Informationssicherheitsziele entwickeln: In 90 Minuten zu brauchbaren Zielen

Der Workshop lief seit einer Stunde. Auf dem Whiteboard standen drei Wörter:

Vertraulichkeit. Integrität. Verfügbarkeit.

Daneben hatte jemand „Awareness verbessern“ geschrieben. Ein anderer ergänzte „Keine Sicherheitsvorfälle“. Der Geschäftsführer sah auf die Uhr. Der ISB erklärte noch einmal, dass Ziele messbar sein sollten. Daraufhin schlug die IT vor, eine Schulungsquote von 100 Prozent als Ziel zu nehmen.

Alle waren sich einig, dass Informationssicherheit wichtig war. Nur ein brauchbares Ziel hatte die Runde noch immer nicht.

Das Problem war nicht mangelnde Intelligenz. Die Gruppe hatte schlicht versucht, Ziele aus dem leeren Raum heraus zu erfinden. Ohne Ausgangsmaterial, ohne klare Fragen und ohne eine Methode produziert so ein Termin zuverlässig Wohlfühlsätze, Maßnahmen im Zielkostüm und Kennzahlen, die niemand braucht.

Die kurze Antwort

Informationssicherheitsziele entwickelt man nicht mit der Frage „Was könnten wir uns denn mal vornehmen?“ Man leitet sie aus dem Geschäft, relevanten Anforderungen, Risiken, Vorfällen, Auditergebnissen und echten Problemen ab.

Ein gut vorbereiteter Workshop kann dafür in 90 Minuten reichen. Am Ende sollten für wenige priorisierte Ziele mindestens feststehen:

• der gewünschte Zustand,
• der betroffene Bereich,
• Ausgangslage und Bewertungsmaßstab,
• Zieltermin oder Betrachtungszeitraum,
• Verantwortlicher,
• wesentliche Maßnahmen und Ressourcen,
• Berichtsweg und Reaktion bei Abweichungen.

Welche formalen Anforderungen Abschnitt 6.2 der ISO 27001 an Informationssicherheitsziele stellt, erklärt unser Grundlagenartikel Informationssicherheitsziele konkret statt wohlklingend. Hier geht es um die Werkstatt: Wie kommt man mit den richtigen Leuten tatsächlich zu guten Zielen?

Was nach 90 Minuten auf dem Tisch liegen soll

Der Workshop soll keine fertige Sicherheitsstrategie und keinen Maßnahmenkatalog für die nächsten fünf Jahre erzeugen. Er soll eine überschaubare Zahl von Zielen liefern, die anschließend sauber beschlossen und gesteuert werden können.

Ein brauchbares Ergebnis sieht beispielsweise so aus:

Das ist noch kein vollständiger Umsetzungsplan. Aber es ist deutlich mehr als „Wir möchten die Informationssicherheit kontinuierlich verbessern.“

Wer in den Workshop gehört

Informationssicherheitsziele sind keine Privatveranstaltung des ISB. Der ISB kann vorbereiten und moderieren, aber er braucht Menschen, die Geschäftsprioritäten, Risiken und Umsetzbarkeit kennen.

Je nach Organisation gehören dazu:

• ein entscheidungsfähiger Vertreter der Geschäftsführung,
• der ISB oder ISMS-Verantwortliche,
• IT- oder Technikverantwortliche,
• Verantwortliche wichtiger Geschäftsprozesse,
• bei Bedarf Personal, Einkauf, Datenschutz oder Produktverantwortliche,
• Personen, die spätere Ziele tatsächlich verantworten können.

Die Runde muss nicht groß sein. Sechs entscheidungsfähige Teilnehmer sind oft produktiver als fünfzehn Zuschauer. Fachleute können für einzelne Themen vorher Informationen liefern oder gezielt dazukommen.

Die Geschäftsführung sollte nicht nur zum Schluss unterschreiben. Ziele verbinden Informationssicherheit mit Unternehmensprioritäten und Ressourcen. Warum diese Verbindung Führungsaufgabe ist, erläutert unser Artikel zur Verantwortung der Geschäftsführung nach ISO 27001.

Die Vorbereitung: Kein Workshop auf der grünen Wiese

Der Moderator stellt vorab ein kompaktes Arbeitspaket zusammen. Keine 80 Folien. Eine bis drei Seiten mit den wichtigsten Eingaben reichen meist.

Unternehmensziele und wichtige Leistungsversprechen

Welche Produkte, Dienste oder Prozesse sind für das Geschäft besonders wichtig? Was verspricht das Unternehmen Kunden? Wo hängen Umsatz, Vertrauen oder Lieferfähigkeit unmittelbar von sicheren Informationen und Systemen ab?

Relevante Anforderungen

Welche Anforderungen stellen Kunden, Verträge, Eigentümer, Behörden oder andere relevante Parteien? Der Artikel zu interessierten Parteien hilft dabei, nicht jede denkbare Erwartung, sondern die wirklich relevanten Anforderungen zu betrachten.

Wesentliche Risiken und der Risikobehandlungsplan

Welche hohen oder auffälligen Risiken bestehen? Welche Behandlungen sind überfällig? Wo braucht die Organisation eine spürbare Verbesserung? Ein gepflegtes Risikomanagement liefert fast immer gute Zielkandidaten.

Audits, Vorfälle und wiederkehrende Probleme

Wo tauchen dieselben Schwächen wiederholt auf? Welche Vorfälle haben gezeigt, dass Erkennung, Reaktion oder Wiederherstellung nicht gut genug funktionieren? Was wurde im Internen Audit festgestellt?

Bisherige Ziele und Kennzahlen

Welche Ziele wurden erreicht, verfehlt oder still vergessen? Welche Kennzahlen lösen tatsächlich Entscheidungen aus? Welche werden nur erhoben, weil sie schon immer in der Tabelle standen?

Schicken Sie diese Zusammenfassung vorab. Im Workshop soll nicht gemeinsam nach dem letzten Auditbericht gesucht werden.

Das Material für den Termin

Sie benötigen erstaunlich wenig:

• eine sichtbare Liste der Ausgangsthemen,
• Karten oder digitale Notizzettel für Zielkandidaten,
• eine vorbereitete Zielvorlage,
• eine Möglichkeit zur Priorisierung,
• einen Moderator, der Maßnahmen, Kennzahlen und Ziele auseinanderhält,
• jemanden, der Ergebnisse direkt dokumentiert.

Die Zielvorlage sollte bereits diese Felder enthalten:

1. Problem oder Ausgangslage
2. gewünschter Zustand
3. betroffener Scope, Prozess oder Informationswert
4. Bewertungsmaßstab
5. Zieltermin oder Zeitraum
6. Verantwortlicher
7. Maßnahmen und Ressourcen
8. Berichtsweg
9. Reaktion bei Abweichung

Minute 0 bis 10: Mit dem Geschäft beginnen

Starten Sie nicht mit Kennzahlen. Fragen Sie:

• Welche Leistung dürfen wir in den nächsten zwölf Monaten keinesfalls unsicher oder unzuverlässig erbringen?
• Wo erwarten Kunden oder Unternehmensleitung eine sichtbare Verbesserung?
• Welche Entwicklung im Unternehmen verändert unsere Sicherheitslage?

Wählen Sie drei bis fünf Geschäftsthemen aus. Beispiele:

• Das Kundenportal wird zum wichtigsten Vertriebskanal.
• Ein neuer Cloud-Dienst verarbeitet vertrauliche Entwicklungsdaten.
• Das Unternehmen wächst stark und stellt viele neue Mitarbeiter ein.
• Ein großer Kunde verlangt belastbare Wiederanlaufnachweise.
• Die Produktion wird stärker vernetzt.

Diese Themen geben den Zielen Richtung. Sonst entsteht schnell eine beliebige Sammlung technischer Lieblingsprojekte.

Minute 10 bis 25: Anforderungen, Risiken und Probleme zuordnen

Fragen Sie für jedes Geschäftsthema:

• Welche Informationen oder Prozesse sind betroffen?
• Was könnte Vertraulichkeit, Integrität oder Verfügbarkeit gefährden?
• Welche relevante Anforderung muss erfüllt werden?
• Wo sind wir heute nachweislich noch nicht gut genug?

Für das Kundenportal könnte herauskommen:

• Es gibt ein vertragliches Verfügbarkeitsversprechen.
• Wiederherstellung wurde seit achtzehn Monaten nicht getestet.
• Administratorzugänge sind noch nicht vollständig mit MFA abgesichert.
• Schwachstellenbehandlung überschreitet regelmäßig die intern festgelegten Fristen.

Damit liegen konkrete Ausgangspunkte auf dem Tisch. „Verfügbarkeit verbessern“ wird plötzlich zu einer Reihe prüfbarer Probleme.

Minute 25 bis 40: Den gewünschten Zustand formulieren

Jetzt wird noch nicht über einzelne Maßnahmen diskutiert. Formulieren Sie zunächst, was am Ende anders sein soll.

Hilfreiche Satzanfänge sind:

• Bis zum … ist für … nachgewiesen, dass …
• Im Zeitraum … erreichen wir bei …
• Für alle als … eingestuften Systeme gilt …
• Der Anteil von … steigt oder sinkt von … auf …
• Abweichungen von … werden innerhalb von … behandelt oder freigegeben.

Beispiel:

„Bis zum 30. November ist für die fünf als kritisch eingestuften Kundendienste jeweils ein erfolgreicher Wiederherstellungstest dokumentiert.“

Das ist wesentlich besser als „Backup verbessern“. Das Backup-System kann nämlich prächtig aussehen, während niemand weiß, ob sich daraus tatsächlich ein Dienst wiederherstellen lässt.

Minute 40 bis 55: Das Ziel bewertbar machen

Ein Ziel muss nicht immer auf drei Nachkommastellen messbar sein. Es braucht aber eine erkennbare Ziellinie.

Klären Sie:

• Was ist die heutige Ausgangslage?
• Welche Datenquelle verwenden wir?
• Was genau zählt als erreicht?
• In welchem Zeitraum betrachten wir das Ergebnis?
• Welche Ausnahmen sind zulässig und wer genehmigt sie?

Bei einem Restore-Ziel kann ein erfolgreich abgeschlossener und dokumentierter Test genügen. Bei Schwachstellen kann eine Quote sinnvoll sein. Bei Awareness kann eine Kombination aus Schulung, Übung und beobachtbarem Verhalten aussagekräftiger sein als die bloße Teilnahmequote.

Unser Artikel über IT-Sicherheitsleistung ohne KPI-Theater hilft bei der Auswahl von Messgrößen, die tatsächlich eine Entscheidung ermöglichen.

Minute 55 bis 70: Verantwortung, Maßnahmen und Ressourcen klären

Erst jetzt wird gefragt, wie das Ziel erreicht werden soll.

Für jedes Ziel werden festgelegt:

• ein verantwortlicher Owner,
• wesentliche Maßnahmen,
• benötigte Zeit, Personal oder Budget,
• wichtige Abhängigkeiten,
• erste Meilensteine.

Verantwortlich ist nicht pauschal „die IT“ oder „das ISMS-Team“. Eine konkrete Person oder Rolle muss steuern können, Informationen erhalten und bei Hindernissen eskalieren dürfen.

Verwechseln Sie Ziel und Maßnahme nicht:

• Ziel: Für fünf kritische Dienste ist die Wiederherstellbarkeit erfolgreich nachgewiesen.
• Maßnahme: Restore-Tests planen und durchführen.
• Nachweis: Testprotokolle mit Ergebnis, Dauer und festgestellten Problemen.

„Ein neues Backup-System einführen“ ist zunächst eine Maßnahme. Welchen Sicherheitszustand sie herstellen soll, muss separat geklärt werden.

Minute 70 bis 80: Hart priorisieren

Jetzt liegen vermutlich mehr Zielkandidaten vor, als vernünftig verfolgt werden können. Geben Sie jedem Teilnehmer beispielsweise fünf Punkte und lassen Sie priorisieren nach:

• Beitrag zu wichtigen Unternehmenszielen,
• Höhe oder Dringlichkeit des Risikos,
• Bedeutung relevanter Anforderungen,
• realistischem Nutzen im betrachteten Zeitraum,
• verfügbarer Entscheidungsmacht und Ressourcen.

Wählen Sie wenige Ziele aus. Drei bis fünf ernsthaft gesteuerte Ziele sind meist wertvoller als zwanzig dekorative.

Die nicht ausgewählten Themen verschwinden nicht. Sie bleiben Risiken, Maßnahmen oder Verbesserungsideen. Nur nicht jedes sinnvolle Vorhaben muss den Titel „Informationssicherheitsziel“ tragen.

Minute 80 bis 90: Berichtsweg und Reaktion bei Abweichung bestimmen

Ein Ziel, dessen Status erst am Jahresende angesehen wird, steuert das Jahr nicht.

Legen Sie fest:

• Wer berichtet?
• In welchem sinnvollen Rhythmus?
• Wo wird der Status dokumentiert?
• Ab welcher Abweichung wird eskaliert?
• Wer darf Maßnahmen, Ressourcen oder Zieltermine ändern?
• Wann kommt das Ziel in die Managementbewertung?

Das kann monatlich, quartalsweise oder entlang von Meilensteinen erfolgen. Der Rhythmus muss zum Ziel passen. Ein sechsmonatiges Einführungsprojekt braucht möglicherweise monatlichen Status. Eine jährliche Restore-Abdeckung kann anhand der geplanten Testtermine verfolgt werden.

Die Managementbewertung als Entscheidungstermin ist spätestens der Ort, an dem die Leitung auf Zielerreichung, Hindernisse und nötige Änderungen schaut.

Vier vollständig ausgearbeitete Beispiele

Beispiel 1: Privilegierte Zugänge

Ausgangslage: 63 Prozent der definierten privilegierten Zugänge verwenden MFA. Gemeinsame Admin-Konten bestehen weiterhin.

Ziel: Bis zum 30. September verwenden sämtliche privilegierten Zugänge der festgelegten Kernsysteme persönliche Konten mit MFA oder verfügen über eine dokumentierte, freigegebene und befristete Ausnahme.

Owner: Leiter Infrastruktur.

Bewertung: monatliche Bestandsauswertung; Ziel erreicht bei vollständiger Abdeckung oder wirksam genehmigten Ausnahmen.

Beispiel 2: Wiederherstellung

Ausgangslage: Backups laufen, aber nur zwei von fünf kritischen Diensten wurden im letzten Jahr wiederhergestellt.

Ziel: Für alle fünf kritischen Dienste ist bis zum 30. November ein erfolgreicher Wiederherstellungstest einschließlich Dauer und festgestellter Probleme dokumentiert.

Owner: IT-Betrieb.

Bewertung: erfolgreiche Tests und Behandlung festgestellter Mängel.

Beispiel 3: Sicherheitsmeldungen

Ausgangslage: Verdächtige Ereignisse werden im Median nach 19 Stunden gemeldet. Mitarbeiter kennen den Meldeweg uneinheitlich.

Ziel: Im vierten Quartal liegt der Median zwischen Erkennen und interner Meldung definierter Sicherheitsereignisse unter vier Stunden; mindestens 90 Prozent einer Stichprobe kennen den Meldeweg.

Owner: ISB gemeinsam mit Personal.

Bewertung: Übung, Stichprobe und tatsächliche Meldungen.

Beispiel 4: Kritische Lieferanten

Ausgangslage: Für 14 kritische Dienstleister sind Sicherheitsanforderungen, Abhängigkeiten und Notfalloptionen uneinheitlich dokumentiert.

Ziel: Bis zum 31. Oktober sind für alle kritischen Dienstleister die festgelegten Sicherheitsanforderungen, wesentlichen Abhängigkeiten und Handlungsoptionen bei Ausfall bewertet; Lücken sind als Maßnahmen oder Risiken behandelt.

Owner: Einkauf mit den jeweiligen Serviceverantwortlichen.

Bewertung: vollständige Bewertung und nachvollziehbare Behandlung erkannter Lücken.

Was nach dem Workshop passieren muss

Die Ergebnisse werden nicht lediglich fotografiert und anschließend im Chat geteilt.

Innerhalb weniger Tage sollten Sie:

1. Formulierungen und Bewertungsmaßstäbe bereinigen.
2. Verantwortliche bestätigen lassen.
3. Ressourcen und Maßnahmen konkretisieren.
4. Ziele durch die zuständige Leitung beschließen lassen.
5. Zielübersicht und Aufgaben in die verwendeten Systeme übernehmen.
6. erste Berichtstermine einplanen.
7. Verknüpfungen zu Risiken, Anforderungen und Maßnahmen dokumentieren.

Wenn ein Ziel wesentliche Ressourcen benötigt, die niemand freigegeben hat, ist es noch nicht fertig geplant. Abschnitt 6.2 verlangt nicht nur einen schönen Zielsatz, sondern auch die Planung, wie das Ziel erreicht und bewertet werden soll.

Typische Fehler in der Zielwerkstatt

Die Gruppe beginnt mit vorhandenen Kennzahlen

Nur weil eine Zahl bereits erhoben wird, ist sie nicht automatisch wichtig. Starten Sie beim Geschäft und bei den Problemen. Wählen Sie anschließend passende Messgrößen.

Maßnahmen werden als Ziele verkauft

„Awareness-Schulung durchführen“, „SIEM einführen“ oder „Richtlinie schreiben“ beschreibt Aktivitäten. Fragen Sie immer: Welcher Zustand soll dadurch erreicht werden?

Das Ziel lautet „keine Vorfälle“

Dieses Ziel belohnt im schlimmsten Fall schlechte Erkennung und geringe Meldebereitschaft. Besser sind Ziele zu Erkennung, Meldegeschwindigkeit, Reaktion und nachhaltiger Behandlung.

Es entstehen zu viele Ziele

Wer alles priorisiert, priorisiert nichts. Nicht ausgewählte Themen dürfen weiterhin als normale Maßnahmen verfolgt werden.

Der Zielwert wird bei Problemen still verschoben

Eine Zielverfehlung ist Information. Bewerten Sie Ursache und Auswirkungen. Danach kann die Leitung Maßnahmen, Ressourcen, Termin oder Ziel begründet ändern. Heimliche Zahlenkosmetik zerstört genau die Steuerungswirkung, für die das Ziel gedacht war.

Interesse geweckt?

Ein Zielworkshop muss keine philosophische Klausurtagung sein. Mit sauberem Ausgangsmaterial, konkreten Fragen und harter Priorisierung können 90 Minuten ausreichen, um aus Sicherheitsabsichten steuerbare Ziele zu machen.

Wenn Sie Informationssicherheitsziele entwickeln möchten, die zu Ihrem Unternehmen passen und später tatsächlich geführt werden können, Sprechen Sie mit uns.