ISO 27001 ist keine IT-Zertifizierung: Der Scope beginnt beim Geschäft

Ich saß kürzlich als Auditor in einem ISO 27001-Audit. Der Kunde war ein Bildungsträger mit mehreren Schulungszentren.

Der gewünschte Zertifikats-Scope lautete sinngemäß:

Organisation und Durchführung beruflicher Weiterbildungen.

Das war eine gute Formulierung. Sie beschrieb kurz und verständlich, womit das Unternehmen sein Geld verdiente. Also fragte ich:

„Wie planen Sie eine Weiterbildung? Wie wählen Sie Trainer aus? Wie werden Teilnehmer aufgenommen, Prüfungen durchgeführt und Ergebnisse verwaltet?“

Die Antwort bestand zunächst aus einigen ziemlich großen Augen. Dann kam die Gegenfrage:

„Moment. Was haben unsere Weiterbildungen damit zu tun?“

Niemand aus den Fachbereichen war für das Audit eingeplant. Mit denen war auch im Vorfeld der Zertifizierung nicht gesprochen worden. Vorbereitet waren die zentrale IT, einige Richtlinien, Server, Backups, technische Sicherheitsmaßnahmen und die Standortsicherheit der IT-Räume in der Zentrale. Die Schulungszentren hatte das Unternehmen bewusst nicht näher betrachtet. Dort gab es ja schließlich keine IT-Abteilung.

Genau an dieser Stelle fiel die gesamte Konstruktion auseinander und das Audit schepperte mit viel Schmackes vor die Wand.

Wir empfahlen dem Unternehmen, noch nicht in das Stufe-2-Audit zu gehen. Nicht weil der Scope schlecht formuliert war. Sondern weil das Unternehmen den Scope wie eine hübsche Überschrift für das spätere Zertifikat behandelt hatte. Aber das Informationssicherheitsmanagementsystem (ISMS) darunter hatte mit dieser Überschrift exakt nichts zu tun.

Die kurze Antwort

ISO 27001 ist keine reine IT-Zertifizierung. Zertifiziert wird ein Managementsystem für Informationssicherheit innerhalb eines festgelegten Anwendungsbereichs.

Dieser Anwendungsbereich beschreibt, welche Leistungen und Prozesse sicher erbracht werden sollen. Daraus folgt, welche Informationen geschützt werden müssen, wie verfügbar die Prozesse sein müssen, welche Menschen, Standorte und Dienstleister daran beteiligt sind und welche Technik sie unterstützt.

Die IT ist dabei wichtig. In den meisten Unternehmen ist sie sogar sehr wichtig. Sie ist aber nicht automatisch der Ausgangspunkt und schon gar nicht die ganze Geschichte.

Die richtige Reihenfolge lautet:

Business → Kerngeschäftsprozesse → Informationen und deren Schutzbedarf → Menschen, Standorte und Dienstleister → IT und andere Assets → Sicherheitsmaßnahmen

Wer stattdessen bei Firewall, Backup und Virenscanner beginnt, sammelt technische Maßnahmen, ohne vorher geklärt zu haben, was sie eigentlich schützen sollen.

Der Scope ist der Nordstern des ISMS

Ein Zertifikats-Scope ist nicht dafür da, damit auf der Urkunde außer Firmenname und Norm noch etwas Geschäftliches steht. Er gibt die Richtung für das gesamte ISMS vor.

Wenn im Scope Organisation und Durchführung beruflicher Weiterbildungen steht, dann muss das Unternehmen erklären können, wie diese Leistung entsteht. Dazu gehören beispielsweise:

• Auswahl und Einsatz von Trainern;
• Anmeldung und Identifikation von Teilnehmern;
• Planung von Räumen, Terminen und Unterrichtsmaterialien;
• Durchführung und Dokumentation von Schulungen und Prüfungen;
• Bewertung, Speicherung und Übermittlung von Ergebnissen;
• Ausstellung von Bescheinigungen und Zertifikaten;
• Bearbeitung von Beschwerden, Ausfällen und Änderungen.

Nicht jeder dieser Abläufe muss zu einem hundertseitigen Prozesshandbuch werden. Aber das Unternehmen muss verstehen, welche Informationen darin verarbeitet werden, was schiefgehen kann und wovon die verlässliche Leistungserbringung abhängt.

Wie ein Zertifikats-Scope kurz, marktbezogen und dauerhaft formuliert wird, erklärt unser Beitrag ISO 27001 Scope richtig formulieren. Der neue Punkt beginnt unmittelbar danach: Aus dem guten Satz muss ein tatsächlich passendes Managementsystem entstehen.

Dabei helfen der Kontext der Organisation und die Anforderungen der interessierten Parteien. Teilnehmer, Auftraggeber, Behörden, Mitarbeiter und Kooperationspartner können ganz unterschiedliche Erwartungen an Vertraulichkeit, Richtigkeit und Verfügbarkeit haben. Diese Erwartungen verschwinden nicht dadurch, dass die zentrale IT Server mutmaßlich ordentlich betreibt, von denen sie gar nicht genau weiß, was diese verarbeiten.

Aber Schutz ist doch dasselbe wie IT – oder?

Nein. IT-Sicherheit schützt technische Systeme und die darin verarbeiteten Informationen. Informationssicherheit ist breiter. Sie schützt Informationen unabhängig davon, ob sie in einer Datenbank, auf einem Laptop, in einem Gespräch oder auf einem Blatt Papier vorkommen.

Außerdem schützt ein ISMS nicht nur einzelne Datensätze. Es soll die Organisation dabei unterstützen, ihre relevanten Leistungen unter angemessenen Sicherheitsbedingungen zu erbringen.

Ein Beispiel: Das Lernmanagementsystem des Bildungsträgers kann zu 100 Prozent störungsfrei laufen. Wenn am Schulungszentrum kein Trainer erscheint, der einzige Schlüssel zum Unterrichtsraum fehlt oder Prüfungsunterlagen verschwunden sind, findet die Weiterbildung trotzdem nicht wie geplant statt.

Die IT meldet grün. Der Geschäftsprozess liegt auf der Nase.

Umgekehrt kann ein Computer technisch hervorragend abgesichert sein. Wenn eine unzureichend eingewiesene Person mit vollständig berechtigtem Zugriff Teilnehmerdaten falsch verarbeitet, verhindert auch die beste Firewall diesen Fehler nicht. Das Problem liegt dann bei Personalauswahl, Rollen, Unterweisung, Arbeitsablauf oder Kontrolle.

Ein Blatt Papier zerlegt die reine IT-Sicht

Stellen wir uns einen Ergebnisbogen in einem der Schulungszentren vor. Darauf stehen Teilnehmernamen und Prüfungsergebnisse. Der Bogen wird nur auf Papier geführt.

Kein Server. Keine Cloud. Kein Administratorkonto. Trotzdem ist diese Information in jeder Hinsicht schützenswert.

Vertraulichkeit

Schulungsteilnehmer Herr Müller möchte nicht, dass morgen der ganze Kurs, sein Arbeitgeber oder irgendein Besucher erfährt, dass er die Prüfung vergeigt hat. Der Ergebnisbogen darf also nicht offen am Empfang liegen oder für jeden im Kopierraum einsehbar sein.

Integrität

Schulungsteilnehmerin Frau Siebeck möchte ihr tatsächliches Ergebnis erhalten – und nicht das Ergebnis einer anderen Frau Siebeck, die zufällig nebenan im gleichen Kurs saß. Der Bogen darf nicht unbemerkt verändert werden. Namen, Prüfungen und Bewertungen müssen richtig zugeordnet sein.

Verfügbarkeit

Herr Akcay möchte seine mehrtägige Prüfung nicht wiederholen, weil der Ergebnisbogen abhandengekommen ist. Das Unternehmen muss die Information so aufbewahren, dass sie zum benötigten Zeitpunkt noch vorhanden und nutzbar ist.

Damit sind Vertraulichkeit, Integrität und Verfügbarkeit betroffen, ohne dass auch nur ein einziger Computer beteiligt sein muss.

Der Server kann perfekt gepatcht, die Festplatte verschlüsselt und die Firewall tadellos konfiguriert sein – während am Standort trotzdem sämtliche drei Schutzziele verletzt werden, weil ein Ergebnisbogen offen herumliegt, falsch zugeordnet oder verloren wird.

Wer Schutzbedarf systematisch bewerten möchte, findet im Beitrag zur Schutzbedarfsanalyse nach ISO 27001 eine praktische Einordnung. Entscheidend ist dabei: Ausgangspunkt ist die Information und ihre Bedeutung für den Prozess. Nicht das Gerät, auf dem sie zufällig gespeichert ist.

Ein Standort ohne IT-Abteilung ist nicht ohne Informationssicherheit

Das Unternehmen aus der Eingangsgeschichte hatte seine Schulungszentren gedanklich aussortiert, weil dort keine eigenen Administratoren arbeiteten. Das verwechselt eine Organisationseinheit mit einem Risiko.

Personalsicherheit entsteht vor Ort

Vielleicht wählen lokale Leiter freie Trainer aus. Vielleicht nehmen sie neue Mitarbeiter auf, vergeben Aufgaben, erklären Vertraulichkeitsregeln oder sammeln Schlüssel und Unterlagen beim Austritt wieder ein.

Ein gehärtetes HR-System stellt nicht sicher, dass eine Person für ihre Rolle geeignet ist, die richtigen Regeln kennt oder bei einem Rollenwechsel nicht mit alten Berechtigungen und Unterlagen weiterarbeitet. Technische Maßnahmen unterstützen diese Abläufe. Sie ersetzen sie nicht.

Physische Sicherheit betrifft mehr als den Serverraum

In den Schulungszentren stehen Rechner, liegen Unterlagen und bewegen sich Teilnehmer, Trainer, Reinigungskräfte, Dienstleister und Besucher. Wer darf außerhalb der Unterrichtszeiten hinein? Werden Räume abgeschlossen? Bleiben Listen auf dem Tisch liegen? Kann ein Besucher einen unbeaufsichtigten Arbeitsplatz benutzen? Wer bemerkt einen verlorenen Schlüssel?

Für keine dieser Fragen braucht der Standort eine eigene IT-Abteilung. Er braucht aber angemessene Regeln und funktionierende Verantwortlichkeiten.

Verfügbarkeit ist mehr als Systemverfügbarkeit

Ein Kurs kann ausfallen, obwohl sämtliche Systeme erreichbar sind. Räume können unbenutzbar sein, Trainer fehlen, Prüfungsunterlagen nicht eintreffen oder lokale Ansprechpartner nicht wissen, wie sie bei einer Störung reagieren sollen.

Deshalb müssen Standorte nach ihren tatsächlichen Tätigkeiten und Abhängigkeiten betrachtet werden. Bei größeren Strukturen lohnt sich zusätzlich der Blick auf die ISO 27001 Multi-Site-Zertifizierung. Nicht jeder Standort muss identisch sein. Aber Standorte verschwinden nicht aus dem Zertifizierungsumfang, nur weil dort niemand Visitenkarten mit der Aufschrift „IT“ besitzt.

So leiten Sie Schutz vom Geschäft bis zur Technik ab

Eine vernünftige Ableitung beginnt außen und arbeitet sich nach innen vor.

1. Welche Leistung verspricht der Scope?

Benennen Sie die Leistung, die Kunden tatsächlich erhalten. Beim Bildungsträger sind das nicht Serverbetrieb und Benutzerverwaltung, sondern Organisation und Durchführung von Weiterbildungen.

2. Welche Prozesse erbringen diese Leistung?

Verfolgen Sie die Leistung vom ersten Kundenkontakt bis zum Ergebnis. Wer nimmt Anmeldungen an? Wer plant den Kurs? Wer prüft Teilnehmer? Wer dokumentiert Ergebnisse? Wer stellt Nachweise aus? Warum klare Prozesse für Sicherheit wichtig sind, zeigt sich genau an solchen Übergaben.

3. Welche Informationen fließen durch diese Prozesse?

Erfassen Sie nicht nur Datenbanken. Denken Sie an Teilnehmerdaten, Verträge, Prüfungsmaterialien, Anwesenheitslisten, Bewertungen, Zertifikate, Beschwerden, Zugangsdaten, Papierakten und mündlich weitergegebene vertrauliche Informationen.

4. Wie schützenswert sind Information und Prozess?

Welche Folgen hätte eine Offenlegung, eine falsche Zuordnung, eine unbemerkte Änderung oder ein Verlust? Wie lange darf ein Prozess ausfallen? Welche Ergebnisse müssen später noch nachweisbar sein?

5. Wovon hängt die sichere Leistung ab?

Jetzt kommen Mitarbeiter, Standorte, Räume, Dienstleister, Lieferanten, Papierarchive und organisatorische Schnittstellen ins Bild. Ein kleiner Scope darf sinnvoll sein. Er darf aber keine unverzichtbaren Abhängigkeiten unsichtbar machen.

6. Welche weiteren Assets unterstützen die Verarbeitung?

Erst jetzt betrachten Sie Lernplattform, Endgeräte, Identitätsdienst, E-Mail, Netzwerk und Backup – zusammen mit nichttechnischen Assets wie Räumen, Schlüsseln, Papierunterlagen und Wissen. Der Beitrag zum Asset Management für primäre und unterstützende Assets erklärt diese Unterscheidung ausführlich.

7. Welche Maßnahmen behandeln die erkannten Risiken?

Aus den tatsächlichen Risiken ergeben sich passende technische und organisatorische Maßnahmen. Dazu können Verschlüsselung, Zugriffsschutz und Backup gehören. Ebenso möglich sind geregelte Personalauswahl, Unterweisung, Vier-Augen-Kontrollen, sichere Papierablage, Zutrittssteuerung oder Ersatzabläufe.

Das ISO 27001-Risikomanagement verbindet diese Schritte. Es beginnt nicht mit einem Maßnahmenkatalog und sucht anschließend nach Problemen, zu denen die Maßnahmen passen könnten.

Was fährt vor die Wand, wenn Sie andersherum anfangen?

Wer mit der Technik beginnt, bekommt häufig ein durchaus respektables IT-Sicherheitsprogramm. Nur eben kein belastbares ISMS für den versprochenen Scope.

Typische Folgen sind:

• Die falschen Risiken werden behandelt. Der Server ist abgesichert, der einzige Papiernachweis bleibt ungeschützt.
• Fachprozesse besitzen keine Verantwortung. Informationssicherheit gilt als Aufgabe der IT, obwohl HR, Standortleitung und Prüfungsorganisation wesentliche Entscheidungen treffen.
• Standorte werden nach Organigramm statt Tätigkeit ausgeschlossen. Keine lokale IT wird fälschlich mit keiner lokalen Informationsverarbeitung gleichgesetzt.
• Verfügbarkeit wird zu eng gemessen. Das Dashboard zeigt erreichbare Systeme, obwohl die Leistung für Kunden nicht erbracht werden kann.
• Das Audit kann dem Scope nicht folgen. Sobald der Auditor einen genannten Geschäftsprozess prüft, fehlen Ansprechpartner, Risiken, Nachweise und gesteuerte Abläufe.

Genau deshalb ist ein gut formulierter Scope allein noch kein gutes ISMS. Er wird erst belastbar, wenn Risikobewertung, Maßnahmen, Rollen, Interne Audits und Managementbewertung dieselbe organisatorische Wirklichkeit beschreiben.

Warum das spätestens im ISO 27001 Stufe 1-Audit auffällt

Das Stufe-1-Audit ist kein feierliches Vorlesen der Dokumentenliste. Es dient unter anderem dazu, den Anwendungsbereich, die Organisation, wesentliche Prozesse und die Bereitschaft für das eigentliche Stufe-2-Audit zu verstehen.

Wenn der Scope Weiterbildung verspricht, aber niemand erklären kann, wie Weiterbildung funktioniert und welche Sicherheitsrisiken dabei bestehen, fehlt keine kleine Anlage in einem Ordner. Dann ist unklar, ob das Managementsystem überhaupt für seinen erklärten Anwendungsbereich aufgebaut wurde.

Das ist genau die Art grundlegender Lücke, die vor Stufe 2 sichtbar werden sollte. Unser Überblick zum Ablauf von Stufe 1 und Stufe 2 erklärt die unterschiedlichen Zwecke der beiden Auditstufen.

So reparieren Sie eine verkehrte Auditvorbereitung

Die Lösung besteht nicht darin, beim nächsten Termin noch mehr Administratoren einzuladen. Das Unternehmen muss die fachliche Ableitung nachholen.

1. Scope und Geschäftsleistung gemeinsam lesen. Was behauptet der Satz tatsächlich?
2. Prozessverantwortliche einbinden. Lassen Sie die Menschen erklären, wie die Leistung wirklich erbracht wird.
3. Informationen und Übergaben verfolgen. Wo entstehen, wechseln, lagern und enden schützenswerte Informationen?
4. Standorte und Abhängigkeiten erfassen. Wer und was trägt zur Leistung bei – auch ohne eigene IT-Abteilung?
5. Risiken neu bewerten. Prüfen Sie Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und Prozessen.
6. Maßnahmen und Nachweise ergänzen. Technisch, organisatorisch, personell und physisch.
7. Das Interne Audit am echten Scope ausrichten. Prüfen Sie nicht nur die ISMS-Dokumente und die IT, sondern verfolgen Sie einen konkreten Geschäftsfall durch das System.

Dann entsteht aus der Zertifikatsüberschrift ein Managementsystem, das tatsächlich zu dem Unternehmen passt.

Interesse geweckt?

Sie möchten Ihren ISO 27001-Scope nicht nur schön formulieren, sondern daraus ein ISMS ableiten, das Geschäft, Standorte und Technik wirklich zusammenbringt? Sprechen Sie mit uns.