ISO 27001

Definition: ISO/IEC 27001 ist ein internationaler Standard der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC), der die Anforderungen an die Einrichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) festlegt. Er bildet den Kern der ISO-27000-Normenfamilie, zu der auch ISO 27002 (Best Practices für Sicherheitskontrollen), ISO 27017 (Cloud-Sicherheit) und ISO 27701 (Datenschutzinformations-Managementsystem) gehören. Das ISMS nach ISO 27001 ist ein systematischer, risikobasierter Ansatz zur Verwaltung der Informationssicherheit einer Organisation: Es umfasst Personen, Prozesse und Technologien und zielt darauf ab, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch die Anwendung eines Risikomanagementprozesses dauerhaft zu schützen. Eine nach ISO 27001 zertifizierte Organisation hat ihre Informationssicherheitspraktiken durch unabhängige externe Auditoren geprüft und bestätigt bekommen. Im Kontext des digitalen Marketings und der DSGVO ist ISO 27001 als Nachweis für technische und organisatorische Maßnahmen (TOMs) nach Artikel 32 DSGVO relevant: Zertifizierte Unternehmen können die Zertifizierung als Beleg dafür anführen, dass sie geeignete Sicherheitsmaßnahmen implementiert haben – wenngleich ISO 27001 und DSGVO unterschiedliche Anforderungen abdecken und eine Zertifizierung die eigene DSGVO-Compliance nicht automatisch belegt.

Erläuterung

ISO 27001 wurde zuletzt im Jahr 2022 in einer überarbeiteten Version (ISO/IEC 27001:2022) veröffentlicht, die eine aktualisierte Struktur und neue Controls (Sicherheitskontrollen) enthält, die auf moderne Bedrohungsszenarien wie Cloud-Sicherheit, Bedrohungsintelligenz und sichere Softwareentwicklung ausgerichtet sind. Unternehmen, die nach der Vorgängerversion 2013 zertifiziert sind, haben eine Übergangsfrist bis Oktober 2025, um auf die neue Version umzusteigen.

Der Zertifizierungsprozess nach ISO 27001 ist mehrstufig. Zunächst führt die Organisation eine Lückenanalyse (Gap Analysis) durch, um den Abstand zwischen dem aktuellen Stand der Informationssicherheit und den ISO-27001-Anforderungen zu ermitteln. Anschließend werden ein ISMS implementiert, Risikoanalysen durchgeführt, Sicherheitskontrollen aus Anhang A der Norm ausgewählt und umgesetzt sowie interne Audits durchgeführt. Abschließend prüft eine akkreditierte Zertifizierungsstelle in zwei Stufen (Stage 1: Dokumentenprüfung, Stage 2: Implementierungsaudit), ob die Anforderungen erfüllt sind. Die Zertifizierung ist drei Jahre gültig und erfordert jährliche Überwachungsaudits.

Für Marketing-Dienstleister, Agenturen und MarTech-Anbieter hat ISO 27001 eine wachsende Bedeutung als Vertrauenssignal. Enterprise-Kunden und öffentliche Auftraggeber machen eine ISO-27001-Zertifizierung häufig zur Voraussetzung für die Zusammenarbeit, insbesondere wenn Kundendaten oder sensible Kampagnendaten verarbeitet werden. Die Zertifizierung erleichtert auch die Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO, da sie als Nachweis geeigneter TOMs beim Auftragsverarbeiter dienen kann.

Kernelemente eines ISMS nach ISO 27001

Risikoanalyse und -behandlung: Systematische Identifikation, Bewertung und Behandlung von Informationssicherheitsrisiken – Herzstück des ISMS. Die Organisation wählt auf Basis dieser Analyse passende Sicherheitskontrollen aus.
Anwendbarkeitserklärung (Statement of Applicability, SoA): Dokument, das alle Sicherheitskontrollen aus ISO 27001 Anhang A auflistet und begründet, welche angewendet werden und welche ausgeschlossen wurden.
Sicherheitskontrollen (Annex A): ISO 27001:2022 umfasst 93 Sicherheitskontrollen in vier Kategorien (Organisatorisch, Personell, Physisch, Technologisch) – von Zugangskontrolle über Kryptographie bis zu Incident Management.
Internes Audit und Management Review: Regelmäßige interne Überprüfungen der ISMS-Effektivität und Management-Bewertungen sind verpflichtende Bestandteile des kontinuierlichen Verbesserungsprozesses.

ISO 27001 und DSGVO – Gemeinsamkeiten und Unterschiede

Gemeinsames Fundament: Beide verlangen technische und organisatorische Schutzmaßnahmen für Daten. Eine ISO-27001-Zertifizierung kann als Nachweis von TOMs nach Art. 32 DSGVO herangezogen werden.
Unterschiedliche Schutzgüter: ISO 27001 schützt Informationen aller Art (auch Geschäftsgeheimnisse, technische Daten). Die DSGVO schützt ausschließlich personenbezogene Daten.
Keine automatische DSGVO-Konformität: ISO-27001-Zertifizierung bedeutet nicht automatisch DSGVO-Compliance. DSGVO erfordert zusätzliche Maßnahmen wie Datenschutzerklärungen, Einwilligungsmanagement und Betroffenenrechte.
ISO 27701 als Ergänzung: ISO 27701 erweitert ISO 27001 um datenschutzspezifische Anforderungen und dient als Nachweis für ein datenschutzkonformes Informationsmanagement.

Praxistipp: Wenn Sie Marketing-Software-Anbieter oder Dienstleister evaluieren, prüfen Sie deren ISO-27001-Zertifizierungsstatus als wichtiges Sicherheitssignal – insbesondere wenn diese als Auftragsverarbeiter Zugriff auf Kundendaten erhalten. Planen Sie für eine eigene Zertifizierung mindestens 12–18 Monate ein und beginnen Sie mit einer professionellen Gap Analysis. Die Zertifizierung zahlt sich als Wettbewerbsvorteil bei Enterprise-Kunden und in öffentlichen Ausschreibungen regelmäßig aus.