Informationssicherheit ist kein Konzernthema. Und ein ISMS muss kein Albtraum sein.
Mal ehrlich: Wenn in einer kleinen oder mittelständischen IT-Abteilung das Wort „ISMS“ fällt, gibt es meistens zwei Reaktionen. Entweder der IT-Verantwortliche schaut so, als hätte man ihm gerade eine Steuerprüfung angekündigt. Oder jemand aus der Geschäftsführung nickt enthusiastisch, weil er den Begriff irgendwo in einem LinkedIn-Post einer hippen Beratungsfirma gelesen hat? Set sail for fail, dann wird’s schnell teuer.
Beides ist unnötig.
Ein Information Security Management System ist im Kern alles, nur kein Dokumentenfriedhof, kein einmaliges Zertifizierungsprojekt und auch kein Selbstzweck. Es ist ein Arbeitsprinzip. Und für KMU kann es, richtig aufgesetzt, den Unterschied machen zwischen „wir wussten was wir tun“ und „wir hatten leider keinen Plan“. Das merkt man genau dann, wenn es darauf ankommt.
Hier ist der pragmatische 9-Punkte-Plan. Kein Enterprise-Overhead, kein ISO-Zertifizierungs-Wahn. Nur das, was wirklich funktioniert.
1. Akzeptiere zuerst die unbequeme Wahrheit
KMU sind kein uninteressantes Angriffsziel. Im Gegenteil: Oft hängen zentrale Geschäftsprozesse an erschreckend wenigen Systemen und Personen. Fällt die IT aus, steht nicht nur der Serverraum sondern auch Vertrieb, Buchhaltung, Lager, manchmal der ganze Laden.
Die gute Nachricht: Du musst kein Fortune-500-Unternehmen sein, um dich sinnvoll abzusichern. Du musst nur aufhören zu denken, dass das „das Thema der anderen“ ist.
2. Klein anfangen + das auch ernst meinen
Der häufigste Fehler: Man schaut sich an, wie große Unternehmen ihr ISMS aufgebaut haben, und versucht das zu kopieren. Das endet immer gleich: mit einem System, das niemand pflegt, niemand versteht und das im Ernstfall in einer Schublade liegen bleibt.
Besser wäre fünf bis zehn wirklich kritische Assets zu identifizieren. Typische Kandidaten sind:
- Active Directory / Identitätsmanagement
- Microsoft 365 oder Google Workspace
- ERP-System
- Backups (ja, die sind ein Asset! Dazu gleich mehr)
- Zentrale Fileshares oder Kollaborationstools
Nicht alles muss von Tag eins erfasst sein. Die wichtigste Frage lautet: Was muss im Ernstfall als erstes wieder laufen? Genau das schützt du zuerst.
3. Risiken bewerten (aber ohne Mathe-Olympiade)
Risikobewertung klingt nach Unternehmensberatung und Excel-Eskalation. Muss es nicht sein.
Drei Stufen reichen für den Anfang völlig aus: niedrig, mittel, hoch. Wer jetzt an eine fein austarierte 5×5-Risikomatrix denkt, macht dass bitte nicht. Damit verbringt man mehr Zeit in der Methodik als in der Umsetzung. Denkt einfach daran, das Ziel ist nicht die perfekte Bewertung, sondern eine umsetzbare Entscheidungsgrundlage.
Ein bekanntes, dokumentiertes Risiko, das bewusst akzeptiert wird mit einer Idee wie man darauf reagieren möchte ist tausendmal besser als ein unbekanntes Risiko, das irgendwann zuschlägt.
4. Klare Zuständigkeiten regeln. Weil „alle“ niemanden meint!
In kleinen Teams läuft Sicherheit oft so: Irgendjemand kümmert sich irgendwie. Solange diese Person da ist, läuft es. Wenn sie krank wird, im Urlaub ist oder das Unternehmen verlässt geht schnell das Licht aus.
Ein ISMS macht Verantwortlichkeiten explizit. Das muss nicht kompliziert sein:
- IT-Leitung: trägt die fachliche Verantwortung
- Admins / externe Dienstleister: setzen operativ um
- Geschäftsführung: bewertet Risiken, trifft Entscheidungen, akzeptiert/lehnt ab
Dieser letzte Punkt ist wichtig: Das Management muss eingebunden sein. Nicht als Dekoration, sondern weil Risikoentscheidungen Managemententscheidungen sind.
5. Dokumentiere nur was du auch nutzt
Keine Dokumentenflut. Was niemand liest, bringt im Ernstfall nichts. Für den Start reichen diese Dokumente:
- Kurze Beschreibung von Ziel und Geltungsbereich (eine halbe Seite reicht)
- Asset-Liste mit den kritischen Systemen
- Risikoregister (kann eine einfache Excel-Tabelle sein, kein Witz)
- Priorisierte Maßnahmenliste (Quick&Easy, Technisches, Orga, KVP)
- Drei bis fünf Kernrichtlinien: Zugriffskontrolle, Backup, Patch Management, Incident Response, ggf. mobiles Arbeiten
- Incident-Log für Sicherheitsvorfälle
- Ansprechpartnerliste für Cloud, Netz, IT-Support
Eine Passwort-Policy muss auch keine zehn Seiten haben. Wenn auf einer halben Seite steht, welche Anforderungen gelten und warum reicht das. Wirklich!
6. Die vier Prozesse, die wirklich zählen
Ein ISMS lebt von Prozessen, nicht von Dokumenten. Und auch hier gilt: weniger ist mehr, solange es funktioniert.
Access Management: Wer hat Zugriff auf was? Wer entscheidet über Berechtigungen? Wann werden Rechte überprüft? Historisch gewachsene Admin-Rechte nach dem Motto „der hatte das schon immer“ sind zwar ein Klassiker aber auch ein unnötiges Risiko.
Backup & Restore: Nicht nur festhalten, was gesichert wird, sondern auch, wann zuletzt ein Restore-Test stattgefunden hat. Ein Backup, das nie getestet wurde, ist Folklore. Kein Restore-Test = kein Backup = kein Mitleid.
Incident response: Wie wird ein Sicherheitsvorfall erkannt? Wer wird wann informiert? Welche Systeme lassen sich isolieren? Welche Dienstleister müssen rein? Das muss auf eine Seite passen und im Ernstfall auch um 2 Uhr nachts verständlich sein.
Patch Management: Automatisieren, wo es geht. Kleine Teams können sich manuelle Einzelfallentscheidungen bei Updates schlicht nicht leisten.
7. Prioritäten setzen: 80 % sauber schlägt 100 % dokumentiert
Zeit ist das knappe Gut in kleinen IT-Teams. Deshalb: Reihenfolge beachten.
Was zuerst? Die Klassiker, die überraschend oft vernachlässigt werden:
- Backup & Restore (inklusive Test)
- Zugriffskontrolle (keine wilden Admin-Rechte)
- Patch Management (aktuell bleiben)
- Phishing & Awareness (der Mensch ist die häufigste Angriffsfläche)
Diese vier Punkte klingen unspektakulär. Sie entscheiden aber regelmäßig darüber, wie ein Angriff oder ein Ausfall ausgeht. Kein noch so teures Tool kompensiert, wenn diese Grundlagen fehlen.
Der Grundsatz für KMU: Lieber 80 % sauber gelebt als 100 % dokumentiert und nie angewandt.
8. ISMS ist kein Projekt, es ist ein Betriebsmodus
Ein häufiges Missverständnis: ISMS als einmaliges Projekt mit Kickoff, Meilensteinen und Abschlussfeier. Das funktioniert nicht.
Ein ISMS lebt. Dafür braucht es keinen riesigen Aufwand, sondern eine gelebte Regelmäßigkeit:
- Monatlich: Kurzes Review der wichtigsten Risiken (30 Minuten reichen)
- Quartalsweise: Abgleich mit der Geschäftsführung, was hat sich verändert?
- Jährlich: Überprüfung von Berechtigungen, Maßnahmen, Dokumenten
Das ist kein Bürokratieprogramm. Das ist Betriebshygiene.
9. Zertifizierung: Kann, muss nicht
Sobald das Thema ISMS auf dem Tisch liegt, kommt unweigerlich die Frage nach ISO 27001. Manchmal ist das sinnvoll, da Kunden, Partner oder Ausschreibungen immer häufiger einen formalen Nachweis verlangen.
Aber: Eine Zertifizierung macht ein Unternehmen nicht automatisch sicherer. Sie bestätigt, dass ein Rahmen dokumentiert und überprüfbar ist. Das ist nicht dasselbe.
Für die meisten KMU ist der sinnvollere Weg: Ein schlankes, funktionierendes ISMS aufbauen, intern verankern und im Alltag leben. Das hilft schon enorm dabei, Sicherheitsfragen von Kunden substanziell zu beantworten und mit den echten Risiken besser umzugehen.
Ob eine Zertifizierung folgt, hängt vom Geschäftsmodell und vom Aufwand-Nutzen-Verhältnis ab. Nicht von einem Reflex.
Bonus: Tools & Ressourcen
Tipps womit du das Ganze beschleunigen kannst ohne das Rad neu erfinden zu müssen.
Kein Mensch muss das alles von Null auf der grünen Wiese aufbauen. Hier sind die Werkzeuge und Vorlagen, die dir echte Arbeit abnehmen. Sortiert von „kostenlos und sofort nutzbar“ bis „macht Sinn wenn du weiter willst“.
PlanA: Vom BSI direkt (kostenlos, seriös, oft unterschätzt)
IT-Grundschutz-Kompendium (BSI) Das zentrale Maßnahmenwerk des BSI mit über 110 Bausteinen ist kostenlos auf der BSI-Website verfügbar. Klingt nach Mammutprojekt, ist aber modular aufgebaut. Für KMU empfiehlt sich der Einstieg über die Basis-Absicherung denn die deckt die kritischsten Anforderungen ab, ist explizit für kleinere Unternehmen und den Anfang konzipiert. Praktischerweise deckt sie sogar bereits viele der NIS-2-Anforderungen mit ab. Und sind wir mal ehrlich, wer mit öffentlichen Auftraggebern arbeitet, sollte ohnehin wissen, was da drin steht. → BSI IT-Grundschutz-Kompendium
Checklisten zum IT-Grundschutz-Kompendium Mit diesen Checklisten lässt sich der aktuelle Umsetzungsstatus von IT-Grundschutz-Bausteinen einfach dokumentieren. Für jeden Baustein sind die einzelnen Anforderungen aufgeführt; Freitextfelder nehmen Status, Zieldatum und Verantwortlichkeit auf. Praktisch: Das ist im Grunde dein Risikoregister und deine Maßnahmenliste in einem. Fertige Vorlage, nichts selbst basteln. → BSI Checklisten Download
IT-Grundschutz-Bausteine als Word/PDF Die Bausteine der Edition 2023 gibt es als ZIP, wahlweise PDF oder MS-Word, dazu Kreuzreferenztabellen im Excel-Format. Das Word-Format bedeutet: direkt bearbeiten, anpassen, als Vorlage für eigene Richtlinien nutzen. Massiv unterschätzt als Ausgangspunkt für die eigene Dokumentation. → BSI Bausteine Download
PlanB: Keinen eigenen Verantwortlichen im Haus oder zu wenig Durchblick?
CyberRisikoCheck nach DIN SPEC 27076 Das ist der schnellste strukturierte Einstieg, den es gibt. Ein IT-Dienstleister befragt dein Unternehmen in einem ein- bis zweistündigen Interview zur IT-Sicherheit.
Dabei werden 27 Anforderungen aus sechs Themenbereichen überprüft. Von Zugangskontrolle über Patch-Management bis Notfallprozesse ist alles wichtige dabei. Als Ergebnis kommt ein übersichtlicher Bericht mit priorisierten Handlungsempfehlungen raus, gegliedert nach Dringlichkeit.
Kein monatelanges Projekt, kein riesiges Budget. Auf Bundesebene wird der Check über das „go-digital“-Programm bereits mit 50 Prozent bezuschusst – wer also eh einen IT-Dienstleister hat oder sucht, fängt hier an. → BSI CyberRisikoCheck
Tools für die tägliche ISMS-Arbeit
Für den absoluten Low-Budget-Einstieg: Excel / Confluence / Wiki Ja, wirklich. Eine sauber strukturierte Tabelle mit den Spalten Asset, Bedrohung, Bewertung, Strategie, Verantwortlicher und Status ist für den Start völlig ausreichend. Kein Tool der Welt ersetzt den Willen, die Liste tatsächlich zu pflegen.
isms4kmo Ein deutsches Softwaretool, das speziell für KMU entwickelt wurde und den BSI IT-Grundschutzstandard 200-1 abbildet. Geführter Prozess, auf Deutsch, mit eingebautem Online-Handbuch. Für alle, die mehr Struktur wollen als Excel, aber kein Enterprise-ISMS-Tool brauchen. → isms4kmo.de
Compliance Aspekte Mehr Automatisierung: voreingestelltes ISMS-Konzeptmodell mit typischer Unternehmensinfrastruktur, automatische Zuweisung der IT-Grundschutz-Anforderungen, eingebaute Risikomatrix nach BSI 200-3. Sinnvoll für KMU, die bereits etwas weiter sind oder konkret auf eine Zertifizierung zusteuern. → compliance-aspekte.de
Verinice (Open Source) Für alle, die kein SaaS-Abonnement wollen: Verinice ist ein etabliertes Open-Source-Tool für IT-Grundschutz und ISO 27001, das in vielen deutschen Behörden und Mittelständlern im Einsatz ist. Lernkurve vorhanden, keine laufenden Lizenzkosten. → verinice.com
PlanC: Muster-Leitlinie zum direkt Loslegen
Wer eine fertige Vorlage für die Informationssicherheitsleitlinie sucht (also das Dokument, das Ziel und Geltungsbereich des ISMS beschreibt), findet bei ask-datenschutz.de eine kostenlose, aktualisierte Muster-Leitlinie auf Basis des BSI IT-Grundschutzes, ausgelegt für KMU und Kommunen. Herunterladen, anpassen, von der Geschäftsführung unterschreiben lassen, fertig. → Muster-Leitlinie Informationssicherheit (kostenlos)
Eine ehrliche Einschätzung zum Schluss: Kein Tool ersetzt die Entscheidung, welche Maßnahmen in deinem Kontext wirklich sinnvoll sind. Tools beschleunigen, ja. Das Denken nehmen sie dir aber nicht ab. Wer ein Tool kauft und hofft, damit ist das ISMS „erledigt“, hat das Prinzip missverstanden.
Fazit: Ein ISMS als Werkzeug, nicht als Denkmal
Ein ISMS für KMU ist kein Selbstzweck und kein Prestigeprojekt. Es ist ein Werkzeug zur Priorisierung. Es schafft Übersicht, ermöglicht klare Entscheidungen und reduziert die gefährliche Abhängigkeit von Einzelwissen.
Entscheidend ist nicht, wie dick der Ordner ist. Entscheidend ist, ob das ISMS genutzt wird + ob es im Ernstfall handlungsfähig macht.
Und das geht auch ohne Zertifizierungstortur, ohne Enterprise-Overhead und ohne sechs Monate Projektlaufzeit. Man muss nur anfangen.
EN 
DE 
ES 
FR 
IT