Kategorie: Sin categoría

Wenn wir in ein neues Unternehmen kommen, brennt fast nie alles. Meistens hat jemand aus der Geschäftsführung seit Monaten das Gefühl, dass die IT „so lala läuft“, und kann es nicht benennen.

Diese fünf Anzeichen sind meist genau dieser Name.

1. Niemand kann Ihnen sagen, was überhaupt da ist

Wenn Sie fragen, wie viele Server Sie haben, welche Betriebssystemversion darauf läuft oder welche Lizenzen Sie bezahlen, und die Antwort länger als einen Tag braucht, haben Sie kein Inventarproblem, sondern ein Kontrollproblem.

2. Alles hängt an einer Person

Es gibt eine Person – intern oder extern –, die als Einzige weiß, wie das Ganze aufgebaut ist. Das läuft gut bis zu dem Tag, an dem sie in den Urlaub fährt, das Unternehmen wechselt oder sich ärgert. Dokumentation ist keine Bürokratie, sondern die Art und Weise, wie das Wissen nicht zur Tür hinausgeht.

3. Die Störungen wiederholen sich

Derselbe Rechner, der sich jede Woche aufhängt, derselbe Drucker, der aus dem Netz verschwindet, derselbe Ordner, der seine Berechtigungen verliert. Wenn sich eine Störung wiederholt, wird sie nicht gelöst, sondern zugedeckt. Jemand muss an die Ursache.

4. Eingekauft wird aus der Not heraus

Wenn das Kriterium für den Kauf eines Servers „der andere ist kaputtgegangen“ lautet, zahlen Sie immer den Preis der Eile: schlechtere Verhandlung, schlechtere technische Wahl und null Planung. Ein Erneuerungsplan über drei Jahre kostet dasselbe und tut viel weniger weh.

5. Niemand hat die Sicherheit von außen angeschaut

Viele KMU haben offene Ports, von denen sie nicht wissen, dass sie offen sind, ins Internet gestellte Remotedesktops oder Konten von Menschen, die vor zwei Jahren gegangen sind und die noch aktiv sind. Nichts davon zeigt sein Gesicht, bis es das mit voller Wucht tut.

Was ein Audit konkret leistet

• Ein echtes Verzeichnis von Geräten, Servern, Lizenzen und beauftragten Diensten.
• Prüfung der Konfiguration: Netzwerk, Berechtigungen, Sicherungen, Updates.
• Erkennen von Single Points of Failure und der zum Internet exponierten Angriffsfläche.
• Ein für die Geschäftsführung verständlicher Bericht, mit priorisierten Risiken und den Kosten ihrer Behebung.

Das Wichtige ist nicht der Bericht, sondern dass danach jemand den Plan umsetzt. Ein Bericht in der Schublade hat noch nie jemanden geschützt.

Bei unseren Audits wird die Frage „Haben Sie Datensicherungen?“ fast immer mit einem ruhigen Ja beantwortet. Die nächste Frage – „Wann haben Sie zuletzt eine wiederhergestellt?“ – erzeugt meist ein unangenehmes Schweigen.

Das ist niemandes Schuld im Einzelnen: Eine Sicherung, die jede Nacht läuft und keinen Fehler meldet, wirkt wie eine Sicherung, die funktioniert. Und das ist sie nicht immer.

Was in der Praxis schiefgeht

Das sind die Fälle, die uns am häufigsten begegnet sind, nach Häufigkeit geordnet:

• Die Sicherung läuft, aber sie enthält nicht alles: Es fehlt eine Datenbank, eine Freigabe oder der Server, der vor acht Monaten dazugekommen ist.
• Die Sicherung liegt am selben Ort wie das Original. Ein Brand, ein Diebstahl oder eine Ransomware nimmt beide mit.
• Die Sicherung läuft auf eine USB-Platte, die seit Monaten nicht angeschlossen ist und die sich niemand angesehen hat.
• Die Sicherung existiert und ist vollständig, aber die Wiederherstellung dauert vier Tage und das Geschäft hält einen aus.
• Die Sicherung ist verschlüsselt und niemand weiß, wo der Schlüssel liegt.

Die 3-2-1-Regel, auf Deutsch gesagt

Drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, eine davon außer Haus. Das ist das Minimum. Darüber hinaus kommt heute eine weitere Bedingung dazu: Mindestens eine Kopie muss unveränderlichsein, das heißt, sie darf sich nicht einmal mit Administratorzugangsdaten löschen lassen. Nur das hält einer gut gemachten Ransomware stand.

Eine Sicherung ohne Wiederherstellungstest ist keine Sicherung, sondern eine gute Absicht.

Wie Sie das testen, ohne einen Zirkus zu veranstalten

Man muss das Unternehmen nicht anhalten, um eine Wiederherstellung zu testen. Wir machen das so:

• Die Sicherung wird in einer isolierten Umgebunghochgefahren, ohne die Produktion anzufassen.
• Es wird geprüft, ob sie startet, ob die Daten da sind und ob das Datum das ist, das es sein sollte.
• Es wird gestoppt: wie lange es von der Entscheidung zur Wiederherstellung bis zu dem Moment dauert, in dem der Dienst nutzbar ist.
• Das Ergebnis wird dokumentiert und mit dem vereinbarten RTO verglichen.

Dieser letzte Punkt macht die Übung erst nützlich. Wenn Ihr Plan sagt, dass Sie in acht Stunden wieder arbeitsfähig sind, und der Test sagt sechsundzwanzig, haben Sie ein Problem, das Sie heute in Ruhe lösen sollten und nicht am Tag der Katastrophe.

Zwei Fragen, die Sie beantworten können sollten

RPO: Wie viele Arbeitsstunden können Sie sich leisten zu verlieren? Das bestimmt, wie oft gesichert werden muss. RTO: Wie lange können Sie stillstehen? Das bestimmt, welche Technik Sie brauchen.

Wenn Sie diese beiden Zahlen nicht schriftlich mit der Geschäftsführung vereinbart haben, ist alles Weitere nur technisches Detail ohne Kontext.

Wenn Sie das lesen, während gerade verschlüsselt wird, gehen Sie direkt zum ersten Punkt. Wenn Sie es an einem beliebigen Dienstag in Ruhe lesen, umso besser: So etwas bereitet man vorher vor, nicht mittendrin.

Stunde 0: eindämmen

• Trennen Sie die Netzverbindung der betroffenen Geräte. Kabel raus oder WLAN aus. Schalten Sie sie nach Möglichkeit noch nicht ganz aus: Im Arbeitsspeicher stecken nützliche Informationen.
• Isolieren Sie die Datensicherungen als Allererstes. Wenn die Ransomware sie erreicht, ist das Gespräch beendet.
• Kappen Sie die Fernzugänge: VPN, Remotedesktop, Zugänge von Dienstleistern. Wo sie hereinkam, kann sie wieder hereinkommen.

Stunde 1: das Ausmaß bewerten

Bevor Sie irgendetwas anderes anfassen, müssen Sie wissen, was verschlüsselt ist und was nicht: Arbeitsplätze, Server, Freigaben, Sicherungen – und ob es Hinweise darauf gibt, dass Daten zusätzlich zur Verschlüsselung abgeflossen sind. Letzteres ändert die rechtlichen Pflichten.

Hier ist auch zu entscheiden, wer das Sagen hat: Eine Person koordiniert und kommuniziert. In einer Krise richten fünf Personen, die parallel entscheiden, mehr Schaden an als der Vorfall selbst.

Stunde 2: Pflichten

Sind personenbezogene Daten betroffen, gibt die DSGVO 72 Stunden Zeit für die Meldung an die Aufsichtsbehörde. Das ist nicht optional und wartet nicht ab, bis Sie den Betrieb wiederhergestellt haben. Legen Sie vorab fest, wer diese Meldung verfasst.

Das Lösegeld wird nie gezahlt, bevor der Weg der Wiederherstellung ausgeschöpft ist. Und selbst dann garantiert Zahlen nicht, dass Sie irgendetwas zurückbekommen.

Stunde 3 und 4: in der richtigen Reihenfolge wiederherstellen

Die Versuchung ist groß, alles auf einmal wiederherzustellen. Das ist ein Fehler: Zuerst kommt das, was das Geschäft trägt, und nur auf Geräten, die bereits bereinigt oder neu installiert wurden.

• Verzeichnisdienst und Authentifizierung zuerst: Ohne Identität funktioniert nichts anderes.
• Danach das System, das abrechnet oder produziert. Das, was das Unternehmen lahmlegt, wenn es ausfällt.
• Anschließend E-Mail und gemeinsame Dateien.
• Die Arbeitsplätze zum Schluss, neu installiert von einem sauberen Image.

Was 90% dieser Tage verhindert

Unveränderliche Sicherungen, Zwei-Faktor-Authentifizierung bei allen Fernzugängen, Netzsegmentierung, damit ein infiziertes Gerät nicht an den Server kommt, und Benutzer ohne Administratorrechte auf dem eigenen Rechner. Nicht glamourös, aber genau das funktioniert.

Das ist die Frage, die uns am häufigsten gestellt wird, und die in der Branche am schlechtesten beantwortet wird, weil fast jeder einen Anreiz hat, sie in eine bestimmte Richtung zu beantworten. Wir versuchen es mit Zahlen.

Was in der Cloud meist besser aufgehoben ist

• Lasten die schwanken oder unvorhersehbar sind: Wenn Sie zwei Monate im Jahr die vierfache Leistung brauchen, ist es Geldverschwendung, das ganze Jahr dafür zu zahlen.
• Projekte die neu oder kurzlebig sind: Testumgebungen, Piloten, Kampagnen.
• Die Notwendigkeit, schnell zu wachsen ohne Beschaffungs- und Installationszeiten.
• Unternehmen ohne ordentlichen Serverraum: Wenn Sie keine USV, keine Kühlung und kein vernünftiges Netz haben, ist ein eigener Server ein Ausfall, der auf seinen Termin wartet.

Was vor Ort meist besser aufgehoben ist

• Lasten die über Jahre stabil und vorhersehbar sind : Da kostet die Miete am Ende mehr als der Kauf.
• Datenmengen die groß sind und viel bewegt werden: Ausgehender Datenverkehr in der Public Cloud kostet Geld, und das merkt man.
• Anwendungen, die sehr niedrige Latenz gegenüber Maschinen oder lokalen Geräten verlangen.
• Gesetzliche oder kundenseitige Anforderungen, die einen bestimmten Speicherort der Daten vorschreiben.

Die Kosten, die fast niemand mitrechnet

Wenn jemand „eigener Server“ mit „Cloud“ vergleicht, vergleicht er meist den Hardwarepreis mit der Monatsrechnung. Auf beiden Seiten fehlt etwas.

• Vor Ort: Strom, USV, Kühlung, Lizenzen, Plattentausch und Personenstunden für die Wartung.
• Vor Ort: die Kosten des Ausfalls. Ein Server ohne 24/7-Support und ohne Ersatzteil kann Sie drei Tage lahmlegen.
• In der Cloud: ausgehender Datenverkehr, Sicherungen, Snapshots, feste IP-Adressen und Managed Services, die sich nach und nach summieren.
• In der Cloud: die Kosten des Ausstiegs. 20 TB von einem Anbieter wegzumigrieren ist weder kostenlos noch schnell.

Was wir meistens vorschlagen

Bei den meisten KMU, mit denen wir arbeiten, kommt am Ende ein hybrider Aufbauheraus: das Stabile und Schwere vor Ort oder bei einem Anbieter für dediziertes Hosting, und in der Public Cloud das, was von Elastizität profitiert – externe Sicherungen, Testumgebungen, E-Mail und Zusammenarbeit. Nicht als fauler Kompromiss, sondern weil jedes Teil dorthin kommt, wo es günstiger und sicherer ist.

Und wie die Entscheidung auch ausfällt, eine Bedingung ist nicht verhandelbar: Sie müssen wieder herauskommen können. Dokumentation der Architektur, Ihre Daten in Standardformaten und keine künstlichen Schlösser. Wenn ein Anbieter Ihnen das schwer macht, ist das schon alles, was Sie über ihn wissen müssen.

Wenn ein Unternehmen nach IT-Supportsucht, will es in Wirklichkeit aufhören, ganze Vormittage zu verlieren. Das Wort „Support“ steht allerdings für sehr unterschiedliche Dinge: von einer Telefonnummer, die man anrufen kann, bis zu einem Team, das Ihre gesamte Infrastruktur plant, wartet und überwacht.

Die drei Level, ohne Geheimnis

Die Branche gliedert den Support in Level. Das ist kein leerer Fachjargon: Es sagt, wer sich um Sie kümmert und was er lösen kann.

• Level 1 · Helpdesk. Das Tagesgeschäft: Passwörter, E-Mail, Drucker, Berechtigungen, Ein- und Austritte von Mitarbeitern. Er löst den Großteil des Aufkommens und ist das, was man im Büro am meisten merkt.
• Level 2 · Systeme und Netzwerke. Server, Virtualisierung, Active Directory, Sicherungen, VPN, Netzwerk. Kommt ins Spiel, wenn Level 1 eskaliert, und ebenso bei allem Geplanten: Patchen, Updates, Konfigurationsänderungen.
• Level 3 · Engineering. Performance, Architektur, Hochverfügbarkeit, Störungen ohne Handbuch und Entscheidungen, die die nächsten Jahre prägen.

Ein Dienstleister mit ausschließlich Level 1 bringt Ihre Drucker in Ordnung und lässt Sie an dem Tag hängen, an dem der Speicher ausfällt. Einer mit ausschließlich Level 3 wird für das Ändern eines Passworts unbezahlbar teuer.

Was im Vertrag stehen sollte

• Reaktionszeiten schriftlich und nach Schweregrad gestaffelt. „So schnell wie möglich“ ist keine Zusage.
• Monitoring, damit der Dienstleister vor Ihnen merkt, dass etwas nicht stimmt.
• Verwaltung und Überprüfung der Datensicherungen, mit dokumentierten Wiederherstellungstests.
• Ein aktuelles Verzeichnis von Geräten, Lizenzen und Passwörtern – und es gehört Ihnen.
• Monatlicher Bericht über das, was war, und über das, was kommt.
• Vor-Ort-Support inklusive oder vorab bepreist, nicht improvisiert.

Fragen, die die Spreu vom Weizen trennen

• Wer betreut mich und auf welchem Level? Gibt es eine Rufbereitschaft außerhalb der Geschäftszeiten, und wer übernimmt sie?
• Wann haben Sie zuletzt eine Sicherung wiederhergestellt, und wie lange hat es gedauert?
• Was passiert mit meinen Daten, meiner Dokumentation und meinen Passwörtern, wenn ich die Zusammenarbeit mit Ihnen beende?
• Was fällt nicht unter den Vertrag, und wie wird es vorher kalkuliert?

„Wenn ich Sie morgen kündige: Was übergeben Sie mir, und in welcher Zeit?“ Das ist nach wie vor die beste Frage, die Sie einem IT-Dienstleister stellen können.

Was es kostet

Das hängt von zwei Dingen ab: wie viele Personen Sie sind und wie lange das Geschäft stillstehen kann. 24/7-Support für ein Team von sieben Personen ist etwas anderes als für fünfzig Personen mit einer Produktion, die nicht stehen bleiben darf. Misstrauen Sie deshalb jedem, der Ihnen am Telefon einen Preis nennt, ohne etwas zu fragen: Entweder wird er ihn nicht halten, oder er hat den Risikoaufschlag schon eingerechnet.

Einen IT-Wartungsvertrag unterschreibt man einmal und erträgt ihn jahrelang. Ein Nachmittag dafür lohnt sich. Das würden wir uns ansehen, wenn wir auf der anderen Seite säßen.

Was schriftlich festgehalten sein muss

• Genauer Leistungsumfang: welche Geräte, welche Server, welche Dienste. Und was nicht dazugehört, genauso deutlich benannt.
• Reaktions-SLA nach Schweregrad, mit konkreten Stundenangaben. „So schnell wie möglich“ ist keine Zusage.
• Servicezeiten und was außerhalb davon passiert. Falls es eine 24/7-Rufbereitschaft gibt: was sie kostet und wie sie ausgelöst wird.
• Verzeichnis und Dokumentation: beides wird aktuell gehalten und gehört Ihnen, nicht dem Dienstleister.
• Regelmäßiger Bericht: was passiert ist, was getan wurde, was offen ist und was empfohlen wird.
• Ausstiegsklausel: Kündigungsfrist und Pflicht zur Übergabe von Zugängen, Passwörtern und Dokumentation.

Anzeichen, die ein schlechtes Zeichen sind

• Die Administrator-Passwörter hat nur der Dienstleister und er gibt sie Ihnen nicht heraus. Das ist schlicht eine höfliche Geiselnahme.
• Lange Vertragsbindung mit unverhältnismäßiger Vertragsstrafe.
• Überall stehen „inklusive Stunden“, aber niemand definiert, was eine Stunde ist und wie sie nachgewiesen wird.
• Es gibt keinen Bericht. Wenn Sie nicht erfahren können, was in diesem Monat für Sie getan wurde, können Sie auch nicht beurteilen, ob es sich lohnt.
• Das Monitoring wird abgerechnet, aber es kommt nie eine Meldung. Entweder läuft alles perfekt, oder es wird gar nicht überwacht.

Ein guter Wartungsvertrag ist der, aus dem Sie leicht wieder herauskommen. Genau deshalb geht fast niemand.

Stundenkontingent oder Pauschale

Ein Stundenkontingent funktioniert gut, wenn Ihr Bedarf punktuell ist und jemand intern das Tagesgeschäft übernimmt. Es hat einen bekannten Nebeneffekt: Weil jeder Anruf Guthaben verbraucht, ruft man lieber nicht an, und kleine Probleme dürfen wachsen.

Die Pauschale fährt besser, wenn Sie wirklich delegieren wollen, denn sie bringt die Interessen in Einklang: Der Dienstleister will, dass Sie keine Störungen haben, nicht dass Sie viele haben. Das ist das Modell, das wir empfehlen, sobald Server im Spiel sind.

Eine letzte Frage an den Vertrieb

„Wenn ich Sie morgen kündige: Was übergeben Sie mir, und in welcher Zeit?“ Das Gesicht, das er dabei macht, sagt Ihnen fast alles, was Sie wissen müssen.

„Es ist langsam“ ist keine Diagnose, sondern ein Symptom. Und zugeschrieben wird es fast immer dem Provider, dem bequemsten Verdächtigen. Nach unserer Erfahrung verteilt sich die Schuld in Wirklichkeit ziemlich breit.

Die vier üblichen Verdächtigen

• Das WLAN, nicht die Leitung. Ungleich verteilte Abdeckung, von den Nachbarn überfüllte Kanäle oder alte Access Points. Zu erkennen daran, dass es per Kabel gut läuft.
• Ein Gerät, das das Netz auslastet: eine schlecht geplante Sicherung mittags, ein großes Update oder ein kompromittierter Rechner.
• Der Router des Providers, der in vielen Büros der Engpass ist: Er verkraftet die gleichzeitigen Verbindungen eines Unternehmens nicht.
• Die Leitung, ja, aber oft wegen des Uploads, nicht wegen des Downloads: Videokonferenzen und Sicherungen in der Cloud gehen nach oben.

Was Sie messen sollten, und warum der Speedtest auf dem Handy nichts taugt

Ein einzelner Test misst einen Moment und einen Ort. Das Problem ist fast nie konstant: Es tritt um elf auf, wenn alle online sind, oder dienstags, wenn die Sicherung läuft. Man muss kontinuierlich messen:

• Tatsächlicher Durchsatz im Upload und im Download, über mehrere Tage hinweg.
• Latenz und Jitter, denn genau das lässt eine Videokonferenz stocken, selbst wenn der Durchsatz gut ist.
• Paketverlust: Schon 1 % dauerhaft macht sich bemerkbar, und in keinem Speedtest taucht das auf.
• Auslastung nach Tageszeit, um zu sehen, ob das Problem eine Uhrzeit hat.

Wie Sie den Provider zum Handeln bringen

Eine Meldung „bei mir ist es langsam“ schließt sich von selbst. Ein Bericht mit datierten Messungen, mit Paketverlust und mit dem Vergleich zur vertraglich zugesagten Bandbreite nicht. Verlangen Sie den Störungsschein mit Ticketnummer und berufen Sie sich auf das Service-Level-Agreement des Vertrags, falls es eines gibt. Bei Geschäftsanschlüssen gibt es meist eines; bei als Geschäftsanschluss verkleideten Privatanschlüssen nicht.

Der Messbericht ist das Einzige, was aus „es ist langsam“ eine Störung macht, die jemand beheben muss.

Und wenn die Leitung in Ordnung ist

Dann muss man nach innen schauen: Verkabelung, Netzwerktechnik, WLAN und Endgeräte. Das ist der Teil, den fast nie jemand geprüft hat und in dem das eigentliche Problem meistens steckt.

Der Router, den der Provider stellt, ist für eine Wohnung gedacht: wenige Geräte, wenig Gleichzeitigkeit und niemand, den ein Ausfall Geld kostet. In einem Büro ist alles dreimal genau umgekehrt.

Was mit Geräten für den Hausgebrauch schiefgeht

• Gleichzeitigkeit. Er verkraftet nur wenige aktive Verbindungen und beginnt bei dreißig Geräten, Pakete zu verwerfen.
• Roaming. Wenn Sie durchs Büro gehen, hängt sich das Notebook am weit entfernten Access Point fest und die Videokonferenz bricht ab. Unternehmenssysteme übergeben das Gerät unbemerkt von einem Access Point an den nächsten.
• Keine Segmentierung. Der Fernseher im Besprechungsraum, das Handy des Besuchers und der Abrechnungsserver hängen im selben Netz.
• Keine Sichtbarkeit. Sie wissen nicht, wer verbunden ist, was er verbraucht oder warum etwas ausfällt.
• Er gehört Ihnen nicht einmal. Tauscht der Provider ihn aus, ist Ihre Konfiguration verschwunden.

Was ein Unternehmens-WLAN braucht

• Ausleuchtungsplanung mit echten Messungen, statt Access Points nach Augenmaß zu verteilen.
• Zentral verwaltete Access Points mit sauber gelöstem Roaming.
• Ein Gästenetz getrennt vom Arbeitsnetz, und ein weiteres für die vernetzten Geräte.
• Zugang pro Benutzer statt eines gemeinsamen Passworts, das am Ende die halbe Provinz kennt.
• Passende Verkabelung und Stromversorgung: Ein guter Access Point, schlecht angeschlossen, bringt gar nichts.

Woran Sie erkennen, ob Ihres in Ordnung ist

Man misst. Vorher und nachher, an denselben Stellen und zu denselben Zeiten: Abdeckung, tatsächliche Geschwindigkeit je Bereich, Latenz und Wechsel zwischen Access Points. Wenn Ihnen niemand Zahlen zeigt, verkauft man Ihnen ein Gefühl.

Netzwerkverkabelung macht keine Probleme … bis sie welche macht. Und dann sind es teure: Aussetzer, die niemand erklären kann, Störungen, die tagelang gesucht werden, und ein Netz, das nicht wachsen kann, ohne komplett neu gemacht zu werden.

Anzeichen, dass Ihre nicht mehr ausreicht

• Niemand weiß, welche Dose zu welchem Punkt im Rack führt, und um es herauszufinden, muss man am Kabel ziehen.
• Unter den Schreibtischen hängen Switches in Reihe, weil „die Dosen nicht gereicht haben“.
• Die Dosen sind nicht beschriftet, oder die Beschriftung passt zu nichts mehr.
• Fällt eine ganze Etage aus, hilft nur Ausprobieren, um herauszufinden, woran es liegt.
• Das Rack ist ein Kabelnest: Man bekommt kein Patchkabel heraus, ohne zehn andere zu bewegen.

Was zu einer ernsthaft ausgeführten Installation gehört

• Vorherige Planung: wie viele Dosen pro Arbeitsplatz, wo die Trassen verlaufen und wo das Rack steht.
• Die passende Kategorie für den Einsatzzweck, weder die teuerste noch die billigste.
• Beschriftung an beiden Enden jedes Kabels, mit derselben Bezeichnung im Plan und im Rack.
• Zertifizierung mit Messgerät für jede Dose, mit übergebenem Messprotokoll. Ohne das wissen Sie nicht, ob das Kabel die Werte einhält, Sie vermuten es nur.
• Dokumentation: Dosenplan, Rack-Schema und Liste, was wohin führt.

Eine dokumentierte Verkabelung macht aus einer Störung von zwei Tagen eine von zehn Minuten. Darin liegt der ganze Wert, und man merkt ihn nur an dem Tag, an dem etwas ausfällt.

Das Rack, das ewige Sorgenkind

Ein aufgeräumtes Rack ist keine Kosmetik, sondern Reparaturzeit. Patchpanels, Kabelführungen, konfektionierte Patchkabel, abgesicherte Stromversorgung und Belüftung. Und eingeplanter freier Platz, denn es kommt immer etwas dazu.

Wann Sie die Gelegenheit dafür nutzen sollten

Es gibt zwei Zeitpunkte, zu denen es deutlich günstiger ist: bei einem Bau oder Umbau und bei einem Büroumzug. Zu jedem anderen Zeitpunkt geht es genauso, aber Sie zahlen dafür, dass im laufenden Betrieb gearbeitet wird.

Die ISO/IEC 27001 ist zu einer geschäftlichen Anforderung geworden. Sie wird nicht von einem Auditor verlangt, sondern von dem großen Kunden, der Sie beauftragen will, oder von der Ausschreibung, an der Sie teilnehmen möchten. Das ist fast immer der ehrliche Grund für eine Zertifizierung.

Was sie ist und was nicht

Sie ist keine Liste technischer Maßnahmen, die man installiert. Sie ist ein Managementsystem: eine Methode, um zu bestimmen, welche Informationen Sie haben, welchen Risiken diese ausgesetzt sind, was Sie dagegen tun und wie Sie prüfen, dass es auch weiterhin getan wird. Der technische Teil ist die Folge, nicht der Ausgangspunkt.

Was das in der Praxis bedeutet

• Festlegen des Geltungsbereichs: welcher Teil des Unternehmens zertifiziert wird. Mit allem auf einmal anzufangen ist meist ein Fehler.
• Un Risikoanalyse die echt ist und nicht aus einer Vorlage kopiert wurde.
• Richtlinien und Verfahren, die auch eingehalten werden. Die, die nicht eingehalten werden, fallen im ersten Audit auf.
• Die Maßnahmen umsetzen, die sich aus der Analyse ergeben: Zugänge, Sicherungen, Protokollierung, Lieferantenmanagement, Schulungen.
• Internes Audit, Managementbewertung und Zertifizierungsaudit durch eine akkreditierte Stelle.
• Und danach: jährliche Überwachungsaudits. Ein System, das in der Schublade liegt, bricht von allein zusammen.

ISO 27001, ENS und NIS2: wie sie zusammenhängen

• ISO 27001 ist freiwillig und dient in jeder Branche als Verkaufsargument.
• ENS (das spanische Esquema Nacional de Seguridad) ist Pflicht, wenn Sie für die spanische Verwaltung arbeiten wollen.
• NIS2 ist die europäische Richtlinie, und sie betrifft mehr Unternehmen als es scheint: Für viele gilt sie, weil sie ein anderes Unternehmen beliefern, das selbst darunterfällt.

Ein großer Teil der Arbeit ist bei allen dieselbe. Wenn Sie wissen, dass Sie zwei davon brauchen werden, sollten Sie sie von Anfang an gemeinsam angehen, statt denselben Aufwand zweimal zu treiben.

Die nützliche Frage lautet nicht „Soll ich mich zertifizieren?“, sondern „Wie viel Geschäft verliere ich, weil ich nicht zertifiziert bin?“. Mit dieser Zahl trifft sich die Entscheidung von selbst.