ISO 27001 verständlich erklärt: die Norm, die belegt, dass ein Unternehmen Ihre Daten schützt

Kurz gesagt: ISO 27001 ist die internationale Referenznorm für Informationssicherheit. Ein zertifiziertes Unternehmen hat ein umfassendes System eingerichtet, um die Daten zu schützen, die es verarbeitet, und eine unabhängige Stelle hat dies überprüft. Konkret ist das ein Beweis dafür, dass Ihre Daten in guten Händen sind, keine bloße Behauptung.

‍

Was ist ISO 27001?

‍

ISO/IEC 27001 ist eine Norm, die von der Internationalen Organisation für Normung (ISO) veröffentlicht wird. Sie definiert die Anforderungen für den Aufbau eines Informationssicherheits-Managementsystems (oft abgekürzt als ISMS).

‍

Die Idee ist einfach: Statt Daten von Fall zu Fall zu sichern, richtet das Unternehmen eine organisierte und dauerhafte Methode ein, um seine Risiken zu erkennen, sich davor zu schützen und sich kontinuierlich zu verbessern. Die Zertifizierung wird von einer unabhängigen Stelle nach einem Audit erteilt und regelmäßig erneut überprüft. Es ist also kein Logo, das man sich selbst verleiht, sondern eine externe Kontrolle.

‍

Was die Norm wirklich verlangt

‍

Nach ISO 27001 zertifiziert zu sein bedeutet nicht, „ein gutes Antivirenprogramm zu haben". Die Norm verlangt ein umfassendes Vorgehen:

‍

• Risiken analysieren: erkennen, was die Daten bedrohen könnte (Hacking, menschliches Versagen, Ausfall, Leck), und diese Risiken priorisieren.
• Maßnahmen einrichten, die auf diese Risiken zugeschnitten sind.
• Dokumentieren und nachverfolgen: die Regeln schriftlich festhalten, einen Nachweis über das Getane aufbewahren.
• Kontrollieren und verbessern: regelmäßig auditieren, korrigieren, von vorn beginnen.
• Die Leitung einbinden: Sicherheit ist nicht nur ein technisches Thema, sie bindet das Management ein.

‍

Kurz gesagt: Die Norm prüft, dass Sicherheit gesteuert wird und nicht dem Zufall überlassen bleibt.

‍

Die Kontrollen von Anhang A: 93 Maßnahmen, 4 Themen

‍

Im Kern der Norm steht eine Liste konkreter Sicherheitsmaßnahmen, genannt Anhang A. In der aktuellen Version umfasst sie 93 Kontrollen, gruppiert in vier Themen:

‍

Organisatorisch

‍

Die Regeln und Richtlinien: Zugriffsverwaltung, Beziehungen zu Lieferanten, Reaktion auf Vorfälle.

‍

Personen

‍

Der häufigste Faktor bei Vorfällen: Sensibilisierung, Schulung, Verwaltung von Ein- und Austritten.

‍

Physisch

‍

Der Schutz von Standorten und Ausrüstung: Zugang zu Räumlichkeiten, zu Servern, zu Arbeitsplätzen.

‍

Technologisch

‍

Der technische Kern: Verschlüsselung, Backups, Protokollierung, Sicherheit in der Entwicklung, Schutz vor Schadsoftware.

‍

ISO 27001:2022: was sich geändert hat

‍

Die geltende Version ist ISO/IEC 27001:2022, die die Ausgabe von 2013 modernisiert hat. Zwei Entwicklungen sind hervorzuheben:

• Die Kontrollen sind von 114 auf 93 gesunken, neu geordnet in 4 Themen statt 14, für mehr Übersichtlichkeit.
• 11 neue Kontrollen sind hinzugekommen, zu Themen, die zentral geworden sind: Sicherheit in der Cloud, Bedrohungsanalyse, Datenschutz, Sicherheit in der Entwicklung.

‍

Unternehmen, die bereits nach der alten Version zertifiziert waren, hatten bis zum 31. Oktob‍er 2025 Zeit, auf die Version 2022 umzustellen. Heute ist eine aktuelle Zertifizierung also die von 2022.

‍

Warum das bei der Wahl eines Anbieters zählt

‍

Hier wird die Norm für Sie sehr konkret. Wenn Sie einer Software sensible Daten anvertrauen (Identitäten, Nachweise, Bankdaten), erben Sie einen Teil ihres Sicherheitsniveaus. Ein schlecht geschützter Anbieter wird zu Ihrer Schwachstelle.

‍

ISO 27001 gibt Ihnen einen verlässlichen Anhaltspunkt: Statt einem Vertriebsversprechen zu glauben, stützen Sie sich auf ein unabhängiges Audit. Das ist genau die Logik von Know Your Business und der Bewertung Ihrer Lieferanten: prüfen, bevor man vertraut. Und für Finanzakteure trifft sich diese Anforderung direkt mit DORA, das vorschreibt, die Sicherheit der eigenen IT-Dienstleister zu regeln.

‍

ISO 27001, DSGVO, DORA: wie das zusammenspielt

‍

Diese drei Rahmenwerke ergänzen sich, sie ersetzen sich nicht:

• DSGVO regelt den Schutz personenbezogener Daten (gesetzliche Pflicht).
• ISO 27001 organisiert die Informationssicherheit im Allgemeinen (freiwilliges und zertifizierbares Vorgehen).
• DORA schreibt dem Finanzsektor und seinen Dienstleistern die operative Widerstandsfähigkeit vor (branchenspezifische Pflicht).

‍

Ein nach ISO 27001 zertifiziertes Unternehmen hat bereits einen großen Teil der Grundlagen gelegt, die für die DSGVO und DORA nützlich sind.

‍

Das Vorgehen von Meelo

‍

Bei Meelo ist Sicherheit ein Gestaltungsprinzip, keine nachträglich hinzugefügte Schicht. Die Daten sind in Frankreich gehostet, verschlüsselt, die Zugriffe sind kontrolliert, und jede Entscheidung zur Identitäts- oder Betrugsprüfung ist nachvollziehbar und auditierbar. Diese Sorgfalt dient sowohl der Sicherheit als auch der Compliance unserer Kunden, so wie bei unseren Abläufen zur Betrugsbewertung und Identitätsprüfung.

‍

Wir verankern diesen Anspruch in einem ISO-27001-Zertifizierungsprozess, um dieses Engagement in einen von einem Dritten überprüfbaren Nachweis zu verwandeln.

‍

Fazit

‍

ISO 27001 ist kein Marketing-Stempel: Es ist der von einer unabhängigen Stelle kontrollierte Beweis, dass ein Unternehmen die ihm anvertrauten Daten ernsthaft schützt. Für Sie ist das ein einfaches und solides Kriterium bei der Wahl eines Partners, dem Sie sensible Daten anvertrauen. Fragen Sie stets nach, wo Ihr Anbieter steht und auf welcher Version der Norm.

‍

Quellen: ISO/IEC 27001:2022, Internationale Organisation für Normung (ISO); ISO/IEC 27002:2022 (Sicherheitsmaßnahmen).

‍