Zwischen Schein und Sein ISO-Zertifikate: Wann werden sie gefährlich?

Anbieter zum Thema

YourIT

Lansco GmbH

TÜV Süd AG

WatchGuard Technologies GmbH

Niemand möchte seinem Team erklären, dass sensible Daten gestohlen wurden – und das, weil man einem Partner mit einem ISO-Zertifikat vertraute, das nie unabhängig geprüft wurde. Schein-Zertifikate gefährden nicht nur Projekte, sondern ganze Lieferketten.

Als ISO 27001 wird der international führende Standard für Informationssicherheits-Managementsysteme (ISMS) bezeichnet. Dieser legt fest, wie Unternehmen kritische Daten schützen – und wie sie im Ernstfall widerstandsfähig bleiben. Besonders wichtig: Vertraulichkeit, Integrität und Verfügbarkeit der betrieblichen und personenbezogenen Informationen. Kurz: Es ist ein systematisches Risikomanagement. Wieso der Schutz solcher Informationen wichtig ist, sollte bekannt sein. Oder möchten Sie, dass Ihre Daten in einer Ecke im Dark Web auftauchen, damit eine Person sie abgreifen kann und in Ihrem Namen ein neues Leben anfängt? Mit Ihren Versicherungsdaten, Bankdaten, Firmendaten?

Die ISO 27001 verankert sich tief in der Struktur eines Unternehmens. „Dass man das nicht merkt, wäre gelogen“, beteuert Jörg Wuzbacher, Geschäftsführer beim IT-Dienstleister Lansco. Innerhalb von neun Monaten hat sein Unternehmen die ISO-Zertifizierung erfolgreich umgesetzt. Eine vollständige Zertifizierung wirkt sich positiv auf ein Unternehmen aus. Festgelegte Verantwortlichkeitsbereiche sowie Adminzugriffe, Risikobewertungen, Wettbewerbsfähigkeit und Professionalität sind nur ein paar der Vorteile. Wurzbacher spricht sogar davon, dass eine fehlende ISO 27001 in Zukunft viel eher zu einem Wettbewerbsnachteil führen würde.

Herausforderungen auf dem Weg zu ISO 27001

Den ganzen Prozess redet Wurzbacher nicht schön. „IT-Sicherheit ist meist unbequem und verursacht zeitlichen Mehraufwand – sowohl in der Dokumentation als auch in der praktischen Umsetzung“, sagt er. Dass der Aufwand nicht umsonst gewesen ist, merke er aber am IT-Sicherheitsniveau. Das habe sich massiv erhöht. Dieses „unbequem“ bringe allerdings auch Herausforderungen mit sich. „Viele Unternehmen unterschätzen den Aufwand oder verstehen ISO 27001 als reine IT-Aufgabe – ein großer Fehler“, warnt Thomas Ströbele, Geschäftsführer von YourIT. Seit über 18 Jahren berät er nun mittelständische Organisationen und hat den Fokus dabei besonders auf ISO 27001, NIS2 und TISAX gelegt. Fehlendes Knowhow, wenig Ressourcen, nicht dokumentierte Prozesse und keine Einbindung aller relevanten Organisationseinheiten – um nur ein paar der täglich anfallenden Probleme des Prozess zu nennen.

Auch Thomas Janz, Product Compliance Manager IT-Standards bei TÜV Süd, stellt fest, dass die „Zusammenarbeit über Abteilungsgrenzen unerlässlich ist“. Die Geschäftsführung muss die Mitarbeiter mit einbeziehen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) selbst schreibt, dass Sicherheit ein „integraler Bestandteil von Planung, Konzeption und Betrieb von Geschäftsprozessen und der Informationsverarbeitung“ sein soll, damit ein wirksames Sicherheitskonzept umgesetzt werden kann. Janz wirft den Blick noch etwas tiefer und betont: „In Anhang A.8.8 der ISO/IEC 27001 wird konkret gefordert, dass Unternehmen sich über technische Schwachstellen ihrer eingesetzten Informationssysteme informieren, die Gefährdungslage bewerten und konkrete Maßnahmen ableiten.“ Ein solches Wissen hilft Unternehmen dabei, mögliche Bedrohungen im Blick zu behalten und rechtzeitig zu reagieren, noch bevor es zu schweren Ausfällen und Folgen kommt.

Die Auswirkung auf das tägliche Geschäft mit Kunden und Partner können groß sein, auch bei Themen wie Vertrauen. Gerade wenn es um IT-Sicherheit geht, dann geht es auch um persönliche Daten. IT-Teams tragen viel Verantwortung, da die Daten der Mitarbeiter in ihren Händen liegen. Wenn da keine Sicherheit garantiert werden kann und ein Chaos aus fehlenden Dokumentationen und Adminrechten herrscht, wie sollen sich Kunden und Partner dann darauf verlassen? Das Ziel von ISO 27001 ist es mitunter, solche Gedanken zu unterbinden. „Die Vorgaben der ISO müssen in Fleisch und Blut übergehen und nicht als theoretische Richtlinie in der Schublade verstauben“, merkt Wutzbacher an. Und das gelte für alle Mitarbeiter.

Umsetzung der NIS2-Richtlinie

Cyberschutz-Verpflichtung für Firmen ab 2026

Die Lieferkette im Blick behalten

Georgia Voudoulaki, Syndikusrechtsanwältin bei der Robert Bosch GmbH, erklärt, dass ISO 27001 nicht vor Haftung schützt, aber „faktisch ist sie in bestimmten Brachen verpflichtend“. Damit sind beispielsweise Branchen wie der Finanzsektor und KRITIS-Unternehmen gemeint. Außerdem können solche Zertifikate als „Indiz für gelebte Sicherheitsstandards“ angesehen werden, so Voudoulaki. Die Pflicht zur Einzelfallprüfung und weitere Nachweise werden trotzdem vorausgesetzt. Die Digitalisierung und steigende Regulatorik ebnen den Weg zu einer unausgesprochenen Pflicht von Zertifikaten wie ISO 27001. „Europäische Regulierungen wie NIS2 und DORA verlangen von den betroffenen Unternehmen, dass sie die Cybersicherheit ihrer Lieferkette in den Blick nehmen. Gesetzliche Anforderungen weisen in die Richtung einer Notwendigkeit von (ISO-)Zertifizierungen“, erwähnt Janz. Damit rückt noch etwas weiteres in den Fokus: NIS2. Auch wenn sie noch so oft verschoben wird, fordert die Richtlinie, dass Unternehmen bereit sind, wenn sie dann in Kraft tritt. Cybersecurity-Berater Ströbele bestätigt dies und warnt, dass Unternehmen „frühzeitig systematisch vorgehen“ müssen. „NIS2 fordert Cybersecurity mit Nachweis. Nur eine ISO 27001 mit Akkreditierung schafft Vertrauen für die Lieferkette,“ fügt er an.

Eine Akkreditierung ist wichtig. Sie bestätigt, dass eine Zertifizierungsstelle nach internationalen Standards arbeitet – und dass sie regelmäßig unabhängig überprüft wird. In Deutschland ist dafür beispielsweise die Deutsche Akkreditierungsstelle (DAkkS) zuständig. Ströbele warnt zugleich vor Alternativen ohne diese unabhängige Aufsicht: „Nicht-akkreditierte Zertifikate lassen sich zwar oft schneller und einfacher beschaffen – sie sind aber nicht überprüft und damit nicht belastbar. In der Praxis wird über solche Zertifikate oft bewusst intransparent kommuniziert. Unternehmen glauben, sie seien zertifiziert – in Wahrheit fehlt der Nachweiswert komplett.“

Janz legt klar fest, dass er von „Zertifizierungen durch nicht-akkreditierten Stellen“ abrate, „da diese keinerlei weiteren Kontrollen unterliegen“. Fehlende Audits von Organisationen die Zertifikate ausstellen, können für Unternehmen ein schweres Nachspiel haben, aber auch das Vertrauen in Zertifizierungen allgemein beeinträchtigen.

Vertrauen entsteht nur mit Akkreditierung

Vor allem Geschäftspartner verlassen sich auf eine Zertifizierung. Durch ein akkreditiertes Zertifikat kann sich der Partner auf ein hohes Sicherheitsniveau verlassen und hat ein minimiertes Risiko. Ein Zertifikat das möglichst schnell von einer nicht-akkreditierten Zulassungsstelle ausgestellt wurde, kann das nicht versichern. Janz fügt sogar noch an, dass auch gefälschte Zertifikate im Umlauf sind. Einem Zertifikat einfach vertrauen ist also nicht drin. Stattdessen ist es sinnvoll, dieses zu überprüfen und auch in entsprechenden Datenbanken nachzusehen. Beispielsweise führen sowohl TÜV Süd als auch der BSI eine ausführliche Datenbank darüber, wen sie zertifiziert haben und wann.

Zertifikate ersetzte keine Sorgfaltspflicht

Außerdem wichtig: „Zertifikate ersetzen keine eigene Sorgfaltspflicht“, sagt Voudoulaki. „Unternehmen sollten prüfen, ob das Zertifikat gültig, der Scope relevant und die Zertifizierungsstelle akkreditiert ist. Vertragsrechtlich sind ergänzende Zusicherungen und Kontrollrechte sinnvoll.“ Laut ihr kann die Zusammenarbeit mit fälschlich zertifizierten Partnern rechtliche Folgen haben, etwa bei Datenschutzverstößen oder vertraglichen Pflichtverletzungen. Sie weist außerdem auf den Art. 28 der DSGVO hin: Unternehmen müssen „geeignete technische und organisatorische Maßnahmen bei Auftragsverarbeitern“ nachweislich sicherstellen. Es gilt also die Devise: Vertrauen ist gut, Kontrolle ist besser. Ganz besonders, wenn bewusst ist, dass fehlerhafte Zertifikate im Umlauf sind, die nicht unbedingt mit einem ausreichenden Audit ausgestellt wurden. Um auch rechtlich auf der richtigen Seite zu sein, müssen Unternehmen mit ISO-Zertifizierung eine ausführliche Dokumentation ihres ISMS erstellen und weiterführen. Es gelten allgemeine Dokumentationspflichten, darunter fallen unter anderem Risikobewertungen, Maßnahmepläne und Audits. Die Juristin weist darauf hin, dass „lückenhafte Dokumentation zu Haftungsrisiken“ führen kann.

Sicherheit fordert kontinuierliche Aufmerksamkeit

Den Anforderungen einer Zertifizierung müssen Unternehmen nicht allein nachkommen. Berater und Dienstleister können dabei aushelfen. Ströbele spricht davon, dass Berater beim Aufbau und Betrieb des ISMS unterstützen und an internen und externen Audits teilnehmen können. Die Durchführung von Zertifizierungs-Audits muss aber durch einen unabhängigen Auditor einer akkreditierten Zulassungsstelle vorgenommen werden. „Nur so kann die Neutralität gewährleistet werden“, betont er. Vollständig kann der Prozess nicht an einen Dienstleister ausgelagert werden, erklärt Wurzbacher. „Auch wenn das Anbieter versprechen und sich gegenseitig mit kurzen Einführungszeiten unterbieten.“ Zeit allein ist in diesem Fall nicht alles. Ein ISO-Zertifikat fordert dauerhafte Aufmerksamkeit und ist ein fortlaufender Prozess. „Nach dem Audit ist vor dem Audit“, sagt der Lansco-Geschäftsführer. Er betont zudem, dass der Prozess auf keinen Fall unterschätzt werden sollte. Wer sein eigenes Unternehmen, seine eigenen Daten und auch die Daten der Mitarbeiter also wirklich in angemessener Sicherheit wissen will, sollte immer zu einem unabhängig akkreditierten ISO-Zertifikat greifen. Und wenn der erste Schritt einmal getan ist, dann wird auch der Aufwand für ein hohes Sicherheitsniveau immer weniger.

Ihnen gefällt dieser Artikel? Mehr exklusive Inhalte finden Sie in unserer E-Paper-Ausgabe!

Aktuell und auf einen Blick lesen Sie hier die Top-News aus dem Channel, sowie fundiert recherchierte Fachbeiträge zu Trends und Themen der Branche!

Hier geht es zum aktuellen E-Paper!

Verantwortlich für die Resilienz

To-Do-Liste für Systemhäuser im Zeitalter von NIS2 und DORA

(ID:50489496)