Informationssicherheits-Management : Herausforderungen bei der ISMS-Implementierung : Ein Wissenstransfer aus der Praxis für Managementsysteme nach BSI

Befragt wurden Menschen, die sich beruflich intensiv mit Informationssicherheit und der Implementierung eines ISMS befassen. Dazu zählen sowohl Experten aus der Beratung als auch Ansprechpartner aus Institutionen, die sich selbst mitten im Aufbau oder in der Weiterentwicklung eines ISMS nach BSI befinden. Hierzu gehören allem voran Informationssicherheitsbeauftragte (ISB), CISO-Funktionen und weitere Rollen, die in der Praxis Verantwortung für Planung, Steuerung und Umsetzung von Informationssicherheits-Maßnahmen tragen.

Ausschlaggebend für die Auswahl war dabei nicht allein ein fundiertes theoretisches Verständnis, sondern vor allem nachweisbare praktische Erfahrung aus realen Projekten, organisatorischen Abläufen und typischen Umsetzungsphasen. Auf diese Weise konnte ein Expertenkreis einbezogen werden, der Informationssicherheit nicht nur aus der Perspektive von Richtlinien und Standards kennt, sondern auch aus dem konkreten Arbeitsalltag heraus bewertet. Genau diese Kombination aus Fachwissen und praktischer Erfahrung ist für die Untersuchung besonders wertvoll, weil sie auf die tatsächlichen Anforderungen und Schwierigkeiten der ISMS-Implementierung fokussiert.

So wurde es möglich, unterschiedliche Blickwinkel zusammenzuführen und ein breites Bild der tatsächlichen Umsetzungspraxis zu gewinnen. Die Experteninterviews liefern damit nicht nur Aussagen zu einzelnen Herausforderungen, sondern auch Hinweise darauf, wie sich diese in verschiedenen organisatorischen Kontexten darstellen. Gerade bei der ISMS-Implementierung nach BSI-Standard ist dies von besonderer Bedeutung, weil sich die Anforderungen je nach Unternehmensgröße, Struktur, Reifegrad und Verantwortungsmodell deutlich unterscheiden können: Ein ISMS in einer kleinen Institution bringt andere Rahmenbedingungen mit sich als in einer größeren Institution mit ausdifferenzierten Zuständigkeiten und gewachsenen Strukturen. Dadurch werden nicht nur allgemeine Tendenzen sichtbar, sondern auch die praktischen Bedingungen, unter denen Informationssicherheit tatsächlich umgesetzt werden muss. Die Interviews ermöglichen damit einen realitätsnahen Zugang zu den Faktoren, die Aufbau und Wirksamkeit eines ISMS beeinflussen können.

^{Abbildung 1: Meistgenannte Herausforderungen beim Aufbau eines ISMS nach BSI-Standard}

Größte Herausforderungen

Die Ergebnisse der Arbeit zeigen deutlich, dass die Einführung eines ISMS nach BSI-Standard weniger an der theoretischen Grundlage als an der konkreten Umsetzung in der Praxis scheitert. Aus den Experteninterviews wurde ersichtlich, dass sich die Herausforderungen nicht auf einzelne isolierte Punkte beschränken, sondern entlang des gesamten Implementierungsprozesses auftreten und sich gegenseitig verstärken. Besonders auffällig ist, dass die Befragten die Schwierigkeiten nicht nur auf technischer Ebene betonen, sondern vor allem in organisatorischen, personellen und prozessualen Zusammenhängen beschreiben.

Daraus ergibt sich ein Bild, in dem ein ISMS nur dann wirksam werden kann, wenn Management, Mitarbeiter, ISB-Rollen, externe Berater sowie Ressourcen zusammenwirken. Abbildung 1 zeigt die 15 meistgenannten Herausforderungen und die prozentuale Häufigkeit ihrer Nennung durch die Befragten. Hieraus lassen sich die in den folgenden Abschnitten beschriebenen Herausforderungsfelder zusammenfassen.

Mangelnde Unterstützung aus dem Management

Besonders häufig wurde die fehlende oder unzureichende Unterstützung durch das Management genannt. Die Interviews zeigen, dass Informationssicherheit in vielen Institutionen zwar formell von den Führungsebenen zugesichert, im Arbeitsalltag jedoch nicht konsequent vorgelebt wird. Gerade die fehlende Vorbildfunktion wird als zentrales Problem beschrieben, weil Sicherheitsmaßnahmen dadurch schnell als zusätzliche Belastung statt als Führungsaufgabe wahrgenommen werden.

Das Management übernimmt formal Verantwortung, delegiert Aufgaben jedoch häufig weitgehend an andere Stellen, ohne selbst sichtbar Verantwortung zu tragen. Dadurch entsteht in den Institutionen der Eindruck, dass Informationssicherheit kein wirklich priorisiertes Thema ist. Dies schwächt nicht nur die Akzeptanz von Maßnahmen unter den Mitarbeitern, sondern beeinträchtigt auch deren nachhaltige Verankerung in der Sicherheitskultur.

Ergänzend wurde deutlich, dass das Management sich oft zu wenig in operative Sicherheitsprozesse einbindet, obwohl gerade dort Entscheidungen, Freigaben und Priorisierungen notwendig sind.

Ungerichtete Schulungsangebote

Ein weiterer zentraler Punkt betrifft Schulungen und Sensibilisierungen. Grundsätzlich werden diese von den Experten als elementar für die Erhöhung des Sicherheitsniveaus angesehen. Gleichzeitig wurde aber deutlich, dass ihre Wirkung in der Praxis stark davon abhängt, wie sie ausgestaltet sind: Unflexible Onlineformate, einmalige Pflichtunterweisungen oder standardisierte Inhalte ohne Praxisbezug werden als wenig wirksam eingeschätzt, finden in den Institutionen aber oft ihren Einsatz. Schulungen entfalten ihren Nutzen vor allem dann, wenn sie zielgruppengerecht, wiederkehrend und an den Arbeitsalltag der Mitarbeiter angepasst sind.

Es zeigt sich, dass Schulungen nicht als Einzelmaßnahme verstanden werden dürfen, sondern als fortlaufender Prozess, der unterschiedliche Formate, variable Zeitslots und didaktische Ansätze kombiniert. Besonders kritisch wurde hervorgehoben, dass das Management den Schulungen teilweise fernbleibt. Dadurch verliert das Thema zusätzlich an Gewicht, weil die Vorbildwirkung erneut ausbleibt. Insgesamt wird deutlich, dass Sensibilisierungen nur dann nachhaltig wirken, wenn sie als Kampagne und nicht als punktuelle Pflichtveranstaltungen ablaufen.

BSI-Implementierungsprozess als Hürde

Ein weiteres zentrales Ergebnis betrifft den BSI-Implementierungsprozess selbst. Die Experten beschreiben, dass bereits in den frühen Phasen der ISMS-Implementierung große Hürden entstehen – besonders bei der Strukturanalyse, der vorhandenen Informationsbasis und dem Verständnis der einzelnen BSI-Umsetzungsschritte. Wenn die vorhandenen Informationen in den Institutionen unvollständig, unstrukturiert oder von unzureichender Qualität sind, zieht sich dieses Defizit durch alle weiteren Phasen. Hinzu kommt, dass nicht alle Beteiligten in den Unternehmen und Behörden die einzelnen Schritte des BSI-Implementierungsprozesses ausreichend kennen oder methodisch beherrschen. Dadurch entstehen Kommunikationsprobleme, Unsicherheiten und Verzögerungen.

Besonders kritisch bewertet wurden auch die prozessualen Aspekte des Risikomanagements: Der Prozess wird als komplex, aufwendig und in der Praxis häufig unvollständig umgesetzt beschrieben. Informationssicherheitsrisiken werden nicht sauber identifiziert, dokumentiert oder weiterbehandelt. Teilweise entsteht sogar der Eindruck, dass bekannte Informationssicherheitsrisiken bewusst „unter den Teppich gekehrt“ werden, weil der dahinterstehende Prozess als zu komplex oder zu unsauber implementiert angesehen wird. Damit wird ein Kernbestandteil des ISMS in seiner Wirksamkeit geschwächt.

Ressourcenknappheit

Darüber hinaus zeigen sich erhebliche finanzielle und personelle Engpässe. Viele Institutionen verfügen nicht über die notwendigen Ressourcen, um Informationssicherheit dauerhaft auf einem angemessenen Niveau zu halten. Dabei geht es nicht nur um fehlendes Budget, sondern ebenso um den Mangel an qualifiziertem Personal, das die Anforderungen eines ISMS fachlich sicher bearbeiten kann. Der Markt für Fachkompetenz im Bereich Informationssicherheit ist knapp und Expertenwissen hat einen gewissen Preis. Viele Institutionen sind jedoch nicht bereit, diesen Aufwand in ausreichendem Maße zu tragen, wodurch langfristige Sicherheitsdefizite entstehen können.

Besonders problematisch ist dabei, dass Ressourcenengpässe häufig nicht nur die Umsetzung einzelner Maßnahmen behindern, sondern auch die Qualität von Schulungen, Risikomanagement und Prozesskoordination verschlechtern. Es wird deutlich, dass Informationssicherheit nicht mit minimalem Personaleinsatz dauerhaft tragfähig organisiert werden kann.

Überlastung der ISB-Funktion

Auch die Rolle des Informationssicherheitsbeauftragten wurde kritisch betrachtet. Die Ergebnisse zeigen, dass der ISB in vielen Institutionen nicht als eigenständige, sichtbare und ausreichend abgesicherte Funktion etabliert ist. Häufig wird diese Rolle neben anderen Aufgaben wahrgenommen, etwa durch Administratoren oder Mitarbeiter, die nur einen Teil ihrer Zeit für Informationssicherheit aufbringen können. Dadurch entstehen Interessenkonflikte, Überlastung und Defizite in der Aufgabenerfüllung.

Zugleich wird deutlich, dass der ISB in den Institutionen keine hinreichende Brückenfunktion zwischen Management und operativer Ebene ausüben kann. Mitarbeiter wissen zudem nicht, dass es diese Rolle gibt oder an wen man sich bei einem Informationssicherheitsvorfall wenden soll. Daraus folgt, dass die ISB-Funktion organisatorisch klarer verankert und sichtbarer gemacht werden muss. Informationssicherheit kann nicht als Nebenaufgabe mitgeführt werden, denn darunter leidet die Wirksamkeit des ISMS.

Handlungsempfehlungen

Herausforderungen bei der Implementierung eines ISMS treten nicht isoliert in einzelnen Arbeitsschritten auf, sondern durchziehen den gesamten BSI-Prozess und beeinflussen sich gegenseitig. Es wird wieder einmal deutlich, dass Informationssicherheit nicht als einmalige organisatorische Maßnahme funktioniert, sondern als ein fortlaufender Entwicklungsprozess zu verstehen ist, der von Planung, Umsetzung, Kontrolle und Verbesserung lebt, wodurch der PDCA-Zyklus an Bedeutung zunimmt.

Besonders sichtbar wurde, dass ein ISMS nur dann nachhaltig wirksam sein kann, wenn Verantwortung nicht auf einzelne Rollen abgeschoben wird, sondern Management, Informationssicherheitsbeauftragte, CISOFunktionen, Fachbereiche und weitere Beteiligte (z.B. externe Berater) gemeinsam daran arbeiten, die Informationssicherheit im Alltag zu verankern. Informationssicherheit darf nicht nur auf dem Papier bestehen, sondern muss im täglichen Handeln einer Institution sichtbar sein.

Ein zentrales Ergebnis betrifft die Rolle des Managements: Zwar besteht in vielen Institutionen grundsätzlich ein Bewusstsein für die Relevanz von Informationssicherheit – dennoch bleibt die Unterstützung auf der Führungsebene häufig zu abstrakt oder zu unverbindlich. Formale Zustimmung allein reicht nicht aus, um eine wirksame Sicherheitskultur aufzubauen. Entscheidend ist, dass das Management seine Verantwortung aktiv wahrnimmt, Entscheidungen nachvollziehbar trifft, Prioritäten setzt und selbst als Vorbild auftritt.

Gerade für externe Berater ergibt sich daraus die Aufgabe, die Führungsebene nicht nur fachlich zu informieren, sondern deren Rolle im ISMS gezielt zu verdeutlichen und die Notwendigkeit einer echten Beteiligung zu betonen. Informationssicherheit ist in diesem Zusammenhang als Managementaufgabe zu begreifen, die kontinuierliche Aufmerksamkeit, klare Entscheidungen und sichtbare Präsenz im organisatorischen Alltag erfordert. Regelmäßige Beteiligung an Sicherheitsbesprechungen, transparente Entscheidungen und eine sichtbare Verantwortungsübernahme sind notwendig, damit das Thema im Alltag Gewicht erhält.

Eng damit verbunden ist die Erkenntnis, dass Schulungen und Sensibilisierungen zwar unter den Experten als unverzichtbar gelten, in der Praxis aber häufig nicht die gewünschte Wirkung entfalten, wenn sie nur punktuell oder unkoordiniert eingebunden werden. Wissensvermittlung im Bereich Informationssicherheit kann nur dann nachhaltig sein, wenn man auch sie als zielgerichteten Prozess versteht.

Einzelne Vorträge, einmalige Unterweisungen oder sporadische Awareness-Maßnahmen reichen nicht aus, um Verhaltensänderungen zu bewirken oder ein tragfähiges Sicherheitsbewusstsein aufzubauen. Vielmehr braucht es eine strategisch geplante, wiederkehrende und zielgruppengerechte Sensibilisierung, die unterschiedliche Formate miteinander verbindet. Dazu gehören beispielsweise Präsenztermine, Lerneinheiten in Präsenz, digitale Formate, praxisnahe Beispiele und regelmäßige Reminder im Arbeitsalltag.

Die Ergebnisse zeigen außerdem, dass der Erfolg solcher Maßnahmen stark davon abhängt, ob sie organisatorisch eingebettet und durch Zuständige koordiniert werden. Beratende Rollen wie Security-Awareness-Koordinatoren nehmen eine relevante Position ein, damit einzelne Maßnahmen sinnvoll gebündelt, Inhalte an unterschiedliche Zielgruppen angepasst und eine konsistente sowie interessensweckende Kommunikation sichergestellt wird. Informationssicherheit wird dadurch nicht nur vermittelt, sondern systematisch im Bewusstsein der Mitarbeiter verankert.

Weichenstellung in frühen Implementierungsphasen

Ein weiterer Schwerpunkt betrifft die frühen Phasen der ISMS-Implementierung nach BSI-Standard. In vielen Institutionen fehlt es an einer ausreichenden Verfügbarkeit, Quantität und Qualität der vorhandenen Informationen, die für eine fundierte Implementierung notwendig wären. Das betrifft sowohl organisatorische als auch technische und personelle Aspekte.

Wenn relevante Informationen nur verstreut vorliegen, Zuständigkeiten unklar bleiben oder vorhandenes Wissen nicht systematisch dokumentiert ist, werden darauf aufbauende Prozessschritte erheblich erschwert. Daraus folgt die Empfehlung, den Einführungsprozess durch klare Ablagestrukturen, definierte Verantwortlichkeiten und transparente Abläufe zu stützen. Ein strukturiertes Informationsmanagement kann hierbei eine wichtige Hilfsfunktion übernehmen, indem es dafür sorgt, dass relevante Informationen auffindbar, nachvollziehbar und nutzbar werden.

Gleichzeitig wird deutlich, dass die Mitarbeit aller Wissensträger innerhalb einer Institution notwendig ist, um ein belastbares Fundament für das ISMS zu schaffen. Ohne diese Zusammenarbeit bleibt die Implementierung fragmentarisch und anfällig für Fehler oder Verzögerungen. Aus diesem Grund ist es erforderlich, allen Beteiligten von Beginn an mitzuteilen, dass ein ISMS Teamarbeit ist und jeder Einzelne im Rahmen der Implementierung einen Beitrag leistet.

Die kritische Bewertung des Risikomanagements zeigt, dass dieser Bereich in vielen Fällen als zu komplex, zeitaufwendig und methodisch anspruchsvoll wahrgenommen wird. Gleichzeitig ist er für ein wirksames ISMS von zentraler Bedeutung, weil erst durch die systematische Identifikation, Bewertung und Behandlung von Risiken entschieden werden kann, welche Maßnahmen wirksam sind. In der Praxis wird dieser Prozess jedoch häufig nicht mit der notwendigen Konsequenz umgesetzt: Risiken werden unvollständig erfasst, uneinheitlich bewertet oder nur oberflächlich dokumentiert.

Daraus ergibt sich die Empfehlung, den Umgang mit Risiken durch standardisierte Vorlagen, praxisnahe Leitfäden und gegebenenfalls unterstützende Softwarelösungen zu vereinfachen. Der BSI-Standard 200-3 kann hierbei als hilfreiche Orientierung dienen, weil er eine strukturierte Herangehensweise an den Risikoprozess liefert. Ebenso wichtig ist es, die an diesem Prozess beteiligten Mitarbeiter ausreichend zu schulen. Nur wenn sie die Logik des Risikomanagements verstehen – etwa die Arbeitsweisen eines Risikoregisters, die strukturierte Bewertung von Risiken und die Auswahl geeigneter Behandlungsoptionen –, kann der Prozess verlässlich funktionieren. Ziel muss es sein, Informationssicherheitsrisiken nicht zu verdrängen, sondern sie transparent und systematisch zu bearbeiten.

Rollen und Ressourcen

Sowohl personelle als auch finanzielle und zeitliche Ressourcen sind in vielen Institutionen knapp bemessen. Informationssicherheit lässt sich aber nur dann ernsthaft aufbauen, wenn man sie mit ausreichenden Ressourcen hinterlegt. Dazu gehört nicht nur ein angemessenes Budget, sondern auch der gezielte Aufbau von internem Fachwissen. Informationssicherheit ist kein Thema, das wenige Einzelne dauerhaft tragen können – vielmehr braucht es qualifizierte Mitarbeiter mit klar definierten Rollen und Aufgaben, die ihre Verantwortlichkeiten auch ausfüllen können. Externe Experten können in diesem Zusammenhang eine sinnvolle Ergänzung darstellen, gerade wenn spezielles Fachwissen fehlt oder kurzfristig Kapazitäten aufgebaut werden müssen. Parallel dazu ist jedoch eine stabile interne Verankerung essenziell: Es ist unabdingbar, auch in den Institutionen selbst fachliche Kompetenzen im Bereich Informationssicherheit aufzubauen, damit diese nicht nur als einmaliges Projekt angesehen wird, sondern langfristig als Prozess betreut werden kann.

Die Interviews haben die Rolle des Informationssicherheitsbeauftragten besonders hervorgehoben. Diese Funktion ist in vielen Behörden und Unternehmen zentral, wird jedoch oft mit zu vielen Aufgaben belastet oder organisatorisch nicht ausreichend gestützt. Dadurch entsteht das Risiko, dass die Rolle zwar formal vorhanden ist, aber ihre Wirkung im Alltag begrenzt bleibt.

Es zeigt sich, dass die ISB-Funktion als eigenständige Schnittstellenrolle gestärkt werden muss: Sie braucht klare Zuständigkeiten, ausreichende Befugnisse und einen festen Platz in der Organisationsstruktur. Darüber hinaus ist eine gute Einbindung in Kommunikations- und Entscheidungswege entscheidend. Der ISB sollte nicht als isolierte Fachperson agieren, sondern als verbindendes Element zwischen Management, Fachbereichen und Mitarbeitern. Regelmäßige Abstimmungen mit der Führungsebene, nachvollziehbare Meldewege und eine verlässliche Erreichbarkeit sind dabei wichtige Voraussetzungen. Diesen notwendigen Wirkungsrahmen des ISB muss das Management kennen und der Personalie in der Praxis die entsprechenden Befugnisse einräumen.

Fazit

In der Gesamtschau wird deutlich, dass ein ISMS nach BSI weit mehr ist als ein Dokumentationsprojekt oder ein Mittel zur Erfüllung formaler Anforderungen. Ein solches Managementsystem entfaltet seine Wirkung erst dann, wenn Führung, Prozesse, Ressourcen, Kommunikation und Qualifizierung miteinander verbunden werden.

Die Untersuchung verdeutlicht, dass Informationssicherheit immer auch eine Frage der Organisation, der Kultur und der Verantwortungsübernahme ist. Technische Maßnahmen sind wichtig – sie genügen aber allein nicht. Erst das Zusammenspiel von Strukturen, Verhalten und kontinuierlicher Weiterentwicklung schafft ein belastbares Informationssicherheitsniveau. Daraus ergibt sich, dass die Einführung eines ISMS nicht als einmaliger Projektabschluss verstanden werden darf, sondern als dauerhafte Aufgabe, die gepflegt, überprüft und an neue Rahmenbedingungen angepasst werden muss.

Besonders wichtig sind ein aktives Management, kontinuierliche und wirksame Sensibilisierungen, strukturierte Informationsgrundlagen, ein praktikables Risikomanagement, ausreichende Ressourcen sowie eine gestärkte ISB-Rolle.

Werden diese Elemente zusammen gedacht und konsequent umgesetzt, steigt die Wahrscheinlichkeit erheblich, dass Informationssicherheit nicht nur formal vorhanden ist, sondern im Alltag tatsächlich wirksam wird. Durch die Beachtung dieser Punkte, können Unternehmen und Behörden einen Beitrag dazu leisten, dass die Lücke zwischen theoretischem Anspruch und praktischer Umsetzung verkleinert und der Blick auf jene Faktoren gerichtet wird, die in der Realität über den Erfolg eines ISMS entscheiden.

Felix Fiebig arbeitet als IT-Security-Consultant bei der Telekom MMS GmbH und betreut mit seinem Kollegen des Clusters Digital-Trust Institutionen aus allen Branchen und Bereichen.