ISMS

Ein ISMS (Informationssicherheits-Managementsystem) ist das Regelwerk aus Richtlinien, Prozessen, Rollen und Kontrollen, mit dem eine Organisation Informationssicherheit systematisch steuert.

Ein Informationssicherheits-Managementsystem (ISMS) ist kein Softwareprodukt, sondern die Gesamtheit der Regeln, Verantwortlichkeiten, Prozesse und Maßnahmen, mit denen eine Organisation ihre Informationssicherheit steuert. Es beantwortet dauerhaft drei Fragen: Welche Informationen und Systeme sind schützenswert, welche Risiken bedrohen sie, und welche Maßnahmen begegnen diesen Risiken angemessen? Der Begriff stammt aus der Normenwelt; ISO/IEC 27001 und der BSI IT-Grundschutz beschreiben, wie ein ISMS aufgebaut und betrieben wird.

Das Kernprinzip ist der Regelkreis aus Planen, Umsetzen, Überprüfen und Verbessern. Ein ISMS ist deshalb nie fertig. Es reagiert auf neue Systeme, neue Bedrohungen, Vorfälle und Prüfergebnisse und passt Maßnahmen entsprechend an.

Bausteine eines ISMS

• Leitlinie und Geltungsbereich: Die Geschäftsleitung legt fest, was das ISMS abdeckt und welche Sicherheitsziele gelten.
• Rollen: Informationssicherheitsbeauftragter, Risikoverantwortliche, Systemeigentümer; die Gesamtverantwortung bleibt bei der Leitung.
• Werte- und Risikomanagement: Inventar der Informationswerte, Schutzbedarf nach den Schutzzielen, Risikoanalyse und Behandlungsplan.
• Maßnahmen: technische, organisatorische, personelle und physische Kontrollen, dokumentiert und mit Verantwortlichen hinterlegt.
• Überwachung und Prüfung: Kennzahlen, interne Audits, Managementbewertung sowie Wirksamkeitsnachweise durch Penetrationstests und Übungen.
• Vorfallmanagement und Verbesserung: Lehren aus Vorfällen und Prüfungen fließen in die nächste Planungsrunde.

Bedeutung für Unternehmen

Ein ISMS ist inzwischen für viele Unternehmen Pflicht oder faktisch unvermeidbar: NIS2 verlangt Risikomanagement nach Stand der Technik und persönliche Verantwortung der Geschäftsleitung, DORA fordert ein IKT-Risikomanagementrahmenwerk, Kunden und Versicherer erwarten Zertifikate. Der eigentliche Wert liegt aber nicht im Zertifikat, sondern in der Steuerbarkeit: Nur wer seine Werte, Risiken und Maßnahmen kennt, kann Budget gezielt einsetzen.

Die häufigste Schwäche, die wir in Red-Team-Projekten sehen, ist die Lücke zwischen Dokument und Realität. Das ISMS beschreibt ein Berechtigungskonzept mit Least Privilege, aber die Hälfte der Belegschaft hat lokale Admin-Rechte. Es verlangt Patchfristen, aber ein vergessener Server im Scope ist drei Jahre alt. Diese Lücke entsteht nicht aus Nachlässigkeit, sondern weil interne Audits Dokumente prüfen, nicht Systeme. Ein Angreifer prüft Systeme. Genau deshalb gehören offensive Tests als Wirksamkeitsnachweis fest in den Regelkreis.

Praxis-Hinweise

1. Halten Sie den Geltungsbereich ehrlich: Ein ISMS, das kritische Systeme ausklammert, um das Audit zu bestehen, schützt niemanden.
2. Definieren Sie Wirksamkeitsnachweise je Maßnahmenbereich, etwa jährliche Pentests exponierter Systeme und einen Assumed-Breach-Test für Detektion und Reaktion.
3. Nutzen Sie Testergebnisse als Input der Risikoanalyse. Ein Finding mit Root Cause ist ein belegtes Risiko, kein IT-Ticket.
4. Berichten Sie der Leitung in Geschäftsrisiken, nicht in Kontrollnummern. Das sichert Budget und Aufmerksamkeit.
5. Prüfen Sie Dienstleister mit derselben Systematik wie eigene Systeme; die Lieferkette gehört in den Geltungsbereich.