Controls, Audits und Zertifizierung

Die Wahl eines Frameworks ist der einfache Teil. Die eigentliche Arbeit besteht darin, Maßnahmen umzusetzen und anschließend durch Audits zu belegen, dass sie funktionieren, sowie, falls erforderlich, eine Zertifizierung zu erlangen.

Diese Lektion behandelt den praktischen Weg: wie Maßnahmen konkret aussehen, welche Arten von Nachweisen Auditoren erwarten, wie der Auditprozess abläuft und was ein Zertifikat bedeutet und was nicht.

Maßnahmen lassen sich danach, wie sie Risiken reduzieren, in drei klassische Kategorien einteilen:

• Präventive Maßnahmen — verhindern, dass ein Vorfall eintritt (MFA, Firewalls, Prinzip der geringsten Berechtigung).
• Detektive Maßnahmen — machen einen laufenden oder bereits eingetretenen Vorfall sichtbar (Protokollierung, SIEM-Warnungen, Überwachung der Dateiintegrität).
• Korrektive Maßnahmen — stellen den Betrieb wieder her und begrenzen den Schaden nach einem Vorfall (Backups, Patchen, Reaktion auf Vorfälle).

Ein starkes Programm kombiniert alle drei Ebenen; wer sich nur auf Prävention verlässt, ist blind, wenn diese versagt.

Maßnahmen werden auch nach ihrer Art klassifiziert:

• Administrative Maßnahmen — Richtlinien, Verfahren, Schulungen, Zugriffsüberprüfungen.
• Technische Maßnahmen — in Technologie umgesetzt: Verschlüsselung, Zugriffskontrolle, Protokollierung.
• Physische Maßnahmen — Schlösser, Ausweisleser, gesicherte Einrichtungen.

Auditoren achten auf eine Abdeckung aller drei Bereiche. Eine technisch perfekte Maßnahme, die durch eine von niemandem befolgte Richtlinie untergraben wird, ist keine echte Maßnahme.

Auditoren bewerten Maßnahmen anhand zweier Dimensionen:

• Wirksamkeit der Konzeption — ist die Maßnahme, wenn sie wie vorgesehen funktioniert, geeignet, das Risiko zu adressieren?
• Wirksamkeit im Betrieb — funktioniert sie über einen Zeitraum hinweg tatsächlich und zuverlässig?

Eine Maßnahme kann auf dem Papier gut konzipiert sein, aber im Betrieb scheitern (z. B. eine Protokollprüfung, die tatsächlich niemand durchführt). Nachweise müssen beides belegen.

Audits basieren auf Nachweisen. Für jede Maßnahme müssen Sie zeigen, dass sie funktioniert. Typische Nachweise sind:

• Aufzeichnungen von Zugriffsüberprüfungen, die eine vierteljährliche Rezertifizierung belegen.
• Protokolle und Tickets, die belegen, dass Warnungen untersucht wurden.
• Konfigurations-Exporte, aus denen hervorgeht, dass Verschlüsselung oder MFA erzwungen wird.
• Aufzeichnungen über abgeschlossene Schulungen.

Auditoren arbeiten mit Stichproben. Sie wählen eine Maßnahme aus, fordern Nachweise für einen Zeitraum an und verfolgen sie lückenlos von Anfang bis Ende.

Es gibt zwei Auditebenen:

• Internes Audit — Sie (oder ein beauftragter interner Auditor) prüfen Ihr eigenes ISMS, um Lücken vor dem externen Audit zu erkennen. Dies ist nach ISO 27001 vorgeschrieben.
• Externes / Zertifizierungsaudit — eine akkreditierte, unabhängige Stelle prüft, ob Sie die Voraussetzungen für das Zertifikat erfüllen.

Interne Audits sind eine Generalprobe. Eigene Nichtkonformitäten zuerst zu finden, ist deutlich günstiger, als wenn die Zertifizierungsstelle sie entdeckt.

Die ISO-27001-Zertifizierung erfolgt in zwei Stufen:

• Stufe 1 — Dokumentenprüfung. Der Auditor prüft, ob die Dokumente Ihres ISMS, der Geltungsbereich, die Richtlinie, die Risikobewertung und die SoA vorhanden und schlüssig sind.
• Stufe 2 — Umsetzungsaudit. Der Auditor überprüft anhand von Gesprächen, Stichproben von Nachweisen und Beobachtungen, ob die Maßnahmen tatsächlich funktionieren.

Wenn Sie beide Stufen bestehen, erhalten Sie das Zertifikat, das in der Regel drei Jahre gültig ist und laufenden Überwachungsaudits unterliegt.

Audits führen zu Feststellungen, die nach Schweregrad eingestuft werden:

• Schwerwiegende Nichtkonformität — eine Maßnahme fehlt oder versagt grundlegend; sie verhindert die Zertifizierung, bis der Mangel behoben ist.
• Geringfügige Nichtkonformität — ein Mangel, der das gesamte System nicht untergräbt; dafür ist ein Korrekturmaßnahmenplan erforderlich.
• Hinweis / Verbesserungspotenzial — eine Empfehlung, aber kein Fehler.

Sie reagieren mit einem Korrekturmaßnahmenplan: Ursachenanalyse, Behebung und Vermeidung eines erneuten Auftretens.

Die Zertifizierung ist nicht dauerhaft. ISO-27001-Zertifikate folgen einem Zyklus:

• Überwachungsaudits — in der Regel jährlich stattfindende, weniger umfangreiche Prüfungen, ob das ISMS weiterhin funktioniert.
• Rezertifizierungsaudit — eine vollständige Neubewertung, in der Regel alle drei Jahre.

So wird sichergestellt, dass der PDCA-Zyklus des ISMS weiterläuft. Wenn Maßnahmen zwischen Audits nicht mehr angewendet werden, riskieren Sie, das Zertifikat beim nächsten Überwachungsaudit zu verlieren.

Reife Teams vermeiden den hektischen Audit-Endspurt, indem sie kontinuierliche Compliance umsetzen: Sie erfassen Nachweise automatisch und halten Kontrollen jederzeit auditbereit.

• Automatisieren Sie die planmäßige Erfassung von Nachweisen, etwa Zugriffsüberprüfungen und Konfigurations-Snapshots.
• Überwachen Sie Abweichungen von Kontrollen in Echtzeit, beispielsweise wenn ein S3-Bucket öffentlich gemacht wird.
• Betrachten Sie Compliance als kontinuierlichen Zustand und nicht als jährliches Projekt.

Auch SOAR- und Compliance-Automatisierungstools zahlen sich hier aus, da sie punktuelle Audits in eine laufende Absicherung verwandeln.

Manchmal kann eine erforderliche Kontrolle tatsächlich nicht wie vorgegeben umgesetzt werden, etwa weil ein Legacy-System MFA nicht unterstützt. Frameworks erlauben kompensierende Kontrollen: eine Alternative, die dasselbe Risikoziel erfüllt.

• Dokumentieren Sie, warum die ursprüngliche Kontrolle nicht umsetzbar ist.
• Beschreiben Sie die Alternative, etwa eine strikte Netzwerkisolierung mit erweiterter Überwachung des Legacy-Systems.
• Zeigen Sie, dass sie das Risiko auf ein gleichwertiges Niveau reduziert.

Auditoren akzeptieren kompensierende Kontrollen, wenn die Begründung und die gleichwertige Risikoreduzierung eindeutig nachgewiesen und nicht nur behauptet werden.

Beurteilen Sie die Wirksamkeit von Kontrollen aus der Sicht eines Auditors.

Kontrollen, Audits und Zertifizierung:

• Kontrollen sind ihrer Funktion nach präventiv, detektivisch oder korrigierend und ihrer Art nach administrativ, technisch oder physisch; setzen Sie sie auf allen Ebenen ein.
• Auditoren bewerten sowohl die Wirksamkeit des Kontrolldesigns als auch die Wirksamkeit im Betrieb. Für den Betrieb sind Nachweise über einen bestimmten Zeitraum erforderlich.
• Interne Audits erkennen Lücken vor dem externen Zertifizierungsaudit. Dieses besteht aus Stage 1 (Dokumentation) und Stage 2 (Umsetzung).
• Feststellungen reichen von schwerwiegenden und geringfügigen Nichtkonformitäten bis zu Beobachtungen. Reagieren Sie darauf mit Plänen für Korrekturmaßnahmen.
• Zertifikate erfordern Überwachungs- und Rezertifizierungsaudits. Streben Sie kontinuierliche Compliance an, um jederzeit auditbereit zu sein.