goSecurity BLOG

Das Zertifikat schafft Vertrauen – aber welches?

Die Norm ISO 27001 wurde in der Version ISO/IEC 27001:2005 zum ersten Mal im Oktober 2005 veröffentlicht. [1] Dieser Version ging eine bereits länger dauernde Entwicklung voraus, die bis ins Jahr 1993 zurück geht. Lange war diese „Norm“ vor allem innerhalb Grossbritanniens bekannt und konnte dort auch zertifiziert werden, aber erst seit 2005 wurde die Norm international anerkannt. Allerdings war dadurch die Norm keineswegs weit verbreitet, im Gegenteil – in der Geschäftswelt erlangte sie erst in den letzten 5 – 10 Jahren Bekanntheit. Nicht zuletzt verdankte sie diese Bekanntheit den exponentiell wachsenden Cyberbedrohungen der letzten Jahre.

Aus meiner beruflichen Praxis weiss ich, dass dieses Zertifikat immer wichtiger wird. Im Rahmen öffentlicher Ausschreibungen ist teilweise keine Teilnahme mehr möglich, wenn das interessierte Unternehmen über kein ISO 27001 Zertifikat verfügt. Und bei der Prüfung von Lieferanten höre ich oft die Aussage: „Die sind zertifiziert, also alles in Ordnung.“ Das Zertifikat wird somit als Vertrauensbeweis für die Informationssicherheit in einem Unternehmen interpretiert.

Und genau das führt uns nun direkt zum Thema und zu folgender kritischen Frage: Ist ein Unternehmen ISO 27001 zertifiziert, ist es sicher – richtig oder falsch?

Was kann überhaupt zertifiziert werden?

Ich könnte jetzt ganz provokant behaupten, ein ISO 27001 Zertifikat ist erstmal überhaupt kein Garant dafür, dass ein Unternehmen „sicher“ ist. Warum? Das Zertifikat bestätigt primär, dass das zertifizierte Unternehmen über ein funktionierendes ISMS [2] verfügt. Das ist so schwarz auf weiss auf jedem Zertifikat lesbar. Es garantiert somit nicht, dass die Firma alle möglichen technischen Schutzmassnahmen in Betrieb hat, und es garantiert erst recht nicht, dass es in diesem Unternehmen nie einen Sicherheitsvorfall oder sogar einen Hackerangriff geben wird.

Ich kann Ihr „ja, aber“ beinahe hören. Ja, wenn eine Firma ein ISMS betreibt, müsste man davon ausgehen können, dass alle damit verbundenen Anforderungen erfüllt sind und dadurch ein hohes Mass an Informationssicherheit im Unternehmen herrscht. Und man sollte auch davon ausgehen können, dass das Risiko, dass ein Sicherheitsvorfall passiert oder das Unternehmen einen Hackerangriff erleidet, deutlich geringer sein müsste.

Diese Annahmen darf man durchaus treffen, und sie sind nicht grundsätzlich falsch. Dennoch sollte man Zertifikate immer genau prüfen und auf keinen Fall davon ausgehen, dass „alles ok und sicher ist“.

Wir werden uns nachfolgend ein paar Punkte anschauen, die zeigen, warum eben nicht automatisch alles „ok und sicher ist“.

Was wurde tatsächlich zertifiziert?

Schauen wir uns doch ein Zertifikat einmal etwas genauer an. Im oberen Bereich ist meist als erstes das Unternehmen aufgeführt, welches zertifiziert wurde. Hier lohnt es sich, bereits ein erstes Mal genau hinzuschauen: handelt es sich um den ganzen Konzern oder evtl. nur um eine Tochtergesellschaft? Diese Frage ist meist schnell geklärt. Aber dann geht es weiter. Es folgt ein Geltungs- oder Anwendungsbereich. Hier wird genau deklariert, was (oder welche Prozesse) geprüft und somit zertifiziert wurde. Jetzt ist also bereits unser Urteilsvermögen gefragt: handelt es sich bei den aufgeführten Prozessen um alle Prozesse des Unternehmens oder evtl. nur um einen Teil davon? Des Weiteren ist immer der Standort auf dem Zertifikat aufgeführt. Auch dies sollte geprüft werden: gibt es wirklich nur den einen Standort der Firma? Oder wurde evtl. nur dieser eine Standort zertifiziert, andere hingegen nicht?

Die Antworten auf die soeben genannten Fragen werden Ihnen zeigen, ob sich das zertifizierte Unternehmen einer ganzheitlichen Prüfung gestellt hat, welche alle Prozesse und alle Standorte umfasst, oder ob nur ein Teilbereich geprüft wurde. Dies ist übrigens nicht unüblich, denn mit einem eingeschränkten Geltungsbereich lassen sich je nach Unternehmen gefühlt „exzessive“ Zertifizierungsaudits auf ein vernünftiges und angemessenes Volumen herunterskalieren.

Und gerade bei eingeschränkten Geltungsbereichen müssen die oben bereits gestellten Fragen nochmals detaillierter gestellt werden: Handelt es sich bei der aufgeführten Firma wirklich um den Teil des Konzerns, mit dem ich einen Vertrag abschliessen möchte? Sind in den genannten Prozessen auch diejenigen aufgeführt, die für mich relevant oder sogar kritisch sind? Ist bei den Standorten auch derjenige aufgeführt, mit dem ich hauptsächlich zusammenarbeite?

Bitte, tun Sie sich den Gefallen und prüfen Sie diese Angaben wirklich gründlich. Das bewahrt Sie vor falschem Vertrauen und davor, dass zwar etwas zertifiziert ist, aber dummerweise nicht das, was für Sie wichtig ist!

Was bestätigt das Zertifikat – und was nicht?

Gehen wir nochmals kurz auf die Aussagekraft eines ISO 27001 Zertifikats ein. Was genau bestätigt das Zertifikat?

• Es bestätigt, dass die Anforderungen der Norm ISO 27001 (aus den Kapiteln 4 – 10 und den 93 Controls aus dem Anhang A) geprüft wurden.

• Es bestätigt, dass Risiken bewertet und behandelt werden, dass interne Audits durchgeführt werden und dass auch eine Managementbewertung erfolgt.

• Es bestätigt, dass von der geprüften Firma entsprechende Nachweise in Form von Stichproben (!) gezeigt werden konnten.

• Es bestätigt, dass der für den Zertifizierungsaudit zuständige Lead-Auditor der Firma eine Zertifikatsempfehlung ausgesprochen hat und diese von der Zertifizierungsstelle selbst angenommen wurde.

• Es bestätigt somit letztlich, dass das ISMS des Unternehmens gemäss der Bewertung des Auditors die Anforderungen der Norm ISO 27001 erfüllt.

Was aber bestätigt das Zertifikat nicht?

• Es bestätigt nicht, dass wirklich alle Risiken identifiziert und korrekt bewertet sowie behandelt wurden.

• Es bestätigt nicht, dass bei den (internen und externen) Audits keine Nichtkonformitäten gefunden wurden, und auch nicht, wo diese festgestellt wurden.

• Es bestätigt nicht, dass alle Controls aus dem Anhang behandelt wurden, sondern nur, dass die Begründungen für Ein- und Ausschlüsse plausibel genug für den Auditor waren.

• Es bestätigt nicht, dass der oder die eingesetzten Auditoren fachlich kompetent [3] und erfahren genug waren, um die Prüfung wirklich tief genug durchzuführen.

• Es bestätigt somit letztlich nicht, dass das Unternehmen über ein hohes Mass an Informationssicherheit verfügt, da dies schlicht nicht vollumfänglich geprüft werden kann.

Normkonformität ist nicht gleich Sicherheitsniveau

Ja ich weiss, ich „stochere hier in einer Wunde herum“, wie man in der Schweiz gerne sagt. Mir ist bewusst, dass gerade die ISO 27001 Zertifizierung nicht unumstritten ist, weil die Norm eben letztlich nur ein Framework ist, sozusagen die „Leitplanken“ für die Erhöhung der Informationssicherheit in einem Unternehmen. Und diese Leitplanken stehen je nach Thema ziemlich weit auseinander. Dies hat zur Folge, dass es die einen Firmen sehr ernst nehmen, wenn es darum geht, die Anforderungen der Norm zu erfüllen, andere Firmen hingegen geben sich mit dem Minimum zufrieden. Am Ende erhalten aber beide das begehrte Zertifikat.

Und etwas, was aus meiner Erfahrung sehr stark vom prüfenden Auditor abhängt, ist die Prüfung der Wirksamkeit der eingesetzten Massnahmen. Da habe ich als Consultant, interner Auditor und CISO as a Service schon so manches erlebt. Es gibt Auditoren, die lieber über die Formulierungen in einer Richtlinie diskutieren, als darüber, ob das jeder in der Firma verstanden hat. Es wird über Struktur und Gliederung des ISMS referiert, ohne die Firmenkultur zu berücksichtigen. Es werden technische Definitionen wie RPO und RTO „auseinandergenommen“, ohne zu prüfen, wie genau die Wiederherstellungstests ablaufen und was daraus gelernt wird.

Und nicht zuletzt deshalb sind die ISO 27001 Zertifizierungen teilweise umstritten. Richtlinien lassen sich dank KI heute sehr schnell und schön schreiben, das gibt aber keinerlei Aufschluss darüber, wie die gelebten Sicherheitsmassnahmen im Alltag aussehen. Ein praktisches Beispiel: Die beiden Controls rund um das Sicherheitsbewusstsein (Awareness) im Unternehmen lassen sich mit einem Trainingsplan und einem Awareness-Tool relativ einfach erfüllen. Ist das Bewusstsein aber wirklich in den Köpfen aller Mitarbeitenden vorhanden? Was denken Sie?

Wie sollten Zertifikate von Drittfirmen geprüft werden?

Ich habe es eingangs bereits erwähnt – ISO 27001 Zertifizierungen werden immer wichtiger in der Geschäftswelt. Ein IT-Provider wird kaum mehr neue Kunden für sich gewinnen können, wenn er kein Zertifikat vorweisen kann. Teilweise reicht ein reines ISO 27001 Zertifikat schon nicht mehr, es müssen noch andere Controls, z. B. aus den Normen ISO 27017, 27018 oder 27701 mit inkludiert werden. Und auch in anderen Branchen geht ohne ein solches Zertifikat oft nichts mehr.

Das bedeutet natürlich im Umkehrschluss: Wenn ich als Kunde eine Anforderung stelle, dass meine Lieferanten über ein ISO 27001 Zertifikat verfügen müssen, dann muss ich dieses Zertifikat auch gründlich prüfen. Denn – ich will ja nicht einfach blind vertrauen. Eine solche Prüfung sollte als erstes mindestens die folgenden Aspekte beinhalten:

• Zuerst muss die Adresse des Zertifikatsinhabers (z. B. meines Lieferanten) und die Gültigkeit (Laufzeit) des Zertifikats geprüft werden.

• Dann muss geprüft werden, ob der Anwendungs- oder Geltungsbereich auch wirklich die Services oder Prozesse beinhaltet, die für mich relevant sind.

• Falls Standorte dediziert aufgeführt sind (vor allem bei grösseren Unternehmen), muss geprüft werden, ob die Standorte Teil des Zertifikats sind, mit welchen ich zusammenarbeite oder z. B. die Verträge abgeschlossen habe.

Je kritischer ein Lieferant für mich ist, oder je abhängiger ich von ihm bin, desto tiefergehender sollte die Prüfung erfolgen. Dies könnte noch Folgendes einschliessen:

• Sichtung der auf dem Zertifikat erwähnten Version der Anwendbarkeitserklärung (auf Englisch “Statement of Applicability”, abgekürzt SoA)

• Prüfung des letzten Auditberichts (entweder vom internen oder auch vom externen Audit)

• Einfordern zusätzlicher Unterlagen wie z. B. Berichte über die letzten Pen-Tests (z. B. der vom Kunden genutzten SaaS-Applikation)

In aller Regel erhält man die meisten der obigen Unterlagen, wenn man höflich nachfragt. Und ein ganz bestimmtes Merkmal sollte in jedem Fall nicht bei der Prüfung vergessen gehen – welches, das schauen wir uns im folgenden Abschnitt an.

Gibt es Fake-Zertifikate?

Ja und nein. Ich will Ihnen das kurz erklären. Grundsätzlich kann jeder ein Zertifikat für irgendetwas ausstellen. Und dieses Zertifikat kann durchaus ernst gemeint sein. So kann ich Ihnen ein Zertifikat für den seriösesten Blog-Leser ausstellen, denn immerhin haben Sie den gesamten Blog bis mindestens hierhin gelesen. Und das würde ich ernst meinen. Aber was wäre die Aussagekraft dieses Zertifikats? Diese Frage ist wohl selbsterklärend.

Und genau so verhält es sich mit Zertifikaten rund um Informationssicherheit, ISMS oder auch ISO 27001. Auf dem Markt tummeln sich eine Vielzahl von Beratungsfirmen, welche auch selbstständig Zertifikate in diesem Bereich ausstellen. Wäre ein solches Zertifikat aber ein echter Nachweis, dass ein normenkonformes ISMS in Betrieb ist? Nein. Sie wüssten im Endeffekt nicht, ob die Audits von zertifizierten Auditoren fachgerecht durchgeführt und die Prüfungen somit genau genug durchgeführt wurden.

Wie finde ich dann heraus, ob ein Zertifikat „echt“ ist oder nicht?

Alles hängt daran, ob das Zertifikat durch eine offiziell akkreditierte Zertifizierungsfirma erstellt wurde. In jedem Land gibt es Akkreditierungsstellen (in der Schweiz ist es die SAS [4], in Deutschland die DAkkS [5]), und diese wiederum sind bei der globalen ACI, der Global Accreditation Cooperation Incorporated [6], registriert. Nur wenn diese Zertifizierungskette eingehalten wurde, halten Sie ein echtes ISO 27001 Zertifikat in den Händen, welches Ihnen zusichert, dass auch die Audits gemäss den Anforderungen der Norm in Bezug auf Unabhängigkeit und Professionalität durchgeführt wurden. Und dies ist an den jeweiligen Logos auf dem Zertifikat ersichtlich, die meistens in der Fusszeile des Zertifikats angedruckt werden.

In weiteren Blogs des goSecurity-Gründers Andreas Wisler [7] und auch der Schweizerischen Vereinigung für Qualitäts- und Management-Systeme (SQS) [8] wird dieses Thema noch etwas eingehender behandelt, falls Sie sich noch tiefer in dieses Thema einlesen möchten.

Im Zweifelsfall: der selbst durchgeführte Lieferanten-Audit

Nehmen wir an, dass Sie aus einem bestimmten Grund von einem Lieferanten völlig abhängig sind. Die Zusammenarbeit klappt zwar prima, aber Sie wissen: fällt dieser Lieferant aus, führt das bei mir zu einem Desaster. Dementsprechend haben Sie ihn in Ihrem ISMS als kritisch eingestuft. Er ist zwar zertifiziert und Sie haben auch die oben aufgeführten Prüfschritte alle durchgeführt, aber irgendwie haben Sie trotzdem ein mulmiges Gefühl, welches Sie einfach nicht loslässt. Und nun? Müssen Sie dem Zertifikat dieses Lieferanten einfach trotzdem vertrauen? Nein – im Gegenteil.

Gerade wenn Sie selbst auch zertifiziert sind, dann kennen Sie das Control A.5.22 „Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen“. Dieses Control liefert Ihnen nicht nur die Legitimation, sondern auferlegt Ihnen in gewissem Sinn sogar die Pflicht, Lieferanten-Audits durchzuführen. Und beim soeben erwähnten Lieferanten, bei dem Sie ein ungutes Gefühl haben, ist dies mehr als ratsam. Dieser Lieferanten-Audit muss nicht den Umfang eines regulären internen Audits haben. Suchen Sie sich die Controls heraus, welche für Sie wichtig sind, definieren Sie einen angemessenen Zeitrahmen (z. B. 3 Stunden), und besprechen Sie diese Punkte gemeinsam mit Ihrem Lieferanten. Und egal, was das Resultat der Besprechung sein wird: Sie werden sich auf jeden Fall mit einem positiven Gefühl aus dieser Besprechung verabschieden. Denn entweder Ihr mulmiges Gefühl entpuppte sich als nicht gerechtfertigt, oder Sie konnten gemeinsam einige Schwachstellen finden, die Ihr Lieferant nun sicherlich im Rahmen des kontinuierlichen Verbesserungsprozesses angehen wird!

Fazit

Der Titel des Blogs lautete ja „Steht ein ISO 27001 Zertifikat für echte Sicherheit – oder vermittelt es vor allem Vertrauen?“. Nach der Betrachtung der obigen Abschnitte kommen wir wahrscheinlich alle zum Schluss, dass es wohl beides tut.

Natürlich fördert es das Vertrauen in das zertifizierte Unternehmen, denn ein Zertifikat gibt es ja nicht geschenkt – zumindest, sofern es durch eine offiziell akkreditierte Zertifizierungsfirma erstellt wurde. Andererseits haben wir aber auch gesehen, dass ein Zertifikat nicht gleichzeitig volle Sicherheit bedeutet. Wie stark somit das Zertifikat meines Lieferanten mir als Kunde helfen kann, hängt vor allem davon ab, was genau geprüft und zertifiziert wurde. Nur wenn das mit meinen Anforderungen übereinstimmt, kann ich das Zertifikat als wirksamen Nachweis für mich verwenden.

Glauben Sie deshalb nicht einfach „blind“ einem Zertifikat, sondern prüfen Sie die einfachsten Parameter. Und fairerweise muss ich noch erwähnen: Es ist durchaus möglich, dass ein nicht zertifiziertes Unternehmen über eine bessere Informationssicherheit und stärkere Schutzmassnahmen verfügt, als eine zertifizierte Firma. Das werden Sie spätestens bei einem Lieferanten-Audit herausfinden – den Sie übrigens auch bei nicht zertifizierten Lieferanten erfragen dürfen. Und falls Sie Hilfe für einen Lieferanten-Audit benötigen, dürfen Sie mich jederzeit kontaktieren, ich helfe Ihnen gerne bei der Planung und Durchführung.

Quellen

[1] ISO/IEC 27001

[2] ISMS = Information Sicherheits Management System

[3] Ein Auditor sollte mindestens über die Zertifizierung als Lead Auditor ISO 27001 verfügen. Nur dann kennt er die normativen Grund lagen (und damit auch die Norm 19011 sowie 27006), welche für die professionelle Durchführung eines Audits erforderlich sind.

[4] Schweizerische Akkreditierungsstelle SAS

[5] DAkkS

[6] Global Accreditation Cooperation Incorporated, vormals IAF (International Accreditation Forum)

[7] Zertifikat ist nicht gleich Zertifikat

[8] Warum nicht jedes ISO-Zertifikat gleich viel wert ist