ISO 27001 mit Word und Excel: Sie machen sich das Leben unnötig schwer

Es gibt Geschäftsführer, die seit Jahrzehnten eine sehr konsequente IT-Strategie verfolgen:

Alles, was sich mit Word, Excel und dem Windows-Fileserver erledigen lässt, wird mit Word, Excel und dem Windows-Fileserver erledigt. Und was sich damit nicht sinnvoll erledigen lässt, braucht man offenbar nicht.

„Ein Ticketsystem? Das wird sich nicht durchsetzen. So etwas hatten wir früher schließlich auch nicht.“

„Diese ganzen Collaboration Tools sind doch neumodischer Schnickschnack.“

„Wir haben einen Fileserver. Da wissen wir wenigstens, wo unsere Daten liegen.“

Und natürlich der unsterbliche Klassiker:

„Mehr braucht kein Mensch.“

Also liegen die Richtlinien als Word-Dateien auf dem Netzlaufwerk. Risiken, Assets, Informationssicherheitsziele, Maßnahmen und Lieferanten stehen in verschiedenen Excel-Tabellen. Aufgaben werden ebenfalls in Excel verwaltet – sofern sie nicht per E-Mail, Telefon oder Zuruf vergeben wurden.

Der Sourcecode liegt in Ordnern auf dem Fileserver. Damit niemand durcheinanderkommt, gibt es klare Regeln für die Dateinamen. Diese Regeln stehen in einer Word-Datei. Welche Version dieser Word-Datei aktuell ist, erkennt man am Dateinamen.

So weit, so 1990.

Dann beginnt das ISO 27001-Projekt.

Plötzlich müssen Dokumente geprüft, freigegeben und aktuell gehalten werden. Risiken und Maßnahmen sollen zusammenpassen. Verantwortliche und Fristen müssen nachvollziehbar sein. Die Anwendbarkeitserklärung darf nicht etwas anderes behaupten als die Risikobehandlung. Aufgaben sollen nicht verschwinden. Und im Audit wäre es ganz hilfreich, wenn jemand zeigen könnte, wer wann was geändert oder freigegeben hat.

Jetzt sitzt derselbe Geschäftsführer in der Projektbesprechung und klagt:

„Diese ISO 27001 ist doch Wahnsinn. Diese ganze Dokumentation! Ständig muss man alles nachhalten und konsistent halten. Da bekommt man ja graue Haare.“

Ja, ein ISMS macht Arbeit.

Aber ein erheblicher Teil dieser Arbeit entsteht nicht durch ISO 27001. Er entsteht, weil das Unternehmen versucht, ein Managementsystem mit Werkzeugen zu betreiben, die nie dafür gebaut wurden.

Das ist Werkzeugwahnsinn aus eigener Herstellung.

Die kurze Antwort

ISO 27001 mit Word und Excel ist möglich. Die Norm schreibt weder ein GRC-System noch ein Wiki, Ticketsystem oder sonstiges Spezialwerkzeug vor. Und ja: es hat auch Vorteile, wenn man mit den Tools arbeitet, die man schon seit 50 Jahren kennt.

Wer aber ausschließlich mit einzelnen Office-Dateien auf einem klassischen Fileserver arbeitet, muss viele Funktionen selbst herstellen: Versionierung, Freigaben, Verantwortlichkeiten, Fristen, Erinnerungen, Verknüpfungen, Auswertungen, Änderungsnachweise und eine brauchbare Suche.

Das kann bei einem sehr kleinen und einfachen ISMS funktionieren. Je mehr Menschen, Risiken, Assets, Maßnahmen, Lieferanten, Standorte und Änderungen zusammenkommen, desto größer wird der manuelle Aufwand. Irgendwann verwaltet das Unternehmen nicht mehr sein ISMS. Es verwaltet vor allem die Dateien, in denen das ISMS angeblich steckt.

Word und Excel sind nicht das Problem

Bevor jetzt jemand empört seine Tabellenkalkulation umklammert: Word und Excel sind sehr gute Programme.

Word eignet sich ausgezeichnet zum Schreiben klassischer Dokumente. Excel eignet sich hervorragend zum Rechnen, Analysieren und zum Führen überschaubarer tabellarischer Daten.

Auch das Dateiformat allein entscheidet wenig. Eine Word-Datei in einer ordentlich konfigurierten Plattform mit Versionierung, Berechtigungen, gemeinsamer Bearbeitung und Freigabemöglichkeiten ist etwas anderes als dieselbe Datei im Ordner Z:\ISMS\Richtlinien\Neu\Aktuell\Wirklich aktuell.

Die Frage ist nicht, ob Word und Excel gut oder schlecht sind. Die Frage lautet:

Verwenden Sie die Werkzeuge für Aufgaben, für die sie geeignet sind?

Excel kann eine Aufgabenliste anzeigen. Daraus wird aber noch kein gutes Aufgabenmanagement. Word kann eine Richtlinie enthalten. Daraus entsteht noch keine Dokumentenlenkung. Und ein Fileserver kann Sourcecode speichern. Daraus wird noch lange keine Versionsverwaltung.

Wir empfehlen Word und Excel sogar selbst – unter Voraussetzungen

In unserem älteren Artikel über Software für ISO 27001-Dokumente haben wir Word, Excel und ein Netzwerklaufwerk ausdrücklich als günstigen Einstieg genannt. Das war nicht falsch – und ist es auch heute nicht.

Wenn ein kleines Unternehmen noch gar keine gemeinsame Ablage hat, kaum Budget besitzt, jeder Word und Excel kennt (und es sonst keinen gemeinsamen Nenner gibt), kann eine sauber organisierte Dateiablage absolut sinnvoll sein.

Aber dieser Anfang ist nicht automatisch eine gute Dauerlösung.

Anforderungen wachsen. Kunden verlangen mehr Nachweise, Lieferketten werden komplexer, Sicherheitsmaßnahmen müssen häufiger nachverfolgt werden und mehrere Menschen arbeiten gleichzeitig am ISMS. Gleichzeitig stehen heute Werkzeuge zur Verfügung, die viele lästige Handgriffe automatisch erledigen.

Wer trotzdem grundsätzlich bei der billigsten und manuellsten Lösung bleiben will, darf das. Er sollte nur den daraus entstehenden Aufwand nicht vollständig der Norm in die Schuhe schieben.

Ein ISMS besteht aus Beziehungen, nicht nur aus Dokumenten

Eine der großen Schwächen einzelner Dateien wird sichtbar, sobald Informationen zusammengehören.

Ein Asset gehört zu einem Prozess. An diesem Asset hängen Risiken. Risiken werden durch Maßnahmen behandelt. Einige Maßnahmen beziehen sich auf Controls aus Anhang A. Die Anwendbarkeitserklärung nennt deren Umsetzungsstatus. Für die Umsetzung sind Menschen verantwortlich. Einige Aufgaben haben Fristen und liefern Nachweise. Manche Nachweise müssen später überprüft werden.

Das sind Beziehungen.

In Word und Excel kann man sie abbilden. Häufig geschieht das über Namen, Nummern, Farben, weitere Tabellenblätter und manuell gepflegte Querverweise. Wenn sich etwas ändert, muss jemand daran denken, alle betroffenen Stellen ebenfalls zu ändern.

Ein geeignetes System kann dagegen dieselben Informationen miteinander verknüpfen. Das Risiko verweist auf das Asset und die Maßnahme. Die Maßnahme hat einen Verantwortlichen, eine Frist und einen Status. Die Anwendbarkeitserklärung greift auf denselben Umsetzungsstand zurück oder ist zumindest sauber damit verbunden.

Ein Mensch kann diese Konsistenz von Hand herstellen. Ein System vergisst nur deutlich seltener, am Freitagnachmittag auch noch Tabelle Nummer fünf anzupassen.

Wie viele Informationen ein ISMS tatsächlich benötigt, erläutern wir im Artikel Welche Dokumente braucht man für ISO 27001 wirklich?. Wichtig ist dabei schon der Begriff: Die Norm verlangt dokumentierte Information – nicht zwingend Word-Dateien.

Wo der selbst gebaute Aufwand entsteht

Dokumentenlenkung

Abschnitt 7.5 verlangt nicht bloß, dass irgendwo Dokumente vorhanden sind. Dokumentierte Information muss angemessen gekennzeichnet, geprüft, freigegeben, verfügbar und geschützt sein. Auch Änderungen, Aufbewahrung und der Umgang mit nicht mehr gültigen Ständen müssen beherrscht werden.

Das kann über Dateinamen funktionieren:

Informationssicherheitsleitlinie_v1.3_final_freigegeben.docx

Schwieriger wird es bei:

Informationssicherheitsleitlinie_v1.3_final_freigegeben_Korrektur_Meier_NEU.docx

Eine Plattform kann Version, Freigabestatus, Verantwortliche und Änderungshistorie selbst führen. Der Dateiname darf dann wieder beschreiben, was in der Datei steckt, statt die gesamte Lebensgeschichte des Dokuments erzählen zu müssen.

Risiken, Maßnahmen und Anwendbarkeitserklärung

Eine Excel-Risikoliste kann für ein kleines Unternehmen durchaus sinnvoll sein. Sie wird unangenehm, wenn dieselben Informationen an verschiedenen Stellen wiederholt werden.

Dann steht ein Control in der Anwendbarkeitserklärung auf „umgesetzt“. Im Maßnahmenplan ist die Umsetzung erst zu 80 Prozent abgeschlossen. In der Risikoliste steht noch der alte Maßnahmenname. Und das zugehörige Ticket – repräsentiert durch Zeile 195 (sichtbar nur, wenn der richtige Filter eingestellt ist) einer Exceldatei – ist seit drei Monaten überfällig.

Jede Datei ist für sich ordentlich. Nur gemeinsam erzählen eben vier Dateien fünf verschiedene Geschichten.

Gerade beim Risikomanagement nach ISO 27001 zählt aber nicht die Schönheit der Tabelle. Entscheidend sind ein wiederholbares Vorgehen, nachvollziehbare Entscheidungen und wirksame Behandlungen.

Assets

Ein Assetverzeichnis lässt sich in Excel führen. Spannend wird es bei den Verbindungen:

• Welcher Prozess hängt vom Asset ab?
• Wer ist verantwortlich?
• Welcher Schutzbedarf besteht?
• Welche Risiken gehören dazu?
• Welcher Lieferant stellt das Asset bereit?
• Welche Notfallplanung hängt daran?
• Wann wurde die Information zuletzt überprüft?

Eine Tabelle kann all das aufnehmen. Irgendwann beginnt rechts hinter Spalte AZ allerdings ein Gebiet, für das die Geschäftsführung besser Reiseproviant genehmigt.

(Was sinnvollerweise überhaupt als Asset betrachtet wird, beschreiben wir in unserem Artikel zum Asset Management und zu primären sowie unterstützenden Assets.)

Aufgaben und Maßnahmen

Aufgabenmanagement in Excel funktioniert zuverlässig, wenn alle Beteiligten regelmäßig dieselbe Datei öffnen, den richtigen Filter verwenden, keine fremde Zeile verändern, Status und Kommentare gewissenhaft pflegen und selbst daran denken, wann etwas fällig ist.

Das ist möglich. Man kann auch einen Rauchmelder durch einen Mitarbeiter ersetzen, der rund um die Uhr an der Decke schnuppert.

Ein Aufgaben- oder Ticketsystem ist genau für diese Arbeit gebaut. Es kann Aufgaben zuweisen, Fristen überwachen, Erinnerungen verschicken, Diskussionen am Vorgang halten, Nachweise anhängen und verschiedene Ansichten für unterschiedliche Rollen erzeugen.

Die moderne Software nimmt Ihnen nicht die Entscheidung ab, was zu tun ist. Sie nimmt Ihnen aber einen guten Teil der Kleinarbeit ab, mit der Sie sicherstellen wollen, dass es tatsächlich getan wird.

Sourcecode auf dem Fileserver

Besonders hübsch wird es beim Sourcecode:

kundenportal_neu.zip

kundenportal_neu_final.zip

kundenportal_neu_final_mit_login.zip

kundenportal_neu_final_mit_login_funktioniert.zip

Die Regeln zur Benennung stehen in der Entwicklungsrichtlinie. Natürlich als Word-Datei.

Ein Repository übernimmt Versionsstände, Vergleiche, parallele Änderungen, Zugriffe und eine nachvollziehbare Historie. Wer Sourcecode stattdessen über Ordner und Dateinamen versioniert, hat nicht auf ein Tool verzichtet. Er hat ein sehr schlechtes Tool selbst gebaut.

(Mehr zu den Sicherheitsanforderungen rund um Entwicklungswerkzeuge und Code finden Sie in unserem Artikel Sourcecode schützen.)

Was moderne Werkzeuge tatsächlich abnehmen

Sie brauchen nicht zwingend eine große ISMS-Spezialsoftware. Häufig genügt eine vernünftige Kombination aus Werkzeugen, die im Unternehmen ohnehin vorhanden sind.

Je nach Aufgabe können sinnvoll sein:

• ein Dokumentenmanagementsystem, Wiki oder eine kollaborative Dokumentenplattform für Richtlinien und Wissen;
• ein Aufgaben-, Projekt- oder Ticketsystem für Maßnahmen, Feststellungen und Reviews;
• ein strukturiertes Register oder eine ISMS-/GRC-Lösung für Risiken, Controls und Verknüpfungen;
• ein Assetmanagementsystem oder eine CMDB für Assets und ihre Beziehungen;
• ein Repository für Sourcecode und Konfigurationen;
• Workflows für Freigaben, Wiedervorlagen und wiederkehrende Prüfungen.

Solche Systeme können unter anderem Versionierung, Volltextsuche, Filter, Verantwortlichkeiten, Fristen, Erinnerungen, Berechtigungen und Änderungshistorien bereitstellen.

Unser allgemeiner Artikel zur Frage Welche ISO 27001-Software braucht ein Unternehmen? hilft bei der Auswahl, ohne so zu tun, als müsse jedes Unternehmen sofort ein GRC-Monster kaufen.

Was will der Auditor sehen?

Dem Auditor ist ziemlich egal, ob Ihr System ein modernes Logo, einen dunklen Modus oder 47 Dashboards besitzt. Er verteilt auch keine Bonuspunkte für Jira, Confluence, SharePoint oder ein sündhaft teures GRC-System.

Er schaut auf Angemessenheit und Wirksamkeit.

Ist die Lösung angemessen?

Ein System aus Word, Excel und einem Fileserver kann angemessen sein. Das Alter der Technologie ist kein Normverstoß.

Für ein Unternehmen mit wenigen Beteiligten, überschaubaren Risiken und klaren Abläufen kann eine schlanke Dateiablage genügen. Wenn dagegen 80 Menschen an mehreren Standorten mit hunderten Assets, zahlreichen Lieferanten, vielen Maßnahmen und laufenden Änderungen arbeiten, darf man fragen, ob dieselbe Lösung noch zum Unternehmen passt.

Der Auditor darf nicht einfach verlangen:

„Kaufen Sie ein modernes ISMS-Tool.“

Er sollte auch kein bestimmtes Produkt vorschreiben. Das wäre nicht seine Aufgabe. Er kann aber prüfen, ob die Organisation mit ihrer gewählten Lösung die Normanforderungen zuverlässig erfüllt. Wenn Informationen nicht auffindbar, Versionen unklar, Nachweise veränderbar und verschiedene Register widersprüchlich sind, liegt das Problem nicht im Geburtsjahr des Fileservers. Das Problem liegt im Ergebnis.

In diesem Sinne kann ein Auditor sehr wohl die Frage aufwerfen, ob die eingesetzten Mittel noch angemessen sind. Er bewertet dann aber nicht „modern gegen alt“, sondern „funktioniert gegen funktioniert nicht“.

Ist die Lösung wirksam?

Wirksamkeit zeigt sich nicht daran, dass eine Excel-Datei existiert. Sie zeigt sich daran, dass das beabsichtigte Ergebnis erreicht wird.

Zum Beispiel:

• Finden die Beschäftigten die geltenden Regeln?
• Arbeiten sie tatsächlich mit der aktuellen Version?
• Werden Aufgaben rechtzeitig erledigt?
• Werden überfällige Maßnahmen erkannt und eskaliert?
• Passen Risiken, Maßnahmen und Anwendbarkeitserklärung zusammen?
• Sind Änderungen nachvollziehbar?
• Sind Nachweise verlässlich genug, um daraus Schlüsse zu ziehen?

Wenn niemand etwas findet, Fristen regelmäßig verschwinden und vor jedem Audit drei Tabellen auf denselben Stand gebracht werden müssen, ist das System nicht deshalb unwirksam, weil Excel ein Tabellenkalkulationsprogramm ist. Es ist unwirksam, weil es seine Aufgabe nicht erfüllt.

Der selbst ausgefüllte „Audit Trail“

Ein beliebtes Modell lautet:

„Jeder trägt in Spalte E in der Zeile seiner Aufgabe ein, was er wann gemacht hat. Und zwar immer unten dran, nach dem vorigen Eintrag! Wir beginnen mit dem Datum!“

Das wird dann als Audit Trail bezeichnet.

Wenn aber jeder die gesamte Datei bearbeiten, alte Einträge überschreiben und Daten rückwirkend ändern kann, ist das kein besonders belastbarer Audit Trail. Es ist eine Behauptungsspalte mit Gemeinschaftszugriff.

Excel kann je nach Version, Ablage und Konfiguration durchaus Änderungsverläufe, Versionshistorien und Schutzfunktionen bieten. Eine ordentlich verwaltete Arbeitsmappe in Microsoft 365 ist deshalb anders zu bewerten als eine ungeschützte Datei auf einem Netzlaufwerk. Aber eine Spalte, in die alle beliebig hineinschreiben und deren alte Inhalte niemand zuverlässig rekonstruieren kann, wird nicht dadurch unveränderbar, dass „Audit Trail“ über ihr steht.

Nicht jede ISMS-Aufgabe braucht einen lückenlosen technischen Audit Trail. Wo Sie Einträge aber als Nachweis dafür verwenden, wer wann welche Handlung vorgenommen hat, muss der Nachweis für diesen Zweck hinreichend verlässlich sein.

Eine Nichtkonformität entsteht deshalb nicht automatisch durch die Verwendung von Excel. Sie kann entstehen, wenn die daraus hervorgehenden Informationen unkontrolliert, widersprüchlich, nicht auffindbar oder als Nachweis ungeeignet sind.

Und auch die Gegenrichtung stimmt: Ein GRC-System verhindert keine Nichtkonformität. Wenn darin seit acht Monaten niemand ein Risiko aktualisiert hat, ist es lediglich eine sehr teure veraltete Excel-Liste. Nur eben mit Loginmaske.

Der Selbsttest: Ist Ihr ISMS digital – oder nur elektrisch?

Beantworten Sie sich ein paar Fragen ohne vorherige Aufräumaktion:

• Finden Sie innerhalb von zwei Minuten die aktuell freigegebene Version einer Richtlinie?
• Können Sie erkennen, wer sie wann geprüft und freigegeben hat?
• Werden Verantwortliche automatisch oder zumindest zuverlässig an überfällige Maßnahmen erinnert?
• Sehen Sie ohne manuelles Zusammenkopieren, welche Risiken, Controls und Maßnahmen zusammengehören?
• Kann mehr als eine Person gleichzeitig sinnvoll mit den Informationen arbeiten?
• Funktioniert Ihr System noch, wenn Herr Schneider drei Wochen Urlaub hat?
• Können Sie Änderungen nachvollziehen, ohne Dateinamen miteinander zu vergleichen?
• Finden Beschäftigte Informationen über eine Suche – oder müssen sie den richtigen Ordner bereits kennen?
• Können Sie einem Auditor den aktuellen Stand zeigen, ohne vorher mehrere Dateien „noch schnell auf denselben Stand“ zu bringen?

Wenn mehrere Antworten wehtun, ist wahrscheinlich nicht ISO 27001 das eigentliche Bürokratieproblem.

Ein modernes Tool ist kein Weihwasser

Der Rant wäre unvollständig, wenn wir jetzt einfach den Kauf möglichst vieler Softwareprodukte empfehlen würden.

Man kann auch in einem Ticketsystem unklare Aufgaben an niemanden verteilen. Man kann ein Wiki mit veraltetem Unsinn füllen. Man kann in einer GRC-Plattform 800 Felder anlegen, die niemand versteht. Und man kann fünfzehn moderne Tools kaufen, die untereinander weniger sprechen als die Abteilungsleiter beim letzten Strategiemeeting.

Deshalb gilt:

• Erst den Arbeitsablauf verstehen.
• Dann klären, welche Informationen und Verantwortlichkeiten zusammengehören.
• Erst danach ein angemessenes Werkzeug auswählen.
• So wenige Systeme wie möglich, so viele wie nötig.
• Berechtigungen, Backup, Exportmöglichkeiten und Anbieterabhängigkeit mitdenken.
• Das System so gestalten, dass die Menschen es tatsächlich benutzen.

Sie müssen nicht jedes Problem mit Software erschlagen. Aber hören Sie auf, geeignete Software grundsätzlich abzulehnen – und anschließend die Arbeit zu beklagen, die Ihnen genau diese Software abnehmen würde.

Interesse geweckt?

Wenn Sie wissen möchten, ob Ihre vorhandenen Werkzeuge für ein wirksames ISO 27001-ISMS ausreichen oder ob Sie sich damit unnötige Arbeit bauen, sprechen Sie mit uns. Wir schauen nicht danach, welches Tool am teuersten aussieht, sondern welches Setup zu Ihrem Unternehmen passt.

Dieser Artikel gehört zum Thema ISO 27001-Zertifizierung.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.