Audit bestanden, ISO 27001-Zertifikat eingerahmt an der Wand oder als Badge im Footer der Website. Das Team feiert. Reality Check nebenan: Die Brandschutztür zum Serverraum steht offen, weil es im Flur zu warm ist. Ein Fremder im Blaumann läuft mit einer Leiter ungestört durchs Büro. Niemand spricht ihn an – obwohl die Richtlinie eindeutig ist: Unbekannte Personen ohne Badge müssen sofort angesprochen und begleitet werden.
Dass dieses Szenario keine Übertreibung von Security-Consultants ist, bewies der bekannte IT-Sicherheitsexperte Jayson E. Street bei einem physischen Penetrationstest in Beirut.
Ein internationales Bankhaus wollte prüfen lassen, wie gut die physische IT-Sicherheit seiner Filialen aufgestellt ist. Auf dem Papier war alles perfekt: strengste Zugangsregeln, klare Ausweispflicht, definierte Prozesse. Jayson betrat das Gebäude weder im Einbrecher-Outfit noch mit Gewalt. Alltagskleidung, ein gefälschtes Schild um den Hals, ein freundliches Lächeln. Mit selbstbewusstem Auftreten spazierte er an der Rezeption vorbei – und tat so, als käme er gerade aus dem Büro des Filialleiters. Sofortiges implizites Vertrauen. Niemand hinterfragte seine Identität oder fragte nach seinem Badge.
Das Erschreckende: Die Mitarbeiter waren nicht böswillig. Sie wollten lediglich höflich sein und gingen davon aus, dass schon irgendwer anders die Person überprüft haben würde. Auf dem Papier existierten alle Sicherheitsmaßnahmen. In der Realität reichten Selbstbewusstsein und eine Prise menschliche Hilfsbereitschaft, um das gesamte Sicherheitskonzept auszuhebeln.
Ein Zertifikat zeigt nur, dass ihr wisst, wie man Dokumente schreibt – nicht, wie eure Mitarbeiter im Alltag handeln.
Was Zertifizierungen wirklich sind – und was nicht
Zertifizierungen sind Nachweise für Dritte – Kunden, Partner, Versicherungen –, dass ein Unternehmen definierte Standards für Sicherheit, Datenschutz oder Risikomanagement einhält. Sie schaffen Vertrauen auf dem Markt und verkürzen Sales-Zyklen: Statt 500 Fragen in einem Security-Fragebogen einzeln zu beantworten, schickt man das Zertifikat und spart Wochen im Vertriebsprozess.
Wichtiges Framing: Zertifizierungen prüfen Prozesse und Dokumentation – nicht zwingend die technische Uneindringlichkeit eines Systems.
Die wichtigsten Standards im Überblick
Drei Standards tauchen in Security-Fragebögen am häufigsten auf. Sie beantworten unterschiedliche Fragen und schließen sich nicht gegenseitig aus:
| Standard | Was es ist | Was geprüft wird | Besonderheit |
|---|---|---|---|
| ISO/IEC 27001 | Internationale Norm für ein Informationssicherheits-Managementsystem (ISMS) | Rahmenwerk, Prozesse, Risikomanagement | Auf Basis von IT-Grundschutz sowohl als Standard- als auch als Kern-Absicherung möglich |
| SOC 2 Type I | US-geprägter Report nach den Trust Services Criteria der AICPA | Design der Sicherheitskontrollen zu einem Stichtag | Schneller und kostengünstiger als Type II |
| SOC 2 Type II | Vertiefte Variante desselben Rahmens | Ob die Kontrollen über 3–12 Monate effektiv funktioniert haben | Schafft mehr Vertrauen, da langfristige Wirksamkeit belegt wird |
| TISAX | ISO 27001-Ableger für die Automobilindustrie | Informationssicherheit entlang der Lieferkette | Schwerpunkt auf Prototypenschutz und Zulieferer-Freigaben |
Anders formuliert: ISO 27001 gibt den Rahmen für ein zertifiziertes ISMS vor, SOC 2 überprüft die Einhaltung von Sicherheitsstandards anhand spezifischer Prinzipien. Beide Wege führen zu einem Nachweis – aber keiner davon ist ein Penetrationstest.
Warum Zertifizierungen nicht bedeuten, dass ihr sicher seid
Vorstände betrachten Zertifikate oft wie ein Siegel der Lebensmittelbehörde: „Jetzt sind wir zu 100 % sicher." Diese Haltung führt zu genau der falschen Beruhigung, die Angreifer sich wünschen – Risk Blindness.
Stichtag vs. Alltag
Audits sind wie der Besuch der Schwiegermutter: Zwei Wochen vorher wird panisch aufgeräumt, Tickets werden geschlossen, Passwörter rotiert, Dokumente aktualisiert. Sobald der Auditor das Gebäude verlässt, verfällt das System oft wieder in alte Muster – Audit-Müdigkeit nennt man das.
Sicherheit ist ein dauerhafter Zustand. Ein Audit ist nur eine Momentaufnahme.
Das Phänomen „Paper Compliance"
Ein Richtliniendokument schützt keine Daten. Man kann 50 Seiten Policy zur Passwortsicherheit haben – wenn Entwickler ihren API-Key trotzdem im öffentlichen GitHub-Repository committen, nützt die Policy nichts.
Dass selbst die Pioniere der KI-Branche vor dieser Falle nicht gefeit sind, zeigte der Vorfall um Anthropics Entwicklungstool Claude Code: Während Milliarden in die mathematische und ethische Sicherheit von KI-Modellen fließen, scheiterte die Praxis an den banalsten Grundlagen der Softwarehygiene, als interner Quellcode unbeabsichtigt öffentlich zugänglich wurde.
Milliarden für KI-Sicherheit, null für Softwarehygiene: selbst hochprofessionelle Organisationen scheitern nicht an komplexen Angriffen, sondern an den banalsten Grundlagen.
Menschliche Faktoren
Zwei Muster tauchen in jedem physischen Assessment wieder auf – unabhängig von Branche oder Zertifikat an der Wand:
Auditoren sind keine Penetration Tester
Zwei völlig unterschiedliche Disziplinen werden in Vorstandsetagen gerne verwechselt:
Ein bestandenes Audit ist kein bestandener Hacking-Angriff.
Checkbox-Mentalität verdrängt echtes Risikobewusstsein
Teams konzentrieren sich darauf, die Liste für den Auditor abzuhaken, statt reale, neuartige Bedrohungen wie KI-gestütztes Phishing oder Zero-Day-Exploits zu analysieren. Ein Unternehmen erfüllt die Vorgabe „Jährliches Security-Awareness-Training" – und trotzdem fällt der Finanzchef auf einen Deepfake-Voice-Call des CEO herein, weil die statische Checkbox-Schulung keine modernen AI-Spear-Phishing-Szenarien abdeckt.
Compliance fragt: „Haben wir die Richtlinie?" Security fragt: „Funktioniert der Schutz, wenn wir heute angegriffen werden?"
Die 3 gefährlichsten Mythen von Compliance
- Hacker lesen keine Zertifikate
- Sie nutzen Fehlkonfigurationen, offene Türen und ungeprüfte Menschen
- Ein Siegel ändert nichts an einer offenen Brandschutztür
- Ein Mitarbeiter, der die Brandschutztür offenhält, hebelt 100.000 € IT-Infrastruktur aus
- Ein Klick auf den falschen Link genügt ebenso
- Security ist Aufgabe jedes Einzelnen – nicht nur eines Teams
- Angreifer auditieren jeden Tag – automatisiert und ohne Vorwarnung
- Konfigurationen und Bedrohungslage ändern sich täglich
- Ein Jahres-Snapshot sagt nichts über den Zustand in Woche 30 aus
Der Weg zu echter Sicherheit
Zertifizierungen bleiben ein sinnvoller Ausgangspunkt – aber nur, wenn vier Prinzipien den Alltag jenseits des Audits prägen:
- Assumed Breach Mentality annehmen: Geht davon aus, dass Angreifer bereits im Netz sind oder die Tür offen steht. Testet die Reaktionszeit, nicht nur die Prävention.
- Red Teaming & Blue Teaming statt Stichtag-Audits: Lasst unangekündigt Red Teams – physisch und digital – angreifen. Führt danach gemeinsam mit dem Blue Team eine Manöverkritik durch, ohne Bestrafungskultur.
- Pragmatische Richtlinien statt 100-Seiten-PDFs: Richtlinien müssen im Alltag funktionieren. Wenn eine Tür ständig offen steht, ist nicht der Mitarbeiter schuld, sondern der Ablauf falsch geregelt – zum Beispiel schlechte Belüftung im Flur.
- Fehlerkultur fördern (No-Blame-Policy): Ein Mitarbeiter, der den Mann im Blaumann gewähren ließ oder auf einen Link geklickt hat, muss dies sofort melden können, ohne Konsequenzen zu befürchten.
Fazit: Zertifikat an der Wand, Tür daneben offen
Das Wichtigste vorweg: Zertifizierungen sind keineswegs sinnlos. Sie schaffen ein notwendiges Fundament, verkürzen Sales-Zyklen und zwingen Organisationen, Prozesse überhaupt erst zu dokumentieren. Das Problem beginnt nicht bei der Zertifizierung – sondern bei der Annahme, mit ihr sei die Arbeit erledigt.
Nur weil auf Papier etwas existiert, heißt das nicht, dass es wirklich so ist. „Tür ist da" ist etwas anderes als „Tür steht aber dauerhaft offen". „Wir haben ein SIEM/SOC" ist etwas anderes als „es reagiert in realen Tests quasi nie".
Das ist kein Widerspruch zwischen ISO und Pentests, bei dem eine Methode die andere überflüssig macht. ISO 27001 und ein Physical Pentest beantworten schlicht unterschiedliche Fragen. Das Problem entsteht erst, wenn ein CISO nur die erste Frage stellt – und die zweite für beantwortet hält.
- Benutzt Zertifikate als Türöffner im Vertrieb – aber verlasst euch nicht darauf.
- Investiert in Security Culture: Mitarbeiter befähigen, Fehler ohne Angst zu melden – statt nur in Policydokumente.
- Prüft eure Sicherheit realistisch durch regelmäßige Red Teaming / Pentests und praxisnahes Security Awareness Training.
- Audit vs. Physical Pentest – Warum Compliance-Zertifikate bei echten Angriffen versagen
- Red Team Pentest Purple Team – Was der Unterschied ist – und wann du was brauchst
- NIS2, Kritis, Physical Security Compliance – Was Betreiber kritischer Infrastruktur konkret umsetzen müssen
Hängt bei euch das Zertifikat nur an der Wand, während nebenan die Brandschutztür abgekeilt ist?
Wir helfen Unternehmen dabei, Compliance nicht nur abzuhaken, sondern echte, gelebte Sicherheit zu verankern.
Erstgespräch anfordern →