Von der Risikoanalyse zur Zertifizierung – Erfolgreiche Strategien für die Informationssicherheit

Informationssicherheit kann aus unterschiedlichen Beweggründen heraus vorangetrieben werden. Für einige Unternehmen steht die Zertifizierung nach einer ISO-Norm wie ISO 27001 im Fokus, um ein strukturiertes Informationssicherheits-Managementsystem (ISMS) zu etablieren und gegenüber Kunden oder Partnern nachzuweisen. Andere müssen sich aufgrund gesetzlicher Anforderungen wie der NIS-2-Richtlinie, IT-Sicherheitsgesetz oder wegen Einstufung als KRITIS-Unternehmen mit Informationssicherheit auseinandersetzen. Wieder andere investieren aus Eigeninteresse, um sich proaktiv gegen Datenlecks, Systemausfälle oder Betriebsunterbrechungen abzusichern.

Unabhängig von der Motivation gilt: Informationssicherheit ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Unternehmen müssen nicht nur Sicherheitsmaßnahmen implementieren, sondern auch nachweisen, dass diese funktionieren und regelmäßig überprüft werden. Doch genau daran scheitern viele Organisationen.

Bei vielen unserer Kunden stoßen wir immer wieder auf ähnliche Herausforderungen im Bereich der Informationssicherheit: Risikoanalysen sind oft unklar oder fehlen ganz, Sicherheitsmaßnahmen werden zwar technisch umgesetzt, aber nicht ausreichend dokumentiert. Regelmäßige Überprüfungen oder Audits finden selten statt, und bei der Vorbereitung auf Zertifizierungen wie ISO 27001 herrscht häufig Unsicherheit.

Praxisbeispiel zur Vorbereitung auf eine ISO-27001 Zertifizierung

Ein konkretes Beispiel aus unserer Praxis als externer Informationssicherheitsbeauftragter (ISB) zeigt, wie sich diese Probleme in der Realität auswirken können. In einem mittelständischen Unternehmen begleiteten wir die Audit-Vorbereitung für eine ISO 27001-Zertifizierung. Beim ersten Treffen mit der IT-Abteilung schien alles in bester Ordnung: „Wir haben alles im Griff – Firewalls, Verschlüsselung, Zugriffskontrollen. Technisch sind wir sicher!“ Doch schon kurze Zeit später zeigte sich, dass Informationssicherheit weit mehr bedeutet als funktionierende Technik.

Als es darum ging, die bestehenden Maßnahmen zu dokumentieren, wurde es plötzlich still. Auf die Frage, welche Nutzer Admin-Zugriff haben, hieß es: „Wir haben eine Liste… irgendwo.“ Die Zugriffskontrollen würden zwar regelmäßig überprüft, allerdings ohne Protokollierung. Und der Notfallplan für Cyberangriffe? Der existierte – war aber veraltet und den meisten Mitarbeitenden unbekannt.

Parallel dazu führte unser Penetrationstester einen internen Sicherheitscheck durch. Das Ergebnis war ernüchternd: Innerhalb von nur 30 Minuten hatte er Zugriff auf ein Administrator-Konto, weil das Passwort in einer ungeschützten Excel-Datei auf einem allgemein zugänglichen Netzlaufwerk gespeichert war. Als wir dem IT-Leiter diesen erfolgreichen Angriff präsentierten, wurde er blass und murmelte: „Wir dachten, das sei sicher genug…“

Diese Erfahrung verdeutlicht, worauf es wirklich ankommt: Informationssicherheit ist keine rein technische Disziplin, sondern ein integraler Bestandteil der Unternehmensführung. Sie lebt von klaren Prozessen, nachvollziehbarer Dokumentation und einem Bewusstsein für Risiken – nicht nur bei der IT, sondern auf allen Unternehmensebenen.

Zertifizierung oder Audit – Wo liegt der Unterschied?

Die Begriffe „Audit“ und „Zertifizierung“ werden im Unternehmensalltag häufig synonym verwendet – dabei handelt es sich um zwei klar voneinander abgrenzbare Prozesse. Beide sind zentrale Bausteine in der Informationssicherheit, erfüllen jedoch unterschiedliche Funktionen. Während ein Audit der Überprüfung dient, ist die Zertifizierung das formale Ergebnis dieser Prüfung.

Aspekt	Zertifizierung (z. B. ISO 27001)	Audit (intern oder extern)
Zweck	Formale Bestätigung der Sicherheitsmaßnahmen	Überprüfung der Einhaltung von Vorgaben
Verpflichtung	Freiwillig, aber oft gefordert (z. B. für Partner)	Gesetzlich oder durch Richtlinien vorgeschrieben
Umfang	Komplettes ISMS oder bestimmte Sicherheitsbereiche	Fokus auf spezifische Risiken und Maßnahmen
Ergebnis	Zertifikat mit Gültigkeit (z. B. 3 Jahre)	Prüfbericht mit Maßnahmenempfehlungen

Als wir dem Management die Ergebnisse präsentierten, wurde schnell klar: Das Unternehmen hatte durchaus sinnvolle Sicherheitsmaßnahmen implementiert – aber es konnte sie nicht nachweisen. Ohne eine lückenlose Dokumentation, regelmäßige Sicherheitsprüfungen und eine strukturierte Risikoanalyse blieb die IT-Sicherheit eine Blackbox.

Genau hier liegt das größte Problem in vielen Audits: Auditoren wollen nicht nur hören, dass Sicherheitsmaßnahmen existieren – sie wollen Nachweise sehen. Und diese Nachweise entstehen nicht erst kurz vor der Zertifizierung, sondern müssen systematisch erarbeitet und gepflegt werden.

Der erste Schritt – Durchführung einer Risikoanalyse

Bevor sich ein Unternehmen auf ein Audit oder eine Zertifizierung vorbereitet, ist es essenziell, die eigene Sicherheitslage realistisch zu bewerten. Im Mittelpunkt steht die Frage: Welche digitalen Werte – Systeme, Daten oder Prozesse – sind geschäftskritisch und besonders schützenswert? Ebenso wichtig ist die Einschätzung, welchen aktuellen oder potenziellen Bedrohungen diese Werte ausgesetzt sind – etwa durch Cyberangriffe, menschliches Fehlverhalten oder technische Ausfälle.

Methoden der Risikoanalyse in der Informationssicherheit

Cyber-Risiko-Check: Ersteinschätzung der aktuellen Sicherheitslage basierend auf den Vorgaben der DIN SPEC 27076.
Cyber-Security-Check: Detaillierte Sicherheitsanalyse mit Fokus auf technische, organisatorische und prozessuale Schwachstellen.
Penetrationstest: Simulierte Angriffe auf Netzwerke, Systeme oder Anwendungen zur Identifikation realer Sicherheitslücken.
Externer Informationssicherheitsbeauftragter (ISB): Unterstützung bei der systematischen Bewertung von Risiken und der Ableitung von Maßnahmen.

Doch Unternehmen müssen die identifizierten Risiken nicht nur dokumentieren, sondern auch regelmäßig überprüfen und nachweislich minimieren. Genau hier kommen Audits ins Spiel.

Umgang mit gefundenen Schwachstellen und Abweichungen

Das Identifizieren von Schwachstellen in der IT-Umgebung ist nur der erste Schritt auf dem Weg zu mehr Informationssicherheit. Der entscheidende Erfolgsfaktor liegt jedoch darin, wie Unternehmen mit diesen Erkenntnissen umgehen. Es genügt nicht, Schwachstellen in Berichten zu erfassen – sie müssen systematisch analysiert, priorisiert und vor allem nachvollziehbar behoben werden.

Gerade in Audits zeigt sich häufig ein wiederkehrendes Problem: Sicherheitsprüfungen wie Penetrationstests oder interne Audits werden zwar durchgeführt, doch es fehlt ein klar definierter Prozess zur strukturierten Nachverfolgung der Ergebnisse. Genau hier setzen Auditoren mit kritischem Blick an.

Folgende Fragen stehen dabei im Fokus:

• Gibt es eine zentrale Maßnahmenübersicht, in der alle erkannten Schwachstellen dokumentiert sind?
• Sind Verantwortlichkeiten eindeutig zugewiesen? Wer kümmert sich um welche Maßnahme?
• Wurden Fristen definiert? Und wie wird überprüft, ob sie eingehalten werden?
• Wird die Wirksamkeit kontrolliert? Findet eine erneute Prüfung nach der Umsetzung statt?

Fehlen klare Antworten auf diese Fragen, kann dies die gesamte Zertifizierung gefährden. Ein externer Informationssicherheitsbeauftragter (ISB) kann Unternehmen hier entscheidend unterstützen – etwa durch den Aufbau eines Schwachstellenmanagements, das alle Beteiligten einbindet und für Transparenz sorgt.

Ein funktionierender Maßnahmenprozess ist nicht nur eine formale Anforderung, sondern der Beweis dafür, dass Informationssicherheit im Unternehmen gelebt wird – und das überzeugt letztlich auch Auditoren.

Worauf schauen Auditoren besonders in Audits?

Genau an diesem Punkt wird es im Audit konkret. Unsere Erfahrung zeigt: Auditoren achten besonders auf klare Strukturen, eindeutige Zuständigkeiten und eine lückenlose, nachvollziehbare Dokumentation. Es reicht nicht, wenn Sicherheitsmaßnahmen „irgendwie existieren“ – sie müssen verstanden, sauber dokumentiert, regelmäßig überprüft und vor allem wirksam nachgewiesen werden können.

Dabei stellen Auditoren gezielt Fragen wie:

• Wer sind die interessierten Parteien, und wie werden ihre Anforderungen berücksichtigt?
• Wie ist das ISMS-Team organisiert – und gibt es eine Vertretungsregelung?
• Welche Verantwortlichkeiten sind dokumentiert?
• Sind alle relevanten Dokumente versioniert, klassifiziert und nachvollziehbar archiviert?

Diese und weitere Punkte entscheiden darüber, ob ein Audit erfolgreich verläuft oder Nachbesserungsbedarf besteht.