Die Akte der Anderen (Teil 2): Wie Unternehmen ihre Prüfer steuern sollten

Teil 2 der dreiteiligen Serie „Die Akte der Anderen – Lehren aus dem GUTcert-Vorfall”

Im ersten Teil ging es um den Cyberangriff auf die Zertifizierungsgesellschaft GUTcert und um die Frage, warum Prüfer zu attraktiven Zielen werden: Bei ihnen sammeln sich die sensibelsten Unterlagen vieler Betreiber. Dieser Teil richtet sich an die andere Seite: an Unternehmen, die sich nach ISO 27001, nach den IT-Sicherheitskatalogen der Bundesnetzagentur oder im Rahmen der Nachweispflichten nach BSIG prüfen lassen müssen.

Die Empfehlungen setzen bewusst nicht die Ergebnisse der Forensik voraus. Sie gelten unabhängig davon, wie der konkrete Angriff ablief, und sie gelten nicht nur für Zertifizierungsstellen, sondern für jeden Dritten, der Einblick in Ihre Sicherheitsarchitektur erhält.

Der Grundgedanke: Ein Nachweis ist keine Kopie

Die wirksamste Maßnahme kostet kein Geld: weniger Daten aus der Hand geben.

Eine Zertifizierungsstelle muss nachvollziehbar dokumentieren, dass und wie sie geprüft hat. ISO/IEC 17021-1 verlangt dafür aussagekräftige Aufzeichnungen über Audit und Zertifizierungsentscheidung. Sie verlangt nicht, dass jeder eingesehene Nachweis als Kopie in der Akte liegt. Für die meisten Prüfzwecke reicht eine Referenz: Bezeichnung des Dokuments, Version, Datum, gegebenenfalls ein Hashwert, dazu die Feststellung des Auditors. Wer später nachprüfen will, kann das Dokument beim Kunden erneut einsehen.

Daraus folgt eine einfache Regel: Sensible Nachweise werden vorgelegt, nicht übergeben. Vor Ort, in einer begleiteten Videositzung mit geteiltem Bildschirm oder in einem vom Unternehmen kontrollierten Datenraum mit reinem Lesezugriff.

Nicht jede Zertifizierungsstelle und nicht jeder Auditor wird das auf Anhieb begeistert aufnehmen. Vollständige Kopien sind bequem und fühlen sich sicher an. Deshalb gehört das Thema nicht in die Diskussion während des Audits, sondern in die Auswahl und die Auditplanung. Einzelne Prüfprogramme können strengere Dokumentationsanforderungen haben; das sollte man im konkreten Fall klären, statt es vorauszusetzen.

Sofortmaßnahmen für Betroffene des aktuellen Vorfalls

Für Unternehmen, die Kunde von GUTcert waren oder sind:

• Kundeninformation auswerten und bei Unklarheit nachfragen, welche Datenbestände und welche Zeiträume betroffen sind.
• Übermittelte Unterlagen rekonstruieren: Welche Dokumente wurden in welchen Auditzyklen hochgeladen, per E-Mail versandt oder an einzelne Auditoren übergeben?
• Meldepflichten prüfen und die Entscheidung dokumentieren: nach Art. 33 DSGVO und nach den Meldepflichten des BSIG bzw. der sektorspezifischen Regelungen für Energieversorger. Auch eine begründete Entscheidung gegen eine Meldung gehört in die Akte.
• Nach Informationswert priorisieren: Zugangsdaten, Fernwartungszugänge, offene Schwachstellen und Details zur Angriffserkennung zuerst. Standortlisten später.
• Detektion schärfen: Wenn Angreifer Ihre Netzstruktur kennen könnten, sollten die Erkennungsregeln gerade die Wege abdecken, die in den Unterlagen beschrieben sind.
• Beweise sichern: Verdächtige E-Mails, etwa mit Links zu mutmaßlich erbeuteten Daten, nicht vorschnell löschen, sondern mit dem Sicherheitsteam abstimmen.

Der Zertifizierungszyklus: sechs Stellen, an denen Sie gegensteuern können

1. Vor der Auswahl

Eine Zertifizierungsstelle ist aus Sicht Ihres ISMS ein Lieferant, der mit schutzbedürftigen Informationen umgeht. Sie unterliegt damit der Lieferantensteuerung nach ISO 27001 (Anhang A 5.19 bis 5.22) und den Anforderungen an die Sicherheit der Lieferkette nach § 30 BSIG.

Das berührt nicht die Unparteilichkeit der Stelle. Sie bewerten nicht, wie sie zertifiziert, sondern wie sie mit Ihren Daten umgeht. Diese Unterscheidung sollten Sie auch gegenüber der Stelle so kommunizieren.

Sinnvolle Auswahlkriterien sind: ein eigenes ISMS mit einem Geltungsbereich, der Projektablage, Kommunikation und Auditoren einschließt; transparente Regeln für den Einsatz freiberuflicher Auditoren; eine Plattform für den Dokumentenaustausch, die mehr kann als Upload und Download; die Bereitschaft, Einsichtnahme statt Übergabe zu akzeptieren.

2. Bei der Vertragsgestaltung

Viele Zertifizierungsverträge regeln Vertraulichkeit nur allgemein. Das reicht nicht. Regeln sollten Sie:

• die datenschutzrechtliche Rolle: Ist die Stelle Auftragsverarbeiter nach Art. 28 DSGVO oder eigener Verantwortlicher? Beides kommt vor, und oft ist es ungeklärt.
• Unterauftragnehmer: IT-Dienstleister, Cloud-Anbieter, Konzerngesellschaften, freiberufliche Auditoren.
• Übermittlungswege: Ausschluss von E-Mail-Anhängen für sensible Nachweise.
• Aufbewahrung und Löschung: getrennt nach Zertifizierungsakte (die die Stelle für den Zyklus benötigt) und Arbeitsunterlagen (die nach dem Audit gelöscht werden können), mit Löschbestätigung.
• Benachrichtigung bei Vorfällen: eine konkrete Frist, abgestimmt auf Ihre eigenen Meldepflichten. Wenn Sie selbst binnen 24 Stunden eine erste Meldung abgeben müssen, hilft eine Benachrichtigung „unverzüglich nach Abschluss der Untersuchung” wenig.
• Informationsrechte: Auskunft über Sicherheitsmaßnahmen und über Vorfälle, die Ihre Daten betreffen könnten.

3. Bei der Auditplanung

Der Auditplan ist der richtige Ort, um festzulegen, welche Nachweise wie bereitgestellt werden. Bewährt hat sich eine einfache Einstufung:

• Offen: Richtlinien, Verfahrensanweisungen ohne technische Details – können übermittelt werden.
• Vertraulich: Risikoanalysen, Organigramme, Maßnahmenpläne – nur über die gesicherte Plattform oder den eigenen Datenraum, gegebenenfalls geschwärzt.
• Streng vertraulich: Netz- und Segmentierungspläne, Fernzugänge, Schwachstellen- und Behebungslisten, Details zur Angriffserkennung – ausschließlich zur Einsicht.

Stimmen Sie diese Einstufung vorab mit dem Auditteam ab. Dann gibt es während des Audits keine Diskussion, und der Auditor kann seine Stichproben entsprechend planen.

4. Während des Audits

• Nachweise zeigen, nicht verschicken. Auch nicht „nur schnell mal”, weil die Verbindung hakt.
• Bei Remote-Audits: keine Aufzeichnung von Sitzungen, in denen streng vertrauliche Unterlagen gezeigt werden, oder zumindest eine klare Vereinbarung darüber.
• Wo eine Übergabe unvermeidbar ist: Schwärzung technischer Details, die für die Prüfaussage nicht nötig sind, Wasserzeichen, befristeter Zugriff.
• Protokollieren Sie selbst, was Sie wem in welcher Form übergeben haben.

5. Nach dem Audit

• Arbeitsunterlagen löschen lassen und die Löschung bestätigen lassen.
• Zugänge zu Datenräumen und Plattformen schließen.
• Das eigene Register der übergebenen Unterlagen aktualisieren.

6. Im Vorfall

Planen Sie den Vorfall beim Dienstleister so, wie Sie einen eigenen Vorfall planen. Wer entscheidet über die Meldung? Wer bewertet, welche Unterlagen betroffen sein könnten? Diese Bewertung gelingt nur, wenn Sie wissen, was Sie weitergegeben haben. Ohne Register bleibt nur die ungenaue Antwort „vermutlich alles”.

Nicht nur Zertifizierer

Der GUTcert-Vorfall betrifft eine Zertifizierungsstelle. Das Muster gilt aber für jeden Dritten mit tiefem Einblick:

• Beratungsunternehmen, die Risikoanalysen und Sicherheitskonzepte erstellen,
• Penetrationstester, deren Berichte eine Anleitung zum Angriff sein können,
• Cyberversicherer, deren Fragebögen teils erstaunlich detailliert sind,
• Anbieter von ISMS- und GRC-Software, in deren Cloud das gesamte Managementsystem liegt,
• vor- und nachgelagerte Netzbetreiber, Hersteller und Wartungsdienstleister.

Die meisten Unternehmen haben kein zentrales Verzeichnis, welche sensiblen Informationen bei welchem Dritten liegen. Ein solches Register ist mit überschaubarem Aufwand aufgebaut, und es ist genau das Werkzeug, das Sie im nächsten Vorfall brauchen.

Zehn Fragen an Ihre Zertifizierungsstelle

Zum direkten Übernehmen in die Lieferantenbewertung:

1. Verfügt Ihre Organisation über ein zertifiziertes ISMS, und welchen Geltungsbereich hat es?
2. Wie und wo werden Kundennachweise gespeichert, und wer hat Zugriff darauf?
3. Werden Nachweise aus der Kundenplattform in andere Ablagen oder Postfächer übernommen?
4. Welche Anforderungen gelten für freiberufliche Auditoren hinsichtlich Endgeräten, E-Mail und lokaler Speicherung?
5. Welche Unterauftragnehmer haben Zugriff auf Kundendaten?
6. Welche Aufbewahrungsfristen gelten für Zertifizierungsakte und Arbeitsunterlagen, und wie wird gelöscht?
7. Akzeptieren Sie Einsichtnahme statt Übergabe für streng vertrauliche Nachweise?
8. In welcher Frist werden Kunden über Sicherheitsvorfälle informiert, die ihre Daten betreffen könnten?
9. Wie ist Ihre datenschutzrechtliche Rolle, und gibt es einen Vertrag zur Auftragsverarbeitung?
10. Gab es in den letzten drei Jahren Sicherheitsvorfälle mit Bezug zu Kundendaten?

Fazit

Die Prüfung von Informationssicherheit darf nicht selbst zum Sicherheitsrisiko werden. Unternehmen haben mehr Einfluss darauf, als sie meist nutzen: bei der Auswahl, im Vertrag, im Auditplan und im Umgang mit jedem einzelnen Dokument. Der wichtigste Satz dieses Beitrags passt auf eine Zeile: Zeigen, nicht verschicken.

Im dritten Teil (14. Oktober) wechsle ich die Perspektive und schreibe ein paar Einträge ins Stammbuch der eigenen Zunft: der Zertifizierungsstellen und Auditoren.

regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.