ISMS aufbauen – Leitfaden für Geschäftsführer

Inhalt in Kürze

• Ein ISMS ist kein IT-Projekt, sondern ein Managementsystem. Die Geschäftsführung trägt die Verantwortung und muss den Rahmen vorgeben.
• Drei Schutzziele bilden das Fundament: Vertraulichkeit, Integrität und Verfügbarkeit. Alles andere leitet sich daraus ab.
• KMU brauchen kein Goldrandmodell. Ein schlankes ISMS mit klarer Risikoanalyse schützt besser als ein dickes Handbuch, das niemand liest.
• ISO 27001 ist der internationale Standard. Eine Zertifizierung öffnet Türen bei Großkunden und öffentlichen Ausschreibungen.

Sie haben gerade einen neuen Großkunden gewonnen. Die Vertragsverhandlung läuft, alles sieht gut aus. Dann kommt die Frage: „Haben Sie ein ISMS?" Stille. Genau das passiert deutschen KMU täglich.

Ein Informationssicherheitsmanagementsystem klingt nach Konzern. Ist es aber nicht. Ein ISMS ist ein systematischer Ansatz, um Informationen zu schützen – Ihre Kundendaten, Ihre Geschäftsgeheimnisse, Ihre IT-Systeme. Und es beginnt nicht bei der Technik, sondern bei Ihnen als Geschäftsführer.

Was ein ISMS wirklich ist

ISMS steht für Informationssicherheitsmanagementsystem. Der internationale Standard ISO 27001 beschreibt die Anforderungen an ein solches System. Aber der Kern ist simpel: Sie identifizieren Risiken, bewerten sie und treffen Maßnahmen.

Dabei geht es um drei Schutzziele:

Diese drei Ziele klingen abstrakt. In der Praxis bedeuten sie: Wer darf auf welche Daten zugreifen? Wie stellen Sie sicher, dass Backups funktionieren? Was passiert, wenn ein Mitarbeiter sein Notebook im Zug vergisst?

Warum die Geschäftsführung den Hut aufhaben muss

Ein ISMS aufbauen heißt nicht: Die IT-Abteilung macht das schon. Informationssicherheit ist Chefsache. Das sagt nicht nur der gesunde Menschenverstand, sondern auch ISO 27001 in Abschnitt 5 – „Leadership".

Konkret bedeutet das:

• Sie legen die Sicherheitsziele fest.
• Sie stellen Budget und Personal bereit.
• Sie tragen die Verantwortung, wenn etwas schiefgeht.

Wir sehen das bei unseren Mandanten regelmäßig: Ohne Rückendeckung der Geschäftsführung versandet jedes ISMS-Projekt nach drei Monaten.

Es kam wirklich häufig vor, dass es dann ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir so gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern.

Nils OehmichenDatenschutzberater bei frag.hugo

ISMS aufbauen in 6 Schritten

Der Aufbau eines ISMS muss kein Mammutprojekt sein. Für KMU empfehlen wir einen pragmatischen Ansatz:

1. Bestandsaufnahme: Welche Informationen und Systeme sind geschäftskritisch? Erstellen Sie ein Asset-Inventar – vom Fileserver bis zum Papierarchiv.
2. Risikoanalyse: Welche Bedrohungen bestehen? Bewerten Sie Eintrittswahrscheinlichkeit und Schadenshöhe. Konzentrieren Sie sich auf die Top-10-Risiken.
3. Maßnahmen definieren: Für jedes Risiko legen Sie fest: Akzeptieren, vermeiden, reduzieren oder transferieren. Dokumentieren Sie Ihre Entscheidung.
4. Richtlinien erstellen: Schreiben Sie eine Informationssicherheitsleitlinie, Passwortrichtlinie, Backup-Konzept und Notfallplan. Kurz und verständlich.
5. Schulen und umsetzen: Schulen Sie alle Mitarbeiter. Ein ISMS lebt nur, wenn es verstanden und gelebt wird. Jährliche Auffrischungen sind Pflicht.
6. Prüfen und verbessern: Führen Sie interne Audits durch, werten Sie Vorfälle aus und passen Sie Maßnahmen an. Das ist der PDCA-Zyklus – Plan, Do, Check, Act.

Typische Fehler beim ISMS-Aufbau

Wir begleiten regelmäßig KMU beim Aufbau ihres ISMS. Diese Fehler sehen wir immer wieder:

Zu viel Dokumentation, zu wenig Praxis. 200 Seiten Sicherheitshandbuch nutzen nichts, wenn kein Mitarbeiter es liest. Halten Sie Dokumente schlank und praxisnah.

Keine Risikoanalyse. Manche Unternehmen kopieren Maßnahmenkataloge aus dem Internet und setzen sie 1:1 um. Das Problem: Die Maßnahmen passen nicht zu Ihren tatsächlichen Risiken. Eine fundierte Risikoanalyse spart langfristig Zeit und Geld.

IT-Abteilung allein gelassen. Informationssicherheit betrifft alle Abteilungen. Vertrieb, HR, Buchhaltung – überall werden sensible Daten verarbeitet. Binden Sie alle ein.

Einmal aufsetzen, nie wieder anfassen. Ein ISMS ist kein Projekt mit Enddatum. Es ist ein kontinuierlicher Prozess. Bedrohungen ändern sich. Ihre Maßnahmen müssen mitwachsen.

Wann lohnt sich eine ISO-27001-Zertifizierung?

Nicht jedes KMU braucht ein Zertifikat. Aber in diesen Fällen lohnt es sich:

• Ihre Kunden fordern es vertraglich.
• Sie nehmen an öffentlichen Ausschreibungen teil.
• Sie arbeiten in regulierten Branchen (Finanz, Gesundheit, KRITIS).
• Sie wollen sich am Markt differenzieren.

Die Zertifizierung durch eine akkreditierte Stelle wie den TÜV kostet für ein KMU typischerweise 8.000 bis 15.000 Euro. Dazu kommen interne Aufwände und eventuelle Beratungskosten. Aber: Ein zertifiziertes ISMS ist ein echtes Verkaufsargument.

Ihr nächster Schritt

Sie wollen ein ISMS aufbauen, wissen aber nicht, wo Sie anfangen? Wir unterstützen KMU in Hamburg und deutschlandweit – von der Gap-Analyse bis zur Zertifizierungsbegleitung. Als externer Datenschutzbeauftragter und Informationssicherheitsberater bringen wir die Erfahrung aus dutzenden ISMS-Projekten mit.

Häufige Fragen (FAQ)

Was ist ein ISMS und warum braucht mein Unternehmen eines?

Ein ISMS (Informationssicherheitsmanagementsystem) ist ein strukturierter Rahmen aus Richtlinien, Prozessen und Maßnahmen, der die Informationssicherheit systematisch steuert. Es schützt vor Cyberangriffen, erfüllt Compliance-Anforderungen und stärkt das Vertrauen von Kunden und Geschäftspartnern.

Wie lange dauert der Aufbau eines ISMS?

Für ein KMU mit 20 bis 100 Mitarbeitern sollten Sie mit 6 bis 12 Monaten rechnen – von der ersten Bestandsaufnahme bis zur gelebten Praxis. Eine ISO-27001-Zertifizierung kann zusätzlich 3 bis 6 Monate beanspruchen.

Was sind die drei Schutzziele der Informationssicherheit?

Die drei Schutzziele sind Vertraulichkeit (nur berechtigte Personen erhalten Zugang), Integrität (Daten bleiben korrekt und unverändert) und Verfügbarkeit (Systeme und Daten stehen bei Bedarf zur Verfügung). Sie bilden die Grundlage jedes ISMS.

Muss ein ISMS nach ISO 27001 zertifiziert sein?

Nein, eine Zertifizierung ist freiwillig. Aber viele Auftraggeber und Branchenstandards fordern sie. Auch ohne Zertifikat profitieren KMU von einem strukturierten ISMS – es senkt Risiken und schafft Transparenz.

Was kostet ein ISMS für ein KMU?

Die Kosten hängen von Unternehmensgröße und Komplexität ab. Für ein KMU mit 30 bis 50 Mitarbeitern liegen die externen Beratungskosten typischerweise zwischen 10.000 und 30.000 Euro. Dazu kommen interne Aufwände für Dokumentation und Schulungen.