Sicherheitsnachweise von Softwareanbietern prüfen: Zertifikate, Audits und Referenzen

Warum Sicherheitsnachweise vor der Softwareauswahl entscheiden

Safety Center nennt Informationssicherheit auf seiner Normenseite zu ISO/IEC 27001 überlebensnotwendig für Organisationen aller Art. Vertraulichkeit, Integrität und Verfügbarkeit von Information seien ein strategischer Erfolgsfaktor für das Vertrauen von Kunden, Geschäftspartnern und Öffentlichkeit. Eine ISO/IEC-27001-Zertifizierung zeige diesen Anspruchsgruppen, dass Informationssicherheit aktiv geführt und regelmässig überprüft wird.

Wer Software einkauft, kann die Sicherheit eines Anbieters meist nicht selbst beurteilen. Er braucht Nachweise, die unabhängige Stellen ausgestellt oder geprüft haben.

Netsafe AG verweist auf Studien, wonach 2024 über 30 Prozent der Schweizer Firmen von Cyberangriffen betroffen waren. Damit wird die Anbieterprüfung vom Formalakt zum Risikoentscheid. Ein Softwareanbieter, der personenbezogene oder betriebskritische Daten verarbeitet, sollte belegen, wie er Informationssicherheit steuert.

Bei der Prüfung sind drei Bereiche zu trennen. Zertifikate belegen Norm, Geltungsbereich und Gültigkeitsdauer eines Anbieters oder Produkts. Audits zeigen Methode, Tiefe und offene Feststellungen. Referenzen und die Qualifikation der Prüfenden zeigen, wer geprüft hat und ob diese Person oder Stelle für die eigene Branche und Unternehmensgrösse einschlägige Erfahrung mitbringt.

Cyberangriffe in der Schweiz: Daten aus 2024

Zertifikate richtig lesen: Managementsystem- und technische Zertifikate

Bei einem Managementsystem-Zertifikat der Normenfassung ISO/IEC 27001:2022 nennt die SQS die Eckdaten. Das Zertifikat gilt drei Jahre; nach der Erstzertifizierung findet in beiden Folgejahren je ein Aufrechterhaltungsaudit statt. Diese Audits prüfen die Einhaltung der Normenanforderungen und die Weiterentwicklung des Managementsystems.

Die Zahl «2022» im Normtitel bezeichnet das Jahr der letzten Revision. Laut SQS wird die Norm regelmässig überprüft und weiterentwickelt. Wer einen Anbieter prüft, darf deshalb nicht bei «ISO 27001» stehen bleiben, sondern muss Ausstellungs- und Ablaufdatum klären und fragen, ob die Aufrechterhaltungsaudits tatsächlich stattgefunden haben.

Technische Zertifikate folgen einer anderen Logik. Das Bundesamt für Informatik und Telekommunikation BIT veröffentlicht in Übereinstimmung mit dem CA Browser Forum Testzertifikate, die Software- und Anwendungsanbieter verwenden können. Sie sind nach Klassen gegliedert: Klasse A (Regulated CA 02 und Regulated CA 03), Klasse B (Enhanced CA 01) sowie QSCD Signatur. Sie tragen Statusangaben wie «Valid (through)», «Expired» und «Revoked».

Jeder Eintrag nennt Seriennummer (SN), Common Name (CN) und Ablaufdatum. In den Klasse-A-Einträgen der Regulated CA 03 werden zusätzlich Schlüssellängen von 2048 Bit und 3072 Bit ausgewiesen.

Beide Zertifikatstypen verlangen unterschiedliche Prüffragen. Ein Managementsystem-Zertifikat benennt Organisation, Geltungsbereich und eine Laufzeit von drei Jahren; ohne die beiden Aufrechterhaltungsaudits ist es nicht aussagekräftig. Ein PKI-Zertifikat bürgt für Schlüssel und Inhaber, trägt Seriennummer und Ablaufdatum und kann jederzeit auf «Expired» oder «Revoked» wechseln. Wer bei einem Anbieter «Zertifikat» liest, muss zuerst klären, welcher Typ gemeint ist.

Managementsystem- vs. technisches Zertifikat

Zertifizierungsstelle und Akkreditierung prüfen

Die SQS hält fest, dass nicht jedes ISO-Zertifikat gleich viel wert ist. Für die Anerkennung am Markt seien Kompetenz und Reputation der Zertifizierungsstelle entscheidend. Als Beleg nennt sie ihre Zulassung als erste Zertifizierungsstelle durch die Schweizerische Akkreditierungsstelle (SAS).

Die SAS ist eine Bundesbehörde. Sie kontrolliert Zertifizierungsstellen und prüft deren Eignung sowie die Konformität der Prüfer. Die SQS zertifiziert nach eigenen Angaben seit 1983 Managementsysteme und zählt rund 7000 Kunden.

Für die Anbieterprüfung ergibt sich eine konkrete Frage: Von welcher Stelle stammt das Zertifikat, und ist diese Stelle von einer staatlichen Akkreditierungsstelle wie der SAS für den betreffenden Normbereich zugelassen? Ist das nicht der Fall oder lässt sich die Akkreditierung nicht nachvollziehen, bleibt offen, welchen Prüfmassstab das Zertifikat abbildet.

Audits verstehen: Umfang, Ablauf und Aussagekraft

Der Zertifizierungszyklus nach ISO/IEC 27001 in der Fassung 2022 ist bei der SQS beschrieben: Erstzertifizierung, danach je ein Aufrechterhaltungsaudit im ersten und zweiten Folgejahr, Prüfung der Normeneinhaltung und der Weiterentwicklung des Managementsystems.

Davon zu unterscheiden sind interne Audits, mit denen eine Organisation selbst prüft, ob ihre Vorgaben eingehalten werden, und eine Gap-Analyse, die den Abstand zur Norm vor einem eigentlichen Audit erhebt. Die Netsafe AG führt die Gap-Analyse in ihrem Audit-Konfigurator als «Vorab-Check» und empfiehlt sie bei Erst-Audits, um den Status quo vor dem echten Audit zu prüfen.

Was ein Audit von einer oberflächlichen Prüfung unterscheidet, beschreibt Netsafe AG so: Standardprüfungen dokumentieren nur oberflächliche Probleme, ein Audit analysiert die gesamte IT-Infrastruktur strategisch und integriert die Ergebnisse in die Systemsicherheitsleitlinie. Prüfumfang und Prüftiefe sollten deshalb explizit erfragt werden – etwa ob eine Erstzertifizierung, eine Re-Zertifizierung oder ein Assessment nach einem Branchenstandard wie TISAX (Assessment Level AL 2 «Hoch» oder AL 3 «Sehr Hoch») durchgeführt wurde.

Kritisch zu hinterfragen sind Zertifizierungen, die in kurzer Zeit versprochen werden. Die InfoGuard AG beschreibt das Muster: Anbieter versprechen eine ISO-27001-Zertifizierung in Rekordzeit – «schnell implementiert, sofort zertifizierungsfähig, ohne Mehraufwand». Sie fragt, ob dies der Komplexität eines wirksamen ISMS gerecht wird, das auf organisatorischer Reife, gelebter Sicherheitskultur und effektivem Risikomanagement basiert.

Dasselbe Haus weist darauf hin, dass ein ISMS mit dem Erhalt des Zertifikats nicht abgeschlossen ist, sondern in den kontinuierlichen Verbesserungsprozess eintritt.

Zertifizierungszyklus nach ISO/IEC 27001:2022

Vorteile und Risiken von schnellen Zertifizierungen

Referenzen und Prüfkompetenz der Anbieter bewerten

Die Qualifikation der Prüfenden lässt sich an Zertifizierungen festmachen. Die Netsafe AG nennt für ihre IT-Sicherheitsaudits CISA-zertifizierte Expertise, also Certified Information Systems Auditor. Solche Nachweise sagen etwas über die Ausbildung der prüfenden Person aus, nicht über das Ergebnis im Einzelfall; sie sind deshalb immer zusammen mit dem konkreten Prüfauftrag zu bewerten.

Unabhängigkeit ist ein zweites Kriterium. Bureau Veritas beschreibt sein Vorgehen so: Das Unternehmen prüft unabhängig, ob Kunden und deren Lieferanten die Cyber-Security-Vorschriften und -Standards erfüllen. Wird dieselbe Stelle gleichzeitig für Beratung und Zertifizierung beauftragt, ist zu klären, wie die Unabhängigkeit der Prüfung sichergestellt wird.

Branchen- und Themenkenntnis zeigt sich am Methodenportfolio. Bureau Veritas nennt unter anderem ISO 27017 für Cloud-Sicherheit, ISO 27701 für Datenschutz-Managementsysteme, TISAX, eIDAS sowie ISAE-3000-/3402-Prüfungen und Dienstleistungen zur Überprüfung der Sicherheitsreife und zur Sicherheit von Lieferanten.

Bei Kundenreferenzen sollten Vergleichbarkeit nach Branche und Unternehmensgrösse, der geprüfte Geltungsbereich, der Prüfzeitraum und die Bereitschaft, über Feststellungen und daraus abgeleitete Massnahmen zu sprechen, im Zentrum stehen – nicht die Anzahl der Logos.

Typische Fallstricke und wie man sie erkennt

Die BIT-Seite zu Testzertifikaten zeigt das Grundproblem technischer Nachweise im Direktvergleich. In derselben Liste stehen Einträge mit Status «Valid (through)» neben solchen mit «Expired» und «Revoked», jeweils im gleichen Format aus Seriennummer und Common Name. Ein Zertifikatsauszug mit Seriennummer und Ablaufdatum beweist daher für sich genommen nichts; entscheidend sind der aktuelle Status und bei Gültigkeit das konkrete Ablaufdatum.

Ein zweiter Fallstrick sind Zertifikate ohne belastbare Akkreditierung. Die SQS formuliert es deutlich: Nicht jedes ISO-Zertifikat ist gleich viel wert, weil Kompetenz und Reputation der Zertifizierungsstelle über die Marktanerkennung entscheiden. Wer die ausstellende Stelle und deren Zulassung durch eine staatliche Akkreditierungsstelle nicht prüft, kann zwei Zertifikate mit gleicher Aufschrift nicht unterscheiden.

Drittens vage Audit-Aussagen. Die Netsafe AG grenzt das Audit ausdrücklich von Standardprüfungen ab, die nur oberflächliche Probleme dokumentieren. Aussagen wie «regelmässige Audits» ohne Angabe von Standard, Geltungsbereich, Prüfzeitraum, Methode und festgestellten Abweichungen liefern keine Grundlage für eine Lieferantenentscheidung.

Viertens das Zertifikat ohne Kontext: Ein Zertifikat der Fassung ISO/IEC 27001:2022 ist drei Jahre gültig und wird nur dann aussagekräftig, wenn in beiden Folgejahren je ein Aufrechterhaltungsaudit stattgefunden hat. Fehlen Geltungsbereich oder Aufrechterhaltungsaudits, sagt das Dokument kaum etwas über den aktuellen Sicherheitszustand des Anbieters aus.

Praktische Prüfliste für Schweizer Unternehmen

Zertifikat und Auditbericht anfordern: Verlangen Sie das vollständige Zertifikat mit Geltungsbereich, genanntem Normtitel und Ausstellungsdatum sowie den Bericht zur Erstzertifizierung. Fragen Sie zusätzlich nach den beiden Aufrechterhaltungsaudits, die während der dreijährigen Gültigkeit nach ISO/IEC 27001 in der Fassung 2022 stattfinden.

Gültigkeit und Geltungsbereich prüfen: Klären Sie bei Managementsystem-Zertifikaten, ob Ablaufdatum und Geltungsbereich den eingesetzten Softwareumfang abdecken. Prüfen Sie bei technischen Zertifikaten den aktuellen Status (valid, expired, revoked), das Ablaufdatum und die Seriennummer, wie sie das BIT für seine Testzertifikate ausweist.

Akkreditierung kontrollieren: Identifizieren Sie die ausstellende Zertifizierungsstelle und deren Akkreditierung. Die SQS nennt als Referenz die Zulassung durch die Schweizerische Akkreditierungsstelle (SAS), eine Bundesbehörde, die Zertifizierungsstellen und die Konformität der Prüfer kontrolliert.

Referenzen einholen und Prüfkompetenz beurteilen: Fragen Sie nach vergleichbaren Projekten in Ihrer Branche und nach der Qualifikation der Prüfenden, etwa CISA-zertifizierte Auditoren. Achten Sie darauf, dass die prüfende Stelle unabhängig prüft, wie Bureau Veritas dies für die Überprüfung von Kunden und deren Lieferanten beschreibt.

Sicherheitscheckliste oder Gap-Analyse nutzen: Swisscom empfiehlt als ersten Schritt eine Security-Checkliste, weil sie den effektiven Stand zeigt und ohne vertiefte IT-Kenntnisse sowie ohne Eingriff in die Infrastruktur absolviert werden kann. Für Unternehmen mit eigener IT-Abteilung folgt als weiterer Schritt eine Gap-Analyse gegenüber ISO 27001; als Online-Werkzeug nennt Swisscom die 27001Academy. Die Netsafe AG führt die Gap-Analyse als Vorab-Check vor einem Erst-Audit.

Datenschutzvorgaben der Schweiz einbeziehen: Die Netsafe AG ordnet ihre Audits ausdrücklich an ISO/IEC 27001, BSI-Grundschutz und den Schweizer Datenschutzvorschriften ein. Verarbeitet der Anbieter Daten für Kunden in der EU, kommen zusätzlich die Anforderungen hinzu, die Bureau Veritas nennt: die Datenschutz-Grundverordnung (GDPR) sowie die EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS) für Betreiber essenzieller Dienstleistungen und Anbieter digitaler Dienste.

Praktische Prüfliste für Schweizer Unternehmen