ISO 27001

ISO 27001 ist ein weltweit gültiges Regelwerk für den Umgang mit Informationen in Unternehmen. Es beschreibt, wie eine Organisation dafür sorgt, dass Daten nicht verloren gehen, nicht in falsche Hände geraten und nicht heimlich verändert werden. Die Norm schreibt dabei keine bestimmte Software und keine bestimmte Technik vor. Stattdessen verlangt sie einen geordneten Ablauf: Risiken erkennen, Maßnahmen festlegen, prüfen, nachbessern. Herausgeber sind zwei internationale Normungsorganisationen, deshalb heißt sie korrekt ISO/IEC 27001. Ein Unternehmen kann sich von unabhängigen Prüfern bescheinigen lassen, dass es diese Anforderungen einhält.

Warum Kunden nach dem Zertifikat fragen

Wer einem Anbieter seine Daten anvertraut, kann dessen Serverräume und Passwortregeln nicht selbst kontrollieren. Ein Zertifikat nach ISO 27001 ersetzt dieses Misstrauen durch das Urteil eines neutralen Prüfers. Es funktioniert ähnlich wie der TÜV beim Auto: Nicht jeder Käufer versteht Bremsen, aber alle vertrauen der Plakette. Deshalb verlangen große Konzerne und Behörden das Zertifikat oft, bevor sie überhaupt einen Vertrag verhandeln.

Für junge Tech-Firmen ist das ein handfester wirtschaftlicher Punkt. Ohne Zertifikat fallen sie bei vielen Ausschreibungen schon in der Vorauswahl heraus. Deshalb tauchen ISO-27001-Projekte häufig in Finanzmeldungen auf, wenn ein Unternehmen ins Geschäft mit Großkunden einsteigen will. Die Zertifizierung kostet je nach Größe des Betriebs mehrere zehntausend Euro und dauert oft ein halbes Jahr oder länger.

Wichtig ist eine Abgrenzung, die oft verwechselt wird. ISO 27001 ist kein Gesetz, sondern freiwillig. Die Datenschutz-Grundverordnung dagegen ist geltendes Recht in der EU. Ein Zertifikat entbindet also niemanden von gesetzlichen Pflichten, es hilft aber dabei, sie ordentlich zu erfüllen.

Der Kreislauf aus Risiken, Maßnahmen und Prüfung

Kern der Norm ist ein sogenanntes Managementsystem für Informationssicherheit. Das ist kein Programm, sondern eine feste Sammlung von Regeln, Zuständigkeiten und Dokumenten. Am Anfang steht eine Risikoanalyse: Was kann schiefgehen, wie wahrscheinlich ist es, wie teuer wäre der Schaden? Erst danach entscheidet das Unternehmen, welche Schutzmaßnahmen es überhaupt braucht.

Als Baukasten dient ein Anhang mit rund neunzig möglichen Maßnahmen. Dazu gehören technische Dinge wie Verschlüsselung und Zugriffsrechte, aber auch organisatorische wie Schulungen oder Regeln für ausscheidende Mitarbeiter. Das Unternehmen muss schriftlich begründen, welche Maßnahmen es einsetzt und welche es weglässt. Anschließend läuft ein ständiger Kreislauf: umsetzen, überwachen, Fehler auswerten, verbessern.

Die eigentliche Zertifizierung übernimmt eine externe Prüfstelle. Deren Auditoren sehen sich Unterlagen an und befragen Beschäftigte im Betrieb. Das Zertifikat gilt drei Jahre, dazwischen gibt es jährliche Kontrollen. Ein verbreiteter Irrtum lautet, ein Zertifikat bedeute, dass nichts passieren kann. Es bedeutet nur, dass das Unternehmen einen geordneten Umgang mit Risiken nachweisen konnte.

ISO 27001 in Cloud-Diensten und KI-Produkten

Am häufigsten begegnet einem die Norm auf den Webseiten von Cloud-Anbietern. Dort werden Rechenzentren übers Internet vermietet, und fast alle großen Anbieter listen ihre Zertifikate offen auf. Auch Anbieter von KI-Diensten werben inzwischen damit, weil Firmenkunden dort sensible Texte und Kundendaten verarbeiten lassen.

Im Alltag sieht man das Logo außerdem in Angeboten von Softwarefirmen, in Datenschutzhinweisen und in Stellenanzeigen für IT-Sicherheit. In Nachrichtenmeldungen taucht ISO 27001 meist in zwei Situationen auf. Entweder ein Unternehmen meldet stolz eine neue Zertifizierung. Oder nach einem Hackerangriff wird gefragt, warum das Zertifikat den Vorfall nicht verhindert hat.