ISMS aufbauen: Schritt für Schritt ohne Papier-Friedhof

Die meisten ISMS scheitern nicht an mangelnder Technik, sondern an zu viel Bürokratie. Wer „ISMS aufbauen" googelt, findet vor allem Anleitungen, die Norm-Kapitel für Norm-Kapitel abarbeiten und am Ende einen Dokumentenberg produzieren, den niemand pflegt. Das Ergebnis ist ein Papier-Friedhof: hundert Word-Dateien in einem SharePoint-Ordner, von denen die Hälfte schon beim ersten Überwachungsaudit veraltet ist. Genau das wollen Sie nicht.

Dieser Artikel zeigt einen anderen Weg. Er ist die pragmatische, entbürokratisierte Ergänzung zu unserem ausführlichen, eher theoretischen Leitfaden ISMS aufbauen: Der Weg zur ISO 27001, in dem wir die Normstruktur Kapitel für Kapitel erklären. Hier geht es nicht um Vollständigkeit, sondern um Wirksamkeit: Wie bauen Sie ein ISMS, das schlank bleibt, risikobasiert arbeitet, das richtige Tooling nutzt — und nicht in der Schublade verschwindet?

Die Grundhaltung: Wirksamkeit vor Vollständigkeit

Bevor wir in die Schritte einsteigen, eine Vorbemerkung zur Denkweise. Ein ISMS ist kein Selbstzweck und kein Dokumentationswettbewerb. Sein einziger Sinn ist, Risiken für Ihre Informationen beherrschbar zu machen. Jedes Dokument, jeder Prozess, jede Regel, die diesem Ziel nicht dient, ist Ballast.

Die ISO/IEC 27001:2022 fordert deutlich weniger zwingende Dokumente, als die meisten glauben. Der Großteil des Papierbergs, den Sie in typischen ISMS finden, entsteht nicht aus der Norm, sondern aus Unsicherheit — „lieber zu viel dokumentieren als zu wenig". Diese Angst ist der Hauptgrund für Bürokratie. Auditoren prüfen nicht, ob Sie viel geschrieben haben, sondern ob das ISMS wirkt.

Merksatz
Ein Auditor liest lieber zehn schlanke, aktuelle Dokumente als hundert dicke, veraltete. Vollständigkeit ist kein Audit-Kriterium — Wirksamkeit ist es.

Schritt 1: Scope schlank schneiden

Der erste und folgenreichste Hebel gegen Bürokratie ist der Geltungsbereich. Je breiter der Scope, desto mehr Prozesse, Systeme und Risiken müssen Sie betrachten und dokumentieren. Ein überdehnter Scope ist die häufigste Ursache für ein aufgeblähtes ISMS.

Schneiden Sie den Geltungsbereich am Anfang bewusst eng — entlang eines klar abgrenzbaren Bereichs, etwa eines Kernprozesses, eines Standorts oder einer Geschäftseinheit. Sie können den Scope später erweitern, wenn das ISMS läuft und Routine geworden ist. Ein glaubwürdiger, beherrschbarer Geltungsbereich ist mehr wert als ein ambitionierter, der das Team überfordert.

• Falle: „Wir zertifizieren gleich das ganze Unternehmen." Das führt fast immer zu Überforderung und Verzögerung.
• Besser: Mit einem fokussierten Scope starten, sauber abliefern, dann skalieren.

Schritt 2: Risikobasiert denken statt Controls abarbeiten

Der zweite Hebel ist die risikobasierte Auswahl. Viele Projekte machen den Fehler, die 93 Annex-A-Controls als Checkliste zu behandeln und stur von oben nach unten „umzusetzen". Das ist nicht nur ineffizient, sondern auch normwidrig: ISO 27001 verlangt ausdrücklich eine risikobasierte Auswahl, kein Vollständigkeits-Abhaken.

Drehen Sie die Logik um. Beginnen Sie nicht bei den Controls, sondern bei Ihren tatsächlichen Risiken:

1. Werte identifizieren: Welche Informationen und Systeme sind wirklich wichtig? Halten Sie die Liste kurz und konkret — nicht jedes Asset muss einzeln erfasst werden, gruppieren Sie sinnvoll.
2. Risiken bewerten: Was kann diesen Werten passieren, wie wahrscheinlich ist es, wie groß wäre der Schaden? Eine einfache Skala (z.B. niedrig/mittel/hoch) reicht für den Einstieg völlig aus.
3. Maßnahmen ableiten: Erst jetzt kommen die Controls ins Spiel — und zwar nur die, die ein konkretes Risiko adressieren.

Das Statement of Applicability (SoA) dokumentiert dann nachvollziehbar, welche Controls Sie anwenden und welche nicht — und warum. Genau dafür ist es da: Es ist Ihr Recht, Controls begründet auszuschließen, nicht die Pflicht, alle umzusetzen.

Praxis-Tipp
Eine überdetaillierte Risikoanalyse ist genauso schädlich wie gar keine. Wer jedes Asset einzeln mit Wahrscheinlichkeit auf zwei Nachkommastellen bewertet, produziert Scheinpräzision. Eine grobe, ehrliche Bewertung, die regelmäßig aktualisiert wird, ist praxistauglicher als eine perfekte, die nie wieder angefasst wird.

Schritt 3: Schlanke Dokumentation — nur was Sie wirklich brauchen

Jetzt zum Herzstück der Entbürokratisierung: der Dokumentation. Die Norm verlangt eine überschaubare Menge an dokumentierter Information. Konzentrieren Sie sich auf das Wesentliche:

• Informationssicherheitsleitlinie — kurz, von der Leitung verabschiedet, eine bis zwei Seiten.
• Scope-Definition — was ist im Geltungsbereich, was nicht.
• Risikomethodik und Risikobehandlungsplan — wie bewerten und behandeln Sie Risiken.
• Statement of Applicability — die zentrale Control-Übersicht.
• Ein Satz operativer Richtlinien — nur für die Bereiche, die Ihr Risikoprofil verlangt (z.B. Zugriffskontrolle, Lieferanten, Incident Response).
• Nachweise/Aufzeichnungen — interne Audits, Management-Review, Schulungen, behandelte Vorfälle.

Alles andere ist optional. Schreiben Sie keine Richtlinie für ein Risiko, das Sie nicht haben. Drei Prinzipien helfen, schlank zu bleiben:

• Eine Wahrheit, ein Ort. Vermeiden Sie Redundanz. Wenn dieselbe Information in fünf Dokumenten steht, müssen Sie sie fünfmal pflegen — und vergessen vier davon.
• So kurz wie möglich. Eine Richtlinie, die niemand liest, weil sie 15 Seiten hat, schützt nichts. Eine Seite, die alle kennen, schon.
• Lebende Dokumente. Jedes Dokument braucht einen Verantwortlichen und ein Review-Datum. Was niemand pflegt, gehört gelöscht.

Schritt 4: Tooling statt Word-Wüste

Der vielleicht unterschätzteste Hebel gegen den Papier-Friedhof ist das richtige Werkzeug. Ein ISMS, das aus verstreuten Word- und Excel-Dateien in irgendeinem Laufwerk besteht, ist zum Veralten verurteilt. Niemand findet die aktuelle Version, niemand weiß, was wann zu reviewen ist, und die Risikoliste lebt in einer Tabelle, die seit dem letzten Audit niemand geöffnet hat.

Dem lässt sich begegnen — ohne gleich eine teure Spezialsoftware kaufen zu müssen:

• ISMS-Tools: Spezialisierte Werkzeuge führen Risiken, Controls, SoA, Maßnahmen und Aufzeichnungen an einem Ort zusammen, erinnern an Reviews und erzeugen auditfähige Auswertungen. Für größere Organisationen oft die beste Wahl.
• Microsoft-365-Bordmittel: Wer bereits M365 nutzt, kann viel mit vorhandenen Mitteln abbilden — Aufgaben und Reviews über Planner oder To Do, Dokumente versioniert in SharePoint, der Purview Compliance Manager für die Maßnahmenverfolgung. Das spart Lizenzkosten und nutzt Vorhandenes.
• Wiki statt Word: Eine strukturierte Wiki- oder Confluence-Umgebung schlägt lose Dateien fast immer — eine Wahrheit, versioniert, durchsuchbar, mit Verantwortlichkeiten.

Entscheidend ist nicht das konkrete Produkt, sondern das Prinzip: ein zentraler Ort, automatische Erinnerungen, klare Verantwortlichkeiten. Tooling ersetzt nicht das Denken, aber es verhindert, dass gute Inhalte im Datei-Chaos verrotten.

Aus der Praxis
In Projekten zeigt sich immer wieder: Sobald die Risikobewertung und die Maßnahmenverfolgung in einem Tool mit Erinnerungsfunktion liegen statt in einer Excel-Datei, sinkt der Pflegeaufwand drastisch — und das ISMS bleibt aktuell, ohne dass jemand permanent hinterherräumen muss.

Schritt 5: Das ISMS in den Alltag integrieren

Ein ISMS lebt nur, wenn es Teil des Tagesgeschäfts wird — nicht ein Parallelsystem, das einmal im Jahr aus der Schublade geholt wird. Integrieren Sie es in vorhandene Strukturen:

• Hängen Sie das Risiko-Review an bestehende Management-Meetings, statt ein neues Gremium zu erfinden.
• Verknüpfen Sie Sicherheitsmaßnahmen mit ohnehin laufenden IT- und Qualitätsprozessen (etwa einem bestehenden ISO-9001-System).
• Machen Sie Security zum festen Tagesordnungspunkt, nicht zur Sonderveranstaltung.

Je weniger zusätzliche Strukturen Sie schaffen, desto eher überlebt das ISMS den Alltag. Bürokratie entsteht oft genau dort, wo Parallelwelten gebaut werden, die niemand pflegen will.

Die typischen Bürokratie-Fallen — und wie Sie sie vermeiden

Aus zahlreichen Projekten lassen sich die wiederkehrenden Fallstricke benennen, die ein ISMS in einen Papier-Friedhof verwandeln:

• Copy-Paste-Vorlagen: Fertige Dokumentenpakete aus dem Internet klingen verlockend, passen aber selten zu Ihrem Risikoprofil. Sie produzieren Dokumente über Dinge, die Sie gar nicht tun. Nutzen Sie Vorlagen höchstens als Struktur, nie als fertigen Inhalt.
• Dokument-für-jeden-Fall: Für jede denkbare Situation eine eigene Richtlinie. Folge: 80 Dokumente, von denen 60 nie gebraucht werden. Schreiben Sie nur, was ein reales Risiko adressiert.
• Scheinpräzision in der Risikoanalyse: Wahrscheinlichkeiten auf zwei Nachkommastellen suggerieren eine Genauigkeit, die es nicht gibt — und kosten Zeit, die woanders fehlt.
• Das ISMS als Projekt mit Enddatum: Sobald das Zertifikat hängt, schläft das System ein. Bis zum nächsten Audit wird hektisch nachgepflegt. Ein ISMS ist ein Dauerlauf, kein Sprint.
• Keine Verantwortlichkeiten: Dokumente ohne Owner und Review-Datum veralten garantiert. Jedes Artefakt braucht einen Namen und ein Datum.
• Sicherheit als reines Kontrollinstrument: Wenn Mitarbeitende das ISMS nur als Gängelung erleben, entsteht Widerstand. Kommunizieren Sie den Nutzen, nicht nur die Regeln.

Die wichtigste Frage
Stellen Sie sich bei jedem Dokument und jeder Regel: „Was wird unsicherer, wenn wir das weglassen?" Fällt die Antwort schwer, brauchen Sie es vermutlich nicht.

Wie welabs Sie beim pragmatischen ISMS-Aufbau unterstützt

Ein schlankes, gelebtes ISMS aufzubauen ist anspruchsvoller, als einfach jede Vorlage auszufüllen — denn Weglassen erfordert Erfahrung und Mut. welabs übersetzt Konzern-Erfahrung in pragmatische Lösungen für den Mittelstand:

• Scope- und Risikoberatung: Wir helfen, den Geltungsbereich klug zu schneiden und eine Risikomethodik zu wählen, die zu Ihrer Größe passt — ohne Scheinpräzision.
• Schlanke Dokumentation: Wir erstellen mit Ihnen genau die Dokumente, die Sie brauchen und pflegen können — auditfähig, aber ohne Ballast.
• Tooling-Auswahl: Wir beraten, ob ein ISMS-Tool, Microsoft-365-Bordmittel oder eine Wiki-Lösung für Sie am sinnvollsten ist.
• Audit-Vorbereitung: Mit Pre-Audit und internem Audit sorgen wir dafür, dass das schlanke ISMS auch wirklich besteht.
• Strategic Security Advisor (SSA): Auf Wunsch begleiten wir Sie dauerhaft und halten das ISMS schlank und aktuell.

Mehr zu unserem Vorgehen finden Sie auf der Seite Compliance & ISMS. Wenn Sie wissen wollen, wie ein pragmatisches ISMS in Ihrem Unternehmen aussehen könnte, vereinbaren Sie ein Erstgespräch — wir sagen Ihnen ehrlich, was Sie brauchen und was nicht.

Fazit

Ein ISMS muss kein Papier-Friedhof sein. Der Unterschied zwischen einem gelebten Managementsystem und einem Aktenordner-Grab liegt nicht in der Menge der Dokumente, sondern in der Haltung: schlanker Scope, risikobasierte Maßnahmenauswahl, nur die Dokumentation, die Sie wirklich brauchen, das richtige Tooling und eine konsequente Integration in den Alltag.

Wer von Anfang an fragt „Was macht uns sicherer?" statt „Was müssen wir alles dokumentieren?", baut ein ISMS, das die Organisation tatsächlich schützt — und das auch beim dritten Überwachungsaudit noch aktuell ist. Pragmatismus ist hier kein Kompromiss bei der Sicherheit, sondern die Voraussetzung dafür, dass Sicherheit überhaupt gelebt wird.