Was ist ein Informationssicherheitsmanagementsystem?

Ein Informationssicherheitsmanagementsystem – häufig ergänzend als ISMS bezeichnet – ist kein einzelnes technisches Produkt.

Es handelt sich um ein dauerhaftes Managementsystem, mit dem eine Organisation ihre schützenswerten Informationen, Systeme und Geschäftsprozesse erfasst, Risiken bewertet, Schutzmaßnahmen festlegt und deren Wirksamkeit regelmäßig kontrolliert.

Dazu gehören insbesondere:

• Festlegung des zu schützenden Bereichs
• Erfassung von Informationen, Systemen und Geräten
• Bewertung von Risiken und möglichen Auswirkungen
• Festlegung technischer und organisatorischer Schutzmaßnahmen
• Benennung von Verantwortlichkeiten
• Dokumentation wichtiger Entscheidungen und Abläufe
• Vorbereitung auf Störungen und Sicherheitsvorfälle
• regelmäßige Überprüfung der Wirksamkeit
• fortlaufende Verbesserung des Sicherheitsniveaus

Das Informationssicherheitsmanagementsystem schafft damit einen nachvollziehbaren Rahmen für alle sicherheitsrelevanten Entscheidungen.

Ein Informationssicherheitsmanagementsystem ist kein Ordner im Regal. Es ist die dauerhaft organisierte Art, wie ein Unternehmen seine Informationen, Systeme und Geschäftsabläufe schützt.

Welche Tragweite hat ein Informationssicherheitsmanagementsystem?

Informationssicherheit wird häufig ausschließlich als Aufgabe der technischen IT betrachtet. Tatsächlich reicht ihre Tragweite erheblich weiter.

Ein Informationssicherheitsmanagementsystem betrifft unter anderem:

• Geschäftsleitung und Inhaber
• Beschäftigte und freie Mitarbeiter
• IT-Systeme und Netzwerke
• Cloud-Dienste und externe Rechenzentren
• Benutzerkonten und Zugriffsberechtigungen
• mobile Geräte und Homeoffice-Arbeitsplätze
• externe IT- und Softwaredienstleister
• Datensicherungen und Wiederherstellungsverfahren
• Notfallplanung und Krisenkommunikation
• Schulung und Sensibilisierung der Beschäftigten
• Dokumentation und Nachweisführung

Das Informationssicherheitsmanagementsystem verbindet diese Bereiche miteinander. Dadurch werden technische Maßnahmen nicht isoliert betrachtet, sondern in die tatsächlichen betrieblichen Abläufe eingebunden.

Eine Datensicherung gehört beispielsweise erst dann zu einem verlässlichen Sicherheitskonzept, wenn geregelt ist:

• welche Daten gesichert werden
• wie häufig die Sicherung erfolgt
• wo die Sicherungen gespeichert werden
• wer die Sicherung überwacht
• wie Fehler gemeldet werden
• wie regelmäßig eine Wiederherstellung getestet wird
• wer im Notfall die Wiederherstellung veranlasst

Genau diese Verbindung von Technik, Zuständigkeit und Kontrolle kennzeichnet ein funktionierendes Informationssicherheitsmanagementsystem.

Warum Kanzleien und Sozietäten besonders schützenswert sind

Rechtsanwälte, Steuerberater und weitere Berufsträger erhalten im Rahmen ihrer Tätigkeit umfassende Einblicke in persönliche, wirtschaftliche und rechtliche Angelegenheiten ihrer Mandanten.

Dazu können gehören:

• Vertrags- und Prozessunterlagen
• Straf- und Ermittlungsakten
• Personal- und Unternehmensdaten
• Finanz- und Vermögensinformationen
• Gesundheits- und Familiendaten
• Geschäftsgeheimnisse
• Fristen, Schriftsätze und Beweismittel
• vertrauliche Kommunikation mit Mandanten

Die berufliche Verschwiegenheit umfasst grundsätzlich alles, was einem Berufsträger im Rahmen seiner Tätigkeit bekannt geworden ist.

Werden externe Dienstleister eingesetzt, müssen auch deren Zugriffe, Aufgaben und Verpflichtungen kontrolliert werden.

Informationssicherheit ist deshalb für eine Kanzlei oder Sozietät nicht nur eine technische Frage. Sie ist unmittelbar mit Vertraulichkeit, Berufspflichten, Mandantenvertrauen und der Arbeitsfähigkeit der gesamten Organisation verbunden.

Warum Arzt- und Therapiepraxen besonders schützenswert sind

Praxen verarbeiten Gesundheitsdaten und damit besonders sensible personenbezogene Informationen.

Gleichzeitig sind viele betriebliche Abläufe vollständig von der Verfügbarkeit der Praxis-IT abhängig.

Zu den kritischen Bereichen gehören beispielsweise:

• Praxisverwaltungssysteme
• medizinische Dokumentation
• Terminplanung
• Labor- und Befundkommunikation
• Abrechnung
• E-Mail- und KIM-Kommunikation
• Telematikinfrastruktur
• medizinische Geräte und Schnittstellen
• Datensicherung und Archivierung

Ein Ausfall kann dazu führen, dass Patientendaten nicht verfügbar sind, Termine nicht bearbeitet, Befunde nicht abgerufen oder Leistungen nicht ordnungsgemäß dokumentiert werden können.

Vertragsarzt- und Psychotherapiepraxen müssen zusätzlich die für sie geltenden Anforderungen zur IT-Sicherheit berücksichtigen.

Ein Informationssicherheitsmanagementsystem hilft dabei, diese Anforderungen nicht als voneinander getrennte Einzelaufgaben, sondern als zusammenhängenden Prozess zu behandeln.

Informationssicherheit schützt mehr als personenbezogene Daten

Datenschutz und Informationssicherheit überschneiden sich, sind aber nicht identisch.

Datenschutz konzentriert sich auf den Schutz personenbezogener Daten und die Rechte der betroffenen Personen.

Informationssicherheit betrachtet zusätzlich alle Informationen, Systeme und Geschäftsprozesse, die für die Organisation wichtig sind.

Dazu gehören beispielsweise:

• Fristen und Termine
• Kanzlei- und Praxiswissen
• interne Kalkulationen
• Vertragsinformationen
• Zugangsdaten und Sicherheitsschlüssel
• Softwarekonfigurationen
• Datensicherungen
• Kommunikationswege
• Notfallkontakte
• technische Dokumentationen

Auch wenn bei einem Vorfall keine personenbezogenen Daten offengelegt werden, kann die Organisation durch Ausfall, Manipulation oder Verlust wichtiger Informationen erheblich geschädigt werden.

Die drei grundlegenden Schutzziele

Ein Informationssicherheitsmanagementsystem betrachtet insbesondere drei zentrale Schutzziele.

Vertraulichkeit

Informationen dürfen nur von Personen eingesehen und verwendet werden, die dazu berechtigt sind.

In Kanzleien betrifft dies insbesondere Mandantenakten, Kommunikation und Geschäftsgeheimnisse. In Praxen betrifft es Patientendaten, Befunde und medizinische Dokumentationen.

Integrität

Informationen und Systeme müssen richtig, vollständig und vor unbefugter Veränderung geschützt sein.

Eine unbemerkte Veränderung von Fristen, Bankverbindungen, medizinischen Einträgen oder Zugriffsrechten kann erhebliche Folgen haben.

Verfügbarkeit

Informationen und Systeme müssen dann verfügbar sein, wenn sie für den Geschäftsbetrieb benötigt werden.

Eine sichere, aber dauerhaft nicht erreichbare Kanzlei- oder Praxissoftware erfüllt ihren betrieblichen Zweck nicht.

Informationen müssen vor unberechtigtem Zugriff geschützt, unverändert und im entscheidenden Moment verfügbar sein.

Warum Firewall, Virenschutz und Backup noch kein Informationssicherheitsmanagementsystem bilden

Viele Unternehmen verfügen bereits über grundlegende Sicherheitslösungen. Dazu gehören häufig eine Firewall, ein Virenschutzprogramm, eine Datensicherung und eine Mehrfaktor-Authentifizierung.

Diese Maßnahmen sind wichtig. Ein Informationssicherheitsmanagementsystem entsteht jedoch erst, wenn nachvollziehbar geregelt ist:

• welches Risiko mit einer Maßnahme behandelt wird
• welche Systeme und Benutzer erfasst sind
• wer die Maßnahme betreut und kontrolliert
• wie Fehler und Abweichungen erkannt werden
• wie auf Warnmeldungen reagiert wird
• wie die Wirksamkeit geprüft wird
• wie Änderungen dokumentiert werden

Ein Virenschutz ohne zentrale Überwachung kann beispielsweise auf einem Gerät ausgefallen sein, ohne dass dies bemerkt wird.

Eine Datensicherung kann täglich erfolgreich gemeldet werden, obwohl einzelne wichtige Daten nicht enthalten oder Sicherungen nicht wiederherstellbar sind.

Eine Mehrfaktor-Authentifizierung kann eingerichtet sein, während weiterhin ungeschützte Administratorkonten oder schwächere Ausweichmethoden bestehen.

Das Informationssicherheitsmanagementsystem sorgt dafür, dass solche Zusammenhänge systematisch betrachtet werden.

Typische Risiken in Kanzleien, Sozietäten und Praxen

Die Risiken unterscheiden sich im Detail. Viele grundlegende Angriffsszenarien treten jedoch in beiden Zielgruppen auf.

Kompromittierte E-Mail-Konten

Angreifer erhalten Zugriff auf die geschäftliche Kommunikation, beobachten interne Abläufe oder versenden manipulierte Nachrichten aus einem vertrauenswürdigen Konto.

Ransomware

Schadsoftware verschlüsselt Server, Arbeitsplätze oder zentrale Datenbestände und unterbricht den Geschäftsbetrieb.

Manipulierte Zahlungsinformationen

Bankverbindungen in E-Mails oder Dokumenten werden verändert, sodass Zahlungen an den Angreifer geleitet werden.

Unzureichend geschützte Fernwartung

Fernzugänge bieten direkten Zugriff auf interne Systeme und müssen deshalb besonders abgesichert, kontrolliert und protokolliert werden.

Fehlende Sicherheitsupdates

Bekannte Schwachstellen in Betriebssystemen, Anwendungen, Firewalls oder Netzwerkgeräten bleiben über längere Zeit offen.

Unklare Benutzerberechtigungen

Beschäftigte verfügen über mehr Rechte als erforderlich oder Konten ausgeschiedener Personen bleiben weiterhin aktiv.

Ungeprüfte Datensicherungen

Die Sicherung läuft scheinbar regelmäßig, wurde jedoch nie vollständig auf Wiederherstellbarkeit geprüft.

Abhängigkeit von einzelnen Personen oder Dienstleistern

Zugangsdaten, technisches Wissen und Notfallabläufe sind nicht ausreichend dokumentiert und stehen bei Krankheit, Urlaub oder einem Dienstleisterwechsel nicht zuverlässig zur Verfügung.

Welche wirtschaftlichen Folgen kann ein IT-Ausfall haben?

Der unmittelbare technische Schaden ist häufig nur ein Teil der tatsächlichen Auswirkungen.

Mögliche Folgen sind:

• mehrtägiger oder mehrwöchiger Arbeitsausfall
• nicht erreichbare Mandanten- oder Patientendaten
• versäumte Termine und Fristen
• Ausfall der Abrechnung
• Kosten für Analyse und Wiederherstellung
• Benachrichtigung von Betroffenen und Geschäftspartnern
• Schadenersatz- und Haftungsfragen
• Verlust von Vertrauen
• Beeinträchtigung der beruflichen Reputation
• langfristige Einschränkung der Arbeitsfähigkeit

Bei einem Jahresumsatz zwischen einer und fünf Millionen Euro kann bereits ein mehrtägiger vollständiger Betriebsausfall erhebliche wirtschaftliche Auswirkungen haben.

Ein Informationssicherheitsmanagementsystem soll nicht jedes denkbare Ereignis vollständig verhindern. Es soll Risiken reduzieren, Auffälligkeiten frühzeitig erkennbar machen und eine kontrollierte Reaktion ermöglichen.

Informationssicherheit ist eine Aufgabe der Leitung

Die technische Betreuung kann an interne Fachkräfte oder einen externen IT-Dienstleister übertragen werden.

Die grundlegende Entscheidung darüber, welches Sicherheitsniveau erforderlich ist, welche Risiken akzeptiert werden und welche Mittel bereitgestellt werden, bleibt jedoch eine unternehmerische Aufgabe.

Inhaber und Geschäftsleitung sollten deshalb regelmäßig eine verständliche Übersicht erhalten über:

• wesentliche Systeme und Geschäftsprozesse
• bekannte Risiken und Schwachstellen
• bereits umgesetzte Schutzmaßnahmen
• offene Maßnahmen und Prioritäten
• Funktionsfähigkeit von Datensicherung und Wiederherstellung
• kritische Benutzer- und Administrationsrechte
• sicherheitsrelevante Vorfälle
• notwendige Entscheidungen und Investitionen

Ein Informationssicherheitsmanagementsystem übersetzt technische Informationen in nachvollziehbare Entscheidungsgrundlagen.

Welche Rolle spielt der externe IT-Dienstleister?

Viele Kanzleien und Praxen lassen ihre Systeme durch einen externen IT-Dienstleister betreuen.

Der Dienstleister kann technische Maßnahmen planen, umsetzen, überwachen und dokumentieren.

Dazu gehören beispielsweise:

• Server- und Arbeitsplatzmanagement
• Patchmanagement
• Endpoint-Security
• Firewall- und Netzwerkschutz
• Datensicherung und Wiederherstellung
• Microsoft-365- und Kontosicherheit
• Monitoring
• technische Dokumentation
• Unterstützung bei Sicherheitsvorfällen

Ein Informationssicherheitsmanagementsystem geht jedoch über die rein technische Betreuung hinaus.

Es muss zusätzlich festlegen:

• welche Aufgaben der Dienstleister übernimmt
• welche Entscheidungen beim Unternehmen verbleiben
• wer Warnmeldungen erhält und bewertet
• welche Reaktionszeiten vereinbart sind
• wie Zugriffe des Dienstleisters abgesichert werden
• welche Nachweise und Berichte geliefert werden
• wie im Notfall zusammengearbeitet wird

Dadurch wird aus einer allgemeinen IT-Betreuung ein nachvollziehbarer Bestandteil des betrieblichen Sicherheitsmanagements.

Benötigt jedes Unternehmen eine ISO-27001-Zertifizierung?

Ein Informationssicherheitsmanagementsystem muss nicht automatisch zertifiziert werden.

Eine Zertifizierung kann aufgrund von Kundenanforderungen, Ausschreibungen, Branchenvorgaben oder der strategischen Ausrichtung sinnvoll oder erforderlich sein.

Für viele Kanzleien, Sozietäten und Praxen steht zunächst jedoch eine andere Frage im Vordergrund:

Funktionieren unsere Sicherheitsmaßnahmen im Alltag, sind die Verantwortlichkeiten geklärt und können wir unsere Entscheidungen und Kontrollen nachvollziehbar belegen?

Die Grundprinzipien eines Informationssicherheitsmanagementsystems können deshalb auch ohne sofortige Zertifizierung eingeführt werden.

Entscheidend ist, dass das System zur Größe, Struktur, Risikolage und wirtschaftlichen Leistungsfähigkeit der Organisation passt.

Wie umfangreich muss ein Informationssicherheitsmanagementsystem sein?

Ein Informationssicherheitsmanagementsystem für eine mittelständische Kanzlei oder Praxis muss nicht dieselbe Komplexität besitzen wie das Sicherheitsmanagement eines internationalen Konzerns.

Es muss jedoch die tatsächlichen Risiken zuverlässig abbilden.

Der notwendige Umfang hängt unter anderem ab von:

• Anzahl der Beschäftigten und Standorte
• Art und Menge der verarbeiteten Informationen
• eingesetzten Anwendungen und Cloud-Diensten
• vorhandenen mobilen Arbeitsplätzen
• Abhängigkeit von einzelnen Systemen
• gesetzlichen und berufsrechtlichen Anforderungen
• vertraglichen Verpflichtungen
• möglichen Folgen eines Ausfalls

Für die von uns betrachtete Zielgruppe mit einem Jahresumsatz zwischen einer und fünf Millionen Euro ist meist ein kompaktes, praxisnahes und betreibbares Modell sinnvoll.

Es sollte ausreichend strukturiert sein, um Risiken und Maßnahmen nachvollziehbar zu steuern, darf aber nicht in einer kaum noch nutzbaren Dokumentationsstruktur enden.

Die grundlegenden Bausteine eines Informationssicherheitsmanagementsystems

Ein funktionierendes Informationssicherheitsmanagementsystem kann schrittweise aufgebaut werden.

Zu den grundlegenden Bausteinen gehören:

1. Geltungsbereich festlegen
   Welche Standorte, Systeme, Daten und Geschäftsprozesse sollen betrachtet werden?
2. Bestand aufnehmen
   Welche Geräte, Anwendungen, Benutzerkonten, Cloud-Dienste und externen Dienstleister sind vorhanden?
3. Schutzbedarf und Risiken bewerten
   Welche Informationen und Abläufe sind besonders wichtig und welche Folgen hätte ein Ausfall?
4. Maßnahmen festlegen
   Welche technischen und organisatorischen Maßnahmen behandeln die erkannten Risiken angemessen?
5. Verantwortlichkeiten bestimmen
   Wer entscheidet, setzt um, kontrolliert und berichtet?
6. Notfallverfahren vorbereiten
   Wie werden Sicherheitsvorfälle erkannt, gemeldet, eingegrenzt und bearbeitet?
7. Wirksamkeit überprüfen
   Funktionieren Backup, Patchmanagement, Monitoring, Zugriffssteuerung und Wiederherstellung tatsächlich?
8. Verbesserungen dokumentieren
   Welche Maßnahmen sind abgeschlossen, welche Risiken bleiben und was muss als Nächstes umgesetzt werden?

Warum Dokumentation unverzichtbar ist

Dokumentation ist kein Selbstzweck.

Sie sorgt dafür, dass wichtige Informationen auch bei Urlaub, Krankheit, Personalwechsel oder einem Sicherheitsvorfall zur Verfügung stehen.

Ein Informationssicherheitsmanagementsystem sollte nachvollziehbar festhalten:

• welche Systeme und Dienste eingesetzt werden
• welche Personen besondere Zugriffsrechte besitzen
• welche Risiken bekannt sind
• welche Maßnahmen umgesetzt wurden
• wer für Prüfungen verantwortlich ist
• wann Kontrollen stattgefunden haben
• welche Störungen und Vorfälle aufgetreten sind
• welche offenen Aufgaben und Restrisiken bestehen

Dadurch wird Informationssicherheit unabhängiger von einzelnen Personen und gegenüber Geschäftsleitung, Datenschutzbeauftragten, Versicherern oder Auftraggebern nachvollziehbar.

Typische Anzeichen für einen ungeregelten Sicherheitsbetrieb

Folgende Situationen weisen darauf hin, dass zwar einzelne Sicherheitsmaßnahmen vorhanden sind, aber noch kein durchgängiges Informationssicherheitsmanagementsystem besteht:

• Es gibt keine vollständige Übersicht über Geräte und Benutzerkonten.
• Niemand kann erklären, welche Systeme geschäftskritisch sind.
• Datensicherungen werden erstellt, aber nicht regelmäßig wiederhergestellt.
• Sicherheitsupdates werden ohne festgelegten Prozess installiert.
• Administrative Zugänge werden gemeinsam verwendet.
• Ausgeschiedene Beschäftigte werden nicht nach einem festen Ablauf entfernt.
• Warnmeldungen gehen ein, ohne dass eine Reaktion festgelegt ist.
• Notfallkontakte und Wiederanlaufverfahren sind nicht dokumentiert.
• Die Geschäftsleitung erhält kein regelmäßiges Sicherheitsreporting.
• Die IT-Sicherheit hängt vollständig vom Wissen einer einzelnen Person ab.

Ein Informationssicherheitsmanagementsystem schafft hier keine unnötige Bürokratie, sondern verlässliche Strukturen.

Vom IT-Projekt zum dauerhaften Sicherheitsbetrieb

Informationssicherheit ist kein einmaliges Projekt.

Systeme verändern sich, Beschäftigte treten ein oder aus, neue Cloud-Dienste werden eingeführt und Angriffswege entwickeln sich weiter.

Ein heute angemessenes Sicherheitsniveau kann deshalb in einem Jahr unzureichend sein, wenn es nicht weiterentwickelt wird.

Ein funktionierendes Informationssicherheitsmanagementsystem folgt daher einem wiederkehrenden Ablauf:

1. Risiken und Anforderungen feststellen
2. Maßnahmen planen
3. Maßnahmen umsetzen
4. Wirksamkeit prüfen
5. Abweichungen behandeln
6. Sicherheitsniveau verbessern

Dieser Kreislauf sorgt dafür, dass Informationssicherheit dauerhaft Teil der Unternehmensführung und des täglichen Betriebs bleibt.

Informationssicherheitsmanagement für Kanzleien und Praxen im Ruhrgebiet

Im Ruhrgebiet arbeiten zahlreiche Kanzleien, Sozietäten, Arztpraxen, psychotherapeutische Praxen und medizinische Einrichtungen mit sensiblen Daten und geschäftskritischen IT-Systemen.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Die Abhängigkeit von funktionierender Informationstechnik ist in den vergangenen Jahren erheblich gestiegen.

Gleichzeitig verfügen Organisationen mit einem Jahresumsatz zwischen einer und fünf Millionen Euro meist nicht über eine eigene Informationssicherheitsabteilung.

Benötigt wird deshalb ein angemessener Sicherheitsbetrieb, der zur vorhandenen Größe und Struktur passt.

Die InoBit Datensysteme GmbH unterstützt Kanzleien, Sozietäten und Praxen im Ruhrgebiet dabei, technische Schutzmaßnahmen, organisatorische Abläufe, Dokumentation und fortlaufende Überwachung zu einem funktionierenden Informationssicherheitsmanagementsystem zusammenzuführen.

Fazit: Einzelne Sicherheitslösungen benötigen einen verbindlichen Rahmen

Kanzleien, Sozietäten und Praxen sind in besonderem Maß von Vertraulichkeit, richtigen Informationen und verfügbaren Systemen abhängig.

Firewall, Endpoint-Security, Mehrfaktor-Authentifizierung und Datensicherung sind wichtige Bestandteile der Absicherung.

Ihre Wirkung bleibt jedoch begrenzt, wenn Zuständigkeiten, Kontrollen, Notfallverfahren und Dokumentation fehlen.

Ein Informationssicherheitsmanagementsystem verbindet diese Einzelmaßnahmen zu einem nachvollziehbaren und dauerhaft betriebenen Sicherheitsprozess.

Dafür ist nicht zwingend sofort eine Zertifizierung erforderlich. Entscheidend ist zunächst, dass die Organisation ihre Systeme, Informationen und Risiken kennt, angemessene Maßnahmen umsetzt und deren Wirksamkeit regelmäßig überprüft.

Kanzleien und Praxen benötigen keinen überdimensionierten Sicherheitsapparat. Sie benötigen klare Verantwortlichkeiten, angemessene Schutzmaßnahmen, verlässliche Überwachung und nachvollziehbare Nachweise.

Im zweiten Teil unserer Serie zeigen wir, wie eine strukturierte Bestandsaufnahme und Risikoanalyse das Fundament eines Informationssicherheitsmanagementsystems bildet.

Teil 2: Bestandsaufnahme und Risikoanalyse für Kanzleien, Sozietäten und Praxen

Wichtiger Hinweis

Dieser Beitrag gibt einen allgemeinen Überblick über den Aufbau eines Informationssicherheitsmanagementsystems für Kanzleien, Sozietäten und Praxen.

Er stellt keine Rechts-, Datenschutz- oder Zertifizierungsberatung dar. Welche gesetzlichen, berufsrechtlichen und vertraglichen Anforderungen im konkreten Fall gelten, muss individuell geprüft werden.

Der erforderliche Umfang eines Informationssicherheitsmanagementsystems hängt unter anderem von der Organisationsgröße, der Art der verarbeiteten Informationen, den eingesetzten Systemen, den vorhandenen Standorten, den externen Dienstleistern und den möglichen Folgen eines Sicherheitsvorfalls ab.

Technische und organisatorische Maßnahmen müssen regelmäßig überprüft und an Veränderungen der Organisation, der Risikolage und des Stands der Technik angepasst werden.