Designair: ISO 27001 im ersten Audit bestanden, ohne Major Findings

Über das Unternehmen

Designair betreibt GPU-Workstations in der Cloud für Architektur-, Ingenieur- und Anlagenbaubüros. Revit, ArchiCAD und andere CAD-Anwendungen laufen im Rechenzentrum statt auf einem teuren Rechner im Büro, erreichbar von jedem Gerät. Auf den Endgeräten der Nutzer liegen dabei keine Projektdaten.

Die Kunden planen Automobilwerke und Pharmaanlagen – Projekte im dreistelligen Millionenbereich. Wer solche Modelle in eine fremde Cloud legt, vertraut einem Anbieter die Konstruktionsdaten einer gesamten Anlage an. Dass große Häuser von selbst auf Designair zukamen, machte diese Frage nicht kleiner, sondern dringender.

‍

Die Herausforderung

Der Anstoß kam als Tabelle. Ein großer Interessent schickte über einen Reseller-Partner einen Fragebogen mit 118 Sicherheitsfragen. Mehrere Mitarbeiter arbeiteten eine Woche daran, bis er beantwortet war. Die interne Schlussfolgerung war eindeutig: nicht noch einmal.

Kurz darauf kam der nächste Fall: Ein Konzern mit 9.000 Mitarbeitern, mit professioneller IT- und Einkaufsabteilung und einem entsprechenden Prüfprozess. Bei diesem Gegenüber reicht eine gute Antwort nicht; sie muss in einer Form kommen, die der Einkauf akzeptiert.

Sicherheit war für Designair kein neues Thema: sie gehört zum Produktversprechen. Belegen ließ sie sich jedoch nur im Einzelfall und jedes Mal von Hand. Für Don Rekko war das der Punkt, an dem aus einer Haltung ein Projekt wurde: Risiken kennen und mitigieren, bevor ein Kunde danach fragt. Ende 2025 fiel die Entscheidung für ISO 27001.

Die Lösung

Zwei Anforderungen standen von Anfang an fest. Die Lösung musste cloud-native sein, kein On-Premise-System. Und sie musste automatisieren, statt Excel-Listen zu verwalten.

Den Ausschlag gab dann, dass Kertos nicht nur die Software stellt, sondern die Arbeit mit übernimmt. Ein Team dieser Größe kann sich ISO 27001 nicht nebenbei anlesen; es braucht Experten, die das ISMS mit aufbauen. Dazu kam der Fit: Kertos arbeitet cloud-affin und international, als deutsche GmbH mit hohem eigenen Datenschutzanspruch, und damit so, wie Designair selbst arbeitet. „Ihr habt genau zu uns gepasst", sagt Don Rekko, Co-Founder von Designair.

Zentrale Bestandteile der Lösung:

• Aufbau des ISMS gemeinsam mit zertifizierten Experten, statt im Selbststudium neben dem Tagesgeschäft.
• Automatisierte Controls und Nachweise an einer Stelle, statt Sicherheitsdokumentation in Tabellen.
• Trust Center für Interessenten, die Sicherheitsnachweise selbst einsehen können.
• Fester Ansprechpartner im Implementierungsteam über die gesamte Projektlaufzeit.

Das Ergebnis

Bestanden im ersten Versuch
Das Audit ergab keine Major Findings, sondern eine Opportunity for Improvement. Zwischen Kick-off und Zertifikat lag ein halbes Jahr, ohne dass die Produktentwicklung dafür angehalten wurde.

Fragebögen kosten keine Woche mehr
Kommt heute eine Sicherheitsabfrage, verweist Designair auf das Trust Center. Der Effekt geht über die gesparte Zeit hinaus: Wer dort ein zertifiziertes ISMS und die zugehörigen Nachweise sieht, liest daraus, dass der Anbieter das Thema im Griff hat. Das Thema erreicht Designair heute nicht mehr unvorbereitet, sondern ist beantwortet, bevor die Frage kommt.

Ein Vertriebseinwand dauerhaft geklärt
In Designair-Verkaufsprozessen wiederholen sich drei Fragen:

• Funktioniert die Technologie?
• Was kostet sie im Betrieb?
• Ist sie sicher?

Die dritte Frage beantwortet inzwischen ein Link.

Zugang zum Enterprise-Segment
Für Don Rekko ist die Zertifizierung die Voraussetzung, um in diesem Markt überhaupt ins Gespräch zu kommen.

Wie es weitergeht

Mit ISO 27001 ist die Grundlage gelegt, auf der die nächsten Frameworks aufsetzen. Als Nächstes steht SOC 2 an, weil das Interesse aus den USA wächst, und längerfristig TISAX® für die Automobilindustrie. Parallel entstehen KI-Agenten in der Designair-Plattform, für die eine eigene Zertifizierung folgen wird.

Compliance auf Autopilot, für Datenschutz und Informationssicherheit: Demo buchen.

‍