Nicht für sich allein. Ein ISO-27001-Zertifikat belegt, dass eine Zertifizierungsstelle Ihr Managementsystem für einen angegebenen Anwendungsbereich auditiert und für konform befunden hat. Es belegt nicht, dass die Controls stark sind. Sie entscheiden selbst, was für jedes Control gut genug ist. Ein echtes Zertifikat kann deshalb neben langsamem Patchen, unbeobachteten Logs und einer Wiederherstellung bestehen, deren Dauer nie jemand gemessen hat.
Dieser Leitfaden behandelt, was ein Zertifikat belegt, Controls, die das Audit bestehen, ohne gut zu funktionieren, wie Sie prüfen, ob ein Zertifikat echt ist, ISAE 3402 und SOC 2, NIS2 und wie Sie die Lücke schließen.
| Frage | Beantwortet das Zertifikat sie? | Wo die Antwort steht |
|---|---|---|
| Gibt es ein auditiertes Managementsystem? | Ja, stichprobenartig beim Audit und bei jedem Überwachungsaudit | Zertifikat, Auditberichte |
| Ist die Leistung, die Sie einkaufen, abgedeckt? | Nur wenn Sie den Anwendungsbereich lesen | Bereichsangabe auf dem Zertifikat |
| Würde ein Eindringen bemerkt? | Nein | Erkennungsabdeckung, getestete Alarme |
| Wie lange bleiben kritische Schwachstellen offen? | Nein | Behebungszeiten aus Scanner und Tickets |
| Kann das Unternehmen in der zugesagten Zeit wiederherstellen? | Nein | Eine vollständige Wiederherstellung mit gemessener Dauer |
| Ist das Zertifikat echt und gültig? | Nicht durch bloßes Ansehen | IAF CertSearch, die Zertifizierungsstelle |
Was belegt ein ISO-27001-Zertifikat wirklich?
Zuerst das, was fair ist. Ein Zertifikat ist kein Theater. Es bedeutet, dass ein Dritter Ihr Managementsystem stichprobenartig geprüft und festgestellt hat, dass es gelebt wird. Es öffnet Türen, verkürzt Sicherheitsprüfungen durch Kunden und entscheidet oft darüber, ob Sie für einen Auftrag überhaupt in Frage kommen. Nichts im Folgenden spricht dagegen, eines zu erwerben.
Es geht darum, was es misst. ISO/IEC 27001 ist eine Managementsystemnorm. Sie beurteilen Risiken (Abschnitt 6.1.2), entscheiden über Controls und halten sie in einer Erklärung zur Anwendbarkeit fest (6.1.3), setzen sie um, auditieren sie (9.2), bewerten sie (9.3) und verbessern. Anhang A listet 93 Referenz-Controls auf, mit denen Sie Ihre Auswahl abgleichen.
Das wichtige Wort ist „entscheiden“. Die Norm sagt Ihnen für kein einziges Control, wie gut aussieht. Sie verlangt, dass Sie entscheiden, die Entscheidung dokumentieren und zeigen, dass das Control umgesetzt wird. Diese Konstruktion macht die Norm für eine Bank ebenso nutzbar wie für ein Softwareunternehmen mit zwölf Personen. Genau dort liegt auch die Lücke.
Ein Zertifikat läuft drei Jahre, mit Überwachungsaudits im zweiten und dritten Jahr. Jedes Audit arbeitet mit Stichproben; keines misst, wie sicher Sie sind.
Kann ein Unternehmen nach ISO 27001 zertifiziert und trotzdem unsicher sein?
Ja. Nehmen Sie vier operative Controls aus ISO/IEC 27001:2022 und fragen Sie, wie eine minimale Umsetzung aussieht, die gerade noch besteht.
A.8.8, Handhabung von technischen Schwachstellen. Informationen über Schwachstellen werden eingeholt, die Gefährdung wird bewertet, und es werden angemessene Maßnahmen ergriffen. Das Control setzt keine Frist; das tut Ihre eigene Richtlinie. Ein monatlicher Scan, ein Bericht und ein Verfahren mit dem Satz „risikobasiert beheben“ überstehen eine Stichprobe meist, während kritische Befunde monatelang offen bleiben. Das Control verlangte einen Prozess und hat einen bekommen.
A.8.15, Protokollierung. Protokolle werden erstellt, gespeichert, geschützt und analysiert. Das Control sagt nicht, wie oft oder wie gründlich, also kann eine monatliche Prüfnotiz die Analyse belegen. Ob jemand sagen könnte, wer sich letzten Dienstag an der Admin-Konsole angemeldet hat, und von wo, wird nicht getestet.
A.8.16, Überwachung von Aktivitäten. Netzwerke, Systeme und Anwendungen werden auf anomales Verhalten überwacht, und es werden Maßnahmen ergriffen, um mögliche Sicherheitsvorfälle zu bewerten. Das ist die größte Lücke. Ein dokumentiertes Verfahren, Standardalarme und ein benannter Verantwortlicher können bestehen, während um zwei Uhr nachts nichts einen Alarm auslösen würde.
A.8.13, Sicherung von Information. Backups werden vorgehalten und gemäß Ihrer eigenen Backup-Richtlinie regelmäßig getestet. Jedes Quartal ein paar Dateien wiederherzustellen, kann genügen. Ob die Dauer einer vollständigen Wiederherstellung je gegen das Wiederherstellungsziel gemessen wurde, das Sie einem Kunden zugesagt haben, ist eine Frage, die das Control nicht erzwingt.
Nichts davon ist Kritik an Auditoren. Ein Zertifizierungsaudit prüft, ob die von Ihnen erklärten Controls wie beschrieben funktionieren, nicht, ob Ihre Sicherheit gut ist.
Welche Fragen beantwortet ein Zertifikat nicht?
Die Fragen, die einen Kunden wirklich interessieren, egal was der Fragebogen fragt:
- Würden Sie es bemerken? Wenn jetzt jemand in Ihrer Umgebung wäre, würde Sie irgendetwas darauf hinweisen, und wie lange würde das dauern?
- Wie lange bleiben bekannte Probleme offen? Nicht, ob Sie scannen, sondern Ihre mediane Zeit bis zur Behebung eines kritischen Befunds.
- Können Sie tatsächlich wiederherstellen? Nicht, ob Backups laufen, sondern ob die Dauer einer Wiederherstellung von Anfang bis Ende gegen das zugesagte Ziel gemessen wurde.
- Kommt das Konto einer ausgeschiedenen Person noch hinein? Nicht, ob Sie einen Austrittsprozess haben, sondern ob er die Tokens, die SaaS-Logins, den Domain-Registrar und das Abrechnungsportal erfasst hat.
Ein Zertifikat kann vollkommen echt sein, während alle vier Antworten schlecht ausfallen. Das ist kein Schlupfloch. Es ist der Geltungsbereich des Instruments.
Die Lücke wächst mit der Zeit. Zertifizierung belohnt Stabilität: Am günstigsten behält man ein Zertifikat, indem man das System so lässt, wie es beschrieben ist. Sicherheit belohnt Veränderung, weil sich die IT-Landschaft ständig bewegt. Und ein Beratungsmandat, das auf die Zertifizierung zugeschnitten ist, endet mit der Ausstellung des Zertifikats, oft bevor die technischen Lücken geschlossen sind.
Oft zeigt sich die Lücke als Kundenfrage: Wie hoch ist Ihre mittlere Zeit bis zur Erkennung? Das Zertifikat hat darauf keine Antwort. Sicherheitsfragebögen beantworten zeigt, wie Sie mit Nachweisen antworten.
Wie prüfen Sie, ob ein ISO-27001-Zertifikat echt ist?
In der Praxis ist das häufige Problem kein gefälschtes Zertifikat, sondern ein echtes, das etwas anderes abdeckt als das, was Sie einkaufen. Prüfen Sie beides.
- Lesen Sie das Zertifikat. ISO/IEC 17021-1 (Abschnitt 8.2.2) verlangt, dass es die Organisation und ihre Standorte, das Datum der Erteilung, das Ablauf- oder Rezertifizierungsdatum, einen eindeutigen Code, die Norm und ihre Ausgabe, den Anwendungsbereich sowie Name, Anschrift und Zeichen der Zertifizierungsstelle angibt.
- Prüfen Sie Ausgabe und Daten. Es muss ISO/IEC 27001:2022 nennen. Der Übergang von der Ausgabe 2013 endete am 31. Oktober 2025.
- Sehen Sie sich das Akkreditierungssymbol an. Es zeigt, dass die Zertifizierungsstelle akkreditiert ist, nicht das zertifizierte Unternehmen. Es sollte zu einer nationalen Akkreditierungsstelle gehören; in der EU benennt jeder Mitgliedstaat eine einzige (Verordnung (EG) Nr. 765/2008, Artikel 4 Absatz 1).
- Prüfen Sie, ob die Stelle für ISO/IEC 27001 akkreditiert ist. Akkreditiert wird je Programm: ISMS-Zertifizierungsstellen werden nach ISO/IEC 17021-1 in Verbindung mit ISO/IEC 27006-1:2024 akkreditiert, die ISO/IEC 27006:2015 ersetzt hat. Eine Akkreditierung nur für ISO 9001 deckt das nicht ab. Prüfen Sie das Verzeichnis der Akkreditierungsstelle.
- Suchen Sie in IAF CertSearch. IAF CertSearch ist die weltweite Datenbank akkreditierter Managementsystem-Zertifikate, eingerichtet vom International Accreditation Forum. Global ACI, das IAF und ILAC am 1. Januar 2026 abgelöst hat, verweist weiterhin darauf. Seit dem 26. Oktober 2024 verpflichtet IAF MD 28 akkreditierte Zertifizierungsstellen, für jedes Zertifikat Nummer, Norm, Ablaufdatum und Status (aktiv, ausgesetzt oder zurückgezogen) mindestens monatlich hochzuladen. Einige Abfragen sind kostenlos.
- Fragen Sie die Zertifizierungsstelle. Nach ISO/IEC 17021-1 (Abschnitt 8.1.2) muss sie auf Anfrage Status, Norm, Anwendungsbereich und Standort eines zertifizierten Kunden mitteilen. MD 28 erlaubt, dass manche Einträge vertraulich sind oder ausgenommen werden. Ein fehlender Eintrag ist deshalb ein Grund nachzufragen, kein Beweis für Betrug.
- Lesen Sie den Anwendungsbereich im Abgleich mit dem, was Sie einkaufen. „Entwicklung und Betrieb der Plattform“ und „IT-Support am Hauptsitz“ sind sehr unterschiedliche Zertifikate. ISO/IEC 27006 sieht vor, dass das Zertifikat auf eine bestimmte Version der Erklärung zur Anwendbarkeit verweist; fordern Sie diese in der Praxis unter NDA an. Anwendungsbereich und Erklärung zur Anwendbarkeit erklärt, worauf Sie achten sollten.
Woran erkennen Sie ein Fake-Zertifikat für ISO 27001?
ISO stellt keine Zertifikate aus und erlaubt niemandem, sein Logo im Zusammenhang mit einer Zertifizierung zu verwenden. Ein ISO-Logo oder „von ISO zertifiziert“ ist deshalb ein Warnsignal. Ebenso eine Ausgabe 2013, ein fehlendes Ablaufdatum oder eine fehlende Nummer und ein Akkreditierungszeichen einer Stelle, die keine anerkannte nationale Akkreditierungsstelle ist. Akkreditierung ist nicht verpflichtend, und ISO sagt, dass eine nicht akkreditierte Stelle nicht zwangsläufig unseriös ist. Aber keine Akkreditierungsstelle hat ihre Kompetenz geprüft, und CertSearch wird sie nicht führen.
PRÜFUNG ISO/IEC-27001-ZERTIFIKAT
Lieferant: Geprüft am:
Zertifikatsnummer:
Ausgabe ist ISO/IEC 27001:2022 [ ]
Ausstellungsdatum: Ablaufdatum:
Zertifizierungsstelle:
Für ISO/IEC 27001 akkreditiert durch:
Nationale Akkreditierungsstelle, Verzeichnis geprüft [ ]
Eintrag in IAF CertSearch gefunden [ ]
Status: aktiv / ausgesetzt / zurückgezogen
Falls nicht gefunden: Zertifizierungsstelle bestätigt [ ]
Anwendungsbereich (wörtlich übernehmen):
Eingekaufte Leistung liegt im Anwendungsbereich [ ]
Referenzierte SoA-Version: SoA erhalten [ ]
Warnsignale: ISO-Logo / Ausgabe 2013 / kein Ablaufdatum /
keine Nummer / unbekanntes Akkreditierungszeichen
Erneut prüfen vor: (Ablaufdatum oder nächstes Überwachungsaudit)ISO 27001, ISAE 3402 und SOC 2: Was ist der Unterschied?
Ein ISO-27001-Zertifikat bedeutet bestanden oder nicht bestanden gegenüber einer Norm. Ergebnisse einzelner Controls weist es nicht aus.
ISAE 3402 ist ein Prüfungsstandard des IAASB: Ein Prüfer berichtet über die Kontrollen eines Dienstleistungsunternehmens, die für das interne Kontrollsystem seiner Kunden in Bezug auf die Finanzberichterstattung relevant sind. Ein Typ-1-Bericht deckt die Ausgestaltung der Kontrollen zu einem Stichtag ab. Ein Typ-2-Bericht ergänzt ihre Wirksamkeit über einen gesamten Zeitraum, mit den Tests und ihren Ergebnissen.
SOC 2 ist ein AICPA-Bericht, erstellt von einer CPA-Prüfungsgesellschaft, über Kontrollen mit Bezug zu Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit oder Datenschutz. Ein Typ-2-Bericht kommt der Antwort auf die Frage „Haben die Kontrollen funktioniert?“ näher, aber nur für die Kontrollen und den Zeitraum, die er beschreibt. Keiner der beiden Berichte ist ein Zertifikat.
Erfüllt ein ISO-27001-Zertifikat NIS2?
Nein, und es gibt kein NIS2-Zertifikat. Artikel 21 verlangt Maßnahmen, die dem Risiko angemessen sind. Zu den Befugnissen der Aufsicht gehört die „Anforderung von Nachweisen für die Umsetzung der Cybersicherheitskonzepte, z. B. der Ergebnisse von Sicherheitsprüfungen, die von einem qualifizierten Prüfer durchgeführt wurden“ (Artikel 32 Absatz 2 Buchstabe g für wesentliche Einrichtungen; Artikel 33 Absatz 2 Buchstabe f, nachträglich, für wichtige Einrichtungen). Ein Zertifikat hilft; nach einem Sicherheitsvorfall zählt mehr, was die Maßnahmen tatsächlich bewirkt haben. ISO 27001 und NIS2 im Vergleich zeigt, wo ein ISMS die Richtlinie abdeckt und wo es zu kurz greift.
Wie schließen Sie die Lücke?
Nicht mit mehr Audits. Das Audit ist nicht der Engpass.
Machen Sie die operativen Controls testbar, nicht nur auf dem Papier prüfbar. Stellen Sie ein Backup wieder her und messen Sie die Dauer. Wählen Sie zufällig eine ausgeschiedene Person aus und suchen Sie nach noch aktiven Zugangsdaten. Verfolgen Sie einen Scanner-Befund bis zur Behebung, mit Datum. Nehmen Sie diese Tests in das Programm für interne Audits auf, damit sie planmäßig laufen.
Versehen Sie Befunde mit einer Frist, nicht nur mit einem Verantwortlichen. Eine Schwachstelle mit Verantwortlichem und ohne Frist bleibt eine Schwachstelle. Entscheidend ist, wie lange kritische Schwachstellen offen bleiben, und nach unserer Erfahrung messen das nur wenige kleinere Unternehmen.
Lassen Sie die Werkzeuge die Nachweise erzeugen. Erkennung, Schwachstellenmanagement, Cloud-Sicherheitslage und Backup-Prüfung erzeugen Aufzeichnungen als Nebenprodukt. Betreiben Sie sie, und Sie erhalten die Nachweise und die tatsächliche Sicherheit, und genau darum geht es.
So arbeitet die CloudSoul Plattform: eine automatisierte Plattform mit Human-in-the-Loop-Expertise, die Controls und technische Befunde in einem gemeinsamen Nachweisbestand führt. Ein Sicherheitsaudit zeigt Ihnen, welche Lücken die Dokumentation betreffen und welche technisch sind, bevor Sie in das eine oder das andere investieren. Das Zertifizierungsprogramm finden Sie auf der ISO-27001-Seite.
Holen Sie sich das Zertifikat. Es lohnt sich. Beantworten Sie dann die vier Fragen separat, denn das Zertifikat tut es nicht.
Checkliste für ISO-27001-Zertifikate
- Bestätigen Sie, dass der Anwendungsbereich die Leistung oder die Systeme abdeckt, auf die es ankommt.
- Prüfen Sie, ob das Zertifikat auf ISO/IEC 27001:2022 lautet und gültig ist.
- Bestätigen Sie, dass die Zertifizierungsstelle für ISO/IEC 27001 akkreditiert ist.
- Finden Sie das Zertifikat in IAF CertSearch, oder lassen Sie es von der Zertifizierungsstelle bestätigen.
- Fordern Sie die Version der Erklärung zur Anwendbarkeit an, auf die das Zertifikat verweist.
- Messen Sie für Ihr eigenes ISMS die Dauer einer vollständigen Wiederherstellung gegen Ihr Wiederherstellungsziel.
- Messen Sie, wie lange kritische Schwachstellen offen bleiben, nicht nur, ob Sie scannen.
- Wählen Sie jedes Quartal zufällig eine ausgeschiedene Person aus und prüfen Sie, ob noch Zugänge aktiv sind.
Quellen
- ISO/IEC 27001:2022, Abschnitte 6.1.2, 6.1.3, 9.2, 9.3 und Controls 8.8, 8.13, 8.15, 8.16 aus Anhang A, ISO.
- ISO/IEC 17021-1:2015, Abschnitte 8.1.2 und 8.2.2, ISO.
- ISO/IEC 27006-1:2024, ISO.
- ISO, Certification: ISO zertifiziert nicht, Logonutzung, Akkreditierung, ISO.
- IAF MD 28:2023, Upload and Maintenance of Data on IAF Database, IAF.
- IAF CertSearch, Datenbank und FAQ.
- Start der Global Accreditation Cooperation Incorporated, 1. Januar 2026, IAF.
- Verordnung (EG) Nr. 765/2008, Artikel 4, EUR-Lex.
- ISAE 3402, Assurance Reports on Controls at a Service Organization, IAASB.
- SOC 2, SOC for Service Organizations: Trust Services Criteria, AICPA.
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 21, 32 und 33, EUR-Lex.
Häufige Fragen
Bedeutet eine ISO-27001-Zertifizierung, dass ein Unternehmen sicher ist?
Nicht für sich allein. Sie bedeutet, dass eine Zertifizierungsstelle das Informationssicherheits-Managementsystem des Unternehmens für einen angegebenen Anwendungsbereich nach ISO/IEC 27001 auditiert und für konform befunden hat. Die Norm lässt das Unternehmen entscheiden, wie stark jedes Control ist. Ein echtes Zertifikat kann daher neben langsamem Patchen, unbeobachteten Logs und ungetesteter Wiederherstellung bestehen.
Wie prüfe ich, ob ein ISO-27001-Zertifikat echt ist?
Suchen Sie es in IAF CertSearch, der weltweiten Datenbank akkreditierter Managementsystem-Zertifikate, und lassen Sie es von der darauf genannten Zertifizierungsstelle bestätigen. Prüfen Sie, ob die Stelle für ISO/IEC 27001 akkreditiert ist, ob das Zertifikat auf die Ausgabe 2022 lautet und gültig ist und ob der Anwendungsbereich die Leistung abdeckt, die Sie einkaufen.
Woran erkenne ich ein gefälschtes ISO-27001-Zertifikat?
An einem ISO-Logo oder den Worten „von ISO zertifiziert“, denn ISO stellt keine Zertifikate aus. Außerdem an einer Ausgabe 2013, einem fehlenden Ablaufdatum oder einer fehlenden Zertifikatsnummer, einem Akkreditierungszeichen einer Stelle, die keine anerkannte nationale Akkreditierungsstelle ist, und an einem Zertifikat, das weder IAF CertSearch noch die Zertifizierungsstelle bestätigen kann.
Was ist der Unterschied zwischen ISO 27001 und ISAE 3402 oder SOC 2?
ISO 27001 zertifiziert, dass ein Managementsystem einer Norm entspricht. ISAE 3402 und SOC 2 sind Prüfungsberichte über die Kontrollen eines Dienstleistungsunternehmens, und ein Typ-2-Bericht behandelt, ob sie über einen Zeitraum wirksam funktioniert haben. ISAE 3402 zielt auf die Finanzberichterstattung der Kunden, SOC 2 auf Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit oder Datenschutz.
Erfüllt ein ISO-27001-Zertifikat NIS2?
Es gibt kein NIS2-Zertifikat. NIS2 verlangt Risikomanagementmaßnahmen, die dem Risiko angemessen sind, und Behörden können Nachweise der Umsetzung anfordern, etwa Ergebnisse von Sicherheitsaudits. Ein ISO-27001-Zertifikat ist ein nützlicher Nachweis, ersetzt diese Beurteilung aber nicht.
