katalog kommt mit Grundschutz++.

Wer die Berichte für ein Zertifikat braucht, sollte den Unterschied zwischen IT-Grundschutz und ISO 27001 kennen. Über den Grundschutz hinaus zeigt ein eigener Beitrag, welche Funktionen ein ISMS-Tool im Betrieb abdecken sollte.

Welche Grundschutz-Tools kommen als GSTOOL-Nachfolger infrage?

Auf der BSI-Liste der IT-Grundschutz-Tools stehen über 60 Tool-Angebote (Stand Oktober 2026) von Herstellern mit Lizenzvertrag. Vier Optionen mit belegter Grundschutz-Unterstützung sind die fuentis Suite, die HiScout GRC Suite, verinice und DocSetMinder® ONE. Sie unterscheiden sich vor allem beim Betriebsmodell, beim Import von Altdaten und bei der Vorbereitung auf Grundschutz++.

Aufgenommen ist jedes Tool, das auf der BSI-Liste steht und dessen Grundschutz-Funktionen die Herstellerseite beschreibt. Eine Rangfolge ist das nicht. Einen breiteren Vergleich bietet Die 5 besten ISMS-Tools aus Deutschland.

Quellen: Herstellerseiten, BSI-Liste der Tool-Anbieter. Stand: 21.10.2026. "k. A." heißt: keine Angabe auf der Herstellerseite. Hinweis: Die fuentis AG, Herausgeberin dieses Blogs, ist Anbieter der fuentis Suite.

fuentis Suite

BSI IT-Grundschutz mit Strukturanalyse, Schutzbedarfsfeststellung, Sicherheitschecks und Risikoanalyse ist in allen Plänen enthalten, auch im 12 Monate kostenfreien free/Basic. Ab dem Plan Standard verwaltet der Katalog-Manager Bausteine und Anforderungen mit Versionierung und Änderungsjournal.

Betrieb als SaaS mit Datenbanktrennung pro Mandant, als Private Cloud oder On-Premise (Enterprise), entwickelt und gehostet in Deutschland. Daten aus Fremd-ISMS-Tools lassen sich importieren, wenn eine Standard-Schnittstelle (API) vorhanden ist. Mehr unter IT-Grundschutz mit der fuentis Suite umsetzen.

HiScout GRC Suite

Laut HiScout sind die aktuellen BSI-Grundschutzkataloge in das Modul HiScout Grundschutz integriert, die Risikoanalyse erfüllt die Anforderungen des BSI-Standards 200-3. Daten aus GSTOOL, Excel oder einer CMDB lassen sich importieren, betrieben wird HiScout on-premise oder als SaaS. Für Bundesbehörden stellt das ITZBund die darauf basierende Standardlösung ZeDIS bereit. Zu Grundschutz++ schreibt der Hersteller: "HiScout ist von Anfang an dabei."

verinice

verinice kommt von der SerNet GmbH und steht unter einer Open-Source-Lizenz. Die klassische Einzelplatzversion bietet SerNet als Subskription mit 1 bis 3 Jahren Laufzeit an, verkauft sie laut Hersteller nur noch bis 31.12.2026 und unterstützt sie bis 31.12.2027; kostenlos ist nur verinice.EVAL, ohne Import- und Exportfunktion. Cloud und On-Premise der neuen Generation sind kostenpflichtig. Abgedeckt sind laut Hersteller Basis-, Standard- und Kern-Absicherung, Baustein-Modellierung, IT-Grundschutz-Check und Risikoanalyse. Für den GSTOOL-Umstieg liest der klassische verinice-Client alle Daten direkt aus der GSTOOL-Datenbank aus, auch benutzerdefinierte Felder; für die neue Generation kündigt SerNet die Datenübernahme erst für kommende Releases an.

DocSetMinder ONE

DocSetMinder ONE von Allgeier CyRis bündelt laut Hersteller BSI IT-Grundschutz, ISO 27001, BCM nach BSI 200-4 und EU-DSGVO. Für den IT-Grundschutz gibt es spezielle Module und Vorlagen. Details zu Import und Grundschutz++ nennt die Produktseite nicht; fragen Sie diese in der Demo ab.

Wie zukunftssicher ist Ihr Tool mit Blick auf IT-Grundschutz++?

Mit Grundschutz++ löst das BSI das IT-Grundschutz-Kompendium durch einen maschinenlesbaren Anwenderkatalog ab. Ab dem 1. Januar 2027 können laut BSI Zertifizierungsanträge auf Basis von Grundschutz++ gestellt werden, der bisherige IT-Grundschutz bleibt bis zum 30. November 2031 zertifizierbar. Ein neues Tool sollte deshalb beide Kataloge parallel verwalten.

Warum also nicht einfach abwarten? Laut Meilensteinplan des BSI, Stand Oktober 2026, ist die Veröffentlichung der Methodik auf der it-sa 2026 (27.10.2026) vorgesehen, 2027 folgt eine Early-Adopter-Phase. Wer noch mit GSTOOL-Daten oder Excel arbeitet, liegt dann zwei Methodik-Generationen zurück. Schon beim letzten Wechsel musste der IT-Grundschutz-Check laut BSI-Migrationsanleitung komplett neu durchgeführt werden.

Der Anwenderkatalog liegt als OSCAL-Dokument im GitHub-Repository des BSI und umfasst in seiner aktuellen Fassung 1.000 Anforderungen. Was sich methodisch ändert, fasst der Beitrag IT-Grundschutz++ im Überblick: Neuerungen und Zeitplan zusammen.

„

Wer heute vom GSTOOL oder von Excel umsteigt, sollte nicht fragen, ob ein Tool das Kompendium Edition 2023 abbildet. Das können viele. Entscheidend ist, ob es Anforderungen als Daten verwaltet und neue Kataloge versioniert einspielen kann. Mit Grundschutz++ wechselt das BSI vom Kompendium zu einem maschinenlesbaren Anwenderkatalog, und genau dort trennt sich zukunftssicher von veraltet.

Srdan Manasijevic, CEO fuentis

Die fuentis Suite bildet Praktiken, Zielobjektkategorien und Blaupausen bereits heute strukturiert ab und deckt nach eigener Einschätzung alle bisher veröffentlichten Grundschutz++-Anforderungen ab. Wie Sie den Umstieg planen, zeigt die Seite Grundschutz++ mit der fuentis Suite vorbereiten.

Wie migrieren Sie GSTOOL- oder Excel-Daten Schritt für Schritt?

Exportieren Sie zuerst Ihre Altdaten, übernehmen Sie dann Strukturanalyse und Schutzbedarf, modellieren Sie neu nach dem aktuellen Kompendium und führen Sie den IT-Grundschutz-Check komplett neu durch. Eine 1:1-Übernahme alter Maßnahmen sieht das BSI nicht vor. Für Zielobjekte mit hohem Schutzbedarf folgt eine Risikoanalyse nach BSI-Standard 200-3.

Als Leitfaden dient die Anleitung zur Migration von Sicherheitskonzepten des BSI.

1. Altdaten sichern. Für das GSTOOL stellte das BSI ein Exportwerkzeug bereit, das Sicherheitskonzepte als XML-Datei ausgab. verinice liest die GSTOOL-Datenbank laut Hersteller direkt aus, HiScout nennt einen Import für GSTOOL- und Excel-Daten. Excel-Listen normieren Sie vorab auf Zielobjekt, Schutzbedarf, Baustein und Umsetzungsstatus.
2. Strukturanalyse übernehmen. Vorhandene Ergebnisse bleiben nutzbar, nach BSI-Standard 200-2 rücken aber Geschäftsprozesse stärker in den Vordergrund. Fehlende Prozesse ergänzen Sie.
3. Schutzbedarf prüfen. Die Kategorien normal, hoch und sehr hoch bleiben, die Vererbung kontrollieren Sie neu. Die ISMS-Profile der fuentis Suite liefern dafür vorkonfigurierte Schutzbedarfsvorlagen, ersetzen die Strukturanalyse aber nicht.
4. Neu modellieren. Die Edition 2023 des IT-Grundschutz-Kompendiums umfasst 111 Bausteine, darunter 10 neue. Prüfen Sie jeden auf Anwendbarkeit und begründen Sie Auswahl wie Nicht-Auswahl.
5. IT-Grundschutz-Check neu durchführen. Der Wechsel "von vorgegebenen Maßnahmen zu Anforderungen" macht es laut BSI "erforderlich, den IT-Grundschutz-Check komplett neu durchzuführen". Die BSI-Migrationstabellen helfen, doch: "Es gibt jedoch oftmals keine 1:1-Beziehung zwischen (neuen) Anforderungen und (bisherigen) Maßnahmen." Eine reine Datenübernahme liefert keinen auditfähigen Check.
6. Risikoanalyse nach BSI-Standard 200-3. Sie ist erforderlich für Zielobjekte mit hohem oder sehr hohem Schutzbedarf, ohne passenden Baustein oder in untypischen Einsatzszenarien.

Eine Umstellung per Knopfdruck hält das BSI für den falschen Ansatz: "Ein ISMS ist ein Prozess, kein Produkt." Nutzen Sie die Migration deshalb für eine Überprüfung Ihres ISMS. Strukturierte Zielobjekte, begründete Modellierung und dokumentierte Maßnahmen je Anforderung erleichtern später auch den Wechsel auf den Anwenderkatalog Grundschutz++.

Womit sollten Sie diese Woche anfangen?

Inventarisieren Sie zuerst Ihren Bestand: GSTOOL-Datenbank oder Excel-Dateien, verwendete Edition, Datum des letzten Checks. Stellen Sie danach eine Shortlist aus der BSI-Liste der Tool-Angebote zusammen. Prüfen Sie jedes Angebot auf drei Kriterien: Methodik nach BSI 200-2 und 200-3, ein Weg für Ihre Altdaten, versioniert verwaltete Kataloge. Testen Sie in der Demo mit einem eigenen Informationsverbund statt mit Folien.

Zum Ausprobieren ist free/Basic 12 Monate ab Vertragsstart kostenfrei: fuentis Suite free/Basic ansehen oder Demo vereinbaren.

Häufige Fragen

Gibt es eine offizielle GSTOOL-Alternative vom BSI?

Nein. Das BSI hat kein Nachfolgeprodukt benannt, sondern verweist auf eine Liste von Tool-Angeboten mit Lizenzvertrag, derzeit über 60 Einträge. Laut BSI ist das "eine reine Auflistung", Programmqualität und korrekte Implementierung prüft es nicht. Für Bundesbehörden stellt das ITZBund laut Hersteller HiScout die Standardlösung ZeDIS bereit. Eine BSI-Empfehlung ist das nicht.

Kann ich das GSTOOL heute noch nutzen?

Das BSI unterstützt es seit Ende 2016 nicht mehr, wie es auf seiner Seite zu den Leistungsmerkmalen für Software-Tools bestätigt. Es stammt aus der Zeit der IT-Grundschutz-Kataloge, deren 15. Ergänzungslieferung laut BSI-Migrationsanleitung nur bis 30.09.2021 verwendbar war. Für ein Audit nach aktuellem IT-Grundschutz brauchen Sie ein Tool mit dem Kompendium.

Lassen sich GSTOOL-Daten in ein neues Tool übernehmen?

Ja, mit Einschränkungen. Das BSI stellte ein Exportwerkzeug bereit, das Sicherheitskonzepte als XML-Datei ausgab, und Hersteller wie verinice und HiScout nennen einen GSTOOL-Import. Den IT-Grundschutz-Check müssen Sie laut BSI-Migrationsanleitung trotzdem komplett neu durchführen, weil alte Maßnahmen und neue Anforderungen oft nicht 1:1 zusammenpassen.

Muss ich wegen Grundschutz++ mit dem Toolwechsel warten?

Nein. Der bisherige IT-Grundschutz bleibt laut Meilensteinplan des BSI bis 30. November 2031 zertifizierbar. Ab dem 1. Januar 2027 können laut BSI Zertifizierungsanträge auf Basis von Grundschutz++ gestellt werden, bis Ende 2027 läuft zudem eine Early-Adopter-Phase. Wählen Sie ein Tool, das Kataloge versioniert verwaltet und beide Welten parallel abbilden kann.