Wir haben es geschafft!

Aber statt jetzt einfach zu schreiben, dass wir uns wahnsinnig freuen und Informationssicherheit für uns einen hohen Stellenwert hat – was stimmt, aber ein ziemlich langweiliger Artikel wäre –, wollten wir wissen, wie die Menschen auf den Prozess zurückblicken, die besonders nah dran waren.

Also haben wir nachgefragt. Bei Johan, unserem Operations Lead, der den Prozess operativ begleitet hat, und bei unserem Geschäftsführer und Inhaber Dieter.

Dieter & Johan, die wichtigste Frage zuerst: Wie fühlt es sich an, das Zertifikat jetzt tatsächlich in der Hand zu haben?

Dieter: Ich freue mich sehr darüber. Wir haben den Aufwand unterschätzt, und das Team hat viel Arbeit in diesen Prozess gesteckt. Dafür möchte ich mich bedanken, besonders bei Johan, der das operativ begleitet hat. Als Geschäftsführer ist mir wichtig, dass wir uns auf unsere Abläufe verlassen können. Das Zertifikat ist eine Bestätigung dafür, dass wir uns ernsthaft mit dieser Verantwortung auseinandergesetzt haben.
Johan: Es fühlt sich sehr gut an, durch das Zertifikat zu sehen, dass sich die Arbeit der letzten Monate gelohnt hat. Aber es bedeutet auch, dass es damit nicht zu Ende ist, nun müssen wir laufend daran arbeiten die Anforderungen, die wir an uns stellen und die an uns gestellt werden, zu erfüllen.

Im ersten Artikel haben wir geschrieben, dass wir den Aufwand für ISO 27001 unterschätzt haben. Nicht ein bisschen. Sondern ziemlich deutlich. Denn irgendwann wurde klar: Informationssicherheit lässt sich nicht mit ein paar neuen Dokumenten und einer Checkliste erledigen. Wir mussten uns sehr genau ansehen, wie wir im Alltag tatsächlich arbeiten. Welche Informationen haben wir? Wer kann darauf zugreifen? Wo liegen sie? Welche Risiken gibt es? Und was passiert eigentlich, wenn etwas nicht so läuft, wie es sollte?

Was damals teilweise noch Theorie war, musste spätestens beim Audit auch der Realität standhalten.

Johan, nimm uns einmal mit: Wie muss man sich so ein ISO-27001-Audit vorstellen?

Johan: Das Audit selber beginnt eigentlich schon vor dem eigentlichen Audit-Termin, man muss bereits Daten, Nachweise und die Dokumente so aufbereiten, dass man möglichst alle Fragen der Auditoren direkt beantworten kann und belegen kann, dass die festgelegten Punkte auch in der Realität umgesetzt werden. Dies geht von der Auflistung und Pflege unserer Asset Liste, also welche Geräte und Softwaren haben wir, wer nutzt diese und wann wurde diese jemanden übergeben oder retour genommen, aber dann weiter auch darum, wie wir im Ernstfall vorgehen, also wenn wir wirklich Opfer eines Angriffs werden, ein Gerät abhandenkommt oder wir Phishing Links erhalten. Beim Audit selbst wird sich dann als erstes das große Ganze angesehen, also was machen Wir und wer sind Wir und welche Sicherheitsthemen lassen sich daraus ableiten. Danach geht es zu diesen Themen mehr in die Tiefe, es werden sich die erstellten Dokumente angesehen und diverse Fragen dazu gestellt und auch die Nachweise entsprechend geprüft und abgeglichen. Weiters werden sich dann noch Live-Daten in den System angesehen und das Büro auf mögliche Schwachstellen geprüft. Es kann aber genauso gut vorkommen, dass die Auditoren den Mitarbeitern Fragen stellen, um zu sehen, dass die Informationssicherheit auch hier verstanden und umgesetzt wird. 

Gab es beim Audit einen Moment, bei dem ihr kurz nervös geworden seid?

Johan: Eine gewisse Nervosität schwingt immer mit, da man nie genau weiß was wird sich alles angesehen, welche Fragen werden gestellt und ist alles nach den Ansprüchen des Auditors aufbereitet. Wirkliche Nervosität kam aber nur in den Momenten auf, wo es eine Differenz zwischen den Punkten die für uns sowieso selbstverständlich sind und daher nicht so detailliert niedergeschrieben sind und dem wie es dann jemand Externes, in diesem Fall die Auditoren, auf Basis des Niedergeschriebenen versteht und man sich im Gespräch nicht sicher ist, ob dies nun ausreichend ist.

Dieter: Bei einer externen Prüfung ist natürlich eine gewisse Anspannung dabei. Für mich ist die entscheidende Frage: Hält das, was wir festgelegt haben, auch im Projektalltag? Gerade in einer Eventagentur, in der vieles gleichzeitig läuft und Entscheidungen oft schnell fallen müssen, müssen die Abläufe praktikabel sein. Genau daran möchte ich uns messen lassen.

Und jetzt müssen wir natürlich unser Versprechen aus dem letzten Artikel einlösen: Was hat uns der Auditor tatsächlich „ins Gesicht gesagt“?

Johan: Gesagt wurde während des Audits natürlich sehr viel, aber insbesondere eine Aussage am Anfang des Audits wird mir in Erinnerung bleiben. Und zwar: "....dass er es beachtlich findet, dass wir direkt mit einer der schwersten Zertifizierungen anfangen."

Damals war noch nicht klar, ob die Vorbereitungen tatsächlich ausreichen würden. Und genau darin liegt wahrscheinlich einer der interessantesten Aspekte einer externen Zertifizierung: Am Ende bewertet man sich nicht selbst.Ein unabhängiger Blick von außen prüft, ob die Prozesse, über die man monatelang gesprochen und geschrieben hat, tatsächlich funktionieren. Und offenbar haben sie das.

Dieter, wann war für dich klar: Die Entscheidung für die ISO-Zertifizierung war richtig?

Dieter: Schon während der Vorbereitung, als wir unsere Prozesse genauer hinterfragt haben. Wer hat Zugriff auf welche Informationen? Wer trägt die Verantwortung? Wo sind wir zu sehr von einzelnen Personen abhängig? Solche Fragen helfen uns, die Agentur besser zu führen. Damit war für mich klar, dass der Nutzen bereits vor dem Zertifikat entsteht.

Und was verändert die Zertifizierung konkret für die Kunden?

Dieter: Unsere Kunden vertrauen uns Informationen an, die geschützt werden müssen. Dazu gehören je nach Projekt etwa Teilnehmerdaten, interne Inhalte oder Informationen zu noch nicht veröffentlichten Vorhaben. Mit der Zertifizierung können wir zeigen, dass wir den Umgang damit systematisch organisieren und extern prüfen lassen. Sie ist keine Garantie dafür, dass nie etwas passiert. Aber sie schafft eine nachvollziehbare Grundlage für Vertrauen und klare Zuständigkeiten.

Merkst du bereits, dass ISO 27001 in Kundengesprächen oder Ausschreibungen einen Unterschied macht?

Dieter: Ich sehe darin eine stärkere Grundlage für Kundengespräche und Ausschreibungen, in denen Informationssicherheit eine Rolle spielt. Wir können unseren Anspruch jetzt mit einer externen Zertifizierung belegen. Ob daraus zusätzliche Aufträge entstehen, wird sich zeigen. Für mich war jedenfalls klar: Diese Entscheidung muss auch dann sinnvoll sein, wenn sie uns nicht unmittelbar einen neuen Auftrag bringt.

Es wäre zu einfach, den Nutzen nur auf Kunden und Ausschreibungen zu reduzieren. Denn schon während des Prozesses haben wir gemerkt, dass sich intern etwas verändert.

Informationssicherheit ist nicht mehr nur ein Thema für IT oder Geschäftsführung. Sie betrifft die Art, wie wir alle arbeiten: vom Projektmanagement über die Buchhaltung bis zum Arbeiten vor Ort bei einem Event. Und manches, was während der Zertifizierung zunächst nach zusätzlichem Aufwand aussah, ist inzwischen einfach Teil unseres Arbeitsalltags.

Johan, welche Veränderung aus dem ISO-Prozess spüren unsere Kolleg:innen im Alltag am stärksten?

Johan: Hier gibt es einige, überwiegend Erleichterungen durch klare Voragaben und Automatisierung, aber auch manche Aufwände die entstanden sind. Aber die positiven Punkte überwiegen. Als Beispiel kann ich aber das Patch-/Update-Management nennen, bisher waren die Mitarbeiter selbst verantwortlich ihre Geräte und Softwaren auf dem aktuellen Stand zu halten, dadurch das wir im Rahmen des ISO Prozesses darauf aufmerksam geworden sind, welche Lücken durch nicht aktuelle Hard- und Software entstehen können, haben wir diesen Prozess über unser neues Device Management System automatisiert. 

Hand aufs Herz: Gibt es auch Dinge, bei denen das Team am Anfang dachte: „Muss das wirklich sein?“

Johan: Aber natürlich, wie gerade schon erwähnt, gibt es überall seine Vor- und Nachteile. Die laufende Dokumentation ist einer der Aufwände die es im Vergleich zu Vorher nicht gab und teilweise nicht die interessanteste Tätigkeit ist, aber im Nachhinein erleichtert es dann einem doch die weitere Arbeit, sollte es doch zu einem Zwischenfall kommen und man auf Spurensuche gehen muss. Und gab es umgekehrt etwas, bei dem du heute sagst: Warum haben wir das eigentlich nicht schon viel früher so gemacht?

Dieter: Verantwortlichkeiten und Zugriffsrechte so konsequent zu klären. Im Tagesgeschäft entsteht schnell die Gewohnheit, Dinge auf kurzem Weg zu lösen. Das funktioniert oft gut, wird aber schwierig, wenn Zuständigkeiten unklar bleiben oder Wissen nur bei einer Person liegt. Als Geschäftsführer will ich, dass brandmood auch bei Vertretungen und unter Zeitdruck verlässlich arbeitet. Dafür helfen uns die klareren Abläufe.

Das Zertifikat hängt also nicht einfach irgendwo an der Wand und die Sache ist erledigt. Eigentlich ist eher das Gegenteil der Fall.

ISO 27001 bedeutet, dass Informationssicherheit dauerhaft Teil unserer Prozesse bleibt. Risiken verändern sich. Tools verändern sich. Teams verändern sich. Und damit müssen sich auch unsere Maßnahmen weiterentwickeln.

Die Zertifizierung ist deshalb weniger ein Schlusspunkt als eine Art Zwischenstand. Ein ziemlich schöner Zwischenstand allerdings.

Dieter, wenn du heute zurückblickst: War es den Aufwand wert?

Dieter: Ja. Auch wenn ich den Aufwand heute realistischer einschätzen würde. Wir haben Zeit und Ressourcen investiert, die im laufenden Agenturbetrieb natürlich fehlen. Gleichzeitig kennen wir unsere Abläufe und Risiken jetzt besser. Das ist für mich ein konkreter unternehmerischer Nutzen. Entscheidend ist, dass wir die erarbeiteten Standards im Alltag weiterführen und regelmäßig prüfen, ob sie noch passen.

Und würdest du anderen Agenturen empfehlen, sich mit ISO 27001 auseinanderzusetzen? Oder gibt es Situationen, in denen du sagen würdest: Lasst es lieber?

Dieter: Sich mit Informationssicherheit ernsthaft auseinanderzusetzen, würde ich jeder Agentur empfehlen. Ob eine ISO-Zertifizierung der passende nächste Schritt ist, hängt von den Kundenanforderungen, den verarbeiteten Informationen und den eigenen Ressourcen ab. Wer diesen Weg geht, sollte ihn als Geschäftsführung mittragen und ausreichend Zeit einplanen. Wenn es nur darum geht, ein Logo auf die Website zu setzen, würde ich davon abraten.

Zum Abschluss noch eine persönliche Frage:

Was habt ihr persönlich aus dem gesamten ISO-Projekt gelernt?

Johan: Ich habe für mich ein besseres Verständnis für die Zusammenhängen der Informationssicherheit mitgenommen. Informationssicherheit betrifft nicht nur rein die digitalen Themen und ob diese mit entsprechenden Sicherheitsmaßnahmen geschützt sind, sondern muss auch der Faktor Mensch mit einkalkuliert werden und die Handhabung von Notfällen muss sitzen, um Sicherheit auch Gewährleisten zu können.

Dieter: Dass ich als Geschäftsführer die Verantwortung für Informationssicherheit nicht einfach an die IT oder an eine einzelne Person abgeben kann. Ich muss dafür sorgen, dass das Thema Priorität bekommt, Zuständigkeiten klar sind und das Team die nötigen Ressourcen hat. Und ich habe gelernt, wie hilfreich ein genauer Blick von außen ist. Er zwingt uns, auch Abläufe zu hinterfragen, die lange selbstverständlich waren.