Wertemanagement nach ISO 27001 als Sicherheitsfaktor

Wertemanagement (im Kontext der Informationssicherheit meist Asset Management) bezeichnet die systematische Erfassung, Klassifizierung, Verwaltung und den Schutz aller Werte (Assets) einer Organisation.

Zu diesen Werten gehören beispielsweise:

  • Informationen und Daten
  • IT-Systeme und Anwendungen
  • Server, Endgeräte und Netzwerke
  • Geschäftsprozesse
  • Dokumentationen
  • Mitarbeiterwissen und geistiges Eigentum

Das Ziel des Wertemanagements ist es, zu wissen:

  1. Welche Werte vorhanden sind.
  2. Welchen Schutzbedarf sie haben.
  3. Wer für sie verantwortlich ist.
  4. Wie sie angemessen geschützt werden müssen.

Wertemanagement nach ISO 27001

Die internationale Norm ISO/IEC 27001 fordert, dass Organisationen ihre Informationswerte identifizieren und verwalten. In den aktuellen Anforderungen der Norm ist das Asset Management in verschiedene Kontrollen integriert, beispielsweise Inventarisierung von Informationen und anderen zugehörigen Werten, Verantwortlichkeiten sowie Regeln für den Umgang mit Informationen.

Typische Maßnahmen sind:

  • Führen eines Asset-Verzeichnisses
  • Benennung von Asset-Eigentümern (Ownern)
  • Klassifizierung von Informationen (z. B. öffentlich, intern, vertraulich)
  • Regelungen zur Nutzung und Aufbewahrung
  • Sichere Entsorgung oder Löschung von Informationen

Warum ist Wertemanagement ein Sicherheitsfaktor?

Wertemanagement ist ein wesentlicher Sicherheitsfaktor, weil man nur schützen kann, was man kennt.

Ohne Wertemanagement:

  • bleiben wichtige Daten oder Systeme unentdeckt,
  • werden Schutzmaßnahmen falsch priorisiert,
  • entstehen Sicherheitslücken,
  • können gesetzliche oder vertragliche Anforderungen verletzt werden.

Mit wirksamem Wertemanagement:

  • werden kritische Werte identifiziert,
  • Risiken gezielt bewertet,
  • Sicherheitsmaßnahmen bedarfsgerecht umgesetzt,
  • Ressourcen wirtschaftlich eingesetzt,
  • Vertraulichkeit, Integrität und Verfügbarkeit besser gewährleistet.

Wertemanagement schafft die notwendige Transparenz über die schützenswerten Werte einer Organisation und bildet damit die Grundlage für ein wirksames Informationssicherheitsmanagement. Doch die bloße Erfassung, Klassifizierung und Zuordnung von Assets reicht allein nicht aus. Ob Verantwortlichkeiten tatsächlich wahrgenommen, Risiken offen kommuniziert und Sicherheitsmaßnahmen konsequent umgesetzt werden, hängt maßgeblich von der Unternehmenskultur ab. Damit wird deutlich: Informationssicherheit ist nicht nur eine Frage von Prozessen und Technik, sondern auch von den Werten, die in einer Organisation gelebt werden.

Gelebte Unternehmenskultur

Technologie allein schafft keine Sicherheit. Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 basiert zwar auf Prozessen, Rollen und Risikobewertungen, seine Wirksamkeit hängt jedoch entscheidend von der gelebten Unternehmenskultur ab.

Verantwortung – Sicherheit aktiv leben

ISO 27001 fordert klare Verantwortlichkeiten für Informationen und technische Assets. Entscheidend ist jedoch, dass diese Verantwortung nicht nur dokumentiert, sondern auch gelebt wird. Mitarbeitende und Asset-Verantwortliche, die Risiken aktiv erkennen und adressieren, tragen wesentlich zur Stabilität und Sicherheit der Organisation bei.

Transparenz – Grundlage für wirksame Risikosteuerung

Informationssicherheit lebt von Offenheit und Nachvollziehbarkeit. Eine transparente Unternehmenskultur fördert die Meldung von Schwachstellen, Sicherheitsvorfällen und Verbesserungspotenzialen. Dadurch können Risiken realistischer bewertet und Maßnahmen dort umgesetzt werden, wo sie den größten Nutzen bringen.

Fehlertoleranz – Lernen statt Verbergen

Fehler lassen sich weder bei Menschen noch bei technischen Systemen vollständig vermeiden. Entscheidend ist der Umgang mit ihnen. Organisationen mit einer positiven Fehlerkultur analysieren Vorfälle systematisch, lernen daraus und verbessern kontinuierlich ihre Prozesse und Sicherheitsmaßnahmen. Dadurch steigt die Resilienz des gesamten Systems.

Werte zeigen sich im Umgang mit Assets

Ob Server, Anwendungen, Cloud-Dienste oder Dokumentationen – der Umgang mit Assets macht die Sicherheitskultur sichtbar. Werden Systeme gepflegt, dokumentiert und regelmäßig überprüft? Werden Risiken offen angesprochen und Verbesserungen umgesetzt? Solche Entscheidungen entstehen nicht allein aus Richtlinien, sondern aus gelebten Werten.

Kultur als Bestandteil wirksamer Informationssicherheit

Unternehmenswerte beeinflussen unmittelbar die Risikowahrnehmung, die Auswahl von Schutzmaßnahmen und die Wirksamkeit von Audits. Organisationen, die Verantwortung, Transparenz und Lernbereitschaft fördern, erfüllen die Anforderungen der ISO 27001 nicht nur formal, sondern stärken die Informationssicherheit nachhaltig.

Fazit

Wertemanagement sorgt dafür, dass schützenswerte Informationen und Ressourcen bekannt sind. Eine werteorientierte Unternehmenskultur sorgt dafür, dass diese Werte tatsächlich geschützt werden. Erst das Zusammenspiel von Assets, Prozessen, Technik und gelebten Werten macht Informationssicherheit langfristig wirksam und belastbar.

Was Sie auch interessieren könnte:

Seminar:

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

/von

Kennzahlen-Dashboard für die Geschäftsleitung

Seit NIS2 und den Verschärfungen im BSI-Gesetz ist klar: Informationssicherheit ist kein IT-Nebenthema mehr, sondern eine originäre Pflicht der Geschäftsleitung. Sie müssen Risiken kennen, Maßnahmen umsetzen und deren Wirksamkeit überwachen – und das nachweisbar. Ein Kennzahlen-Dashboard kann dafür ein zentrales Führungsinstrument sein, weil es komplexe Daten in entscheidungsrelevante Informationen für das Management verdichtet.

Genau deshalb ist die Art und Weise, wie ein Dashboard aufgebaut ist, entscheidend. Dashboards, die sich nur am Design orientieren, aber nicht an den tatsächlichen Nutzeranforderungen der Entscheider, werden schnell ignoriert oder falsch interpretiert. Für eine Geschäftsleitung zählt nicht die Optik, sondern die Frage: „Erkenne ich auf einen Blick, wo ich handeln muss?“

Kein Wassermelonen-Dashboard

Ein verbreitetes Problem ist das sogenannte Wassermelonen-Dashboard. Von außen sieht alles positiv aus: Alle Ampeln stehen auf „grün“, alle KPIs erfüllen scheinbar die Zielsetzungen. Doch hinter der Oberfläche sind die Risiken hoch, Maßnahmen verzögert oder nur auf dem Papier umgesetzt – in Wahrheit stehen die Ampeln auf „rot“. Ein solches Dashboard mag kurzfristig beruhigen, erfüllt aber weder die gesetzlichen Pflichten noch die Verantwortung gegenüber Unternehmen, Mitarbeitenden und Kunden.

Für eine Geschäftsleitung ist ein ehrliches Dashboard deutlich wertvoller als ein schönes. Es sollte

  • klar zeigen, wo Risiken zunehmen,
  • offenlegen, welche Maßnahmen überfällig oder unwirksam sind,
  • Trends über die Zeit sichtbar machen, statt nur eine Momentaufnahme zu liefern,
  • die tatsächlich kritischen Abweichungen deutlich hervorheben.

Hierfür kann es sinnvoll sein, die Kennzahlen gezielt so zu wählen, dass sie Bereiche messen, in denen Probleme vermutet werden, und andere Kennzahlen wieder zu entfernen, wenn sie sich über mehrere Messintervalle stabil im positiven Bereich halten. Einen normativen Rahmen hierzu liefert die ISO 27001 mit Kapitel 9.1. Darin wird explizit gefordert, dass die Organisation bestimmen muss,

  • was überwacht wird,
  • wie gemessen wird,
  • wann gemessen wird und
  • wer die Ergebnisse analysiert und bewertet.

Die Ergebnisse sollten vergleichbar, reproduzierbar und dokumentiert sein, um als Grundlage für Entscheidungen zu dienen. Ein Kennzahlen-Dashboard, das diese Anforderungen erfüllt, liefert der Geschäftsleitung genau das: eine belastbare Basis, um Prioritäten zu setzen, Budgets zu steuern und Risiken bewusst zu akzeptieren oder zu reduzieren.

Ein „ehrlich rotes“ Dashboard ist daher kein Makel, sondern ein Signal für Transparenz und Reife. Es zeigt, dass Risiken gesehen, benannt und aktiv adressiert werden. Nur auf dieser Grundlage kann die Geschäftsleitung ihrer Pflicht zur Umsetzung und Überwachung von Maßnahmen gewissenhaft nachkommen – und das Unternehmen wirksam steuern, statt sich von einer grünen Oberfläche in Sicherheit wiegen zu lassen.

Was Sie auch interessieren könnte:

Seminar:

„Wirksamkeitsmessung nach ISO 27004“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Besonders interessant ist die Folge: Kennzahlen im ISMS

Hören Sie rein!

/von
,

Wirksamkeitsmessung im ISMS – Wirksamkeit nachweisen

In einem vorangehenden Beitrag habe ich einen kurzen Überblick über die Messung der Wirksamkeit eines Informationssicherheits-Managementsystems (ISMS) und seiner Maßnahmen gegeben. Dieser Artikel beschäftigt sich mit der Frage, wie Wirksamkeit nachgewiesen werden kann.

Voraussetzung für die Wirksamkeitsfeststellung

Was bedeutet Wirksamkeit? Die ISO 27000 definiert Wirksamkeit als “das Ausmaß, in dem geplante Aktivitäten umgesetzt und geplante Ergebnisse erreicht werden”. Es bedarf also zunächst geplanter, d.h. beabsichtigter Aktivitäten und beabsichtigter Ergebnisse. Ohne konkrete Vorstellung eines zu erreichenden Zustandes kann es also keine Wirksamkeitsmessung geben.

Vergleichen wir das mit der Realität in vielen Organisationen, so muss man feststellen, dass es einer validen Wirksamkeitsmessung bereits an den Voraussetzungen mangelt. Häufig werden Maßnahmen der Informationssicherheit umgesetzt, weil das so üblich ist. Auch wenn die Maßnahme zur Bearbeitung eines Risikos oder zur Erfüllung einer zutreffenden Anforderung ausgewählt wurde, fehlt oft eine (dokumentierte) Vorstellung, unter welchen Umständen man die Maßnahme als wirksam und erfolgreich bezeichnen möchte. Häufig geht man davon aus, dass die Maßnahme schon (vollumfänglich) erfolgreich sein wird. Mit der Umsetzung der Maßnahme gilt das Ziel dann als erreicht. Eine Wirksamkeitsmessung erübrigt sich unter dieser Annahme.

Die Festlegung von Kriterien der Wirksamkeit und des Erfolges von Maßnahmen ist also zwingend notwendig.

Feststellung der Wirksamkeit

Maßnahmen können vollumfänglich erfolgreich sein, teilweise erfolgreich, unwirksam oder, wenn es ganz schlecht läuft, sogar kontraproduktiv. Wer nicht nachschaut, wird nicht erfahren, wie es im konkreten Fall bei ihm ausschaut.

Überwachung und Messung

Für die Überprüfung der Wirksamkeit bieten sich Messungen an. Diese sind als Mittel der Bewertung der Leistung eines ISMS sowie der Informationssicherheitsleistung in Kapitel 9.1 der ISO 27001 verbindlich vorgesehen.

Die Definition und Pflege von Leistungskennzahlen sind ein probates Mittel. Leistungskennzahlen enthalten in ihrem Zielwert das beabsichtigte Ergebnis. Die Wirksamkeit einer oder mehrerer Maßnahmen oder eines Teilaspekts dieser Maßnahmen lässt sich an der Leistungskennzahl also direkt ablesen. Weitere Ausführungen hierzu finden sich in den Artikeln “Wirksamkeitsmessung im ISMS – Wirksamkeit des Managementsystems” und “Wirksamkeitsmessung im ISMS – Informationssicherheitsleistung”

Audits

Audits sind ein weiteres Mittel zur Überprüfung der Wirksamkeit. Typischerweise umfassen Audits drei Prüfebenen: Eignung, Angemessenheit und Wirksamkeit.

In der Praxis verbringen Auditoren leider zuviel Zeit mit Dokumentenprüfungen, d.h. mit Eignungsprüfung sowie mit der Umsetzung der anwendbaren Regelungen. Für die Prüfung der Wirksamkeit bleibt häufig zu wenig Zeit. Wenn die Reife eines ISMS zunimmt sollte sich der Schwerpunkt der Audits allerdings deutlich Richtung Wirksamkeit verschieben. Auditoren sollten dann intensiver und nachdrücklicher nach “geplanten Ergebnissen” fragen sowie sich mit der Frage der Zielerreichung beschäftigen.

Weitere Ausführungen zu Audits als Mittel der Wirksamkeitsprüfung finden Sie in dem Artikel “Wirksamkeitsmessung im ISMS – Interne Audits“.

Managementbewertung

Die Managementbewertung nach ISO 27001 ist eine Bewertung durch die oberste Leitung einer Organisation. Die Vorstände, Geschäftsführungen, Präsidenten, wie immer auch die Mitglieder der obersten Leitung in der konkreten Organisation heißen, sind für die Informationssicherheit verantwortlich. Meist delegieren sie diese Aufgabe an einen Beauftragten (Informationssicherheitsbeauftrager – ISB) mit dem Auftrag ein ISMS aufzubauen, zu verwirklichen, aufrechtzuerhalten und fortlaufend zu verbessern. In geplanten Abständen müssen sie überprüfen, ob diese Aufgabe in geeigneter, angemessener und wirksamer Weise ausgeführt wird. Eine solche Prüfung kann valide nur durchgeführt werden, wenn die oberste Leitung konkrete Vorstellungen von der Zielsetzung des ISMS hat. Damit ist auch die Managementbewertung eine Form bzw. ein Element der Wirksamkeitsmessung.

Weitere Ausführungen zu Audits als Mittel der Wirksamkeitsprüfung finden Sie in dem Artikel “Wirksamkeitsmessung im ISMS – Managementbewertung”

Was Sie noch interessieren könnte…

Seminar:

„Wirksamkeitsmessung nach ISO 27004“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

In unserem Podcast “Wirksamkeitsmessung in der ISO 27001” informieren wir Sie in lockerer Art und Weise über folgende Aspekte:

  • Was fordert die ISO 27001 und die ISO 27004?
  • Wie findet man heraus, was gemessen werden sollte und mit welchen Methoden?
  • Worauf achten Auditoren?
  • Was sind beispielhafte Kenngrößen?

Hören Sie rein!

/von
,

Von der Normenvielfalt zur integrierten Compliance

Warum integrierte Compliance zum Gamechanger wird

Unternehmen stehen heute vor der Herausforderung, unterschiedliche Anforderungen aus Informationssicherheit, Datenschutz und branchenspezifischen Standards nicht nur zu erfüllen, sondern sinnvoll miteinander zu verzahnen. Gerade NIS2, TISAX und die DSGVO zeigen, wie eng regulatorische Vorgaben, technische Schutzmaßnahmen und organisatorische Prozesse miteinander verbunden sind. Wer diese Anforderungen einzeln betrachtet, riskiert Doppelarbeit, Medienbrüche und uneinheitliche Nachweise. Ein integrierter Ansatz schafft hier deutlich mehr Klarheit, Effizienz und Steuerbarkeit.

Gemeinsame Basis statt paralleler Systeme

Ob NIS2, TISAX oder Datenschutz: Im Kern geht es fast immer um denselben Grundgedanken – Informationen, Prozesse und Lieferketten wirksam zu schützen. Die Unterschiede liegen vor allem in der Sprache der Regelwerke, den jeweiligen Schwerpunkten und den konkreten Nachweisanforderungen. Genau deshalb lohnt es sich, die Anforderungen nicht isoliert umzusetzen, sondern in ein gemeinsames Managementsystem zu überführen. Ein solides Informationssicherheits-Managementsystem auf Basis der ISO 27001 kann dafür das Rückgrat bilden.

Die ISO 27001 bietet mit ihrem risikobasierten Ansatz, klaren Verantwortlichkeiten und dokumentierten Prozessen einen Rahmen, der sich gut auf weitere Anforderungen ausdehnen lässt. So können technische und organisatorische Maßnahmen aus der DSGVO, branchenspezifische Vorgaben aus TISAX und die erweiterten Cybersecurity-Pflichten aus NIS2 in einer konsistenten Struktur zusammengeführt werden. Das reduziert Redundanzen und verbessert die Nachweisfähigkeit.

Typische Beispiele aus der Praxis

Besonders anschaulich wird der Nutzen integrierter Compliance an konkreten Anwendungsfeldern. In der Energiewirtschaft etwa treffen verschiedene Regelwerke aufeinander: der IT-Sicherheitskatalog nach § 11 EnWG, branchenspezifische Sicherheitsstandards, NIS2, ISO 27001 und ISO 27019, KRITIS-Vorgaben, Datenschutzrecht, Business-Continuity-Management und teilweise auch technische Sicherheitsmanagementsysteme. Diese Vielfalt führt schnell zu parallelen Prüfungen, unterschiedlichen Verantwortlichkeiten und hohem Dokumentationsaufwand.

Ein integriertes Vorgehen setzt hier auf gemeinsame Kontrollpunkte, abgestimmte Rollen und eine einheitliche Governance. Statt jede Anforderung separat zu pflegen, werden Überschneidungen systematisch zusammengeführt. So kann etwa ein zentrales Risikomanagement gleichzeitig Anforderungen aus Informationssicherheit, Krisenresilienz und Lieferketten-Compliance bedienen. Auch gemeinsame Audits werden dadurch realistischer und effizienter.

Erfolgsfaktoren der Integration

Damit integrierte Compliance funktioniert, braucht es mehr als nur eine gute Absicht. Entscheidend ist zunächst ein sauberes Anforderungs-Mapping, also die strukturierte Zuordnung von Pflichten, Kontrollen und Nachweisen aus verschiedenen Regelwerken. Auf dieser Basis lassen sich gemeinsame Kontrollrahmen entwickeln, die fachlich tragfähig und organisatorisch praktikabel sind.

Ebenso wichtig ist eine einheitliche Governance. Wenn Rollen, Verantwortlichkeiten und Berichtslinien nicht klar definiert sind, entstehen Lücken zwischen Fachbereichen, Informationssicherheit, Datenschutz und Management. Hinzu kommt die technische Unterstützung: Zentrale GRC- oder ISMS-Tools helfen, Maßnahmen, Nachweise und Risikoanalysen konsistent zu dokumentieren. So wird aus einem komplexen Anforderungsgemisch ein steuerbares System.

Datenschutz als Integrationsbeispiel

Ein gutes Beispiel für das Zusammenspiel von Datenschutz und Informationssicherheit ist das Löschkonzept. Die DSGVO verlangt, dass personenbezogene Daten nicht länger als notwendig aufbewahrt werden und nach Wegfall des Zwecks ordnungsgemäß gelöscht werden. In der Praxis braucht es dafür klare Regeln zu Datenarten, Löschfristen, Verantwortlichkeiten, Verfahren und Dokumentation.

Genau hier zeigt sich der Mehrwert eines integrierten ISMS. Löschkonzepte lassen sich mit bestehenden Kontrollen zur Informationsklassifizierung, Archivierung, Berechtigung und Incident-Bearbeitung verbinden. Datenschutz wird dadurch nicht als separate Sonderaufgabe behandelt, sondern als Teil eines durchgängigen Sicherheits- und Governance-Modells. Das erleichtert die Umsetzung und stärkt zugleich die Rechenschaftsfähigkeit.

TISAX und NIS2 im Zusammenspiel

Auch TISAX und NIS2 profitieren von einer integrierten Sichtweise. TISAX stellt in der automobilen Lieferkette besondere Anforderungen an Informationssicherheit, etwa beim Schutz von Prototypen, bei der Steuerung von Dienstleistern und bei der Klassifizierung sensibler Informationen. NIS2 erweitert den Fokus zusätzlich auf Cybersecurity-Risikomanagement, Incident-Management, Business Continuity und Meldepflichten.

Viele dieser Themen sind bereits in einem gut aufgebauten ISMS angelegt. Wer also Risiken systematisch bewertet, Zugriffe sauber steuert, Lieferanten einbindet und Vorfälle strukturiert behandelt, schafft eine belastbare Basis für mehrere Anforderungen zugleich. Die branchenspezifischen Ergänzungen werden dann zu Erweiterungen eines bereits funktionierenden Rahmens statt zu einem zusätzlichen Parallelprojekt.

Zusammenarbeit als strategischer Hebel

NIS2 macht außerdem deutlich, dass Sicherheit heute nicht an der eigenen Unternehmensgrenze endet. Betreiber, Lieferanten, IT-Dienstleister und Behörden müssen enger zusammenarbeiten, um Sicherheitsvorfälle, Abhängigkeiten und Risiken beherrschbar zu machen. Gerade in regulierten Branchen entstehen dadurch neue Netzwerke und abgestimmte Vorgehensweisen, die über das einzelne Unternehmen hinausreichen.

Das ist nicht nur eine regulatorische Pflicht, sondern auch eine strategische Chance. Wer seine Partner in Sicherheits- und Compliance-Prozesse einbindet, verbessert die Transparenz entlang der Lieferkette und stärkt die Resilienz des eigenen Geschäftsmodells. Integrierte Compliance wird so zu einem Instrument moderner Unternehmenssteuerung.

Fazit

Integrierte Compliance reduziert Doppelarbeit, verbessert Nachweisführung und Governance, erhöht Sicherheitsreife und Resilienz und verwandelt regulatorischen Aufwand in strategischen Mehrwert.

Was Sie auch interessieren könnte:

Beiträge:

Beitragsreihe: TISAX® – Informationssicherheit im Detail Teil 1-8

Beitragsreihe: Datenschutz in ein bestehendes ISMS integrieren Teil 1-5

NIS2 Umsetzung in Deutschland: Risikomanagement

Ratgeber Informationssicherheit für Geschäftsführung

Seminare:

“ISO 27701 – Den Datenschutz in ein bestehendes ISMS nach ISO 27001 integrieren”

„TISAX® – Informationssicherheit in der Automobilindustrie“

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

 

/von
,

Podcast – Security on Air – Heute Maßregelprozess

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Der Maßregelprozess nach ISO 27001: Klarheit statt Willkür

Der Maßregelprozess gehört zu den Themen der ISO 27001, über die in Unternehmen oft zuerst mit Skepsis gesprochen wird. Der Begriff klingt streng, fast nach Sanktion oder Disziplinierung. Genau darin liegt aber auch die Chance: Richtig verstanden ist der Maßregelprozess kein Strafinstrument, sondern ein wichtiges Führungs- und Steuerungswerkzeug in der Informationssicherheit.

Im Kern geht es darum, einen klaren und fairen Umgang mit wiederholten oder schwerwiegenden Verstößen gegen Sicherheitsregeln zu schaffen. Unternehmen benötigen solche Regeln, damit Informationssicherheit nicht nur auf dem Papier existiert, sondern im Alltag verlässlich gelebt wird. Der Maßregelprozess setzt genau dort an, wo Coaching, Unterweisung und freundliche Hinweise nicht mehr ausreichen.

Besonders wichtig ist dabei die Abgrenzung: Wann bleibt ein Vorfall im Gesprächsrahmen, und wann wird er offiziell? Wer ist zuständig, wer entscheidet, und wie wird ein Fall sauber dokumentiert? Ein gut definierter Prozess schafft hier Sicherheit für alle Beteiligten — für Führungskräfte ebenso wie für Mitarbeitende.

Gleichzeitig darf der Maßregelprozess nicht als starres Strafsystem missverstanden werden. Er soll keine Angst erzeugen, sondern Transparenz schaffen. Dazu gehören auch Anhörung, Verhältnismäßigkeit und eine klare Kommunikation. Gerade diese Punkte sorgen dafür, dass aus einem heiklen Thema ein nachvollziehbarer Bestandteil der Sicherheitskultur wird.

In unserer aktuellen Podcast-Folge sprechen wir darüber, warum der Maßregelprozess in der Praxis oft weniger bedrohlich ist, als sein Name vermuten lässt, und weshalb er für Unternehmen ein wichtiges Instrument für klare Führung und gelebte Informationssicherheit sein kann.

Hören Sie rein!

Alle unsere Podcast-Folgen finden Sie auf „Apple Podcast”, „Spotify” und „YouTube” sowie natürlich auf unserer Website.

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

Was Sie noch interessieren könnte…

Seminare:

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare – diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an: KONTAKT.

/von

NIS2 Umsetzung in Deutschland: Risikomanagement

NIS2 Umsetzung in Deutschland: Neue Pflichten für Unternehmen

Nach einigen Geburtswehen hat der Bundestag im Dezember 2025 den Weg frei gemacht für die nationale Umsetzung der europäischen NIS2-Richtlinie (EU-NIS2). Dadurch werden in Deutschland nach ersten Schätzungen circa 30000 Unternehmen verpflichtet, den eigenen Geschäftsbetrieb gegen Cyberbedrohungen abzusichern.

Der Großteil der Anforderungen, die durch die Umsetzung der NIS2-Richtlinie entstehen, findet sich im vollständig erneuerten BSI-Gesetz (BSI-G). Sie adressieren u.a. die Verantwortlichkeiten der Geschäftsleitung, enthalten Melde- und Registrierungspflichten und fordern vor allem ein angemessenes Management von Informationssicherheitsrisiken.

§30 BSI-G: Risikomanagementmaßnahmen im Überblick

Paragraf 30 des BSI-G konkretisiert unter der Überschrift „Risikomanagementmaßnahmen“ zehn Bereiche, in denen pflichtige Unternehmen mindestens den „Stand der Technik“ einhalten und internationale Normen berücksichtigen sollen. Zu diesen Bereichen gehören u.a. die Bewältigung von Sicherheitsvorfällen, Maßnahmen zur Aufrechterhaltung des Betriebs und Krisenmanagement, Betrachtungen zur Lieferkette, Schulungen für alle Mitarbeiter (Stand der Technik für Security Awareness), die Nutzung von Kryptografie oder der Umgang mit Schwachstellen.

Alle die genannten und auch nicht genannten Bereiche sind Maßnahmen, die ergriffen werden sollen, um bestehende Risiken zu behandeln. Ob diese Maßnahmen ausreichend sind, ob sie auch tatsächlich wirksam sind oder in welcher Detailtiefe man sie umsetzen sollte – diese Fragen kann man jedoch nur mit Hilfe einer passenden Methodik zur Risikoanalyse und -bewertung beantworten. Ja – auch dieser Punkt ist vom Gesetzgeber mit aufgeführt, und findet sich im Punkt 6 des Paragrafen 30: „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen“.

Es drängt sich der Gedanke auf, für Umsetzung einen der etablierten generischen Standards zu nutzen, die in Deutschland häufig anzutreffen sind: der IT-Grundschutz sowie die ISO 27001.

ISO 27001 als pragmatischer Ansatz zur NIS2-Umsetzung

So liefert die ISO 27001 in ihrem Kapitel 6 z.B. Anforderungen an ein Informationssicherheits-Risikomanagement – was ein möglicher Ansatz wäre, die Forderung aus dem BSI-G nach „Konzepten in Bezug auf die Risikoanalyse“ zu erfüllen. Oder aber man nutzt das Control A.8.24 „Verwendung von Kryptografie“, um die gesetzliche Forderung nach „Konzepte(n) und Prozesse(n) für den Einsatz von kryptographischen Verfahren“ umzusetzen.

Kurz: es ist eine mögliche Herangehensweise, die ISO 27001 zu nutzen, um die Anforderungen der NIS2-Richtline, wie sie im BSI-G verpflichtend vorgegeben sind, im eigenen Unternehmen systematisch umzusetzen. Für fast alle Forderungen des §30 BSI-G zu Risikomanagementmaßnahmen lassen sich Entsprechungen in der ISO 27001 finden, und man nutzt dabei noch eine etablierte und bewährte Methodik.

Grenzen der ISO 27001 bei NIS2-Anforderungen

Zwei Hinweise sind an dieser Stelle noch notwendig. Zunächst einmal deckt die ISO 27001 nicht zwingend alle Forderungen des BSI-G ab. Meldefristen oder Registrierungspflichten finden sich z.B. bestenfalls implizit in der ISO 27001, d.h. sie müssen daher zusätzlich berücksichtigt werden.

Andererseits ermöglicht die Nutzung etablierter Standards, diese im Unternehmen auch umfassender anzuwenden, als es der Gesetzgeber eigentlich fordert. Der Aufwand, das entstandene ISMS nach ISO 27001 zertifizierungsreif zu machen, sollte nach der Umsetzung der NIS2-Pflichten deutlich geringer sein. Außerdem ergeben sich bei einer sinnvollen Einführung von Managementsystemen oft auch Möglichkeiten, das eigene Unternehmen weiterzuentwickeln.

Was Sie auch interessieren könnte:

Seminar:

„Risikomanagement im ISMS“

„Geschäftsleitung fit für NIS2“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

/von
,

Podcast – Security on Air – Heute Krisenkommunikation

JETZT GIBT’S AUF DIE OHREN – SECURITY ON AIR – DER ANMATHO PODCAST

Notfall- und Krisenkommunikation: Der unterschätzte Erfolgsfaktor im Ernstfall

Wenn IT-Systeme ausfallen oder ein Cyberangriff Ihr Unternehmen trifft, steht meist die technische Wiederherstellung im Fokus. Doch ein anderer Schaden entsteht häufig an anderer Stelle: in der Kommunikation.

Unklare Aussagen, verspätete Reaktionen oder widersprüchliche Informationen führen schnell zu Vertrauensverlust, Reputationsschäden und regulatorischen Risiken. Gerade für Geschäftsleitungen, CISOs und ISBs ist professionelle Krisenkommunikation daher ein zentraler Bestandteil wirksamer Resilienz Strategien.

Warum Krisenkommunikation entscheidend ist

In der Praxis zeigt sich immer wieder: Unternehmen reagieren zu spät oder nicht abgestimmt. Gleichzeitig verbreiten sich Informationen über Medien und soziale Netzwerke in kürzester Zeit.

Die Folgen:

  • Gerüchte und Kontrollverlust in der Öffentlichkeit.
  • Vertrauensverlust bei Kunden und Partnern.
  • Erhöhte regulatorische und rechtliche Risiken.

Schweigen wird dabei häufig als Unsicherheit oder Inkompetenz interpretiert. Eine klare, frühzeitige Kommunikation stabilisiert hingegen Vertrauen – selbst in kritischen Situationen.

Erfolgsfaktoren wirksamer Krisenkommunikation

Professionelle Krisenkommunikation basiert auf klaren Strukturen und Vorbereitung:

  • Definierte Rollen, insbesondere ein zentraler Krisensprecher.
  • Abgestimmte interne und externe Kommunikationsprozesse.
  • Vorbereitete Botschaften und Kommunikationsleitfäden.
  • Zielgruppengerechte und empathische Ansprache.
  • Regelmäßige Updates – auch bei unvollständiger Informationslage.

Wichtig ist: Es geht nicht um Perfektion, sondern um Transparenz, Klarheit und Geschwindigkeit.

Kommunikation muss auch ohne IT funktionieren

Ein häufiger Schwachpunkt: Kommunikationskanäle brechen genau dann weg, wenn sie gebraucht werden.

Deshalb entscheidend:

  • Out-of-band-Kommunikation (z. B. alternative Messenger, Telefonketten).
  • Notfallwebseiten und vorbereitete Statusmeldungen.
  • Offline verfügbare Krisenhandbücher und Kontaktlisten.
  • Technische und organisatorische Redundanzen.

Krisenkommunikation muss auch bei Stromausfall oder IT-Ausfall handlungsfähig bleiben.

Typische Fehler vermeiden

Aus zahlreichen Projekten und realen Vorfällen kennen wir die häufigsten Schwächen:

  • Zu spätes oder zögerliches Kommunizieren.
  • Beschönigung oder mangelnde Transparenz.
  • Fehlende Abstimmung zwischen interner und externer Kommunikation.
  • Zu technische oder nicht zielgruppengerechte Inhalte.

Diese Fehler verstärken Krisen unnötig – und lassen sich durch strukturierte Vorbereitung vermeiden.

Vorbereitung entscheidet – nicht die Krise

Wirksame Krisenkommunikation entsteht nicht im Ernstfall, sondern im Vorfeld:

  • Entwicklung von Krisenkommunikationsplänen und Leitfäden.
  • Erstellung von Textbausteinen und Szenarien.
  • Durchführung realistischer Übungen und Simulationen.
  • Schulung von Führungskräften und Krisenstäben.
  • Integration in bestehende BCM- und ISMS-Strukturen (z. B. ISO 27001, NIS2).

Dabei gilt: Übungen und Lessons Learned sind wertvoller als jedes theoretische Konzept.

Ihre Verantwortung als Management

Krisenkommunikation ist keine rein operative Aufgabe. Die Verantwortung liegt bei der Unternehmensleitung.

Regulatorische Anforderungen wie NIS2 sowie steigende Haftungsrisiken unterstreichen die Bedeutung. Entscheidend ist nicht nur Delegation, sondern aktive Steuerung und Kontrolle.

Unser Ansatz: Vorbereitung statt Reaktion

Als erfahrene Berater im Bereich Informationssicherheit und Business Continuity unterstützen wir Sie dabei, Ihre Krisenkommunikation strukturiert und praxistauglich aufzubauen.

Unser Fokus:

  • Entwicklung individueller Krisenkommunikationsstrategien.
  • Integration in bestehende ISMS- und BCM-Strukturen.
  • Durchführung von realistischen Krisenübungen.
  • Vorbereitung Ihrer Führungskräfte auf den Ernstfall.

Denn eine Krise lässt sich nicht immer verhindern – aber professionell steuern.

Jetzt die neue Folge anhören

In diesem Podcast erfahren Sie, wie professionelle Krisen‑ und Notfallkommunikation funktioniert, welche typischen Fehler Unternehmen im Ernstfall machen und wie sich Geschäftsleitung, CISOs und ISBs bereits im Vorfeld gezielt auf Krisensituationen vorbereiten können.

Hören Sie rein!

Alle unsere Podcast-Folgen finden Sie auf “Apple Podcast”, “Spotify” und “YouTube” sowie natürlich auf unserer Website.

Wir stehen Ihnen auch direkt zur Verfügung unter Tel.: 040 229 47 19 0 oder per E-Mail unter podcast@anmatho.de.

Was Sie noch interessieren könnte…

Seminare:

“Business Continuity Management (BCM) nach ISO 22301”

„Risikomanagement im ISMS“

„Informationssicherheit für Vorstände und Geschäftsführer“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

/von
,

„Geschäftsleitung fit für NIS2“, Teil 3

Nachdem wir im ersten Teil dieser Reihe von Blogartikeln zur Umsetzung der NIS2-Richtlinie in Deutschland dargestellt hatten, warum es eine Schulungspflicht für Geschäftsleitungen im entsprechenden BSI-Gesetz (BSI-G) gibt, ging es im zweiten Teil um das Risikomanagement und die Möglichkeiten der Unternehmensleitung, das Risikomanagement aktiv zu gestalten.

Mittlerweile ist die sofort nach Inkrafttreten des BSI-Gesetzes einsetzende 3-monatige Frist zur Registrierung des Unternehmens am 3. März 2026 abgelaufen, und es tritt ein eigentlich schon abgehaktes Thema wieder neu auf die Tagesordnung: die Frage nach der Betroffenheit.

Fehlinterpretationen in der Betroffenheitsprüfung

Von der gesetzlichen Vorgabe, die Anforderungen aus dem BSI-Gesetz zu erfüllen, sind nicht alle Unternehmen betroffen. Schon vor dem finalen Inkrafttreten des Gesetzes hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf seiner Webseite eine recht eingängig gehaltene Unterstützung veröffentlich, in der man durch Beantwortung einiger weniger einfacher Fragen selbständig (unverbindlich!) prüfen konnte, ob das eigene Unternehmen nach dem BSI-G pflichtig ist.

Interessanterweise ist das Wissen über die Pflichtigkeit in Unternehmen extrem verschieden ausgeprägt. Einige Unternehmen haben die Pflichtigkeit schon vor dem Inkrafttreten des BSI-G geprüft und erste, grobe Planungen angestellt, wie, mit welchen Ressourcen und mit welcher Unterstützung eventuelle Anforderungen sinnvoll und strukturiert umgesetzt werden könnten.

Unsicherheiten bei der Einschätzung

Einige Einschätzung aus dem März 2026 gehen davon aus, dass besonders in kleineren und kleinen umsatzstarken Unternehmen die Betroffenheit des eigenen Unternehmens immer noch falsch eingeschätzt wird. Der Anteil der Unternehmen, die für sich fälschlicherweise davon ausgehen, dass sie nicht betroffen seien, obwohl sie es tatsächlich sind, liegt nach diesen Einschätzungen bei ca. 50 Prozent (laut Cyber Security Report 2026 – Schwarz Digits KG).

Parameter Unternehmensgröße

Die Betroffenheit ergibt sich für die meisten Unternehmen aus den beiden Parametern „Unternehmensgröße“ und „Geschäftsfeld“. Die Unternehmensgröße wird an den Mitarbeiterzahlen und an Finanzdaten festgemacht: mit mehr als 250 Mitarbeitern ODER (!) mehr als 50 Millionen € Umsatz bzw. mehr als 43 Millionen € Bilanzsumme gilt man als Großunternehmen und damit potenziell als „besonders wichtige Einrichtung“. Zu den mittleren Unternehmen zählt man mit mehr als 50 Mitarbeitern ODER (!) mit mehr als 10 Millionen € Umsatz bzw. Jahresbilanz.

Parameter Geschäftsfeld

Der Parameter „Unternehmensgröße“ allein führt allerdings noch nicht zwingend zu einer Betroffenheit – es muss auch der zweite Parameter „Geschäftsfeld“ erfüllt sein. Hierfür gibt es im BSI-G die beiden Anlagen 1 und 2, in der recht detailliert die Geschäftsfelder aufgeführt sind, die im Zusammenspiel mit der Unternehmensgröße zu einer Betroffenheit führen.

Besonderheiten

Allerdings gibt es auch noch einige Besonderheiten. So sind Unternehmen unabhängig von den beiden genannten Parametern pflichtig, wenn sie z.B. als Anbieter von DNS-Diensten oder Qualifizierten Vertrauensdiensten tätig sind. Auch Betreiber Kritischer Anlagen sind unabhängig von der Unternehmensgröße betroffen. Im BSI-G finden sich neben der Definition, welche Unternehmen betroffen sind, auch abweichende Regelungen für Unternehmen, die bereits nach dem Energiewirtschaftsgesetzt (EnWG) oder dem Telekommunikationsgesetz (TKG) reguliert sind.

Es ist nachvollziehbar, dass neben der Uninformiertheit auch Fehlinterpretationen des Gesetzestextes zu einer falschen Einschätzung der eigenen NIS2-Pflichtigkeit führen. Rechtzeitige Information, eine Vernetzung mit anderen Unternehmen und Spezialisten und Inanspruchnahme von Unterstützungsangeboten helfen dabei, unangenehme Fehlentscheidungen zu vermeiden. Alles übrigens Dinge, die auch ein einem ISMS gefordert werden.

Strukturiert vorgehen

Wenn festgestellt wurde, dass man doch unter die NIS2-Richtlinie fällt, stellt sich für viele Verantwortliche unmittelbar die nächste zentrale Frage: Was ist konkret zu tun, wenn man betroffen ist? Neben der Umsetzung geeigneter Sicherheitsmaßnahmen rückt dabei insbesondere eine formale Anforderung in den Fokus, die häufig unterschätzt wird – die Registrierung im Melde- und Informationsportal des Bundesamts für Sicherheit in der Informationstechnik (BSI). Diese stellt den ersten verbindlichen Schritt dar, um den gesetzlichen Pflichten nachzukommen und als betroffene Einrichtung gegenüber den zuständigen Behörden sichtbar zu werden.

Ablauf der Registrierung in Kürze

  1. Prüfung, ob das Unternehmen unter NIS-2 fällt. Zur Betroffenheitsprüfung
  2. Im Portal von Mein Unternehmenskonto mit einer deutschen Steuernummer ein Organisationszertifikat beantragen.
  3. Aktivierung per E-Mail und Post abwarten und das Zertifikat freischalten.
  4. Mit diesem Zugang im BSI-Portal anmelden.
  5. Dort die NIS-2-Registrierung abschließen und die erforderlichen Unternehmensdaten sowie eine Kontaktstelle angeben.

Wichtige Hinweise

  • Für jede Person mit Portalzugriff kann ein eigenes ELSTER-Organisationszertifikat sinnvoll sein. Übrigens: Dieses Zertifikat hat nichts mit dem ELSTER-Zertifikat für die private Steuereklärung zu tun!
  • Die Registrierung sollte nicht aufgeschoben werden, da für betroffene Unternehmen eine Frist gilt, diese Frist bereits abgelaufen ist, und die Aktivierung einige Zeit in Anspruch nehmen kann.

Fazit

Abschließend zeigt sich deutlich: Die NIS2-Betroffenheit wird nach wie vor von vielen Unternehmen unterschätzt oder falsch eingeordnet – insbesondere von kleineren, aber umsatzstarken oder kritischen Organisationen. Gerade hier besteht akuter Handlungsbedarf. Die Registrierung im BSI-Portal ist kein optionaler Schritt, sondern eine zentrale gesetzliche Verpflichtung, die nicht aufgeschoben werden sollte.

Unternehmen sollten daher zeitnah prüfen, ob sie unter die Richtlinie fallen, und die Registrierung strukturiert angehen.

Was Sie auch interessieren könnte:

Seminar:

„Geschäftsleitung fit für NIS2“

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

/von
, ,

Der neue Newsletter ist da…

Der Blick auf Informationssicherheit und Datenschutz verändert sich derzeit schneller als je zuvor. Neue regulatorische Anforderungen, technologische Entwicklungen und immer raffiniertere Angriffsmethoden stellen Unternehmen vor kontinuierliche Herausforderungen. Genau hier setzt unser aktueller Newsletter an.

In der neuesten Ausgabe beleuchten wir zentrale Entwicklungen, die für Verantwortliche in IT-Sicherheit, Datenschutz und Unternehmensführung unmittelbar relevant sind.

Ein besonderer Fokus liegt auf dem Paradigmenwechsel in der KRITIS-Regulierung. Die Anforderungen steigen nicht nur in der Tiefe, sondern auch in der Breite – und betreffen zunehmend mehr Organisationen. Wer frühzeitig versteht, wie sich regulatorische Erwartungen verändern, kann Risiken gezielt steuern und Wettbewerbsvorteile sichern.

Darüber hinaus widmen wir uns der wachsenden Bedeutung von OT-Security im Kontext von NIS2. Betriebstechnik rückt immer stärker in den Fokus der Sicherheitsstrategien und wird für CISOs zum Pflichtprogramm. Wir zeigen, warum klassische IT-Sicherheitsansätze hier nicht ausreichen und welche Maßnahmen jetzt entscheidend sind.

Ein weiteres zentrales Thema ist die datenschutzkonforme Nutzung von KI-Tools. Viele Unternehmen stehen vor der Frage, wie sich innovative Technologien rechtssicher einsetzen lassen. Wir geben einen praxisnahen Überblick über Anforderungen, Risiken und bewährte Best Practices für den unternehmensweiten Einsatz.

Und weil sich Bedrohungslagen ständig weiterentwickeln, greifen wir auch ein altbekanntes, aber immer aktuelles Thema auf: Phishing – in seiner gefühlt 3276sten Variante. Wir zeigen, wie sich Angriffe verändern, warum sie nach wie vor erfolgreich sind und wie Sie Ihre Organisation wirksam sensibilisieren können.

Unser Newsletter liefert Ihnen regelmäßig kompakte, praxisorientierte Einblicke in die wichtigsten Themen rund um Informationssicherheit und Datenschutz – verständlich aufbereitet und mit direktem Mehrwert für Ihre tägliche Arbeit.

Melden Sie sich jetzt an und bleiben Sie auf dem neuesten Stand: https://anmatho.de/neuigkeiten/newsletter/

/von
, ,

KI im Unternehmen – Chancen nutzen, Risiken managen

Die Einführung von Künstlicher Intelligenz (KI) im Unternehmen verspricht Effizienz, automatisierte Analysen und kreative Unterstützung. Doch gerade in sensiblen Bereichen wie Energieversorgung, Verwaltung oder kritischer Infrastruktur ist Vorsicht geboten: KI kann nur dann ein Gewinn sein, wenn sie sicher, rechtskonform und gezielt eingesetzt wird.

Öffentliche KI vs. Eigene Unternehmens-KI

Der Unterschied zwischen öffentlicher KI (z. B. ChatGPT u.a.) und unternehmensintern trainierten Modellen ist entscheidend.

  • Öffentliche KI: Sie ist einfach nutzbar, aber es gibt Risiken beim Datenschutz und Urheberrecht. Zusätzlich können alle eingegebenen Daten zur Modellverbesserung (Trainingszwecken) verwendet werden.
  • Eigene KI / On-Premise KI: Läuft in der Unternehmensumgebung und ist ideal für sensible oder vertrauliche Informationen. Anbieter wie Microsoft Copilot in geschützter Azure-Umgebung oder OpenGPT Enterprise bieten entsprechende Schutzmechanismen.

Tipp: Prüfen Sie bei jeder Anwendung, wo Daten verarbeitet und gespeichert werden, wer Zugriff erhält, und welche Lizenzbedingungen gelten. Ein internes KI-Governance-Dokument ist Pflicht, ebenso ein Freigabeprozess für neue Tools.

Überprüfung von KI-Ergebnissen – wie geht das zuverlässig?

KI liefert gute Erstentwürfe, aber keine garantierten Wahrheiten.

  • Vier-Augen-Prinzip: Lassen Sie Ergebnisse durch Fachpersonen oder Compliance-Verantwortliche validieren.
  • Fact-Checking-Tools: Externer Quellenabgleich, z. B. über Google Fact Check Tools oder spezialisierte Tools zur Prüfung für technische Berechnungen helfen bei der Überprüfung von Ergebnissen.
  • Protokollierung: Jede KI-gestützte Entscheidung sollte dokumentiert werden (z. B. in einem Ticketsystem oder Audit-Trail).

Praxisbeispiel: Ein Stadtwerk nutzte KI zur Auswertung von Kundenfeedback. Die Ergebnisse waren zunächst irreführend, weil Dialekte als negative Kommentare erkannt wurden. Nach kurzer Feinjustierung durch ein menschliches Audit-Team stieg die Trefferquote der Analyse auf über 85 %.

KI und Urheberrecht bei Bildern

Bei der Nutzung KI-generierter Bilder besteht weiterhin das Risiko, dass Trainingsdaten Inhalte enthalten, die urheberrechtlich geschützt sind.

Geprüfte Anbieter:

  • Adobe Firefly: Ist nur mit eigenen Stockmaterialien trainiert und ist mit entsprechender kostenpflichtiger Lizensierung für die kommerzielle Nutzung erlaubt.
  • Getty Images Generative AI: Entwickelt mit vollständig eigenem Bildmaterial.
  • Midjourney, DALL·E 3: Bietet eine hohe Qualität, allerdings besteht eine rechtlich unsichere Lizenzlage für kommerzielle Zwecke.

Prüftipp: Nutzen Sie Tools wie „Have I Been Trained?“ zur Kontrolle, ob geschützte Bildinhalte in Trainingsdaten vorkommen.
Rechtlicher Hinweis: Nach EU-Urheberrechtsgesetz haftet der Ersteller, nicht der KI-Anbieter. „Unwissenheit schützt vor Strafe nicht.“

KI-Schutz für Diensthandys

Mit steigender mobiler KI-Nutzung wächst das Risiko für Datenabfluss.

Empfohlene Maßnahmen:

  • MDM-Lösung (Mobile Device Management) mit KI-Zugriffskontrolle.
  • Sperrung öffentlicher KI-Apps für dienstliche Nutzung, außer über geprüfte Unternehmenskanäle.
  • Einsatz von App-Sandboxing für KI-Chatfunktionen.
  • Schulungen für Mitarbeitende zu Datenschutz und KI-Nutzung auf Smartphones.

Basis-Schulung und Governance-Struktur

Jede KI-Anwendung braucht eine eigene Bewertung hinsichtlich:

  • Datenschutz (personenbezogene Daten, DSGVO)
  • Sicherheit (Training, Zugriff, Speicherung)
  • Lizenz- und Nutzungsrechte
  • Transparenz und Nachvollziehbarkeit

Für die Einführung empfiehlt sich eine zweistufige Schulung:

  1. Grundverständnis, was KI kann, wo liegen die Grenzen.
  2. Schulung auf das konkrete KI-Tool, was ist bei der Nutzung zu beachten, sprich welche Daten dürfen eingegeben werden, wie ist das Ergebnis zu prüfen usw.

Checkliste: Sicherer und effektiver KI-Einsatz im Unternehmen

Diese Checkliste dient als Leitfaden für die Bewertung, Einführung und regelmäßige Kontrolle von KI-Anwendungen.

  1. Strategische Vorbereitung
  • Zieldefinition: Welche konkreten Aufgaben soll die KI übernehmen (z.  Textanalyse, Prozessautomatisierung, Vorhersage)?
  • Welches Modell: Öffentliche KI oder On-Premise Lösung
  • Kosten-Nutzen-Abwägung: Wirtschaftlicher Mehrwert und bestehende Alternativen prüfen.
  • Governance-Festlegung: Verantwortlichkeiten, Freigabeprozess und Auditintervalle definieren.
  1. Datenschutz & Compliance
  • DSGVO-konform: Werden personenbezogene Daten verarbeitet? Wenn ja, mit Einwilligung oder Berechtigungsgrundlage.
  • Datentransfer prüfen: Fließen Daten außerhalb des europäischen Rechtsraums (z.B.  über Cloud-API)?
  • Vertragliche Vereinbarungen: Lizenzbedingungen, Datenschutzerklärungen und Nutzungsrechte dokumentieren.
  • Audit-Trail: Ergebnisse der KI müssen nachvollziehbar und nachprüfbar gespeichert werden.
  1. Informationssicherheit
  • Zugriffsrechte: KI-Anwendungen nur für autorisierte Mitarbeitende zugänglich.
  • MDM-Integration: Diensthandys und mobile Geräte über zentrale Sicherheitssteuerung schützen.
  • Cloud-Sicherheit: Verschlüsselung und separate Datenräume („Data Sovereignty Zones“) verwenden.
  • Incident Response: KI-Einsatz im Notfallplan bzw. ISMS berücksichtigen.
  1. Qualitätskontrolle der KI-Ergebnisse
  • Vier-Augen-Prinzip: Fachliche Review der durch KI erstellten Inhalte oder Analysen.
  • Bias-Tests: Gibt es systematische Verzerrungen in den Ergebnissen?
  • Regelmäßiges Retraining: Modelle regelmäßig mit aktuellen, validierten Daten füttern.
  • Dokumentation: KI-Version, Trainingszeitpunkt und Quellen eindeutig vermerken.
  1. Urheberrecht & Inhaltssicherheit
  • Bilder und Textquellen prüfen: Nur freigegebene oder eigens erstellte Inhalte verwenden.
  • KI-Tool auswählen: Bevorzugt Anbieter mit transparenten Trainingsdaten.
  • Rechtsprüfung: Vor Publikation oder Produktivsetzung durch Juristen oder Compliance-Teams prüfen lassen.
  • Beweisführung: Bei generativen Inhalten immer Herkunftsnachweis (Source Tag) abspeichern.
  1. Schulung & Awareness
  • Mitarbeiterschulung: Grundlagen der KI-Nutzung, Datenschutz und rechtliche Risiken.
  • Praxisübungen: „Gute vs. riskante“ KI-Beispiele durchspielen.
  • Rollenbezogene Trainings: Fachbereiche lernen, KI-Ergebnisse korrekt zu hinterfragen.
  • Kommunikation: Interne Richtlinie zur Nutzung öffentlicher KI-Systeme veröffentlichen.

Whitepaper und Checklisten finden Sie z. B. auch bei:

Was Sie auch interessieren könnte:

Seminar:

“KI im Unternehmen – Rechtliche Anforderungen und praktische Umsetzung”

Weitere Seminare finden Sie unter https://anmatho.de/seminare diese können Sie auch als individuelles Inhouse-Seminar buchen. Sprechen Sie uns gern an KONTAKT.

Podcast:

Unser Podcast “Security on Air” beschäftigt sich mit den Themen Informationssicherheit und Datenschutz. In lockerer, informativer Form werden Sie zu allen Teilbereichen und gesetzlichen Neuerungen informiert. Sie finden uns auf “Apple Podcast”, “Spotify” und “YouTube“ sowie natürlich auf unserer Website.

Hören Sie rein!

 

/von

ANMATHO AG

Beratungsunternehmen für
Informationssicherheit & Datenschutz

Winterhuder Weg 82
22085 Hamburg

Tel: +49(0)4022947190
E-Mail: info@anmatho.de

Wir sind Mitglied im:

Wir sind zertifiziert nach ISO27001:

© ANMATHO AG

Impressum

Datenschutzhinweise

Veranstaltungsbedingungen