ISO 27001 in der Softwareentwicklung: Was ein Audit wirklich bedeutet

Wenn Kunden nach unserem ISO 27001-Zertifikat fragen, hören wir zwei Reaktionen: entweder "Super, schicken Sie uns das Zertifikat" – oder "Was bedeutet das eigentlich konkret?" Der erste Typ kauft Sicherheit als Checkbox. Der zweite versteht, was er wirklich bekommt. Dieser Artikel ist für den zweiten Typ.

Was ISO 27001 ist – und was nicht

ISO 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Er legt fest, wie eine Organisation Informationssicherheit systematisch plant, implementiert, überwacht und verbessert.

Was ISO 27001 nicht ist: ein technischer Produktstandard. Das Zertifikat sagt aus, dass die Organisation einen definierten, auditierten Prozess zur Informationssicherheit hat – nicht, dass jede einzelne Codezeile sicher ist.

Was das für ein Softwarehaus bedeutet

Für NeckarCode als Softwareentwickler bedeutet ISO 27001 konkret:

• Asset-Inventar: Alle informationsverarbeitenden Assets sind inventarisiert und haben einen Eigentümer.
• Risikoanalyse: Jährliche Risikobeurteilung – welche Bedrohungen existieren, welche Maßnahmen mindern sie?
• Zugriffsmanagement: Need-to-know-Prinzip, dokumentierte Berechtigungskonzepte, Offboarding-Prozesse.
• Entwicklungsprozess: Security by Design, Code Reviews mit Sicherheitsfokus, Dependency-Scanning.
• Incident Management: Dokumentierter Prozess für Sicherheitsvorfälle – wer wird wann informiert, was wird dokumentiert.
• Lieferantenmanagement: Auch unsere Subunternehmer und Cloud-Provider werden auf Sicherheitsanforderungen geprüft.

Was Kunden davon haben

In konkreten Zahlen: In unseren Projekten haben Kunden mit ISO 27001-Anforderung durchschnittlich 60 % weniger Zeit für Sicherheits-Onboarding aufgewendet, weil unsere Prozesse bereits dokumentiert und auditiert sind.

• Kein aufwändiges Sicherheits-Onboarding beim Projektstart
• Dokumentierte Datenschutz- und Verarbeitungsverträge nach Muster
• Nachweisliche Schulungen des Entwicklungsteams
• Klare Incident-Response-Prozesse mit definierten Eskalationspfaden
• Auditierbare Zugriffsrechte für Kundensysteme

Der Audit-Prozess: was wirklich passiert

Die Erstzertifizierung läuft in zwei Phasen ab:

1. Stage 1 (Dokumentenaudit): Die Zertifizierungsstelle prüft, ob die ISMS-Dokumentation vollständig und plausibel ist. Richtlinien, Risikoanalyse, Maßnahmenplan.
2. Stage 2 (Implementierungsaudit): Vor Ort-Prüfung, ob die dokumentierten Prozesse auch gelebt werden. Interviews mit Mitarbeitern, Systemzugriffe prüfen, Evidenzen sichten.

Danach: jährliche Überwachungsaudits und alle drei Jahre eine vollständige Rezertifizierung.

Häufige Missverständnisse

• "ISO 27001 bedeutet, wir sind sicher." Nein. Es bedeutet, Sie haben ein System, um Sicherheitsrisiken zu managen. Absolute Sicherheit gibt es nicht.
• "Das Zertifikat macht alles komplizierter." Anfangs ja. Danach: nein. Gute Prozesse sparen mehr Zeit, als sie kosten.
• "Nur große Unternehmen brauchen das." Falsch. Gerade mittelständische IT-Dienstleister sind attraktive Angriffsziele, weil sie Zugang zu vielen Kundensystemen haben.

Fazit

ISO 27001 ist kein Papiertiger – wenn es ernst genommen wird. Für Kunden, die Software mit Zugang zu sensiblen Daten entwickeln lassen, ist es ein sinnvolles Qualitätsmerkmal. Für uns als Softwarehaus ist es ein kontinuierlicher Verbesserungsprozess, der unsere Arbeit strukturierter und sicherer macht.