Pragmatisches ISMS für kleine und mittlere Unternehmen Sieben pragmatische Leitlinien für die Informationssicherheit

Kleine Unternehmen brauchen kein aufwendiges Zertifizierungsprojekt, um ihre Informationssicherheit zu verbessern. Entscheidend sind über­schau­bare Strukturen, klare Zuständigkeiten und wenige, aber verlässliche Kern­pro­zesse. Ein schlankes ISMS hilft dabei, Prioritäten zu setzen und im Ernstfall handlungsfähig zu bleiben

Kleine und mittelständische Unternehmen (KMU) denken bei Informationssicherheit oft noch immer, dass das Thema hauptsächlich Konzerne, regulierte Branchen oder die Kollegen aus dem Maschinenraum der IT betrifft. Das ist ein riskanter Trugschluss. Denn gerade in KMU hängen oft zentrale Geschäftsprozesse an erstaunlich wenigen Systemen und Mitarbeitenden. Fällt die IT aus, steht nicht nur diese still, sondern oft der Vertrieb, die Buchhaltung, das Lager oder gleich der ganze Betrieb. Genau deshalb ist ein Information Security Management System, kurz ISMS, auch für kleinere Unternehmen sinnvoll – vorausgesetzt, es wird nicht als Bürokratie­monster aufgesetzt, sondern als pragmatisches Hilfsmittel genutzt.

Security-Insider Podcast – Folge 112

NIS 2 braucht im Mittelstand pragmatische Ansätze

1: ISMS ist ein Arbeitsprinzip

Ein ISMS ist im Kern kein Ordner voller Richtlinien und auch kein Selbstzweck. Es ist ein Managementansatz, mit dem Unternehmen ihre Risiken systematisch identifizieren, bewerten und behandeln. Die Frage lautet nicht: Ist ein Dokument vorhanden? Sondern: Welche Systeme sind geschäftskritisch? Welche Risiken bestehen? Und wer entscheidet über Priorisierung und Maßnahmen?

Gerade für KMU liegt darin der eigentliche Nutzen. In kleinen IT-Teams läuft Security oft nebenher. Wenig ist sauber festgehalten. Ein ISMS bringt Struktur in Prozesse und Verantwortlichkeiten. Es hilft dabei, Risiken ans Tageslicht zu bringen und aus technischer Unsicherheit eine umsetzbare Entscheidungsgrundlage zu machen.

2: Der Ansatz für KMU: Einfach anfangen und nicht nach Perfektion streben

Einer der häufigsten Fehler bei der Einführung eines ISMS in kleineren Unternehmen ist Überimplementierung. KMU, die sich an den Dokumentationswelten großer Industrieunternehmen orientieren, bauen schnell ein System, das personell, organisatorisch und zeitlich nicht zu einem Unternehmen mit zwei bis fünf IT-Verantwortlichen passt. Für sie ist deshalb ein anderer Ansatz sinnvoller: klein anfangen, pragmatisch bleiben, Perfektion vertagen. Statt sofort alles zu erfassen, sollten Unternehmen zunächst fünf bis zehn wirklich kritische Assets identifizieren. Dazu zählen typischerweise Identitätsmanagement, Microsoft 365, ERP-Systeme, Backups, zentrale Fileshares oder andere geschäftskritische Anwendungen. Nicht jedes System muss von Anfang an Teil des großen Ganzen sein. Entscheidend ist die Frage: Was muss im Ernstfall mit Priorität geschützt werden?

Auch bei der Risikobewertung hilft Einfachheit. Drei Stufen wie niedrig, mittel und hoch reichen für den Einstieg oft völlig aus. Unternehmen, die mit fein austarierten Risikomatrizen arbeiten, verlieren schnell Zeit in Methodik, statt Maßnahmen umzusetzen.

Stufenweiser Weg zur ISO-zertifizierten IT-Sicherheit

Informationssicherheit muss für KMU nicht gleich ISO 27001 sein

3: Klare Zuständigkeiten sind ein Muss

Ein schlankes ISMS schafft vor allem Klarheit: Was ist kritisch? Wer ist zuständig? Und wer entscheidet im Ernstfall? Gerade in KMU ist Fachwissen oft auf einzelne Personen beschränkt. Fällt der betreffende Mitarbeitende aus, wird plötzlich sichtbar, wie viel nur in Köpfen statt in Prozessen steckt. Ein ISMS reduziert genau dieses Risiko, weil es Verantwortlichkeiten und Abläufe dokumentiert.

Typischerweise liegt die fachliche Verantwortung in kleineren Unternehmen bei der IT-Leitung, die operative Umsetzung bei Administratoren oder externen Dienstleistern. Die Geschäftsführung wiederum muss Risiken bewerten und gegebenenfalls bewusst akzeptieren. Das ist ein zentraler Punkt: Ein ISMS soll nicht nur Schwachstellen benennen, sondern Grundlage für Managemententscheidungen sein. Wenn ein Risiko bekannt ist, aber nicht beseitigt wird, dann sollte diese Entscheidung nachvollziehbar und protokolliert sein.

4: Wenige Dokumente reichen

KMU brauchen keine Dokumentenflut. Was niemand liest, pflegt oder im Vorfall nutzt, bringt im Sicherheitsalltag keinen Mehrwert. Für den Einstieg reicht eine kleine Zahl an Dokumenten, die mit vorhandenen Mitteln geführt werden können, etwa im Wiki, in Confluence, im Ticketsystem oder auch in einer sauber strukturierten Excel-Datei.

Dazu gehört zunächst eine kurze Beschreibung von Ziel und Geltungsbereich: Warum ist Informationssicherheit relevant, und welche Bereiche umfasst das ISMS? Hinzu kommen eine Asset-Liste mit den wichtigsten Systemen, ein einfaches Risikoregister und eine priorisierte Maßnahmenliste. Ergänzend sinnvoll sind drei bis fünf Kernrichtlinien, etwa zu Zugriffskontrolle, Backup, Patch Management, Incident Response und gegebenenfalls mobilem Arbeiten.

Ein Incident-Log für Sicherheitsvorfälle, eine Lieferanten- oder Ansprechpartnerliste für Cloud, Netzwerk und IT-Support sowie Nachweise über Awareness-Maßnahmen – mehr braucht es für den Anfang nicht. Wichtig ist, dass diese Listen knapp, verständlich und im Alltag umsetzbar bleiben. Eine Passwort-Policy muss kein zehnseitiges Pamphlet sein. Wenn auf einer halben Seite geregelt ist, welche Mindestanforderungen gelten und warum, reicht das in vielen Fällen aus.

Compliance ohne Vollzeit-CISO und teure Zertifizierung

Minimum Viable Security für KMU: Schutz mit minimalen Ressourcen

5: Entscheidende Prozesse sind meist erstaunlich überschaubar

Auch die Kernprozesse eines ISMS lassen sich für KMU schlank halten. Dazu gehört zuerst das Access Management: Wer erhält Zugriff auf was? Wer entscheidet über Berechtigungen? Und wie oft werden Rechte überprüft? Gerade in kleinen Unternehmen sind historisch gewachsene Adminrechte gängig und zugleich ein unnötiges Risiko.

Ebenso zentral ist der Backup-Prozess. Unternehmen sollten nicht nur festhalten, was gesichert wird, sondern auch, wie oft und ob sich die Daten tatsächlich wiederherstellen lassen. Ein Backup, das nie getestet wurde, ist bestenfalls beruhigend, aber keine verlässliche Absicherung. Deshalb gehört ein Restore-Test zwingend dazu.

Ein einfacher Incident-Response-Prozess ist ebenfalls relevant. Wie werden Sicherheitsvorfälle erkannt? Wer wird informiert? Welche Systeme lassen sich isolieren? Welche Dienstleister müssen eingebunden werden? Auch hier gilt: Es braucht keine Prozessbibliothek, sondern einen knappen, klar verständlichen Ablauf, der im Ernstfall funktioniert.

Nicht zuletzt gehört Patch Management zum Pflichtprogramm. Wo es technisch möglich ist, sollten Systeme möglichst automatisiert aktualisiert werden. Denn gerade kleinere Teams profitieren davon, wenn Patches nicht von manuellen Einzelentscheidungen abhängen.

Technische Lösungen nicht ohne ISMS denken

ISMS-Lösungen und Tools im Cybersecurity-Management

6: Prioritäten setzen und schneller widerstandsfähig werden

Ein ISMS scheitert in KMU selten an fehlendem Problembewusstsein, sondern eher an begrenzter Zeit. Umso wichtiger sind Reihenfolge und Priorisierung. Nicht alles ist gleich dringend. Unternehmen, die schnell Wirkung erzielen wollen, sollten sich zuerst um die Themen kümmern, die in kleineren Unternehmen besonders oft echte Herausforderungen darstellen: Backup und Restore, Zugriffskontrolle, Patch Management sowie Phishing und Awareness.

Diese Punkte wirken unspektakulär, entscheiden aber häufig darüber, wie widerstandsfähig ein Unternehmen tatsächlich ist. Wenn ein Unternehmen über kein funktionierendes Backup verfügt, zu viele privilegierte Konten gestattet, Updates verschleppt und Mitarbeitende bei verdächtigen E-Mails alleinlässt, wird die Risikofläche enorm vergrößert, unabhängig von den eingesetzten Tools. Deshalb gilt für KMU ein sinnvoller Grundsatz: lieber 80 Prozent sauber umgesetzt, als 100 Prozent dokumentiert und nie gelebt. Ein schlankes ISMS hilft dabei, diese Prioritäten zu visualisieren und Security-Aufgaben auf das Wesentliche zu konzentrieren.

Wichtig ist dabei: Ein ISMS ist kein Projekt mit Enddatum. Gerade in KMU genügt oft ein schlanker Regelbetrieb, etwa mit kurzen monatlichen Reviews der wichtigsten Risiken, einem quartalsweisen Abgleich mit der Geschäftsführung und einer jährlichen Überprüfung zentraler Berechtigungen und Maßnahmen.

In zehn Schritten zur NIS-2-Konformität, Teil 3

Das kleine Einmaleins von NIS 2

7: Zertifizierung ist ein „Kann“, kein „Muss“

Sobald von ISMS die Rede ist, taucht automatisch die Frage nach der Zertifizierung auf. Für manche KMU kann sie relevant sein, etwa wenn Kunden, Partner oder Ausschreibungen einen formalen Nachweis verlangen. Trotzdem sollte man den Nutzen nicht überschätzen. Eine Zertifizierung macht ein Unternehmen nicht automatisch sicherer. Sie bestätigt in erster Linie, dass ein bestimmter Rahmen dokumentiert und überprüfbar ist.

Für kleinere Unternehmen ist deshalb oft ein anderer Weg sinnvoller: ein schlankes, funktionierendes ISMS aufbauen, es intern verankern und im Alltag leben. Schon das hilft häufig dabei, Sicherheitsfragen von Kunden substanzieller zu beantworten und mit Risiken besser umzugehen. Ob eine Zertifizierung benötigt wird, hängt dann vom Geschäftsmodell, von Partneranforderungen und vom Aufwand-Nutzen-Verhältnis ab.

Hilfreich sein kann dabei auch KI, etwa um erste Richtlinienentwürfe zu formulieren oder Risiken zu strukturieren. Sie kann Aufgaben beschleunigen, ersetzt aber weder die Diskussion im Team noch die Entscheidung, welche Maßnahmen im eigenen Umfeld wirklich praktikabel sind. Generell kommt KI-Technologie − vor allem in Form von LLM − in Cybersicherheitslösungen schon seit Jahren zum Einsatz. Sie wird etwa genutzt, wenn es um die Erkennung von Abweichungen im Netzwerkverkehr und Nutzer- oder Systemverhalten geht, um Automatisierungen zu erzielen und um die Phishing-Aufdeckung zu optimieren. In Zusammenarbeit mit den menschlichen IT-Verantwortlichen stellt sie ein wichtiges Tool dar – aber kein Allheilmittel. Dies gilt auch für das ISMS.

Zeit für Datensicherheit

Das bringt die Neufassung der ISO 27001

Fazit: Klare Entscheidungen durch schlankes ISMS

Ein ISMS ist für KMU vor allem ein Instrument zur Priorisierung. Es schafft Übersicht, ermöglicht klare Entscheidungen und reduziert die Abhängigkeit von Einzelwissen. Maßgeblich ist nicht, wie umfangreich die Dokumentation ist, sondern ob das ISMS genutzt wird. Ein schlankes ISMS, das Risiken zutage fördert und im Alltag Anwendung findet, macht in der Praxis genau den Unterschied, den KMU brauchen.

Über den Autor: Dr. Sebastian Schmerl ist Vice President Security Services EMEA bei Arctic Wolf.

(ID:50881508)