September 2026
Alle 31 isidaten-Artikel aus dem September 2026.
Ein Audittermin ist noch kein Auditprogramm
Viele interne ISO-27001-Audits sind ein Termin im November, kurz vor dem Überwachungsaudit, durchgeführt von der Person, die das ISMS auch betreibt. Die Norm verlangt in Abschnitt 9.2 etwas anderes: ein Programm, das Häufigkeit und Umfang aus der Bedeutung der Prozesse und den Ergebnissen früherer Audits ableitet, und Auditoren, die objektiv und unparteiisch sind. Was das in einer kleinen Organisation praktisch heißt.
Weiterlesen
Die Norm beginnt nicht bei Anhang A
In vielen Häusern heißt ISO 27001 „die 93 Controls“. Anhang A ist aber nur die Liste, gegen die man die eigene Risikobehandlung abgleicht. Zertifiziert wird das Managementsystem in den Kapiteln 4 bis 10: Kontext, Geltungsbereich, Führung, Risiken, Ziele, Audit, Managementbewertung. Warum genau dort die Lücken liegen und woran man sieht, ob ein Abschnitt belegt ist oder nur angekreuzt.
Weiterlesen
Die Praxis sieht man von außen
NIS2 verlangt, bei der Lieferkette die Cybersicherheitspraxis der Anbieter zu berücksichtigen. Ein Fragebogen liefert dafür eine Selbstauskunft. Ob ein Lieferant seine Mail-Domain absichert, Zertifikate erneuert oder Fernwartung offen ins Internet stellt, sieht man dagegen von außen, ohne zu fragen. Was eine Außennote belegt, was sie nicht belegt, und warum „nicht gemessen“ nie „sauber“ heißen darf.
Weiterlesen
Eine Leitlinie ist keine Richtlinie
Grundbegriffe, Folge 5: Leitlinie, Richtlinie, Sicherheitskonzept und Arbeitsanweisung landen in vielen Häusern im selben Ordner und oft im selben Dokument. Der BSI-Standard 200-1 unterscheidet sie nach Zweck, Zielgruppe und Freigeber. Wer die Ebenen mischt, bekommt eine Leitlinie, die niemand ändern darf, und Anweisungen, die niemand liest.
Weiterlesen
Versichert, solange Sie es beweisen
Eine Cyberversicherung zahlt für den Angriff, aber nur bei erfüllten Obliegenheiten: Mehr-Faktor-Anmeldung, Offline-Sicherung, Patchfrist. Bei grober Fahrlässigkeit darf der Versicherer kürzen, und das Gegenteil muss das versicherte Unternehmen beweisen, mitten im Wiederanlauf. Was § 28 VVG dazu sagt und warum der Nachweis vor dem Schaden entstehen muss.
Weiterlesen
Die Vertretung ist kein Schlupfloch
Meldefristen laufen weiter, wenn die zuständige Person im Urlaub ist, also braucht jede Rolle eine Vertretung. Der IT-Grundschutz setzt dabei eine Grenze, die im Alltag regelmäßig fällt: Auch Vertreter unterliegen der Funktionstrennung. Warum die Vertretung oft genau die Person ist, die den Antrag gestellt hat, und was eine Freigabe während der Abwesenheit festhalten muss.
Weiterlesen
Ja zu welchem Text?
Artikel 7 DSGVO verlangt, dass der Verantwortliche eine Einwilligung nachweisen kann. Ein Häkchen mit Datum beweist nur, dass jemand irgendwann Ja gesagt hat. Der Europäische Datenschutzausschuss verlangt mehr: die Information, die die Person in diesem Moment gesehen hat. Warum die Version des Einwilligungstextes der eigentliche Nachweis ist, und was nach einer wesentlichen Änderung passieren muss.
Weiterlesen
Installiert ist nicht wirksam
Dass ein Endpunktschutz läuft, steht im Inventar. Ob er anschlägt, wenn auf einem Rechner tausend Dateien in einer Minute verschlüsselt werden, steht nirgends, bis es passiert. § 30 BSIG verlangt Verfahren zur Bewertung der Wirksamkeit. Wie man die prüft, ohne Schadsoftware ins Haus zu holen.
Weiterlesen
Hoch mal mittel ist keine Zahl
NIS2 verlangt Maßnahmen, die „unter Berücksichtigung der Kosten der Umsetzung“ dem Risiko angemessen sind. Eine Risikomatrix kann diese Rechnung nicht liefern, weil auf beiden Seiten keine Zahl steht. Was eine Dreipunktschätzung und 10.000 simulierte Jahre daraus machen, und warum der Seed wichtiger ist als die Kommastelle.
Weiterlesen
Grün ohne Beleg
Ab dem 27. September 2026 stehen „umweltfreundlich“ ohne Nachweis, „klimaneutral“ durch Kompensation und Siegel ohne Zertifizierung auf der schwarzen Liste der unlauteren Geschäftspraktiken. Die Richtlinie (EU) 2024/825 zielt auf die Website, und dort weiß meist niemand, auf wie vielen Seiten „nachhaltig“ steht.
Weiterlesen
Der Server ist nicht das Kronjuwel
Grundbegriffe, Folge 4: Informationsverbund, Zielobjekt und Asset werden im Alltag für dasselbe gehalten wie ein Inventar. Der IT-Grundschutz meint drei verschiedene Dinge, und keines davon ist eine Geräteliste. Warum 3.000 Clients ein Zielobjekt sein können und das Kronjuwel nie ein System ist.
Weiterlesen
Was der Agent nie tut
Ein Dienst, der auf jedem Gerät als SYSTEM läuft, ist das mächtigste Stück Software im Haus. Der isidaten-Agent kam in vier der letzten sechs Artikel vor, immer als Werkzeug. Hier geht es um ihn selbst: fünf Dinge, die er grundsätzlich nicht tut, und warum eine gestohlene Datenbank damit nicht die Flotte steuert.
Weiterlesen
Wer das Drehbuch kennt, übt nicht
Der BSI-Standard 200-4 erlaubt der Übungsleitung, eine Einlage früher, später oder gar nicht einzuspielen. Das geht nur, wenn der Stab das Drehbuch nicht sieht. Was eine Stabsübung von einer Lesung unterscheidet, welche Zeit der Standard gemessen haben will, und was eine Teilnehmerseite deshalb nie zeigen darf.
Weiterlesen
Seite zwei ist unauffällig
Active Directory beantwortet jede Suche mit höchstens 1.000 Objekten. Wer nicht weiterblättert, prüft die ersten 1.000 Konten und hält den Rest für sauber. Warum ein Härtungsbericht sagen muss, was er nicht gesehen hat, und was das für Score, Reifegrad und den Baustein APP.2.2 heißt.
Weiterlesen
Ein Niveau, sieben Zahlen
„Welchen Security Level hat Ihre Produktion?“ Die ehrliche Antwort ist weder 2 noch 3. IEC 62443 kennt vier Stufen, sieben Grundanforderungen und drei Buchstaben, und erst zusammen ergeben sie eine Aussage. Was hinter dem Vektor steckt und warum die Steuerung bisher auf keiner Schwachstellenliste stand.
Weiterlesen
Die zweite Stückliste
Die Software-Stückliste kennt inzwischen jeder, der Cyber Resilience Act verlangt sie. Die zweite Stückliste kennt kaum jemand: Welche kryptografischen Verfahren laufen wo? Seit 2024 gibt es dafür ein Format, und in isidaten drei Wege, sie zu füllen.
Weiterlesen
Ein Vorfall, zwei Uhren
Seit März hat ein Betreiber kritischer Anlagen zwei Aufsichtsakten: die für Cybersicherheit beim BSI und die für physischen Schutz beim BBK. Beide verlangen Meldungen binnen 24 Stunden. Danach zählen sie verschieden, und wer beide von einem Kalendereintrag aus führt, verpasst eine.
Weiterlesen
Kern ist nicht die Mitte
Grundbegriffe, Folge 3: Basis-, Kern- und Standard-Absicherung werden in fast jeder Präsentation als Treppe gezeichnet. Der BSI-Standard 200-2 beschreibt etwas anderes: drei Vorgehensweisen für drei Situationen, auf zwei Achsen. Wer die Kern-Absicherung für die mittlere Stufe hält, unterschätzt sie.
Weiterlesen
Diesmal gilt der Bestandsschutz
Am 10. September begann eine Pflicht, die auch für längst verkaufte Produkte gilt. Am 12. September beginnt eine, die nur für neue gilt. Zwei Verordnungen, dieselbe Woche, entgegengesetzte Übergangsregeln. Was das für die nächste Ausschreibung heißt.
Weiterlesen
Was genau haben Sie gebilligt?
§ 38 BSIG nimmt die Geschäftsleitung persönlich in die Pflicht. Die Billigung der Maßnahmen wird meist als Beschluss protokolliert: Datum, Gegenstand, fertig. Zwei Jahre später ist genau das die Frage, die sich nicht mehr beantworten lässt.
Weiterlesen
Bestandsschutz endet beim Melden
Für den Cyber Resilience Act kennen alle den 11. Dezember 2027. Der Termin, der zählt, ist der 11. September 2026. An diesem Tag beginnen die Meldepflichten der Hersteller. Und anders als der Rest der Verordnung kennen sie keinen Bestandsschutz.
Weiterlesen
Wer nickt, hat drei Tabellen
Auf der DIGITAL X in Köln sind wir mit einer Frage angereist statt mit einer Vorführung. Was das über einen Messetag ändert, und warum die Antwort meistens schon im Gesicht steht, bevor jemand etwas sagt.
Weiterlesen
Neun Dimensionen, eine Zahl
Am Ende einer Risikoanalyse steht eine Zahl. Aus ihr wird die Matrix, die Priorität, die Maßnahme. Nur sagt sie nicht, welcher Art der Schaden ist. Warum das Maximumprinzip die Vorgabe bleibt und der gewichtete Mittelwert eine Entscheidung ist, die man begründen muss.
Weiterlesen
Ein halbes Jahr grün
Ein Gerät ohne Befunde und ein Gerät ohne Konfiguration sehen im Dashboard gleich aus. Bei uns lief dieser Fehler ein halbes Jahr, in unserem eigenen Agenten. Was wir gebaut haben, damit der nächste in der ersten Woche auffällt.
Weiterlesen
Wie schlimm ist nicht wie schnell
Grundbegriffe, Folge 2: Schutzbedarfsfeststellung und Business Impact Analyse fragen beide nach Schaden, aber nach verschiedenem. Die eine kennt keine Uhr, die andere lebt von ihr. Warum das BSI selbst davor warnt, beide in einen Topf zu werfen, und was Normalbetrieb von Notbetrieb trennt.
Weiterlesen
Vier Minuten, sechs Lösungen
Am 8. September stehen wir auf der DIGITAL X in Köln, im Startup Harbour an der Rheinaupromenade. Dreimal am Tag gibt es dort Business Speed Dating: sechs Lösungen in dreißig Minuten, vier Minuten je Anbieter, ohne Voranmeldung. Was wir in diesen vier Minuten zeigen.
Weiterlesen
Behalten ist nicht anschreiben
Nach der Messe liegen die Kontakte da, und die Frage lautet meist: Dürfen wir die behalten? Das ist die einfachere Hälfte. Warum die DSGVO das Speichern erlaubt, § 7 UWG die Werbemail trotzdem sperrt, und weshalb die B2B-Erleichterung ausgerechnet dort fehlt.
Weiterlesen
Bei .de steht kein Ablaufdatum
Die DENIC gibt für .de-Domains weder Ablaufdatum noch Transfer-Lock heraus, bei .com liefert die Registry beides. Was das für die Wiedervorlage bedeutet und warum ein leeres Datumsfeld bewusst keine Fälligkeit auslöst, sondern als eigene Lücke gezählt wird.
Weiterlesen
Die Schließanlage kennt nur heute
Wer heute aufschließen kann, steht in der Anlage. Wer es gestern konnte und warum das endete, nicht. Warum eine entzogene Berechtigung zurückgenommen und nicht gelöscht wird, und weshalb ein gelöschter Datensatz im Audit nichts beweist.
Weiterlesen
Microsoft ist kein Cloud-Dienst
Eine Zeile im Dienstleisterverzeichnis beantwortet die Frage nach der Cloud-Nutzung nicht: Exchange Online, Teams und Entra ID sind drei Dienste mit verschiedenen Datenstandorten und Ausstiegswegen. Warum OPS.2.2 das Bezugsobjekt je Dienst verlangt und was ein Erprobungsdatum am Ausstieg leistet.
Weiterlesen
Eine Geräteliste ist kein Netzplan
Das Inventar kennt vierhundert Geräte, aber keine einzige Verbindung. Kanten stehen nicht im Inventar, sondern in den Nachbarschaftstabellen der Geräte selbst. Warum ein SNMP-Abruf allein dafür nicht reicht und was ein Import grundsätzlich nicht liefern kann.
Weiterlesen