ISO/IEC 27001
Alle 18 isidaten-Artikel zum Thema ISO/IEC 27001, die neuesten zuerst.
Ein Testat ist kein Zertifikat
Grundbegriffe, Folge 8: Im Lieferantenfragebogen steht „ISO 27001 zertifiziert“, „C5-Testat“, „BSI-geprüft“ oder „akkreditiert“. Vier Antworten, die ähnlich klingen und Verschiedenes bedeuten. Wer prüft, wer den Prüfer prüft, und was am Ende auf dem Papier steht: Zertifizierung, Akkreditierung und Attestierung, mit den Stellen aus EU-Recht, BSI-Gesetz und dem C5 des BSI.
Weiterlesen
Nachweise gehören nicht in den Mailanhang
Vor dem Audit kommt die Anforderungsliste, und dann gehen Exporte, ZIP-Dateien und Freigabelinks an die Prüfstelle. Nach dem Audit weiß niemand mehr, wo die Kopien liegen, welcher Stand vorlag und wer sie gesehen hat. Der IT-Grundschutz-Baustein DER.3.1 verlangt das Gegenteil: Prüfer greifen nicht ein, Zugriffe werden danach entzogen, und nur Berechtigte kommen an die Unterlagen.
Weiterlesen
Eine Kennzahl ohne Rechenweg misst nichts
ISO 27001 verlangt in Abschnitt 9.1 nicht einfach Kennzahlen, sondern Festlegungen: was gemessen wird, mit welcher Methode, wann, von wem, und wer die Ergebnisse auswertet. Die Methode soll vergleichbare und reproduzierbare Ergebnisse liefern. Warum genau daran viele Sicherheitskennzahlen scheitern, und woran man eine Zahl erkennt, die nur Aktivität zählt.
Weiterlesen
Ein Audittermin ist noch kein Auditprogramm
Viele interne ISO-27001-Audits sind ein Termin im November, kurz vor dem Überwachungsaudit, durchgeführt von der Person, die das ISMS auch betreibt. Die Norm verlangt in Abschnitt 9.2 etwas anderes: ein Programm, das Häufigkeit und Umfang aus der Bedeutung der Prozesse und den Ergebnissen früherer Audits ableitet, und Auditoren, die objektiv und unparteiisch sind. Was das in einer kleinen Organisation praktisch heißt.
Weiterlesen
Die Norm beginnt nicht bei Anhang A
In vielen Häusern heißt ISO 27001 „die 93 Controls“. Anhang A ist aber nur die Liste, gegen die man die eigene Risikobehandlung abgleicht. Zertifiziert wird das Managementsystem in den Kapiteln 4 bis 10: Kontext, Geltungsbereich, Führung, Risiken, Ziele, Audit, Managementbewertung. Warum genau dort die Lücken liegen und woran man sieht, ob ein Abschnitt belegt ist oder nur angekreuzt.
Weiterlesen
Was der Agent nie tut
Ein Dienst, der auf jedem Gerät als SYSTEM läuft, ist das mächtigste Stück Software im Haus. Der isidaten-Agent kam in vier der letzten sechs Artikel vor, immer als Werkzeug. Hier geht es um ihn selbst: fünf Dinge, die er grundsätzlich nicht tut, und warum eine gestohlene Datenbank damit nicht die Flotte steuert.
Weiterlesen
Bei .de steht kein Ablaufdatum
Die DENIC gibt für .de-Domains weder Ablaufdatum noch Transfer-Lock heraus, bei .com liefert die Registry beides. Was das für die Wiedervorlage bedeutet und warum ein leeres Datumsfeld bewusst keine Fälligkeit auslöst, sondern als eigene Lücke gezählt wird.
Weiterlesen
Die Schließanlage kennt nur heute
Wer heute aufschließen kann, steht in der Anlage. Wer es gestern konnte und warum das endete, nicht. Warum eine entzogene Berechtigung zurückgenommen und nicht gelöscht wird, und weshalb ein gelöschter Datensatz im Audit nichts beweist.
Weiterlesen
Wer in Ihrem Namen mailt
Eine Phishing-Mail mit Ihrer Absenderadresse trifft nicht Sie, sondern Ihre Kunden, Partner und Bewerber. Ob das möglich ist, entscheiden ein paar DNS-Einträge. Warum der häufigste Fehler nicht das fehlende DMARC ist, sondern ein vorhandenes, das nur zuschaut, und was isidaten jetzt je Domain prüft.
Weiterlesen
Der Einbruch, der wie ein Arbeitstag aussieht
Erstmals seit 19 Jahren sind gestohlene Zugangsdaten nicht mehr der häufigste Einstieg in ein Netz, ausgenutzte Schwachstellen haben sie überholt. Das klingt nach Entwarnung für Identitäten und ist keine: Über die gesamte Angriffskette bleibt der Missbrauch von Zugangsdaten die verbreitetste Technik. Warum ein gültiger Login keinen Alarm auslöst und nur Verhalten ihn verrät.
Weiterlesen
Das Zertifikat, das keiner erneuert hat
Ein abgelaufenes TLS-Zertifikat sperrt einen Dienst für jeden Browser, laut und sofort. Bisher ein überschaubares Ärgernis, weil ein Zertifikat gut ein Jahr hielt. Doch das CA/Browser-Forum verkürzt die maximale Laufzeit stufenweise von 398 auf 47 Tage. Warum manuelle Zertifikatspflege damit an ihr Ende kommt und was an ihre Stelle tritt.
Weiterlesen
Awareness misst man nicht in Teilnahmen
Die Pflichtschulung ist absolviert, die Quote stimmt, der Auditor ist zufrieden. Und trotzdem klickt ein Teil der Belegschaft auf die nächste simulierte Phishing-Mail. Warum Teilnahmequote und Klickrate zwei verschiedene Wahrheiten erzählen und wie aus Simulation, Befund und gezielter Schulung ein Kreislauf wird statt einer Pflichtübung.
Weiterlesen
Die erste KI-Ransomware kam durch eine offene Tür
Anfang Juli dokumentierte Sysdig die erste Ransomware-Kampagne, die ein KI-Agent von der Erkundung bis zur Verschlüsselung selbst gefahren hat. Das Beunruhigende daran ist nicht die KI: Der Einstieg lief über eine bekannte Lücke, eine zweite von 2021 und Standard-Zugangsdaten. Warum das Fundament auch gegen Angreifer in Maschinengeschwindigkeit verteidigt.
Weiterlesen
Ein Asset-Inventar ist keine Geräteliste
Die meisten Asset-Inventare sind in Wahrheit Gerätelisten: Hostname, IP, Seriennummer. Doch ein Auditor fragt selten, ob ein Gerät existiert, sondern wer verantwortlich ist, wo es steht, welche Software läuft und wer zugreift. Warum ein Inventar ein Beziehungsgeflecht ist und die verlässlichste Quelle dafür meist schon im IT-Betrieb liegt.
Weiterlesen
Container im Asset-Inventar: die Plattform zählt, nicht der Pod
Ein Pod lebt oft nur Minuten. Wer jeden einzelnen inventarisiert, produziert Rauschen; wer die Container-Schicht ganz weglässt, hat einen blinden Fleck genau dort, wo die Produktion läuft. Warum die richtige Frage nicht ob lautet, sondern auf welcher Ebene, und was dauerhaft ins Inventar gehört.
Weiterlesen
Warum die halbe CVE-Liste Zeitverschwendung ist
Ein Scan gegen einen exponierten Host findet 672 bekannte Schwachstellen, von 2009 bis heute, kritische neben scorelosen. Wer stur nach CVSS patcht, jagt die theoretisch schlimmsten Lücken statt der tatsächlich gefährlichsten. Drei Fragen, die aus einer CVE ein echtes Risiko machen, und warum Priorisierung ohne Asset-Kontext blind bleibt.
Weiterlesen
Ein Asset-Inventar tippt man nicht ab, man lässt es scannen
Ein handgepflegtes Inventar hat zwei Fehler: Es altert schneller, als man tippt, und es enthält nur, was jemand eingetragen hat. Das Gefährliche ist das Vergessene. Warum ein lebendes Inventar entdeckt statt erfasst wird, und warum eine einzelne Quelle dafür nie reicht.
Weiterlesen
isidaten setzt mit Schwachstellenmodul neuen ISO Standard 20153:2025 um
Mit dem brandneuen ISO/IEC 20153:2025 Standard implementiert isidaten modernste CSAF-konforme Schwachstellenverwaltung.
Weiterlesen