Case Study: Der Aufbau eines Informationssicherheitssystems bei einem mittelständischen Unternehmen

ISMS-Projekte im Mittelstand haben ein Kommunikationsproblem. Die Anbieterseite beschreibt sie in Hochglanz-Whitepapern als geradlinigen Sechs-Phasen-Prozess. Die Realität ist unruhiger. Es gibt Erkenntnissprünge, Widerstände aus den Fachbereichen, technische Überraschungen und den Moment, in dem der Geschäftsführer fragt, ob das Ganze das Geld wert ist.

Dieser Bericht zeichnet ein Projekt nach, das NESEC von März 2025 bis Mai 2026 begleitet hat. Ein Maschinenbauer mit rund 180 Mitarbeitern, drei Produktionsstandorten in Deutschland und ersten Kunden im regulierten Umfeld. Die Namen und einzelne Details sind verändert, die Zahlen, Meilensteine und Erkenntnisse sind es nicht.

Die Ausgangslage

Jakob ist seit 22 Jahren Geschäftsführer und Mitgesellschafter des Unternehmens. Die IT wird von zwei internen Administratoren betreut, ein externes Systemhaus übernimmt Support und Rechenzentrumsbetrieb. Ein Informationssicherheitsbeauftragter war formal benannt, hatte aber weder Mandat noch Zeitbudget. Ein Datenschutzbeauftragter war extern vertraglich gebunden, sein Bericht landete einmal jährlich in einem Ordner.

Drei Impulse haben das Projekt ausgelöst. Erstens ein Fragebogen eines Automotive-Kunden, in dem konkret nach dem Reifegrad der Informationssicherheit gefragt wurde. Zweitens die Feststellung, dass das Unternehmen als Zulieferer für einen mittelbar NIS2-regulierten Konzern in der Nachweispflicht steht. Drittens ein Ransomware-Vorfall bei einem Wettbewerber im gleichen Bundesland, der öffentlich geworden war und Jakob nachhaltig irritiert hat.

Was die Regulatorik 2026 wirklich verlangt

Der regulatorische Rahmen hat sich zwischen 2023 und 2026 spürbar verschärft. Wer heute mit einem ISMS-Aufbau beginnt, sollte drei Referenzpunkte kennen.

• NIS2UmsuCG in Kraft seit 6. Dezember 2025. Das deutsche Umsetzungsgesetz bringt die europäische NIS2-Richtlinie in nationales Recht. Rund 29.500 Unternehmen in Deutschland fallen jetzt unter die Sicherheitsanforderungen, vorher waren es rund 4.500.
• ISO 27001:2022 als einzig gültige Fassung seit 1. November 2025. Die Übergangsfrist für die Vorgängerversion 2013 ist abgelaufen. Alle bestehenden Zertifikate wurden bis Ende Oktober 2025 auf die neue Fassung migriert oder zurückgezogen. Wer 2026 zertifiziert, arbeitet ausschließlich mit dem 93 Controls umfassenden Anhang A der 2022er Fassung.
• Lieferketten-Nachweispflicht. NIS2 verlangt in Paragraf 30 BSIG, dass regulierte Unternehmen die Sicherheit ihrer wesentlichen Zulieferer beurteilen. Für Mittelständler bedeutet das einen zunehmenden Druck aus der Lieferkette, auch ohne selbst direkt reguliert zu sein.

Eine technische Vertiefung zu NIS2 findet sich im Beitrag Technische Anforderungen der NIS-2-Richtlinie. Zum ISO 27001-Zertifizierungsweg empfehlen wir den Beitrag ISO 27001 Zertifizierung für Unternehmen.

Die 14 Monate im Überblick

Das Projekt gliederte sich in fünf Phasen. Der Aufwand wird in Personentagen NESEC-Beratung angegeben. Der interne Aufwand des Kunden lag ungefähr in der gleichen Größenordnung, verteilt über Geschäftsführung, IT, Betriebsrat und die Fachbereiche.

Phase	Dauer	Kernergebnis	PT NESEC
1 Ist-Analyse	März bis Mai 2025	Reifegradbericht, Scope-Definition, Business-Impact-Analyse für die 18 kritischen Prozesse	18
2 Struktur	Mai bis Juli 2025	ISB-Mandat, Informationssicherheitsleitlinie, Rollenbeschreibungen, Berichtsweg zur GF	14
3 Risikoanalyse	Juli bis Oktober 2025	Risikoregister mit 74 identifizierten Risiken, davon 12 hoch, 31 mittel, 31 niedrig. Maßnahmenplan	22
4 Umsetzung	Oktober 2025 bis März 2026	Roll-out von 34 Maßnahmen, Schulungen, technische Härtungen, Notfalldokumentation, interne Audits	41
5 Zertifizierung	März bis Mai 2026	Stage 1 im April, Stage 2 im Mai, Zertifikat nach ISO 27001:2022 im Juni erhalten	9
Summe	14 Monate	Ein zertifiziertes ISMS mit klarem Betriebsmodell und dokumentierten Verantwortlichkeiten	104

Der Beratungsaufwand von 104 Personentagen liegt für ein Unternehmen dieser Größe im mittleren Korridor. Wer bereits einen aktiven ISB im Haus hat, kommt mit rund 70 bis 80 Personentagen aus. Wer bei Null anfängt und mehrere Standorte hat, sollte eher 130 bis 150 Personentage veranschlagen.

Phase 1, die Ist-Analyse

Die Ist-Analyse begann mit einem strukturierten Interview des Geschäftsführers, gefolgt von Werksbegehungen an allen drei Standorten und einer technischen Bestandsaufnahme durch die interne IT. Parallel wurde eine Kurzumfrage an alle Mitarbeiter versendet, um die gelebte Sicherheitskultur einzuschätzen.

Das Ergebnis war ein 42-seitiger Reifegradbericht. Der Reifegrad wurde nach einem an BSI-Grundschutz angelehnten Fünf-Stufen-Modell bewertet. Ausgangswert lag bei 1,8 von 5. Zielwert für die Zertifizierung wurde auf 3,5 festgelegt.

Was die Ist-Analyse zutage brachte

• Kein zentrales Asset-Inventar. Die IT-Administratoren pflegten zwei getrennte Excel-Listen, die letzte Aktualisierung lag 14 Monate zurück.
• Fehlende Trennung zwischen Produktions- und Büronetz an zwei von drei Standorten.
• Kein dokumentierter Notfallprozess. Ein Ransomware-Test im Rahmen der Analyse zeigte, dass die letzte lauffähige Wiederherstellungsprüfung mehr als zwei Jahre zurücklag.
• 34 verwaiste Administrator-Konten im Active Directory. Zwei davon gehörten ehemaligen Systemhaus-Mitarbeitern, die längst nicht mehr für das Unternehmen tätig waren.
• Kein regelmäßiger ISB-Bericht an die Geschäftsführung.

Wie eine Risikoanalyse in der Informationssicherheit strukturiert aufgesetzt wird, beschreibt der Beitrag Die Risikoanalyse in der Informationssicherheit. Zur IT-Risikomanagement-Praxis ergänzt der Beitrag IT-Risikomanagement in der Praxis.

Phase 2, die Struktur

Die zweite Phase war die politisch heikelste. Es ging um Verantwortlichkeiten, Mandate und Berichtswege. Die zentrale Frage lautete, wer im Unternehmen wofür genau verantwortlich ist, wenn ein Sicherheitsvorfall eintritt.

Der ISB als zentrale Rolle

Der bisher nur formal benannte Informationssicherheitsbeauftragte erhielt ein schriftliches Mandat, ein Zeitbudget von zwei Tagen pro Woche, einen direkten Berichtsweg zur Geschäftsführung und ein eigenes kleines Budget für Schulungen und Awareness. Die IT-Leitung wurde bewusst nicht mit der ISB-Rolle verbunden, um Interessenkonflikte zu vermeiden.

Zu den Aufgaben und Verantwortlichkeiten dieser Rolle empfehlen wir den Beitrag Informationssicherheitsbeauftragter, Aufgaben und Verantwortlichkeiten. Warum diese Rolle als Schnittstelle zwischen Organisation und Risiken funktioniert, beschreibt der Beitrag Der ISB als Schnittstelle zwischen Organisation und Risiken.

Der Informationssicherheitsausschuss

Als zweites Steuerungsgremium wurde ein Informationssicherheitsausschuss etabliert. Vier Personen mit fester Sitzungskadenz. Ein Vertreter der Geschäftsführung, der ISB, die IT-Leitung und der Datenschutzbeauftragte. Kadenz zunächst monatlich, ab Livegang quartalsweise.

Die Rollenlandkarte im Mittelstand

Welche weiteren Rollen bei einer sauberen Governance im Mittelstand nötig sind, beschreibt der Übersichtsbeitrag Informationssicherheit im Mittelstand, Aufgaben für ISB, DSB, CISO und KI-Beauftragte.

Phase 3, die Risikoanalyse

Die Risikoanalyse ist das methodische Herzstück eines jeden ISMS. Bei diesem Kunden lief sie in drei Schleifen. Erste Schleife auf Assetebene, zweite Schleife auf Prozessebene, dritte Schleife auf der Ebene der Vertragsbeziehungen zu Kunden und Lieferanten.

Die Bewertung erfolgte nach dem klassischen Muster aus Eintrittswahrscheinlichkeit und Schadensausmaß, jeweils in einer fünfstufigen Skala. Das Risikoregister enthielt am Ende der Phase 74 dokumentierte Risiken. Für die 12 als hoch bewerteten Risiken wurden individuelle Maßnahmenpläne erstellt, für die 31 mittleren Risiken wurden standardisierte Maßnahmen aus dem BSI-Grundschutz-Kompendium zugewiesen.

Die drei härtesten Erkenntnisse

• Der größte Angriffsvektor war nicht die IT. Es war die Fertigung. Zwei CNC-Maschinen an einem Standort waren über ein flaches Netzwerk direkt aus dem Büronetz erreichbar. Ein Angriff über eine kompromittierte Büroarbeitsplatz-Session hätte einen mehrtägigen Produktionsstillstand auslösen können.
• Die Lieferkettenrisiken waren unterschätzt. Die Auslagerung des Rechenzentrumsbetriebs an das externe Systemhaus war vertraglich unzureichend geregelt. Es gab weder klare Reaktionszeiten für Sicherheitsvorfälle noch eine dokumentierte Notfallkommunikation.
• Die Personenabhängigkeiten waren kritisch. Der interne Senior-Administrator hatte in 18 Jahren Betriebszugehörigkeit ein Herrschaftswissen aufgebaut, das in keinem Dokument stand. Ein Ausfall dieser Person hätte den Betrieb massiv gestört.

Phase 4, die Umsetzung

Sechs Monate lang wurden die identifizierten Maßnahmen umgesetzt. Insgesamt 34 Maßnahmenpakete, priorisiert nach Risikobeitrag und Aufwand. Der wichtigste methodische Schritt war das Zusammenlegen von technischen, organisatorischen und personellen Maßnahmen in jeweils einem gemeinsamen Umsetzungspaket, um Wechselwirkungen frühzeitig sichtbar zu machen.

Die drei größten Maßnahmenböcke

• Netzsegmentierung Produktion und Büro. Physische und logische Trennung, dokumentierter Netzplan, ein einziger kontrollierter Übergang mit vollständigem Protokoll aller Datenflüsse. Aufwand rund 22 Personentage, davon 14 Tage externe Netzwerkspezialisten.
• Identitätsmanagement und Rechtekonzept. Bereinigung des Active Directory, Einführung eines Rollenkonzepts, verpflichtende Mehrfaktor-Authentifizierung für alle privilegierten Konten, dokumentierte Just-in-Time-Rechte für Systemhaus-Mitarbeiter. Aufwand rund 18 Personentage.
• Awareness und Schulung. Zwei Pflichtmodule für alle Mitarbeiter, ein Spezialmodul für die Finanzbuchhaltung wegen der besonderen Betrugsrisiken bei Zahlungsvorgängen, ein Modul für Führungskräfte zur Vorfallreaktion. Nach sechs Monaten Phishing-Klickrate von 21 Prozent auf 6 Prozent gefallen.

Was in dieser Phase beinahe schiefgegangen wäre

Der externe IT-Dienstleister empfand die neuen Vorgaben als Kontrollverlust und drohte Ende November 2025 mit einer Kündigung der Rahmenvereinbarung. In einem Krisengespräch mit der Geschäftsführung, dem ISB und dem Systemhaus wurde die Rollenverteilung neu justiert. Das Systemhaus blieb operativ verantwortlich, aber die Sicherheitsvorgaben und die Auditrechte lagen ab sofort verbindlich beim ISB.

Phase 5, die Zertifizierung

Das Zertifizierungsaudit wurde von einer akkreditierten Zertifizierungsstelle im April und Mai 2026 durchgeführt. Stage 1 im April dauerte anderthalb Tage und prüfte die Dokumentenlage. Stage 2 im Mai dauerte drei Tage und prüfte die gelebte Umsetzung.

Das Ergebnis waren zwei minor findings und fünf beobachtungen, keine major findings. Die minor findings betrafen die Aktualität der Notfalldokumentation an einem der drei Standorte und die Vollständigkeit der Nachweise zu Awareness-Trainings für neu eingestellte Mitarbeiter. Beide wurden innerhalb der von der Zertifizierungsstelle gesetzten Frist von 90 Tagen bereinigt.

Wer sich systematisch auf ein solches Audit vorbereiten will, findet Orientierung im Beitrag Vorbereitung auf Audits, Zertifizierungen und Gesetze.

Wie das ISMS heute gesteuert wird

Nach der Zertifizierung stellt sich für viele Unternehmen die Frage, wie das ISMS im laufenden Betrieb sichtbar bleibt. Dieser Kunde arbeitet mit einem KPI-Set von neun Kennzahlen, die quartalsweise an die Geschäftsführung berichtet werden.

Kennzahl	Zielwert	Ist Q2 2026	Trend
Phishing-Klickrate simulationsbasiert	unter 8 Prozent	6 Prozent	stabil
Zeit bis zur Deaktivierung ausgeschiedener Konten	unter 24 Stunden	4 Stunden	verbessert
Backup-Wiederherstellung erfolgreich in Übung	100 Prozent quartalsweise	100 Prozent	stabil
Kritische Schwachstellen offen über 30 Tage	null	null	stabil
Mitarbeiter mit aktueller Sicherheitsschulung	über 95 Prozent	97 Prozent	stabil
Sicherheitsvorfälle Kategorie hoch pro Quartal	unter 2	1	stabil
Auditkonformität interne Stichproben	über 90 Prozent	94 Prozent	verbessert
Rechtzeitige Umsetzung Maßnahmen aus Risikoregister	über 85 Prozent	88 Prozent	verbessert
Reifegrad Selbstbewertung	3,5	3,7	verbessert

Warum ein KPI-Set für die Informationssicherheit sinnvoll ist und wo es an Grenzen stößt, beschreiben die Beiträge Kennzahlen und KPIs in der Informationssicherheit und Kritik an KPIs in der Informationssicherheit. Wer sein Reporting an die Geschäftsführung sauber aufsetzen will, findet Orientierung im Beitrag Der ISB-Bericht als Schlüssel zur effektiven Informationssicherheit.

Was das Projekt gekostet hat

Die Gesamtkosten der 14 Monate lagen bei rund 165.000 Euro, aufgeteilt in Beratung, Technik, Schulung und Zertifizierung. Der Betrag liegt für ein Unternehmen dieser Größenordnung im mittleren Marktkorridor. Vergleichbare Projekte im deutschen Mittelstand bewegen sich zwischen 80.000 und 350.000 Euro im ersten Jahr, abhängig von Ausgangslage und Reifegrad.

Kostenblock	Anteil	Betrag EUR
Beratung NESEC, 104 Personentage	50 Prozent	83.000
Technische Maßnahmen, insbesondere Netzsegmentierung und Identitätsmanagement	22 Prozent	37.000
Zertifizierungsaudit, Stage 1 plus Stage 2 plus Überwachungsaudit Jahr 1	11 Prozent	18.500
Schulungen, Awareness-Kampagne, Lernplattform	9 Prozent	15.000
Interne Ressourcen, geschätzte Vollkostenanrechnung ISB-Zeitanteil	8 Prozent	11.500
Summe	100 Prozent	165.000

Bei der Bewertung dieser Zahl lohnt der Vergleich mit einem einzelnen erfolgreichen Ransomware-Vorfall im deutschen Mittelstand. Die durchschnittlichen Gesamtkosten liegen laut aktuellen Erhebungen zwischen 400.000 und 900.000 Euro, ohne Reputations- und Folgeschäden. Der ISMS-Aufbau ist damit strukturell günstiger als der einmalige Schaden, den er abwehren soll.

Wie Cyberversicherungen den Aufbau eines ISMS zunehmend anschieben, beschreibt der Beitrag Cyberversicherungen als Treiber für Informationssicherheit. Warum es besser ist, das ISMS vor dem Ernstfall aufzubauen als danach, beschreibt der Erfahrungsbericht Informationssicherheit im KMU, vom Ernstfall zur Struktur.

Drei Momente, in denen das Projekt beinahe gescheitert wäre

Jedes reale Projekt hat Bruchstellen. Diese drei sind es wert, offen dokumentiert zu werden, weil sie für andere Mittelständler lehrreich sind.

Erster Moment, der Widerstand im Betriebsrat

Als die Mehrfaktor-Authentifizierung für alle Arbeitsplätze auf der Agenda stand, formierte sich Widerstand aus dem Betriebsrat. Der Vorwurf lautete, die Maßnahme sei eine verkappte Leistungskontrolle. Das Projekt drohte drei Wochen still zu stehen.

Gelöst wurde die Situation durch eine formale Betriebsvereinbarung, in der die zulässigen Auswertungen der Anmeldedaten abschließend aufgelistet wurden. Der ISB stand dafür als Ansprechpartner zur Verfügung, die IT-Leitung wurde explizit von diesen Auswertungen ausgeschlossen. Lehrstück für andere Projekte, Betriebsrat früh einbinden, nicht erst wenn die technische Maßnahme fertig ist.

Zweiter Moment, die Ambivalenz der Geschäftsführung

Nach etwa acht Monaten Projektlaufzeit fragte Jakob offen, ob das ISMS wirklich den Aufwand wert sei. Das war kein rhetorischer Moment. Die Umsetzungsphase kostete Zeit und Nerven, und die konkreten Sicherheitsergebnisse waren für einen Unternehmer noch nicht greifbar.

Die Antwort kam in Form eines strukturierten Business-Impact-Berichts. Wir haben für drei realistische Angriffsszenarien die konkreten Kosten und den Produktionsausfall durchgerechnet. Nach diesem einen Termin war die Diskussion beendet. Lehrstück für andere Projekte, den wirtschaftlichen Nutzen des ISMS in konkreten Zahlen darstellen, nicht in generischen Sicherheitsargumenten.

Dritter Moment, das Systemhaus

Der bereits erwähnte Konflikt mit dem externen IT-Dienstleister war der schwierigste Punkt des Projekts. Ein Wechsel des Dienstleisters wäre während der laufenden Maßnahmen keine Option gewesen. Die Lösung war eine neue vertragliche Grundlage mit klaren Sicherheitsverantwortlichkeiten und einem Audit-Recht des ISB. Lehrstück für andere Projekte, Lieferantenverträge frühzeitig auf ISMS-Fähigkeit prüfen, nicht erst wenn die Konfliktlinie schon offen ist.

Was am Ende bleibt

Das Zertifikat nach ISO 27001:2022 ist für Jakob nicht die eigentliche Belohnung des Projekts. Die eigentliche Belohnung ist, dass sein Unternehmen zum ersten Mal einen klaren Überblick über die eigenen Risiken hat, dass Verantwortlichkeiten schriftlich fixiert sind, dass ein zweiter Standort weiterlaufen könnte, wenn ein Standort ausfällt, und dass die Geschäftsführung monatlich einen kurzen Bericht bekommt, der zeigt, wo das Unternehmen im Bereich Informationssicherheit steht.

Aus Beratersicht bleibt die Erkenntnis, dass ein ISMS-Aufbau kein linearer Prozess ist. Er ist ein organisatorisches Projekt mit technischen Anteilen, nicht umgekehrt. Wer glaubt, mit Werkzeugen allein zum Ziel zu kommen, wird sich verlaufen. Wer sich die Zeit für die Ist-Analyse und die politische Klarstellung im Haus nimmt, hat die Hälfte der Strecke geschafft.

Und wer nach dem Zertifikat den Betriebsmodus vergisst, hat am Ende ein Papierkonstrukt. Erst die Betriebsphase mit KPIs, ISB-Bericht und regelmäßigen Audits macht ein ISMS zu einem tragfähigen Managementsystem.

Weiterführende NESEC-Beiträge

• ISMS für den Mittelstand, warum es sich früher lohnt als man denkt. Wie ISMS den Mittelstand vor Cyber-Bedrohungen schützen
• Die Rolle des ISB, Aufgaben, Verantwortlichkeiten und die Frage nach dem richtigen Mandat. Informationssicherheitsbeauftragter, Aufgaben und Verantwortlichkeiten
• Der ISB als Schnittstelle, warum diese Rolle nur mit klarem Berichtsweg funktioniert. Der ISB als Schnittstelle zwischen Organisation und Risiken
• Der ISB-Bericht, wie ein tragfähiges Reporting an die Geschäftsführung aussieht. Der ISB-Bericht, Schlüssel zur effektiven Informationssicherheit
• Einen guten ISB finden, die Auswahlkriterien für interne wie externe Besetzungen. Wie findet man einen guten ISB
• Risikoanalyse in der Informationssicherheit, Methodik und typische Fallstricke. Die Risikoanalyse in der Informationssicherheit
• IT-Risikomanagement in der Praxis, wie man aus dem Risikoregister eine Steuerung macht. IT-Risikomanagement in der Praxis
• NIS2 in Deutschland, die technischen Anforderungen im Überblick. Technische Anforderungen der NIS-2-Richtlinie
• ISO 27001 Zertifizierung, der geordnete Weg zum Zertifikat. ISO 27001 Zertifizierung für Unternehmen
• Kennzahlen und KPIs, wie man die Wirksamkeit eines ISMS sichtbar macht. Kennzahlen und KPIs in der Informationssicherheit
• Kritik an KPIs, wann Kennzahlen mehr schaden als nutzen. Kritik an KPIs in der Informationssicherheit
• Cyberversicherungen als Treiber, warum Versicherer zunehmend ISMS-Nachweise verlangen. Cyberversicherungen als Treiber für Informationssicherheit
• Vom Ernstfall zur Struktur, wie ein KMU nach einem Vorfall gelernt hat. Informationssicherheit im KMU, vom Ernstfall zur Struktur

Alle Beiträge unter blog.nesec.de.