Datensicherheit ist keine Checkliste. Sie ist ein Zusammenspiel aus Entscheidungen, Kontrollen, Überprüfungen und Verantwortlichkeiten. Genau deshalb spielt ISO 27001 bei der Auswahl einer Cloud-Kollaborationsplattform eine wichtige Rolle. Die Norm bietet einen strukturierten Rahmen, um zu beurteilen, ob ein Anbieter Informationssicherheit systematisch und nachvollziehbar managt.

Gleichzeitig wird ISO 27001 bei der Auswahl von Cloud-Software häufig missverstanden. Die Zertifizierung ist wertvoll – aber kein Allheilmittel. Ein Zertifikat verrät nicht alles darüber, wie ein Anbieter Daten verschlüsselt, Zugriffe verwaltet, Insider-Risiken begrenzt oder eine sichere Zusammenarbeit mit externen Parteien ermöglicht. Um eine fundierte Entscheidung treffen zu können, sollten Sie verstehen, was ISO 27001 tatsächlich abdeckt, was die Norm nicht garantiert und welche weiteren Aspekte Sie bewerten sollten.

Tresorit hat kürzlich das ISO-27001:2022-Überwachungsaudit erfolgreich bestanden und setzt damit den Zertifizierungsprozess fort, dessen Erlangung bereits zuvor angekündigt wurde. Für Käufer ist jedoch eine andere Frage entscheidend: Was sagt ISO 27001 in der Praxis über einen Anbieter von Cloud-Kollaborationslösungen aus?

Was ist ISO 27001?

ISO/IEC 27001 ist ein internationaler Standard für die Einführung, den Betrieb, die Überwachung und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS).

Vereinfacht gesagt verpflichtet die Norm Unternehmen dazu,

    • Risiken für die Informationssicherheit zu identifizieren,
    • geeignete Maßnahmen zu deren Behandlung festzulegen,
    • Zuständigkeiten und Kontrollen zu dokumentieren,
    • und regelmäßig zu prüfen, ob diese Maßnahmen wirksam sind.

Das ist wichtig, weil Sicherheitsvorfälle in Cloud-Kollaborationsumgebungen selten durch einen einzelnen schwerwiegenden Fehler entstehen. Häufig sind vielmehr alltägliche Schwachstellen die Ursache: nicht überprüfte Zugriffsrechte, zu lange aktive Freigabelinks, unzureichend bewertete Dienstleister, inkonsistente Reaktionsprozesse auf Vorfälle oder sensible Dateien, die außerhalb freigegebener Prozesse ausgetauscht werden. ISO 27001 schafft hierfür einen strukturierten Rahmen.

ISO 27001 zertifiziert das Informationssicherheits-Managementsystem (ISMS) einer Organisation – nicht die Unangreifbarkeit eines Produkts. Der Wert der Norm liegt darin, wie systematisch Risiken identifiziert, Maßnahmen umgesetzt und Prozesse kontinuierlich verbessert werden. 

Was ISO 27001 garantiert – und was nicht

ISO 27001 ist wertvoll, weil die Norm zeigt, dass Informationssicherheit systematisch gesteuert und unabhängig geprüft wird. Dennoch sollte die Bedeutung eines Zertifikats nicht überschätzt werden.

Was ISO 27001 zeigt:

    • Die Organisation verfügt über ein definiertes ISMS.
    • Risiken werden anhand dokumentierter Prozesse bewertet und behandelt.
    • Sicherheitsmaßnahmen werden gesteuert und regelmäßig überprüft.
    • Audits und kontinuierliche Verbesserungen gehören zum Betriebsmodell.
    • Rollen, Verantwortlichkeiten und Prozesse für Sicherheitsvorfälle sind klar definiert.

Was ISO 27001 nicht garantiert:

    • Dass es niemals zu einem Sicherheitsvorfall kommt.
    • Dass jede Lösung, jedes Team oder jeder Prozess vom Zertifikat erfasst wird.
    • Dass alle branchenspezifischen Vorschriften automatisch erfüllt werden.
    • Dass die Plattform für jeden Anwendungsfall die sicherste technische Architektur bietet.
    • Dass die Lösung optimal zu Ihren Anforderungen in Bezug auf Datenaustausch, Datenschutz oder Datenresidenz passt.

Ein Praxisbeispiel: Ein Cloud-Speicheranbieter kann ISO-27001-zertifiziert sein und dennoch Freigabeeinstellungen anbieten, die für Ihr Unternehmen zu weitreichend sind, wenn sie nicht korrekt konfiguriert werden. Die Zertifizierung bestätigt eine strukturierte Sicherheits-Governance – sie ersetzt jedoch weder die Bewertung der Plattform noch eine sorgfältige Konfiguration oder interne Richtlinien.

Ein gültiges ISO-27001-Zertifikat ist ein starkes Signal für die Sorgfaltsprüfung eines Anbieters. Dennoch sollten Unternehmen weiterhin Zugriffskontrollen, Verschlüsselung, Protokollierung, Freigaberichtlinien und den Zertifizierungsumfang bewerten. 

Wie ISO 27001 auf Cloud-Speicherung und Zusammenarbeit angewendet wird

Im Bereich der Cloud-Kollaboration wird ISO 27001 überall dort relevant, wo sensible Dateien zwischen Personen, Geräten und Organisationen ausgetauscht werden. Dazu gehören:

    • Benutzerzugriffe
    • Externe Freigaben
    • Berechtigungsverwaltung
    • Lieferanten- und Dienstleistermanagement
    • Incident Response
    • Sichere Verwaltung von Backups und Protokollen

Wenn Teams beispielsweise Verträge, Finanzberichte, HR-Dokumente oder Vorstandsunterlagen über eine Cloud-Plattform austauschen, ergeben sich sehr konkrete Fragen:

    • Wer hat Zugriff auf diese Dateien und wie wird dieser Zugriff überprüft?
    • Wie werden externe Freigaben erstellt, überwacht und widerrufen?
    • Werden Gastzugänge zentral gesteuert oder individuell vergeben?
    • Was passiert bei Verlust eines Geräts oder einer kompromittierten Identität?
    • Wie werden Dienstleister und Unterauftragsverarbeiter bewertet?
    • Wie schnell kann der Anbieter Sicherheitsvorfälle erkennen, untersuchen und darauf reagieren?

ISO 27001 schreibt keine bestimmte technische Architektur vor, bietet aber den organisatorischen Rahmen für diese Fragestellungen. Für Käufer ist das relevant, weil Sicherheit in der Cloud weit mehr umfasst als reine Datenspeicherung. Es geht um Freigabeprozesse, Genehmigungen, Bearbeitung, Aufbewahrung und Zugriff innerhalb realer Geschäftsabläufe.

Gerade hier lohnt sich ein Blick über das Zertifikat hinaus. Für besonders sensible Daten können technische Schutzmechanismen wie Ende-zu-Ende-Verschlüsselung, Zero-Knowledge-Verschlüsselung, granulare Zugriffsrichtlinien, zeitlich begrenzte Links, Download-Beschränkungen, Audit-Logs und umfassende Administratortransparenz das Risiko erheblich reduzieren. ISO 27001 unterstützt die strukturierte Verwaltung solcher Maßnahmen, garantiert jedoch nicht automatisch deren Vorhandensein.

Häufige Missverständnisse rund um ISO 27001

1. „ISO 27001 bedeutet vollständige Sicherheit.“

Nein. Keine Zertifizierung kann garantieren, dass es niemals zu Sicherheitsvorfällen kommt. ISO 27001 reduziert Risiken durch strukturierte Prozesse und Kontrollen, beseitigt sie jedoch nicht vollständig.

2. „ISO 27001 zertifiziert das Produkt.“

Nicht direkt. Zertifiziert wird das ISMS einer Organisation und der in der Zertifizierung festgelegte Geltungsbereich.

3. „Mit ISO 27001 muss ich nichts weiter prüfen.“

Doch. Aspekte wie Verschlüsselung, Identitätsmanagement, Berechtigungsmodelle, Auditierbarkeit, Datenresidenz und sichere externe Zusammenarbeit bleiben wichtige Bewertungskriterien.

4. „ISO 27001 und Compliance sind dasselbe.“

Die Norm kann Compliance unterstützen, ersetzt aber weder die DSGVO noch branchenspezifische Vorgaben oder Rahmenwerke wie NIS2 oder DORA.

5. „Ein jährliches Audit garantiert Sicherheit bis zum nächsten Audit.“

Das Gegenteil ist der Fall: Ein reifes ISMS setzt auf kontinuierliche Risikoüberwachung, Korrekturmaßnahmen und Verbesserungen zwischen den Auditterminen.

Wie Unternehmen einen ISO-zertifizierten Anbieter bewerten sollten

Wenn ein Anbieter von Cloud-Kollaborationslösungen angibt, nach ISO 27001 zertifiziert zu sein, sollten Sie insbesondere die folgenden Fragen stellen:

1. Welchen Geltungsbereich umfasst die Zertifizierung?

Dies sollte Ihre erste Frage sein – kein Detail am Rande. Prüfen Sie, ob die Zertifizierung den konkreten Cloud-Dienst abdeckt, den Sie erwerben möchten, die relevante Betriebsumgebung umfasst und die Teams einschließt, die den Dienst betreiben.

2. Wie schützt der Anbieter reale Kollaborationsprozesse?

Achten Sie darauf, wie die Lösung mit folgenden Aspekten umgeht:

  • interne und externe Dateifreigabe
  • Gastzugänge
  • Vererbung von Berechtigungen
  • granulare Sicherheitseinstellungen für Freigabelinks
  • Gerätevertrauen und Sitzungsverwaltung
  • Audit-Trails für Downloads, Bearbeitungen und Freigaben

3. Welches Verschlüsselungsmodell wird eingesetzt?

Für die Zusammenarbeit mit sensiblen Informationen spielt die Verschlüsselungsarchitektur eine entscheidende Rolle. Ein Anbieter mit Zero-Knowledge-Verschlüsselung reduziert das Risiko unbefugter Zugriffe, da er Kundendateien nicht im Klartext lesen kann. Dies ist zwar keine Voraussetzung für ISO 27001, kann jedoch – abhängig von Ihrem Risikoprofil – ein wichtiger Differenzierungsfaktor sein.

4. Wie leistungsfähig sind die Administrations- und Transparenzfunktionen?

Auch bei einer ISO-zertifizierten Lösung sollten Sie die operative Nutzbarkeit kritisch hinterfragen: Können Administratoren Freigaben zentral steuern, Zugriffe schnell entziehen, Richtlinien gruppenbasiert anwenden, Integrationen zentral verwalten und Sicherheitsvorfälle untersuchen, ohne auf manuelle Workarounds angewiesen zu sein?

5. Wie unterstützt der Anbieter Ihre regulatorischen Anforderungen?

Wenn Ihr Unternehmen sich auf regulatorische Rahmenwerke wie NIS2 vorbereitet, kann eine ISO-27001-Zertifizierung ein wertvoller Hinweis auf die Sicherheitsreife eines Anbieters sein. Sie sollte jedoch keine detaillierte Prüfung ersetzen, wie der Anbieter Themen wie Incident Response, Lieferantenrisiken, Zugriffs-Governance und sichere Dateifreigabeprozesse umsetzt.

Die wichtigste Frage bei ISO 27001 ist nicht, ob ein Anbieter ein Zertifikat besitzt, sondern was dieses Zertifikat tatsächlich abdeckt. Der Geltungsbereich entscheidet darüber, ob die zertifizierten Prozesse auch auf die Dienste und Arbeitsabläufe anwendbar sind, die Ihr Unternehmen nutzen möchte.

Warum eine kontinuierliche Zertifizierung wichtig ist

Die ISO-27001-Zertifizierung basiert auf einem mehrjährigen Zertifizierungszyklus mit regelmäßigen Überwachungsaudits. Das ist wichtig, weil sich Cloud-Umgebungen ständig verändern: Neue Funktionen werden eingeführt, Integrationen ergänzt, Dienstleister wechseln, Mitarbeitende übernehmen neue Rollen und Bedrohungsakteure entwickeln ihre Angriffsmethoden kontinuierlich weiter.

Ein Anbieter, der seine Zertifizierung dauerhaft aufrechterhält, zeigt damit, dass Informationssicherheit nicht als einmaliges Projekt betrachtet wird, sondern als fortlaufender Prozess.

Bei Tresorit zeigt das erfolgreiche Bestehen des aktuellen Überwachungsaudits nach ISO 27001:2022, dass die Sicherheitsprozesse weiterhin den aktuellen Anforderungen entsprechen und fortlaufend überwacht werden. Für Kunden ist dies nicht nur ein Marketingmerkmal, sondern ein Nachweis dafür, dass das Informationssicherheitsmanagement regelmäßig überprüft und kontinuierlich weiterentwickelt wird.

Die besten Kaufentscheidungen basieren jedoch nicht allein auf einem Zertifikat. Sie kombinieren Governance-Nachweise wie ISO 27001 mit einer Bewertung technischer und betrieblicher Aspekte wie Verschlüsselung, Zugriffskontrolle, externer Zusammenarbeit und administrativer Transparenz. Genau diese Kombination ist entscheidend für eine sichere Cloud-Kollaboration.

Wenn Sie Anbieter vergleichen, sollten Sie ISO 27001 als Ausgangspunkt betrachten – nicht als Endpunkt Ihrer Bewertung. Und wenn Ihre Teams mit besonders sensiblen Informationen arbeiten, lohnt es sich, genau zu prüfen, ob die Plattform eine sichere Zusammenarbeit ermöglicht, ohne Nutzer zu riskanten Workarounds oder Schatten-IT-Lösungen zu drängen.

Weitere Informationen zum Sicherheitsansatz von Tresorit, einschließlich sicherer Kollaborationsfunktionen und der zugrunde liegenden Verschlüsselungsprinzipien, finden Sie auf der Sicherheitsseite von Tresorit.

Wenn Compliance-Anforderungen ebenfalls Teil Ihrer Bewertung sind, bietet die Compliance-Seite von Tresorit einen Überblick über den Compliance-Ansatz des Unternehmens und unterstützt Sie dabei, die für Ihre Organisation relevanten Vorschriften und Standards besser einzuordnen.

Tresorit Team