.svg)
Das Wichtigste in Kürze
- Die größten ISO-27001-Warnsignale klingen wie gute Nachrichten: in einer Woche zertifiziert, garantiert bestanden, ein Siegel, das alle Fragen beantwortet.
- Ein Zertifikat belegt ein geprüftes, abgegrenztes Managementsystem zu bestimmten Stichtagen, nicht dass ein Unternehmen überall sicher ist.
- Beim Einkauf von Compliance-Unterstützung ist ein unrealistischer Zeitplan das deutlichste Warnsignal.
- Wenn ein Lieferant mit einem Siegel wirbt, prüfen Sie Akkreditierung, Geltungsbereich und Gültigkeit, nicht nur das Logo.
Die größten Warnsignale bei ISO 27001 sind die, die zu gut klingen, um wahr zu sein: in einer Woche zertifiziert, garantiert bestanden, ein Siegel, das jede Sicherheitsfrage beantwortet. Keines davon hält stand. Egal ob Sie einen Compliance-Anbieter beauftragen oder das Zertifikat eines Lieferanten prüfen, dieselbe Faustregel schützt Sie: Wenn eine Aussage alle schwierigen Teile verschwinden lässt, ist Skepsis gefragt. In dieser Folge von Compliance-Experten im Gespräch führt Kertos-Compliance-Experte Kutluhan Abut durch die Fallstricke auf beiden Seiten.
Ein Tool kann Nachweise automatisieren und ein Siegel kann eine Website schmücken, doch keines von beidem garantiert Ihnen Sicherheit. Dafür braucht es eine Person, die Geltungsbereich, Kontrollen und Aussagen lesen kann. Die Frameworks, in denen wir arbeiten, finden Sie in der Kertos-Framework-Übersicht.
Bedeutet ein ISO-27001-Zertifikat, dass ein Unternehmen sicher ist?
Nein. Ein ISO-27001-Zertifikat sagt Ihnen, dass ein festgelegter Geltungsbereich des Informationssicherheits-Managementsystems eines Unternehmens von einer Zertifizierungsstelle geprüft wurde und die Norm zu den Audit-Stichtagen erfüllt hat. Es beweist nicht, dass das gesamte Unternehmen sicher ist, und auch nicht, dass das Produkt, das Sie interessiert, überhaupt im Geltungsbereich liegt.
Hinter jedem Zertifikat stehen drei Dinge, und jedes ist eine Stelle, an der eine Aussage stillschweigend auseinanderfallen kann: der Geltungsbereich (was tatsächlich geprüft wurde), der Zeitpunkt (ein Zertifikat bildet Stichtage ab, nicht jeden Tag seither) und die Akkreditierung (ob eine unabhängige Stelle dahintersteht). Der Aufbau der Norm ist auf der offiziellen ISO-Seite beschrieben. Ein Siegel, das eines dieser drei verbirgt, ist bereits problematisch. Ein Zertifikat aus dieser Perspektive zu lesen, dauert wenige Minuten und macht aus einem Logo wieder verwertbare Information.
Woran erkennen Sie unseriöse Anbieter beim Einkauf von Compliance-Unterstützung?
Das größte Warnsignal ist das Versprechen, Sie in Tagen oder Wochen zu zertifizieren. Eine echte Zertifizierung dauert Monate. Ein kurzer Zeitplan bedeutet daher meist, dass der Anbieter Software verkauft und die eigentliche Arbeit Ihnen überlässt, oder Abkürzungen nimmt, die sich im Audit rächen. Kutluhan wird deutlich.
„Wenn Ihnen ein Unternehmen Compliance in fünf Tagen, zehn Tagen oder zwölf Stunden anbietet, ist das meistens unseriös. Selbst für ein kleines Unternehmen braucht eine ISO-27001- oder SOC-2-Zertifizierung Zeit. Sie erfordert Prozesse, Nachweise und IT-Sicherheit. Wir können es kleiner und schlanker machen, aber nicht besonders schnell oder besonders kurz." Kutluhan Abut, Compliance-Experte bei Kertos
Kertos-Käufer merken den Unterschied. Herwig Gangl. Mitgründer von Kickscale verglich mehrere Anbieter mit schnellen Versprechen, bevor er sich für einen Partner entschied, der ehrlich auf den tatsächlichen Aufwand schaute.
„Es gibt viele Firmen, die sagen, wir lösen das Problem in drei Wochen. Aber bei Kertos hatten wir von Anfang an das Gefühl, mit einem Partner zu arbeiten, der realistisch auf Aufwand und Prozess schaut. Das Ergebnis ist für uns heute eine zentrale Plattform, mit der wir unsere Compliance-Themen strukturiert und teamübergreifend steuern können." Herwig Gangl, Kickscale
Über den Zeitplan hinaus treten einige weitere Warnsignale meist gemeinsam auf: ein „garantiertes Bestehen", das kein seriöser Anbieter versprechen kann, weil er den Auditor nicht kontrolliert; ein Tool-Abo, das wie eine Rundum-Betreuung vermarktet wird, ohne feste Ansprechperson; Druck, schnell zu unterschreiben; und die Weigerung, die tatsächlichen Schritte und Zuständigkeiten zu erklären. Wenn niemand den Plan mit Ihnen durchgeht, gibt es meistens keinen.
Woran erkennen Sie ein fragwürdiges Lieferanten-Zertifikat?
Ein Zertifikat auf einer Trust-Seite ist ein Ausgangspunkt, keine Antwort. Die Warnsignale sind ein vager oder ungewöhnlich kleiner Geltungsbereich, eine Selbsterklärung statt eines akkreditierten Zertifikats, ein abgelaufenes oder nicht überwachtes Zertifikat und die Zurückhaltung, Details zu teilen, wenn Sie nachfragen.
Der Geltungsbereich wird am häufigsten übersehen. Ein Anbieter kann ein echtes ISO-27001-Zertifikat besitzen, das nur eine Zentralfunktion abdeckt und genau das Produkt ausschließt, das Sie einkaufen. Als Nächstes der Zeitpunkt: Die Zertifizierung läuft in einem Drei-Jahres-Zyklus mit jährlichen Überwachungsaudits, ein gültiges Zertifikat sollte also mit Belegen einhergehen, dass diese Prüfungen weiterhin stattfinden. „ISO 27001 orientiert" oder „selbstzertifiziert" ist nicht dasselbe wie ein Zertifikat einer akkreditierten Stelle. Leitlinien von Stellen wie der ENISA behandeln die Zusicherung Dritter als etwas, das man prüft, nicht als etwas, das man voraussetzt. Stellen Sie die einfache Frage: Ist der konkrete Dienst, den wir nutzen, und die Daten, die wir Ihnen senden, im Geltungsbereich benannt? Ein Zertifikat, das das nicht beantworten kann, ist Dekoration. Genau diese Prüfung soll ein Vendor-Management-Prozess zur Routine machen.
Warum halten schnelle oder billige Zertifikate nicht stand?
Weil ein Zertifikat Kontrollen abbildet, die über einen Zeitraum funktioniert haben, und einen Track Record kann man nicht fälschen. Manche Nachweise, etwa Zugriffsprüfungen, Risikobewertungen und Management-Reviews, existieren nur, wenn die Arbeit tatsächlich stattgefunden hat, und ein Auditor prüft sowohl, dass sie existieren, als auch, wann sie erstellt wurden.
„Man kann im Fall von SOC2 zum Beispiel nicht in der Zeit zurückgehen und die Nachweise nachträglich erzeugen. Man muss die Nachweise erfassen, und man kann sie während des Audits nicht fälschen." Kutluhan Abut, Compliance-Experte bei Kertos
Deshalb funktioniert es nicht, Dokumente am Audit-Tag zu erfinden: Erstellungsdaten verraten es, und ein Auditor hinterfragt alles, was nachträglich auftaucht. Ein überhastet oder billig erlangtes Zertifikat spiegelt meist Lücken wider, die später auffallen, spätestens beim nächsten Überwachungsaudit oder beim ersten echten Vorfall, der zeigt, ob die Kontrollen je mehr als Papier waren.
Ein hohles Zertifikat ist nicht nur ein Sicherheits-, sondern auch ein Geschäftsrisiko. Enterprise-Käufer prüfen die Zertifikate ihrer Lieferanten zunehmend nach und ein Geltungsbereich, der nicht zum Dienst passt, oder ein ausgelaufenes Überwachungsaudit kann einen Deal im Security-Review aufhalten. Das Siegel, das Vertrauen schaffen sollte, kostet es am Ende.
Woran erkennen Sie seriöse Compliance-Unterstützung?
Das Gegenteil eines Warnsignals ist kein größeres Versprechen, sondern Transparenz. Ein seriöser Anbieter nennt Ihnen einen realistischen Zeitplan und erklärt die Schritte dahinter, stellt Ihnen eine feste Ansprechperson zur Seite und lehnt es ab, das Audit-Ergebnis zu garantieren, weil der Auditor unabhängig ist und niemand sonst das versprechen kann.
Seriöse Anbieter bauen auch für die Zeit nach dem Zertifikat. Weil ISO 27001 auf jährlichen Überwachungsaudits beruht, müssen die Nachweise kontinuierlich fließen, statt einmal im Jahr aufzutauchen. Genau dafür spricht die Kombination aus Automatisierung und Mensch: Die Plattform sammelt Nachweise laufend, sodass nichts unter Druck rekonstruiert werden muss, und die Ansprechperson hält den Geltungsbereich ehrlich und verteidigt Ihre Entscheidungen, wenn der Auditor nachhakt. Das ist weniger spektakulär als „in einer Woche zertifiziert", und es ist die Variante, die einem echten Audit standhält.
Wie prüfen Sie, ob ein ISO-27001-Zertifikat echt ist?
Ein Zertifikat zu prüfen dauert wenige Minuten und räumt die meisten Zweifel aus. Arbeiten Sie diese Schritte ab, bevor Sie einem Siegel vertrauen.
- Prüfen Sie, ob die Zertifizierungsstelle von einer anerkannten nationalen Akkreditierungsstelle akkreditiert ist, nicht nur selbst ernannt.
- Gleichen Sie die Zertifikatsnummer mit dem öffentlichen Register der Zertifizierungsstelle ab.
- Lesen Sie den Geltungsbereich und stellen Sie sicher, dass er den Dienst, den Standort und die Daten abdeckt, auf die Sie sich verlassen.
- Prüfen Sie die Gültigkeitsdaten und dass die Überwachungsaudits im Drei-Jahres-Zyklus aktuell sind.
- Fragen Sie nach der Anwendbarkeitserklärung (Statement of Applicability) oder einer Übersicht, welche Kontrollen gelten und warum.
- Ergänzen Sie bei sensiblen Themen eigene Sicherheitsanforderungen im Vertrag, statt sich allein auf das Siegel zu verlassen.
Ein öffentliches Trust Center, das Zertifikat, Geltungsbereich und aktuellen Status teilt, macht das einfach, und sein Fehlen ist selbst ein kleines Warnsignal.
Die ISO-27001-Checkliste für Warnsignale
Eine Tabelle für beide Situationen: die Aussagen, die einen zweiten Blick verdienen, was sie meist verbergen, und was stattdessen zu tun ist.
ISO-27001-Warnsignale: Häufig gestellte Fragen
Bedeutet ein ISO-27001-Zertifikat, dass ein Unternehmen sicher ist?
Nein. Es bestätigt, dass ein festgelegter Geltungsbereich zu den Audit-Stichtagen ein Audit bestanden hat. Es ist keine Garantie, dass das gesamte Unternehmen sicher ist oder dass der von Ihnen genutzte Teil im Geltungsbereich liegt.
Kann man ISO 27001 in einer Woche zertifiziert werden?
Nein. Die Zertifizierung erfordert umgesetzte und wirksame Kontrollen, Nachweise, die sich teils über Zeit aufbauen, sowie ein unabhängiges Stufe-1- und Stufe-2-Audit. Ein Ein-Wochen-Versprechen ist ein Warnsignal.
Wie prüfe ich das ISO-27001-Zertifikat eines Lieferanten?
Bestätigen Sie, dass die Stelle akkreditiert ist, gleichen Sie die Zertifikatsnummer mit dem Register ab, lesen Sie den Geltungsbereich, prüfen Sie Gültigkeit und Überwachungsstatus und fragen Sie nach der Anwendbarkeitserklärung. Verlassen Sie sich nicht allein auf das Logo.
Was ist der Unterschied zwischen akkreditierter und selbstzertifizierter ISO 27001?
Ein akkreditiertes Zertifikat wird von einer Stelle ausgestellt, die von einer nationalen Akkreditierungsstelle überwacht wird, und hat daher unabhängiges Gewicht. Eine Selbsterklärung wurde nicht unabhängig geprüft und verdient Vorsicht.
Das Siegel ist nicht das Ziel
Die meisten ISO-27001-Warnsignale entstehen, wenn man ein Zertifikat oder ein schnelles Versprechen als Ziellinie behandelt. Das ist es nicht. Das Zertifikat ist ein Signal, und Signale lassen sich manipulieren. Was standhält, ist ein abgegrenztes, akkreditiertes Zertifikat, das Sie tatsächlich gelesen haben, gestützt auf Sicherheit, die zwischen den Audits weiterläuft. Wenn Sie dabei Unterstützung möchten, das Echte vom Verkaufsversprechen zu unterscheiden, buchen Sie eine unverbindliche Kertos-Demo und wir gehen alles gemeinsam durch.
