Über die Wiederherstellung hinaus: Ein CISO-Leitfaden zum Aufbau echter operativer Resilienz mit ISO 27001:2022

Maria, CISO eines wachsenden Fintech-Unternehmens, präsentiert dem Leitungsorgan die Risikokennzahlen für das dritte Quartal. Ihre Folien sind klar strukturiert: sinkende Schwachstellenzahlen, erfolgreiche Phishing-Simulationen. Plötzlich vibriert ihr Telefon hartnäckig. Eine Prioritätsmeldung des SOC-Leiters: „Ransomware erkannt. Laterale Bewegung im Netzwerk. Kernbanking-Services betroffen.“

Die Stimmung im Raum kippt von souverän zu angespannt. Der CEO stellt die unvermeidliche Frage: „Wie schnell können wir aus dem Backup wiederherstellen?“

Maria weiß, dass Backups vorhanden sind. Sie werden quartalsweise getestet. Doch während ihr Team die Umschaltung auf die Ersatzumgebung vorbereitet, schießen ihr ein Dutzend weiterer Fragen durch den Kopf. Sind die Wiederherstellungsumgebungen sicher – oder infizieren sie wiederhergestellte Systeme erneut? Funktioniert unsere Vorfallsprotokollierung am Ersatzstandort noch, oder arbeiten wir im Blindflug? Wer hat Notfall-Administrationszugriff, und werden diese Aktivitäten protokolliert? Wird in der Eile, Services wieder online zu bringen, gleich jemand sensible Kundendaten von einem privaten Konto aus versenden?

Das ist der kritische Moment, in dem ein klassischer Notfallwiederherstellungsplan scheitert und echte operative Resilienz geprüft wird. Es geht nicht nur darum, wieder hochzukommen; es geht darum, mit Integrität wieder handlungsfähig zu werden. Genau diesen grundlegenden Perspektivwechsel verlangt ISO/IEC 27001:2022: weg von bloßer Wiederherstellung, hin zur Aufrechterhaltung eines ganzheitlichen, durchgängigen Informationssicherheits-Risikoprofils – selbst mitten im Chaos.

Die moderne Definition von Resilienz: Informationssicherheit macht keine Pause

Jahrelang lag der Schwerpunkt der Planung zur Aufrechterhaltung des Geschäftsbetriebs auf Recovery Time Objectives (RTOs) und Recovery Point Objectives (RPOs). Diese Kennzahlen sind wesentlich, erzählen aber nur einen Teil der Geschichte. Sie messen Geschwindigkeit und Datenverlust, nicht jedoch das Informationssicherheits-Risikoprofil während der Krise selbst.

ISO/IEC 27001:2022, insbesondere über die Maßnahmen in Anhang A, hebt die Diskussion auf eine andere Ebene. Die Norm erkennt an, dass eine Störung keine Pausentaste für Informationssicherheit ist. Im Gegenteil: Gerade im Chaos einer Krise sind Sicherheitsmaßnahmen besonders wichtig. Angreifer nutzen Verwirrung gezielt aus und missbrauchen genau die Ausweichverfahren und Notfallprozesse, die eigentlich der Wiederherstellung des Service dienen.

Resilienz in ISO/IEC 27001:2022 bedeutet, Informationssicherheit während Störungen aufrechtzuerhalten (Anhang A-Maßnahme 5.29), eine belastbare IKT-Bereitschaft für die Aufrechterhaltung des Geschäftsbetriebs sicherzustellen (5.30) und verlässliche Informationssicherung umzusetzen (8.13). Ziel ist, dass die Reaktion auf eine Störung keine neuen, gefährlicheren Schwachstellen schafft. Wie im Clarysec Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint beschrieben: „Auditoren suchen Übereinstimmung nicht nur mit der Richtlinie, sondern mit der Realität.“ Genau hier scheitern viele Organisationen: Sie planen Verfügbarkeit, aber nicht die Aufrechterhaltung der Compliance während des Chaos.

Das Fundament: Warum Resilienz mit Kontext beginnt, nicht mit Maßnahmen

Bevor Sie spezifische Resilienzmaßnahmen wirksam umsetzen können, benötigen Sie ein solides Informationssicherheitsmanagementsystem (ISMS). Viele Organisationen scheitern an dieser Stelle, weil sie direkt zu Anhang A springen, ohne die Grundlage sauber zu legen.

Der Zenith Blueprint betont den Einstieg über die Kernklauseln des ISMS, weil diese Grundlagenarbeit das Fundament der Resilienz bildet. Der Prozess beginnt mit dem Verständnis der spezifischen Umgebung Ihrer Organisation:

• Klausel 4: Kontext der Organisation: Verstehen des Kontexts der Organisation, einschließlich interner und externer Themen sowie Anforderungen interessierter Parteien, und Festlegen des ISMS-Geltungsbereichs.
• Klausel 5: Führung: Sicherstellen der Verpflichtung der obersten Leitung, Festlegen einer Informationssicherheitsleitlinie und Definieren organisatorischer Rollen und Verantwortlichkeiten.
• Klausel 6: Planung: Durchführen einer fundierten Risikobeurteilung und Risikobehandlungsplanung sowie Festlegen klarer Informationssicherheitsziele.

Für Marias Fintech hätte eine gründliche Analyse nach Klausel 4 regulatorischen Druck aus DORA und NIS2 als zentrale externe Themen identifiziert. Eine Risikobeurteilung nach Klausel 6 hätte genau das Ransomware-Szenario modelliert, mit dem sie nun konfrontiert ist, einschließlich des Risikos kompromittierter Wiederherstellungsumgebungen und unzureichender Protokollierung während eines Vorfalls. Ohne diesen Kontext ist jeder Resilienzplan nur ein Schuss ins Blaue.

Die zwei Säulen operativer Resilienz in ISO/IEC 27001:2022

Innerhalb des ISO/IEC 27001:2022-Rahmenwerks stechen zwei Maßnahmen aus Anhang A als Säulen operativer Resilienz hervor: Informationssicherung (8.13) und Informationssicherheit während Störungen (5.29).

Maßnahme 8.13: Informationssicherung – das unverzichtbare Sicherheitsnetz

Das ist die Maßnahme, von der jeder meint, sie im Griff zu haben. Eine wirklich wirksame Backup-Strategie ist jedoch mehr als das Kopieren von Dateien. Sie ist eine korrektive Maßnahme mit Fokus auf Integrität und Verfügbarkeit und eng mit zahlreichen weiteren Maßnahmen verknüpft.

Attribute: Korrektiv; Integrität, Verfügbarkeit; Wiederherstellen; Kontinuität; Schutz.
Operative Fähigkeit: Kontinuität.
Sicherheitsbereich: Schutz.

Audit-Einblick: Ein Auditor wird mehr verlangen als ein „Ja“ auf die Frage „Haben Sie Backups?“. Er wird Protokolle fordern, die aktuelle Backups belegen, Nachweise erfolgreicher Wiederherstellungstests und Belege dafür, dass Backup-Medien verschlüsselt, sicher gespeichert und für alle im Inventar definierten kritischen Assets abgedeckt sind.

Szenario: Ein System wird durch Ransomware oder einen kritischen Konfigurationsfehler gelöscht. Ihre Fähigkeit, mit Integrität wiederherzustellen, hängt von einer ausgereiften Backup-Strategie ab. Auditoren werden prüfen, dass diese Strategie keine isolierte Einzellösung ist, sondern mit anderen kritischen Maßnahmen zusammenhängt:

• 5.9 Inventar von Informationen und anderen zugehörigen Assets: Was nicht bekannt ist, kann nicht gesichert werden. Ein vollständiges Inventar ist nicht verhandelbar.
• 8.7 Schutz vor Schadsoftware: Backups müssen isoliert und vor genau der Ransomware geschützt sein, die sie überstehen sollen. Dazu gehören unveränderliche Speicher oder per Air Gap getrennte Kopien.
• 5.31 Gesetzliche, satzungsmäßige, regulatorische und vertragliche Anforderungen: Entsprechen Ihre Backup-Aufbewahrungspläne und Speicherorte den Anforderungen an Datenresidenz und vertraglichen Verpflichtungen?
• 5.33 Schutz von Aufzeichnungen: Erfüllen Ihre Backups die Aufbewahrungs- und Datenschutzanforderungen für personenbezogene Daten, Finanzdatensätze oder andere regulierte Daten?

Maßnahme 5.29: Informationssicherheit während Störungen – der Hüter der Integrität

Diese Maßnahme trennt ein lediglich konformes ISMS von einem resilienten ISMS. Sie adressiert direkt die kritischen Fragen, die Maria während der Krise beschäftigen: Wie halten wir Informationssicherheit aufrecht, wenn primäre Werkzeuge und Prozesse nicht verfügbar sind? Maßnahme 5.29 verlangt, dass Sicherheitsmaßnahmen während eines Störungsereignisses geplant sind und wirksam bleiben.

Attribute: Präventiv, korrektiv; Schützen, Reagieren; Vertraulichkeit, Integrität, Verfügbarkeit.
Operative Fähigkeit: Kontinuität.
Sicherheitsbereich: Schutz, Resilienz.

Audit-Einblick: Auditoren prüfen Pläne zur Geschäftskontinuität und Notfallwiederherstellung gezielt auf Nachweise von Sicherheitsüberlegungen. Sie kontrollieren Sicherheitskonfigurationen an Ersatzstandorten, verifizieren, dass Protokollierung und Zugriffskontrollen aufrechterhalten werden, und untersuchen Ausweichprozesse auf Sicherheitsschwächen – nicht nur auf ihre Fähigkeit, Services wiederherzustellen.

Szenario: Ihr primäres Rechenzentrum ist offline, und Sie verlagern den Betrieb an einen Ersatzstandort. Auditoren erwarten Nachweise – Begehungsberichte, Konfigurationsdateien, Zugriffsprotokolle –, dass der sekundäre Standort Ihre primären Sicherheitsanforderungen erfüllt. Hat Ihre kurzfristige Umstellung auf Remote-Arbeit Endpoint-Schutz und sicheren Zugriff auf alle Geräte ausgeweitet? Haben Sie Entscheidungen dokumentiert, Maßnahmen vorübergehend zu lockern und später wieder einzusetzen?

Der Zenith Blueprint bringt den Kern präzise auf den Punkt: „Entscheidend ist, dass Sicherheit nicht pausiert, während Systeme wiederhergestellt werden. Kontrollen können ihre Form ändern, aber das Ziel bleibt gleich: Informationen auch unter Druck geschützt halten.“ Diese Maßnahme zwingt Sie, die unübersichtliche Realität einer Krise einzuplanen, und ist eng mit weiteren Maßnahmen verwoben:

• 5.30 IKT-Bereitschaft für die Aufrechterhaltung des Geschäftsbetriebs: Stellt sicher, dass der technische Wiederherstellungsplan den Sicherheitsplan nicht ausblendet.
• 8.16 Überwachungsaktivitäten: Verlangt eine Möglichkeit, Transparenz aufrechtzuerhalten, selbst wenn primäre Überwachungswerkzeuge nicht verfügbar sind.
• 5.24 Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen: Krisen- und Kontinuitätsteams müssen parallel arbeiten, damit das Bewusstsein für die Reaktion auf Informationssicherheitsvorfälle während der Störung erhalten bleibt.
• 5.28 Sammlung von Beweismitteln: Stellt sicher, dass bei der eiligen Wiederherstellung keine entscheidenden forensischen Nachweise zerstört werden, die für Untersuchung und regulatorische Meldungen benötigt werden.

Praxisleitfaden zur Umsetzung auditierbarer Resilienz

Diese Maßnahmen aus der Theorie in die Praxis zu übertragen, erfordert klare, umsetzbare Richtlinien und Verfahren. Die Richtlinienvorlagen von Clarysec sind darauf ausgelegt, diese Grundsätze direkt in Ihr ISMS einzubetten. Unsere Richtlinie für Backup und Wiederherstellung Richtlinie für Backup und Wiederherstellung stellt beispielsweise ein Rahmenwerk bereit, das über einfache Backup-Zeitpläne hinausgeht:

„Die Richtlinie setzt ISO/IEC 27001:2022-Maßnahmen in Bezug auf die Sammlung von Beweismitteln (5.28), Resilienz während Störungen (5.29), operative Wiederherstellung (8.13) und Löschung von Informationen (8.10) um und bildet Best Practices aus ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, GDPR, DORA und NIS2 ab.“

Dieser ganzheitliche Ansatz macht Resilienz aus einem abstrakten Konzept zu einer Reihe auditierbarer, operativer Aufgaben.

Umsetzbare Checkliste: Audit Ihrer Backup- und Resilienzstrategie

Nutzen Sie diese Checkliste, gestützt auf eine umfassende Richtlinie, um die Nachweise vorzubereiten, die ein Auditor verlangen wird.

Die Compliance-übergreifende Anforderung: Resilienz auf DORA, NIS2 und darüber hinaus abbilden

Für Organisationen in kritischen Sektoren ist Resilienz nicht nur eine Best Practice nach ISO/IEC 27001:2022, sondern eine rechtliche Vorgabe. Vorschriften wie der Digital Operational Resilience Act (DORA) und die NIS2 Directive legen großen Wert auf die Fähigkeit, IKT-Störungen standzuhalten und sich davon zu erholen.

Die gute Nachricht: Die Arbeit, die Sie für ISO/IEC 27001:2022 leisten, verschafft Ihnen einen erheblichen Vorsprung. Clarysecs Zenith Controls: The Cross-Compliance Guide Zenith Controls ist darauf ausgelegt, explizite Zuordnungstabellen zu erstellen, die diese Ausrichtung gegenüber Auditoren und Aufsichtsbehörden belegen. Proaktive Dokumentation zeigt, dass Sie Sicherheit in ihrem vollständigen rechtlichen Kontext steuern.

Unsere Richtlinien sind darauf ausgelegt. Die Richtlinie zu Datenschutz und Privatsphäre Richtlinie zu Datenschutz und Privatsphäre benennt beispielsweise ausdrücklich ihre Rolle bei der Stärkung der Erfüllung von DORA und NIS2 neben ISO/IEC 27001:2022.

Diese Zuordnungstabelle zeigt, wie zentrale Resilienzmaßnahmen Anforderungen über mehrere wichtige Rahmenwerke hinweg erfüllen.

Wenn Sie Ihr ISMS auf dem belastbaren Rahmenwerk von ISO/IEC 27001:2022 aufbauen, schaffen Sie zugleich eine belastbare Position für diese weiteren strengen Vorschriften.

Durch die Brille des Auditors: Wie Ihre Resilienz geprüft wird

Auditoren sind darauf geschult, über Richtlinien hinauszublicken und Nachweise für die Umsetzung zu suchen. Bei Resilienz wollen sie Belege für Disziplin unter Druck sehen. Ein Audit Ihrer Resilienzfähigkeiten ist vielschichtig; unterschiedliche Auditoren fokussieren unterschiedliche Nachweistypen.

Häufige Schwachstellen: Wo Resilienzpläne in der Realität scheitern

Audit-Feststellungen von Clarysec zeigen wiederkehrende Schwächen, die selbst gut geschriebene Pläne untergraben. Vermeiden Sie diese typischen Fallstricke:

• Manuelle Ausweichprozesse sind nicht ausreichend abgesichert. Wenn Systeme ausfallen, weichen Mitarbeitende auf Tabellen und E-Mail aus. Diese manuellen Prozesse verfügen häufig nicht über die physische oder logische Sicherheit der primären Systeme.
  • Abhilfe: Integrieren Sie physischen Schutz (verschlossene Schränke, Zugriffsprotokolle) und logische Maßnahmen (verschlüsselte Dateien, sichere Kommunikationskanäle) in Ihre Krisenprotokolle für manuelle Ausweichverfahren.
• Ersatzstandorte sind nicht vollständig konfiguriert. Das Backup-Rechenzentrum verfügt über Server und Daten, aber möglicherweise nicht über gleichwertige Firewall-Regeln, Protokollierungsagenten oder Zugriffskontrollintegrationen.
  • Abhilfe: Dokumentieren Sie die Gleichwertigkeit von Sicherheitsmaßnahmen zwischen primärem und sekundärem Standort. Führen Sie regelmäßige technische Audits des Backup-Standorts durch und binden Sie Sicherheitsverantwortliche in alle Failover-Übungen ein.
• Wiederherstellungstests sind unvollständig oder ad hoc. Organisationen testen, ob ein Server wiederhergestellt werden kann, prüfen aber nicht, ob die wiederhergestellte Anwendung sicher ist, protokolliert wird und unter Last korrekt funktioniert.
  • Abhilfe: Machen Sie umfassende Backup-Wiederherstellungstests einschließlich Sicherheitsvalidierung zu einem verpflichtenden Bestandteil von Vorfallsübungen und jährlichen Auditüberprüfungen.
• Datenschutz in Backups wird übersehen. Backups können zu einem Compliance-Risiko werden, wenn sie Daten enthalten, die nach dem Löschrecht der GDPR hätten gelöscht werden müssen.
  • Abhilfe: Stimmen Sie Verfahren zur Backup-Aufbewahrung und Löschung mit Ihren Datenschutzrichtlinien ab. Stellen Sie sicher, dass ein dokumentierter Prozess zur Löschung bestimmter Daten aus Backup-Sätzen besteht, wenn dies rechtlich erforderlich ist.

Von konform zu resilient: Eine Kultur kontinuierlicher Verbesserung fördern

Resilienz zu erreichen, ist kein einmaliges Projekt, das mit der Zertifizierung endet. Es ist eine fortlaufende Verpflichtung zur Verbesserung, verankert in Klausel 10 von ISO/IEC 27001:2022. Eine wirklich resiliente Organisation lernt aus jedem Vorfall, jedem Beinahe-Vorfall und jeder Audit-Feststellung.

Dazu muss die Organisation über reaktive Korrekturen hinausgehen. Der Zenith Blueprint empfiehlt, kontinuierliche Verbesserung in der Organisationskultur zu verankern: durch Kanäle, über die Mitarbeitende Sicherheitsverbesserungen vorschlagen können, durch proaktive Risikobeurteilungen bei wesentlichen Änderungen und durch konsequente Nachprüfungen nach Vorfällen, um gewonnene Erkenntnisse festzuhalten.

Darüber hinaus spielt Maßnahme 5.35 (Unabhängige Überprüfung der Informationssicherheit) eine zentrale Rolle. Eine unabhängige Partei mit der Überprüfung Ihres ISMS zu beauftragen, schafft eine unvoreingenommene Perspektive und kann blinde Flecken aufdecken, die Ihr internes Team möglicherweise übersieht. Der Zenith Blueprint formuliert es treffend: „…was ein konformes ISMS von einem wirklich resilienten unterscheidet, ist dies: die Bereitschaft, schwierige Fragen zu stellen – und zuzuhören, wenn die Antworten unbequem sind.“

Ihr nächster Schritt: Ein belastbares ISMS aufbauen

Marias Krise verdeutlicht eine universelle Wahrheit: Störungen sind unvermeidbar. Ob Ransomware, Naturkatastrophe oder Ausfall eines kritischen Lieferanten – Ihre Organisation wird geprüft werden. Die Frage ist nicht ob, sondern wie Sie reagieren. Werden Sie lediglich wiederherstellen, oder werden Sie resilient reagieren?

Ein ISMS aufzubauen, das unter Druck Integrität wahrt, erfordert einen strategischen, ganzheitlichen Ansatz. Er beginnt mit einem soliden Fundament, integriert eng miteinander verbundene Maßnahmen und wird durch eine Kultur kontinuierlicher Verbesserung gestärkt. Warten Sie nicht auf eine reale Störung, damit Lücken in Ihrer Strategie sichtbar werden.

Sind Sie bereit, ein ISMS aufzubauen, das nicht nur konform, sondern wirklich belastbar ist?

• Laden Sie Clarysecs Zenith Blueprint: An Auditor’s 30-Step Roadmap herunter, um Ihre Umsetzung von Anfang bis Ende zu steuern.
• Nutzen Sie unsere umfassenden Richtlinienvorlagen, etwa die Richtlinie für Backup und Wiederherstellung, um Standards in konkrete, auditierbare Maßnahmen zu übersetzen.
• Verwenden Sie Zenith Controls: The Cross-Compliance Guide, um sicherzustellen, dass Ihre Maßnahmen die strengen Anforderungen von ISO/IEC 27001:2022, DORA und NIS2 erfüllen.

Kontaktieren Sie uns noch heute für eine kostenlose Resilienzbewertung und lassen Sie sich von den Experten von Clarysec dabei unterstützen, ein ISMS aufzubauen, das unter Druck leistungsfähig bleibt.