ISO 27001 verstehen: ISMS ohne Papierberg

ISO 27001 klingt oft nach Ordnerwand und endlosen Checklisten. In der Praxis funktioniert Informationssicherheit aber nur, wenn sie in den Alltag passt: klare Rollen, wenige, gute Prozesse, sinnvolles Risikomanagement und ein ISMS, das zur Größe deines Unternehmens passt. Genau darum geht es hier.

Was ist ein ISMS wirklich?

Ein ISMS, also Informationssicherheits-Managementsystem, ist kein Dokumentenfriedhof. Es ist der Rahmen, mit dem du systematisch dafür sorgst, dass Informationen angemessen geschützt sind.

Kernidee: Du entscheidest bewusst, welche Risiken du akzeptierst, welche du reduzierst und wie du das nachhältst. ISO 27001 gibt dir dafür Anforderungen und Struktur, aber nicht die konkrete Umsetzung vor. Die musst du auf dein Unternehmen zuschneiden.

Ein ISMS besteht im Wesentlichen aus:

• einer Sicherheitsstrategie und -zielen
• einem definierten Geltungsbereich (Scope)
• Rollen und Verantwortlichkeiten
• einem Risikomanagement-Prozess
• Richtlinien und konkreten Regeln
• Nachweisen, dass das Ganze gelebt wird
• regelmäßigen Überprüfungen und Verbesserungen

Wichtig: ISO 27001 ist kein Technik-Standard. Technik ist ein Baustein, aber Organisation, Prozesse und Verhalten der Menschen sind genauso wichtig.

Geltungsbereich und Kontext: Wo fängst du an?

Bevor du irgendetwas dokumentierst, musst du klären, worauf sich dein ISMS bezieht. Der Geltungsbereich ist die Grundlage für alles Weitere.

Typische Fragen:

• Welche Standorte sind drin? Nur München oder auch deine anderen Niederlassungen?
• Geht es um das gesamte Unternehmen oder nur um bestimmte Services/Produkte?
• Welche IT-Systeme, Prozesse und Informationen fallen darunter?

Beispiel: Ein Software-Dienstleister in München könnte als Scope definieren: „Entwicklung, Betrieb und Support der SaaS-Plattform X für Kunden in der DACH-Region“. Damit sind bestimmte Teams, Systeme und Prozesse im Fokus, andere erst einmal nicht.

Zusätzlich musst du deinen Kontext verstehen:

• interne Themen: Struktur, Kultur, IT-Landschaft
• externe Themen: Gesetze, Verträge, Erwartungen von Kunden, Branchenstandards

Das klingt formal, hilft aber, später bei Risiken und Controls nicht ins Blaue zu arbeiten.

Risikomanagement: Herzstück statt Pflichtübung

ISO 27001 baut auf einem Risikomanagement-Prozess auf. Wenn der gut ist, wird dein ISMS automatisch praxisnah. Wenn der schlecht ist, produzierst du Papier.

Ein schlanker, funktionierender Prozess hat diese Schritte:

1. Schutzbedarf und Werte identifizieren Welche Informationen und Systeme sind kritisch? Beispiele: Kundendaten, Quellcode, ERP-System, Produktionsanlagen.

2. Risiken identifizieren Typische Muster:

• Verfügbarkeit: Systemausfall, Ransomware, Stromausfall
• Vertraulichkeit: Datenabfluss, Fehlversand von E-Mails, unsichere Cloud-Freigaben
• Integrität: fehlerhafte Daten, unautorisierte Änderungen, Manipulation von Logs

3. Risiken bewerten Du brauchst ein einfaches Schema, z. B. 3-stufige Skalen für Eintrittswahrscheinlichkeit und Auswirkung. Daraus berechnest oder bewertest du eine Risikoklasse.

4. Risikobehandlung planen Für jedes relevante Risiko entscheidest du:

• vermeiden (Prozess ändern, Service nicht anbieten)
• vermindern (Kontrollen einführen)
• übertragen (z. B. Versicherung, Outsourcing mit Vertrag)
• akzeptieren (bewusst in Kauf nehmen, mit Begründung)

5. Maßnahmen umsetzen und nachverfolgen Maßnahmenliste mit Verantwortlichem und Termin. Keine abstrakten Wünsche, sondern konkrete Tasks.

Wichtig ist, dass du nicht versuchst, jede theoretische Gefahr zu erfassen. Konzentriere dich auf realistische Szenarien und die Assets, ohne die dein Laden steht.

Annex-A-Controls: Werkzeugkasten, keine Checkliste zum Abhaken

Der Annex A der ISO 27001 (in der aktuellen Version 2022) enthält eine Sammlung von Controls, also Maßnahmenbereichen. Er ist dein Werkzeugkasten, nicht dein Pflichtenheft.

Typische Bereiche sind zum Beispiel:

• Organisation der Informationssicherheit (Rollen, Gremien, Richtlinien)
• Personelle Sicherheit (Onboarding, Offboarding, Schulungen)
• Zugriffskontrolle (Berechtigungskonzepte, starke Authentifizierung)
• Kryptographie (Verschlüsselungskonzepte)
• Betriebssicherheit (Backup, Monitoring, Change Management)
• Kommunikationssicherheit (Netzwerksegmente, VPN, E-Mail-Schutz)
• Systemakquise, -entwicklung, -wartung (Secure Development Lifecycle)
• Lieferantenbeziehungen (Verträge, Sicherheitsanforderungen)
• Incident Management (Meldung, Behandlung, Lessons Learned)
• Business Continuity und Notfallmanagement
• Compliance (Recht, Verträge, interne Vorgaben)

Ein häufiger Fehler: Alle Controls „pro forma“ einführen und stapelweise Richtlinien schreiben, die keiner liest. Besser ist:

• vom Risiko ausgehen
• passende Controls auswählen
• sie so einfach wie möglich gestalten

Beispiel: Du hast das Risiko „Verlust von Laptops mit Kundendaten“. Mögliche Controls:

• Festplattenverschlüsselung
• sichere Konfiguration und MDM
• klare Vorgaben für mobiles Arbeiten
• Schulung zu Diebstahl- und Verlustmeldungen

Du brauchst dafür keine 20-seitige Richtlinie. Eine klare, gut kommunizierte Regel plus technische Standardkonfiguration reicht oft.

Rollen im ISMS: Wer macht was?

Ohne klare Rollen wird das ISMS zur Nebenbei-Aufgabe, die dauerhaft liegen bleibt. Typische Rollen (die je nach Unternehmensgröße in Personalunion sein können):

• Top-Management Legt Ziele und Ressourcen fest, genehmigt Richtlinien und das Risikobehandlungsprogramm. Ohne echte Unterstützung von oben bleibt alles Theorie.

• ISMS-Verantwortliche oder Informationssicherheitsbeauftragte Koordinieren das ISMS, pflegen die Dokumentation, moderieren Risiko-Workshops, bereiten Audits vor, berichten regelmäßig an die Geschäftsleitung.

• Prozess- und Systemverantwortliche Kennen die operativen Abläufe und Systeme. Sie sind entscheidend, wenn es darum geht, Maßnahmen umzusetzen und Risiken realistisch zu bewerten.

• Fachbereiche Tragen Verantwortung für ihre Daten und müssen mitarbeiten, wenn es um Prozesse, Berechtigungen und Schulungen geht.

• Alle Mitarbeitenden Sind Teil der Sicherheitskette, etwa bei Phishing, Umgang mit Passwörtern oder Nutzung von Cloud-Diensten. Ohne Bewusstsein und einfache Regeln bringt die beste Technik wenig.

In kleineren Unternehmen kann eine Person mehrere Hüte tragen. Wichtig ist nur, dass die Aufgaben klar beschrieben und kommuniziert sind.

Technik vs. Organisation: Das Zusammenspiel

Viele Unternehmen starten bei ISO 27001 mit Technik: Firewalls, EDR, SIEM und Co. Das ist verständlich, aber einseitig. Die Norm verlangt ein Managementsystem, keine Tool-Sammlung.

Ein paar typische Spannungsfelder:

• Passwörter und Authentifizierung Technisch kannst du komplexe Richtlinien und MFA erzwingen. Organisatorisch musst du dafür sorgen, dass das auch für externe Partner, Homeoffice und mobile Geräte praktikabel bleibt.

• Patch-Management Tools erkennen Schwachstellen, aber ohne abgestimmten Prozess für Tests, Freigaben und Wartungsfenster bleibt vieles liegen.

• Cloud-Nutzung Technisch bieten Cloud-Anbieter starke Security-Features. Organisatorisch brauchst du Regeln, wer was nutzen darf, wie Daten klassifiziert werden und wie du Rechte überblickst.

• Backup und Wiederherstellung Backups automatisiert erstellen ist leicht. Organisatorisch musst du definieren, welche Wiederanlaufzeiten akzeptabel sind, wer im Notfall was entscheidet und wie oft du Wiederherstellungen testest.

Ein gutes ISMS verbindet beides:

• organisatorische Regeln so knapp wie möglich
• technische Umsetzung, wo immer es geht
• regelmäßige Überprüfung, ob das im Alltag funktioniert

Dokumentation ohne Papierberg

ISO 27001 verlangt dokumentierte Informationen, aber nicht zwingend in Papierform und nicht im Stil eines DIN-A4-Kompendiums aus den 90ern.

Pragmatischer Ansatz:

• Nutze vorhandene Tools: Wiki, Ticketsystem, Intranet, DMS.
• Halte Richtlinien kurz und verweise auf detaillierte Arbeitsanweisungen, wo nötig.
• Versioniere Dokumente und benenne Verantwortliche.
• Führe ein zentrales Verzeichnis deiner ISMS-Dokumente, damit der Überblick bleibt.

Typische Dokumente, die du brauchst:

• ISMS-Policy bzw. Sicherheitsleitlinie
• Scope-Beschreibung
• Risikomethodik und Risikoübersicht
• Statement of Applicability (SoA) mit den gewählten Annex-A-Controls
• wesentliche Richtlinien, z. B. Informationssicherheit, Zugriffsmanagement, Incident Management
• Nachweise: Protokolle, Reports, Schulungsnachweise, Auditberichte, Managementbewertungen

Weniger ist mehr, solange es vollständig und aktuell ist.

Interne Audits: Früh üben, bevor der Zertifizierer kommt

Interne Audits sind keine „Generalprobe“ kurz vor der Zertifizierung, sondern ein fester Bestandteil des ISMS. Sie helfen dir, Lücken zu erkennen, bevor es teuer oder peinlich wird.

Ziele interner Audits:

• prüfen, ob du deine eigenen Regeln einhältst
• bewerten, ob die Prozesse wirksam sind
• Verbesserungspotenziale identifizieren

Praktische Tipps:

• Plane Audits über das Jahr verteilt, nicht alles auf einen Schlag.
• Auditiere nicht deinen eigenen Bereich, wenn es sich vermeiden lässt.
• Nutze einfache Checklisten, die sich an deinen Prozessen orientieren, nicht nur an der Normstruktur.
• Dokumentiere Feststellungen klar: Was ist das Problem, wo tritt es auf, was ist die Auswirkung, was wird empfohlen?

Ein gutes internes Audit ist kein Verhör, sondern ein fachlicher Austausch darüber, was funktioniert und was nicht.

Zertifizierungsablauf: Wie läuft das in der Praxis?

Der Weg zur ISO-27001-Zertifizierung ist meist ähnlich, unabhängig davon, ob du in München oder anderswo sitzt. Typischer Ablauf:

1. Vorbereitung

• Gap-Analyse: Wo stehst du im Vergleich zu den Normanforderungen?
• Grobplanung: Welche Themen haben Priorität, welche Bereiche sind kritisch?

2. Aufbau und Umsetzung des ISMS

• Rollen definieren, Richtlinien erstellen, Risikomanagement etablieren.
• Technische und organisatorische Maßnahmen umsetzen.
• Nachweise sammeln: Protokolle, Reports, Schulungen, Tests.

3. Probelauf

• Interne Audits durchführen.
• Managementbewertung: Die Leitung bewertet Wirksamkeit und Fortschritt.
• Offene Punkte abarbeiten.

4. Zertifizierungsaudit Stufe 1

• Der Auditor prüft vor allem Dokumentation und Reifegrad des Systems.
• Ziel: Ist dein ISMS auditfähig? Was fehlt noch?

5. Zertifizierungsaudit Stufe 2

• Vertiefte Prüfung in der Praxis: Interviews, Stichproben, Nachweise.
• Am Ende steht der Auditbericht mit Abweichungen und Empfehlungen.

6. Nacharbeit und Zertifikat

• Abweichungen beheben und nachweisen.
• Zertifikat erhalten, meist mit dreijähriger Gültigkeit, inklusive Überwachungsaudits.

Wichtig: Ein Zertifikat ist kein Endpunkt, sondern der Start des Regelbetriebs. Die Überwachungsaudits stellen sicher, dass du das ISMS nicht als Einmalprojekt behandelst.

Kontinuierliche Verbesserung: Ohne Overkill

ISO 27001 verlangt, dass du dein ISMS kontinuierlich verbesserst. Das heißt nicht, dass du jedes Jahr alles neu erfinden musst. Es reicht, wenn du strukturiert lernst und nachsteuerst.

Quellen für Verbesserungen:

• Vorfälle und Beinahe-Vorfälle
• Ergebnisse aus internen und externen Audits
• Feedback von Mitarbeitenden und Kunden
• Änderungen in Technik, Recht oder Geschäftstätigkeit

Typischer Zyklus:

1. Planen: Ziele und Maßnahmen festlegen
2. Umsetzen: Prozesse und Controls leben
3. Prüfen: Messen, auditieren, auswerten
4. Anpassen: Nachschärfen und vereinfachen, wo nötig

Wenn du das konsequent, aber pragmatisch lebst, bleibt dein ISMS schlank und wirksam.

Wenn du das Ganze nicht nur in der Theorie, sondern mit praktischen Beispielen und Übungen aufarbeiten willst, findest du passende Schulungen und Workshops bei cmt.de.