ISO-Zertifizierung bei Cloud-Anbietern: Woran Unternehmen verlässliche Sicherheit erkennen
Bestimmt lesen Sie immer wieder die Aussagen, ein Software-Anbieter sei „sicher“, „geschützt“ oder biete einen Dienst „nach höchsten Standards“? An entsprechenden Versprechen mangelt es bei Cloud- und SaaS-Angeboten nicht. Schwieriger ist für Unternehmen diese Aussagen tatsächlich zu prüfen. Insbesondere dann, wenn vertrauliche Dokumente, personenbezogene Daten oder geschäftskritische Informationen verarbeitet werden, reicht das Vertrauen in ein Werbeversprechen nämlich nicht aus.
Dieser Artikel soll Ihnen deshalb bei der Orientierung helfen, woran sich die Belastbarkeit solcher Sicherheitsversprechen erkennen lässt.
netfiles erneut nach ISO/IEC 27001:2022 zertifiziert
Unabhängige Zertifizierungen sind hier ein wichtiger Wegweiser. Das Informationssicherheits-Managementsystem von netfiles wurde zum Beispiel gerade von TÜV SÜD erneut nach ISO/IEC 27001:2022 zertifiziert. Diese international anerkannte Norm gehört zu den wichtigsten Standards für Informationssicherheits-Managementsysteme. Doch was sagt ein solches Zertifikat tatsächlich über einen Cloud-Anbieter aus – und worauf sollten Sie bei der Bewertung achten?
Was ISO 27001 bei einem Cloud-Anbieter bedeutet
ISO/IEC 27001 definiert Anforderungen an ein Informationssicherheits-Managementsystem (ISMS). Vereinfacht gesagt geht es bei einer Prüfung darum, wie ein Unternehmen Informationssicherheitsrisiken systematisch identifiziert, bewertet, behandelt und kontinuierlich überwacht. Dabei betrachtet die Norm Informationssicherheit nicht ausschließlich als technische Aufgabe, sondern bezieht auch Prozesse, Verantwortlichkeiten und organisatorische Maßnahmen ein.
Das ist ein wichtiger Unterschied: Eine ISO-27001-Zertifizierung bescheinigt nicht, dass eine bestimmte Software unangreifbar ist. Zertifiziert wird das ISMS innerhalb eines klar definierten Geltungsbereichs, häufig auch als Scope bezeichnet.
Bei netfiles zum Beispiel umfasst dieser Geltungsbereich die „Vermarktung, Betrieb und Support der Anwendung netfiles für virtuelle Projekt- und Datenräume“. Damit können Kunden konkret nachvollziehen, auf welche Teile des Unternehmens und seiner Leistung sich die Zertifizierung bezieht.
Warum eine Zertifizierung regelmäßig erneuert werden muss
Informationssicherheit ist kein Zustand, der einmal erreicht wird und anschließend unverändert bestehen bleibt. Technologien verändern sich, neue Angriffsmethoden entstehen, Prozesse entwickeln sich weiter und auch Sicherheitsanforderungen werden angepasst. Entsprechend muss ein Zertifikat immer aktuell sein.
Genau deshalb ist eine ISO-27001-Zertifizierung keine einmalige Prüfung und das Zertifikat – nach erfolgreicher Erteilung – drei Jahre gültig. In den ersten beiden Jahren finden jährliche Überwachungsaudits statt; vor Ablauf des Zertifizierungszyklus folgt die Re-Zertifizierung. Dabei wird erneut geprüft, ob das ISMS die Anforderungen der Norm weiterhin erfüllt und wirksam betrieben wird.
Die aktuelle Re-Zertifizierung von netfiles nach ISO/IEC 27001:2022 bestätigt demnach, dass das ISMS weiterhin den Anforderungen der aktuellen Norm entspricht und regelmäßig überprüft wird.
Was ein ISO-27001-Zertifikat aussagt – und was nicht
Für Unternehmen ist ein gültiges ISO-27001-Zertifikat ein belastbarer Hinweis darauf, dass sich ein Anbieter nach nachvollziehbaren internationalen Anforderungen mit seinen Informationssicherheitsrisiken auseinandersetzt und dies von unabhängiger Seite überprüfen lässt.
Eine Garantie dafür, dass niemals ein Sicherheitsvorfall auftreten kann, ist eine Zertifizierung hingegen nicht. Ebenso beantwortet sie nicht automatisch jede Frage zur konkreten technischen Ausgestaltung oder zu den datenschutzrechtlichen Rahmenbedingungen eines Cloud-Dienstes. Diese Abgrenzung ist wichtig: Die Stärke einer ISO-Zertifizierung liegt gerade nicht in einem absoluten Sicherheitsversprechen, sondern in der systematischen und unabhängig überprüften Auseinandersetzung mit Informationssicherheit.
Woran Unternehmen eine aussagekräftige Zertifizierung erkennen
In der Praxis bedeutet das: Werfen Sie bei der Auswahl eines Anbieters einen genauen Blick auf die ISO-Zertifizierung:
Ist das Zertifikat aktuell?
Welchen Geltungsbereich umfasst es?
Welche Organisation wurde zertifiziert?
Deckt der Geltungsbereich die für den genutzten Cloud-Dienst relevanten Leistungen und Prozesse ab?
Gerade der letzte Punkt kann einen erheblichen Unterschied machen. So ist beispielsweise die Zertifizierung eines eingesetzten Rechenzentrums nicht automatisch gleichbedeutend mit der Zertifizierung des SaaS-Anbieters oder seines ISMS.
Ein Zertifikat ist wichtig – aber nicht das ganze Bild
Erfragen Sie immer, welche weiteren unabhängigen Sicherheitsnachweise der Anbieter vorlegen kann. ISO 27001 ist ein wichtiges Prüfkriterium, aber nicht das einzige. Gerade bei Cloud-Diensten ergänzen sich unterschiedliche Prüfverfahren und beleuchten unterschiedliche Aspekte der Sicherheit des Anbieters. Eine ISO-Zertifizierung bewertet ein Managementsystem nach einer internationalen Norm. Testate wie BSI C5 und SOC 2 betrachten wiederum definierte Sicherheits- und Kontrollanforderungen. Penetrationstests untersuchen aus einer anderen Perspektive technische Angriffsmöglichkeiten und mögliche Schwachstellen.
netfiles kombiniert diese unterschiedlichen Ebenen: Neben der erneuerten Zertifizierung nach ISO/IEC 27001:2022 ist netfiles nach ISO 22301:2019 für das Business Continuity Management zertifiziert sowie nach BSI C5 (Typ 2) und SOC 2 (Type II) testiert. Darüber hinaus lässt netfiles seine Systeme regelmäßig durch unabhängige Sicherheitsexperten mittels Penetrationstests überprüfen.
Weitere Informationen zu den Zertifizierungen und Testaten von netfiles finden Sie in unserer Übersicht zur unabhängig geprüften Sicherheit.
Für Kunden entsteht daraus ein umfassenderes Bild als durch ein einzelnes Siegel: Sicherheitsprozesse, Kontrollmechanismen und technische Systeme werden aus unterschiedlichen Blickwinkeln überprüft. Hinzu kommen Rahmenbedingungen, die für die eigene Risiko- und Compliance-Bewertung relevant sind – etwa Datenschutz, Datenstandort, Zugriffskontrollen oder die Nachvollziehbarkeit von Aktivitäten.
Fazit: Nicht auf das Logo, sondern auf die Aussage dahinter achten
Achten Sie bei der Prüfung eines Cloud-Anbieters nicht nur auf die Logos der Zertifizierungen. Sie geben einen ersten Hinweis darauf, welchen Standards und Prüfverfahren sich ein Anbieter unterzieht. Für eine belastbare Bewertung lohnt sich jedoch der Blick auf die Details – insbesondere auf Aktualität, Geltungsbereich und ergänzende Sicherheitsnachweise.
Eine aktuelle und für den jeweiligen Dienst relevante ISO-Zertifizierung schafft zusammen mit weiteren Zertifizierungen, Testaten und unabhängigen Sicherheitsprüfungen eine nachvollziehbare Grundlage für Unternehmen, die Sicherheitsversprechen bei der Auswahl ihres Cloud- und Datenraum-Anbieters nicht einfach voraussetzen, sondern überprüfen möchten.
Die erneute ISO/IEC-27001:2022-Zertifizierung von netfiles ist vor diesem Hintergrund vor allem eines: ein weiterer unabhängiger Nachweis dafür, dass Informationssicherheit bei netfiles nicht als einmalige Maßnahme, sondern als fortlaufender und überprüfbarer Prozess behandelt wird – und dass das Informationssicherheits-Managementsystem auch weiterhin nach einem international anerkannten Standard geprüft wird.
Bewerten Sie die Sicherheit von netfiles selbst
Sie möchten mehr darüber erfahren, was unsere Sicherheits- und Compliance-Nachweise für Ihre Anforderungen bedeuten? Unser Team beantwortet Ihre Fragen gerne persönlich. Alternativ können Sie netfiles 14 Tage kostenlos und unverbindlich testen.