Das erste ISO 27001 Audit ist der Moment, in dem sich herausstellt, ob Informationssicherheit ein System oder ein Ordner voller Dokumente ist. Als Lead Auditor habe ich gelernt, dass sich die Fehler des ersten ISO 27001 Audits mit einer fast schon rührenden Pünktlichkeit wiederholen. Sie entstehen fast nie aus böser Absicht: Sie entstehen aus Systemen, die für den Auditor statt für das Unternehmen gebaut wurden. Hier sind die sieben, denen ich am häufigsten begegne, und wie man sie vermeidet.
1. Die aus einer Vorlage kopierte SoA
Die Anwendbarkeitserklärung (Statement of Applicability, SoA) sollte erklären, welche Kontrollen aus Anhang A Sie übernommen haben, welche nicht und warum. Was ich oft finde, ist ein Blatt, das Dutzenden anderer gleicht, mit kopierten Begründungen und als nicht anwendbar erklärten Kontrollen, die das Unternehmen aber sehr wohl betreffen. Ich habe es erlebt, dass Remote-Arbeit in einem Unternehmen, in dem die Hälfte der Leute von zu Hause aus arbeitete, von der SoA ausgeschlossen wurde. Eine einzige Frage genügt, um dies zu entlarven: Können Sie mir zeigen, wie Sie diese Kontrolle umsetzen? Wenn Stille einkehrt, hat Ihnen die Vorlage nicht geholfen, sondern Ihnen nur einen Nachmittag erspart.
2. Das Asset-Inventar, das vor einigen Jahren stehengeblieben ist
Das Inventar ist die Grundlage von allem: Wenn Sie nicht wissen, was Sie haben, können Sie es nicht schützen. Dennoch finde ich regelmäßig Listen mit längst außer Betrieb genommenen Servern, Laptops von Personen, die nicht mehr im Unternehmen arbeiten, und keine Spur der in der Zwischenzeit eingeführten Cloud-Dienste. Die Kontrolle ist einfach: Ich nehme das Inventar, mache einen Rundgang durch die Büros und zähle die Abweichungen. Ein lebendiges Inventar muss nicht perfekt sein, es muss aktualisiert werden, wenn etwas hinzukommt oder entfernt wird. Wenn die letzte Änderung vor zwei Jahren erfolgte, bemerkt der Auditor das, noch bevor er es liest.
3. Die einmal durchgeführte und nie wieder angepasste Risikobewertung
Die Risikobewertung ist der Motor des Systems, nicht eine einmalige Aufgabe. Ich finde oft Risikobewertungen, die auf den Monat der ersten Beratung datiert sind und nie wieder angepasst wurden: In der Zwischenzeit ist das Unternehmen in die Cloud migriert, hat seine Verwaltungssoftware gewechselt, vielleicht sogar einen neuen Standort eröffnet. Die Norm verlangt Überprüfungen in geplanten Intervallen und bei signifikanten Änderungen. Ein Dokument, das stagniert, während sich das Unternehmen weiterentwickelt, erzählt nur eines: dass niemand es für Entscheidungen nutzt.
4. Die Logs, die niemand ansieht
Logs zu sammeln ist einfach, sie anzusehen ist ein anderes Handwerk. Ich habe es mehrfach erlebt: Logging-Systeme sorgfältig konfiguriert und niemand, der sie jemals geöffnet hat, nicht einmal nach einer Anomalie. Auf die Frage, wer die Logs kontrolliert und wie oft, war die ehrlichste Antwort, die ich erhielt: der Server. Man braucht kein SOC, um konform zu sein: Es braucht eine zugewiesene Verantwortung, eine definierte Häufigkeit und Nachweise, dass die Kontrolle tatsächlich stattfindet.
5. Die nie bewerteten Cloud-Anbieter
Ein Großteil der Unternehmensinformationen befindet sich heute bei externen Anbietern, doch die Kontrolle über die Anbieter bleibt das am meisten vernachlässigte Kapitel. Verträge werden nie über den Preis hinaus gelesen, keine Überprüfung des Datenstandortes, keine Sicherheitsbewertung vor dem Kauf. Aber E-Mails, Backups und die Verwaltungssoftware befinden sich alle in der Cloud. Man braucht keinen hundert Fragen umfassenden Fragebogen für jeden Anbieter: Man braucht ein risikoproportionales Kriterium und den Nachweis, es zumindest auf kritische Anbieter angewendet zu haben.
6. Die unterschriebene, aber nicht durchgeführte Schulung
Das Anwesenheitsverzeichnis ist vorhanden, die Unterschriften sind da, die Bescheinigung auch. Dann frage ich eine zufällige Person, was sie tut, wenn sie eine verdächtige E-Mail erhält, und die Antwort ist, dass sie diese öffnet, um zu sehen, was es ist. Bewusstsein wird nicht durch Unterschriften, sondern durch Personen demonstriert: Mitarbeiterinterviews sind der Teil des Audits, in dem eine nur vorgetäuschte Schulung immer zum Vorschein kommt. Besser eine konkrete Stunde über die wahren Risiken Ihrer Arbeit als ein Tag mit generischen Folien, die schnell unterschrieben wurden.
7. Die nie mit einem Restore getesteten Backups
Alle machen Backups, wenige haben jemals versucht, sie wiederherzustellen. Dies ist der Fehler, den ich für am gefährlichsten halte, da er normalerweise nicht vom Auditor entdeckt wird: Er wird von Ransomware entdeckt. Ich habe Backups gesehen, die jahrelang auf einen inzwischen vollen Speicher liefen, und Wiederherstellungen, die zum ersten Mal während eines Notfalls versucht wurden. Ein dokumentierter Restore-Test, auch wenn er nur periodisch und an einer Stichprobe von Daten durchgeführt wird, ist mehr wert als zehn gut geschriebene Verfahren.
Wie man das erste Audit ohne Überraschungen meistert
Der rote Faden, der diese sieben Fehler verbindet, ist immer derselbe: Dokumente, die für die Überprüfung und nicht für das Unternehmen gedacht sind. Die beste Vorbereitung ist, das System einige Monate vor dem Audit wirklich zu nutzen, mit aktualisierten Risiken, umgesetzten Kontrollen und spontan entstandenen Nachweisen. Wenn Sie wissen möchten, wo Sie stehen, bevor es Ihnen die Zertifizierungsstelle sagt, ist eine unabhängige Gap-Analyse der schnellste Weg: Werfen Sie einen Blick auf unseren Service für ISO 27001 Beratung. Es ist besser, Schwachstellen bei einer Überprüfung ohne Konsequenzen zu entdecken als beim ersten Audit.
Hinweis: Die gemachten Beobachtungen stammen aus der Auditerfahrung und haben allgemeinen Wert; das Ergebnis einer Überprüfung hängt immer von der jeweiligen Zertifizierungsstelle und dem Unternehmenskontext ab. Artikel aktualisiert im Juli 2026.