ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS); sie fordert risikobasierte Maßnahmen und den regelmäßigen Nachweis, dass diese Maßnahmen wirksam sind.
ISO/IEC 27001 ist die weltweit anerkannte Norm für Informationssicherheits-Managementsysteme (ISMS). Sie legt fest, wie eine Organisation Informationssicherheit systematisch plant, umsetzt, überwacht und verbessert. Die aktuelle Fassung stammt aus dem Jahr 2022; Zertifikate nach der Vorgängerversion von 2013 haben ihre Gültigkeit mit Ablauf der Übergangsfrist im Oktober 2025 verloren.
Die Norm ist bewusst technologieneutral. Sie schreibt keine konkreten Produkte oder Konfigurationen vor, sondern einen Prozess: Risiken identifizieren, bewerten, mit Maßnahmen behandeln und die Wirksamkeit dieser Maßnahmen regelmäßig prüfen. Der Anhang A listet 93 Referenzmaßnahmen in vier Themenbereichen (organisatorisch, personell, physisch, technologisch), aus denen die Organisation im „Statement of Applicability“ begründet auswählt.
Aufbau und Zertifizierung
Die Kapitel 4 bis 10 der Norm bilden den verbindlichen Kern: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Dieser Aufbau folgt der gemeinsamen Struktur aller ISO-Managementsystemnormen und dem Plan-Do-Check-Act-Zyklus.
Für Sicherheitstests besonders relevant sind:
- Kapitel 9.1 (Überwachung, Messung, Analyse und Bewertung): Die Organisation muss festlegen, wie sie die Wirksamkeit ihrer Maßnahmen bewertet.
- A.8.8 (Handhabung technischer Schwachstellen): Informationen über Schwachstellen müssen beschafft, bewertet und behandelt werden. Schwachstellenscans und Penetrationstests sind die üblichen Nachweise.
- A.5.35 (Unabhängige Überprüfung der Informationssicherheit): Der Ansatz der Organisation ist in geplanten Abständen unabhängig zu überprüfen.
Die Zertifizierung erfolgt durch akkreditierte Zertifizierungsstellen in einem zweistufigen Erstaudit, jährlichen Überwachungsaudits und einem Rezertifizierungsaudit nach drei Jahren.
Bedeutung für Unternehmen
Ein ISO-27001-Zertifikat ist für viele Ausschreibungen, Kundenbeziehungen und Lieferkettenanforderungen Voraussetzung geworden. Es belegt, dass ein funktionierendes Managementsystem existiert. Es belegt nicht, dass ein Angreifer scheitern würde. Auditoren prüfen Dokumente, Prozesse und Stichproben; sie versuchen nicht, die Domäne zu übernehmen.
Diese Lücke führt zu einem verbreiteten Missverständnis: Zertifizierung wird mit Sicherheit gleichgesetzt. Wir haben zertifizierte Organisationen getestet, deren ISMS vorbildlich dokumentiert war und in denen dennoch ein einzelnes Service-Konto mit schwachem Passwort den Weg zum Domain Admin öffnete. Die Norm selbst sieht das Problem und fordert in 9.1 ausdrücklich Wirksamkeitsnachweise. Red Teaming und Pentests sind die direkteste Form dieses Nachweises.
Praxis-Hinweise
- Verankern Sie Penetrationstests und periodische Red-Team-Übungen als Messgröße in Kapitel 9.1 Ihres ISMS, mit festgelegtem Turnus und Scope.
- Behandeln Sie Testergebnisse als Input für die Risikobewertung, nicht nur als Ticketliste für die IT.
- Nutzen Sie Findings aus Red-Team-Übungen als Nachweis im Managementreview. Sie zeigen der Leitung konkret, welche Maßnahmen wirken.
- Prüfen Sie Lieferanten nicht nur auf Zertifikate, sondern auf nachgewiesene Wirksamkeitsprüfungen, etwa aktuelle Pentest-Berichte.