Autor: Dr. Stefan Ransom, Partner & Prokurist bei TTS Trusted Technologies and Solutions GmbH
Von der Maßnahmenverwaltung zur Sicherheitssteuerung.
Viele Unternehmen haben erheblich in Informationssicherheit investiert: Sie haben ein ISMS aufgebaut, Risiken analysiert, Richtlinien verabschiedet, Verantwortlichkeiten benannt, technische und organisatorische Maßnahmen umgesetzt. In den Berichten stehen entsprechend viele Ampeln auf Grün.
Nur: Grün ist kein Beweis für Sicherheit.
Eine Richtlinie verhindert keinen unberechtigten Zugriff. Sie legt fest, was gelten soll. Erst die technische und organisatorische Umsetzung macht daraus eine reale Schutzmaßnahme. Doch selbst dann bleibt die entscheidende Frage offen: Reduziert diese Maßnahme das Risiko tatsächlich?
Drei Ebenen – und die wichtigste wird oft übersprungen
Wer Informationssicherheit belastbar bewerten will, muss drei Ebenen auseinanderhalten:
| Ebene | Leitfrage |
|---|---|
| Dokumentation | Was soll getan werden? |
| Umsetzung | Wurde die Maßnahme wie vorgesehen umgesetzt? |
| Wirksamkeit | Erreicht die Maßnahme im Betrieb nachweisbar ihr Sicherheitsziel? |
In vielen ISMS ist nach Ebene zwei Schluss. Maßnahme umgesetzt, Status auf „erledigt“, Haken dran. Damit entsteht eine gefährliche Annahme: Was vorhanden ist, wird schon wirken. Vielleicht stimmt das. Vielleicht auch nicht. Nachgewiesen ist es jedenfalls nicht.
Die Lücke wird bei alltäglichen Maßnahmen schnell sichtbar:
| Maßnahme | Woran erkennt man Umsetzung? | Woran erkennt man Wirksamkeit? |
|---|---|---|
| Multi-Faktor-Authentifizierung | MFA ist technisch eingerichtet. | Alle relevanten Zugänge sind abgedeckt; Ausnahmen werden kontrolliert und regelmäßig überprüft. |
| Schwachstellenscans | Der Scanner läuft regelmäßig. | Asset-Inventar und Scan-Abdeckung sind vollständig; kritische Schwachstellen werden fristgerecht behandelt. |
| Awareness | Die Schulung hat stattgefunden. | Wissenstests, Phishing-Simulationen, Meldequoten und Verbesserungen bei erkannten Schwächen zeigen Wirkung. |
| Backup | Sicherungsläufe finden statt. | Wiederherstellungstests sind erfolgreich; festgelegte RTO und RPO werden eingehalten. |
| Incident Response | Rollen und Abläufe sind dokumentiert. | Übungen funktionieren, Eskalationszeiten werden eingehalten, Rollen sind verfügbar und Lessons Learned umgesetzt. |
Entscheidend ist: Eine Maßnahme kann vollständig und formal korrekt umgesetzt sein und dennoch im Alltag ihre Schutzwirkung verfehlen.
NIS-2 beendet die bequeme Vermutung
§ 30 BSIG verlangt nicht nur geeignete und verhältnismäßige, sondern wirksame Risikomanagementmaßnahmen. Das Gesetz fordert zudem ausdrücklich Konzepte und Verfahren, um diese Wirksamkeit zu bewerten. Das ist kein optionaler Reifegrad-Bonus für besonders ambitionierte ISMS. Es gehört zum gesetzlichen Pflichtprogramm.
Auch die sich abzeichnende Prüfungspraxis des BSI setzt hier einen klaren Akzent. Das Schulungskonzept zur Qualifizierung von KRITIS-Auditorinnen und -Auditoren umfasst ausdrücklich die Prüfung von Angemessenheit und Wirksamkeit. Das vorgestellte Modell für NIS-2-Prüfungen unterscheidet Grundlagen-, Angemessenheits- und Wirksamkeitsprüfung. Seine Botschaft lässt wenig Interpretationsspielraum: „Wirksamkeit ist entscheidend.“
Angemessen ist eine Maßnahme, wenn sie grundsätzlich geeignet ist, ein identifiziertes Risiko zu behandeln. Wirksam ist sie erst, wenn sie diese Schutzwirkung im laufenden Betrieb tatsächlich entfaltet. Genau zwischen diesen beiden Ebenen entsteht in vielen Organisationen die entscheidende Lücke: Maßnahmen können gut konzipiert und vollständig umgesetzt sein, ohne dauerhaft zu wirken, etwa weil sie unvollständig betrieben, umgangen oder nie überprüft werden.
Wer Wirksamkeit beurteilen will, muss nachweisen können, dass eine Maßnahme über einen angemessenen Zeitraum betrieben, regelmäßig überprüft und kontinuierlich verbessert wurde. Entscheidend ist außerdem, dass hierfür belastbare Nachweise vorliegen.
Ein sauberer Screenshot vom Prüfungstag reicht nicht. Er zeigt einen Moment, nicht jedoch einen verlässlich beherrschten Betrieb. Dokumentation und grüner Status bleiben wichtig. Als Wirksamkeitsnachweis reichen sie nicht.
Das Management braucht mehr als grüne Ampeln
Für die Geschäftsführung ist Wirksamkeitsprüfung keine weitere Compliance-Disziplin. Sie beantwortet eine existenzielle Frage: Schützt das Unternehmen das, was es schützen muss?
Ein Bericht voller grüner Status bestätigt, dass geplante Aktivitäten abgeschlossen wurden. Er beantwortet jedoch nicht die Fragen, die für die Geschäftsführung entscheidend sind: Reduzieren die finanzierten Maßnahmen tatsächlich die wesentlichen Risiken? Funktionieren die Schutzmechanismen auch im Alltag? Werden technische Schwächen rechtzeitig erkannt? Und wo müssen Budgets oder Ressourcen nachgesteuert werden?
Erst mit Beantwortung dieser Fragen wird aus einer Liste von Sicherheitsausgaben eine belastbare Aussage über den erreichten Schutz.
Diese Fragestellung ist nicht nur unternehmerisch relevant. § 38 BSIG verankert sie ausdrücklich in der Verantwortung der Geschäftsleitung. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Dafür braucht sie ein hinreichend belastbares Bild, ob die Organisation ihre wesentlichen Cyberrisiken tatsächlich beherrscht.
Der CISO muss der Geschäftsführung deshalb mehr liefern als eine Übersicht offener Maßnahmen. Er muss transparent machen, welche Maßnahmen bereits wirksamkeitsgeprüft wurden, wo Nachweise fehlen, welche Ergebnisse kritisch sind und wo konkreter Handlungsbedarf besteht.
Erst die systematische Wirksamkeitsbewertung macht aus Maßnahmenmanagement echte Sicherheitssteuerung. Ohne sie werden Maßnahmen verwaltet, aber nicht anhand ihrer tatsächlichen Schutzwirkung priorisiert.
Wer Wirksamkeit prüfen will, muss sie vorher definieren
Wenn der Auditor nach Nachweisen fragt, ist es zu spät, erstmals über die Prüfung nachzudenken. Bereits bei der Maßnahmenplanung muss festgelegt werden,
- welches Risiko behandelt werden soll,
- welches Sicherheitsziel erreicht werden soll,
- welche Wirkung erwartet wird,
- wie und wann diese Wirkung überprüft wird,
- wer verantwortlich ist und
- welche Nachweise dabei entstehen.
Aus der allgemeinen Maßnahme wird so eine überprüfbare Wirkannahme:
Jede Maßnahme wird damit zu einer überprüfbaren Hypothese: Wird sie wie geplant umgesetzt und betrieben, muss sich die erwartete Risikominderung anhand vorher definierter Kriterien nachweisen lassen.
Ohne diese Klarheit kann man später nur feststellen, dass etwas vorhanden ist. Ob es erfolgreich war, bleibt offen.
Die Prüfmethode muss zur Wirkung passen
Eine Standardmethode für alle Maßnahmen gibt es nicht. Je nach Maßnahme können Kennzahlen, technische Tests, Stichproben, Audits, Simulationen oder reale Sicherheitsvorfälle geeignete Nachweise liefern. Entscheidend ist jedoch nicht die Methode selbst, sondern ob sie die erwartete Schutzwirkung tatsächlich belegt.
Eine Teilnahmeliste beweist, dass eine Awareness-Schulung stattgefunden hat. Ob sie etwas bewirkt hat, zeigen erst Wissenstests, Phishing-Simulationen, Meldequoten oder andere geeignete Indikatoren.
Auch ein Schwachstellenscan macht noch kein wirksames Patch-Management. Wirksam wird Patch-Management erst, wenn alle relevanten Systeme vollständig erfasst und kritische Schwachstellen innerhalb definierter Fristen behoben werden.
Wirksamkeit ist keine weitere Ampelfarbe an der Maßnahme. Sie ist das Ergebnis einer geplanten, begründeten und nachvollziehbaren Bewertung.
Nachweisbarkeit by Design statt Belegsuche vor dem Audit
In vielen Organisationen beginnt die Nachweisführung erst dann, wenn das Audit bereits vor der Tür steht. Jetzt werden Tickets durchsucht, Screenshots erstellt und Freigaben rekonstruiert. Was während des laufenden Betriebs hätte entstehen müssen, wird im Nachhinein zusammengesucht.
Der CISO soll anschließend gegenüber Geschäftsführung, Auditor oder BSI für die Wirksamkeit der Informationssicherheit einstehen. Ohne vollständige und belastbare Nachweisbasis wird der Audit-Termin damit sprichwörtlich zum heißen Stuhl.
Nachweisbarkeit by Design dreht diese Logik um:
Maßnahmen und Prozesse werden von Anfang an so gestaltet, dass die für Steuerung und Prüfung benötigten Nachweise im operativen Betrieb automatisch oder zumindest systematisch entstehen.
Entscheidungen, Zustände, Maßnahmen, Prüfungen und Verbesserungen sind dann dokumentiert, weil sie Teil des Betriebs sind und nicht, weil das Audit näher rückt. Beispiele sind:
- Identity-Systeme protokollieren Berechtigungsvergabe und -entzüge sowie Auditläufe.
- Schwachstellenscanner liefern regelmäßig technische Prüfergebnisse.
- Backup-Systeme dokumentieren Sicherungsläufe und Wiederherstellungstests.
Nicht alles muss automatisch entstehen. Aber jeder erforderliche Nachweis muss verbindlich im Prozess verankert und strukturiert verfügbar sein.
Und auch hier gilt: Daten sind noch keine Evidenz. Ein Logfile oder Testergebnis wird erst zum Wirksamkeitsnachweis, wenn es einer konkreten Maßnahme und ihrem Sicherheitsziel zugeordnet, anhand festgelegter Kriterien bewertet und in ein nachvollziehbares Prüfergebnis überführt wird.
Damit aus Daten belastbare Evidenz wird, müssen im ISMS Risiko, Sicherheitsziel, Maßnahme, Prüfmethode, die im Betrieb entstandene Evidenz, das Ergebnis der Wirksamkeitsbewertung und die daraus abgeleiteten Verbesserungen logisch miteinander verknüpft sein. Erst dieser Zusammenhang macht aus einzelnen Informationen einen belastbaren Wirksamkeitsnachweis.
Ein Häkchen bei „wirksam: ja“ ist dafür zu wenig.
Eine schlechte Bewertung ist nur dann wertvoll, wenn etwas folgt
Zeigt eine Wirksamkeitsprüfung, dass eine Maßnahme nicht oder nur teilweise wirkt, darf dieses Ergebnis nicht im Bericht enden. Es muss Konsequenzen haben.
Der geschlossene Steuerungskreis (s. Abbildung) besteht aus sieben Schritten:
- Risiko und Ausgangslage bestimmen
- Sicherheitsziel und erwartete Wirkung festlegen
- Maßnahme planen und umsetzen
- geeignete Prüfmethode bestimmen
- Evidenz im Betrieb erzeugen
- Wirksamkeit bewerten
- Abweichungen beheben und erneut prüfen
Damit verbindet die Wirksamkeitsprüfung Risikomanagement, operative Umsetzung und kontinuierliche Verbesserung. Sie produziert nicht nur Nachweise für Auditoren. Sie deckt falsche Sicherheitsannahmen früh auf und lenkt Ressourcen dorthin, wo sie tatsächlich Schutz erzeugen.
Ein gutes Audit beginnt lange vor dem Audit
Mit Nachweisbarkeit by Design wird das Audit vom Ausnahmezustand zum normalen Ergebnis eines beherrschten Betriebs. Die Organisation muss nicht wochenlang Belege zusammentragen. Sie greift auf eine Nachweisbasis zurück, die bereits im laufenden Betrieb entstanden ist.
Zieht das BSI oder eine andere prüfende Stelle eine Stichprobe, muss der CISO keine Geschichte mehr konstruieren. Er kann zeigen, welches Risiko behandelt werden sollte, welche Wirkung erwartet wurde, wie die Maßnahme ausgestaltet und betrieben wurde, wann und mit welcher Methode sie geprüft wurde und welche konkrete Evidenz die Bewertung trägt. Auch festgestellte Schwächen und der Umgang mit ihnen sind sichtbar.
Das verringert nicht seine Verantwortung. Es versetzt ihn in die Lage, sie auf Basis belastbarer Informationen wahrzunehmen. Statt auf dem heißen Stuhl zu sitzen, hat er Antworten und Nachweise griffbereit.
Fazit
Dokumentation schafft Governance. Umsetzung schafft die Voraussetzung für Schutz. Ob dieser Schutz wirklich besteht, zeigt erst die Wirksamkeitsprüfung.
Für Geschäftsführung und CISO ist das keine zusätzliche Compliance-Übung. Es ist die Antwort auf die wichtigste Frage:
Schützen unsere Maßnahmen das Unternehmen wirklich – oder vermuten wir es nur?
Ein reifes ISMS erzeugt diese Antworten nicht erst kurz vor dem Audit. Es macht sie im laufenden Betrieb sichtbar. Nachweise entstehen im Betrieb, wo Maßnahmen wirken – nicht erst, wenn Auditoren danach fragen.
Wirksamkeit ist kein Status. Sie ist das Ergebnis eines geschlossenen Steuerungskreises aus Risiko, Sicherheitsziel, Maßnahme, Prüfung, Evidenz und Verbesserung.
Hinweis zur KI-Nutzung:
Inhalte und Thesen stammen vom Autor. KI wurde unterstützend für Struktur, Rechtschreibung und Visualisierung eingesetzt. Die redaktionelle Verantwortung liegt beim Autor.
