ISO 27001 für die Dateiübertragung: Umsetzungsleitfaden

Eine ISO/IEC-27001:2022-Zertifizierung für ein Dateiübertragungssystem bedeutet, ein funktionierendes Information Security Management System (ISMS) nachzuweisen, das die 93 Kontrollen in Annex A abdeckt – mit besonderem Fokus auf A.5.14 (Informationsübertragung), A.8.10 (Informationslöschung), A.8.24 (Kryptografieeinsatz) und A.8.26 (Anwendungssicherheitsanforderungen). Die Revision 2022 konsolidierte die früheren 114 Kontrollen in 93 über vier Themen (organisatorisch, personal, physisch, technologisch) und fügte 11 neue Kontrollen hinzu, darunter Bedrohungsintelligenz (A.5.7), IKT-Bereitschaft für Geschäftskontinuität (A.5.30) und sicheres Coden (A.8.28). Eine Erstzertifizierung dauert typischerweise 12 bis 18 Monate und kostet einschließlich Prüfgebühren 30.000 bis 100.000 €.

Der ISMS-Geltungsbereich für ein Dateiübertragungsprodukt

ISO 27001 verlangt die Definition des ISMS-Geltungsbereichs. Der ISMS-Scope einer Dateiübertragungsplattform umfasst typischerweise: Upload- und Download-Dienste, die Objektspeicherschicht, die Schlüsselmanagementinfrastruktur, Authentifizierungs- und Autorisierungssysteme, die Audit-Logging-Pipeline, Kundensupport-Tools mit Zugriff auf Nutzerdaten sowie Build- und Deployment-Pipeline. Außerhalb des Geltungsbereichs: Marketing-Website, interne HR-Systeme, allgemeine Unternehmens-IT (diese können von einem separaten ISMS abgedeckt werden). Scope präzise dokumentieren – Unschärfen erzeugen Findings bei der Zertifizierung.

A.5.14 Kontrollen zur Informationsübertragung

A.5.14 verlangt Richtlinien und Verfahren für den Transfer von Informationen. Für eine Dateiübertragungsplattform wird das metaebenen-relevant: Ihr Produkt ist die Kontrolle für Kunden, aber Sie benötigen auch interne Kontrollen dafür, wie Ihr Team Informationen transferiert. Richtlinien sollten abdecken: genehmigte Übertragungskanäle (die Plattform selbst, signierte und verschlüsselte E-Mail, SFTP für hohe Volumen), Klassifizierungsanforderungen (keine vertraulichen Daten über nicht genehmigte Kanäle senden), Empfängerverifizierung (E-Mail-Bestätigung vor dem Senden sensibler Dateien) und Protokollierung (jede Übertragung ins SIEM protokolliert). Interne Übertragungsverfahren veröffentlichen und Personal jährlich schulen.

Risikobewertung nach Klausel 6.1.2

ISO 27001 ist risikogesteuert. Klausel 6.1.2 verlangt eine dokumentierte Risikobewertungsmethodik und ein Risikoregister. Für Dateiübertragungssysteme typische Risiken: unbefugter Zugriff auf gespeicherte Dateien, schwache Kryptografie ermöglicht Entschlüsselung, kompromittierte Admin-Konten, Insider-Bedrohung durch privilegierte Betreiber, Supply-Chain-Risiko durch Sub-Processor, Denial-of-Service gegen Upload-Endpunkte, Datenverlust durch Backup-Ausfall. Jedes Risiko nach Wahrscheinlichkeit und Auswirkung auf einer 1-bis-5- oder 1-bis-3-Skala bewerten. Kontrollen aus Annex A basierend auf der Bewertung auswählen. Das Statement of Applicability (SoA) dokumentiert, welche der 93 Kontrollen gelten und warum – oder warum nicht.

A.8.24 Kryptografieanforderungen

A.8.24 regelt den ordnungsgemäßen Einsatz von Kryptografie. Die begleitende Leitlinie (ISO/IEC 27002:2022) erwartet: eine Kryptografierichtlinie, Algorithmen- und Schlüssellängenauswahl gemäß aktuellem Stand der Technik sowie Schlüsselmanagement, das Generierung, Verteilung, Speicherung, Nutzung, Rotation, Wiederherstellung und Vernichtung umfasst. Für ein Dateiübertragungssystem dokumentieren Sie: AES-256-GCM oder XChaCha20-Poly1305 für Inhalte, RSA-4096 oder Ed25519 für Signaturen, PBKDF2-SHA-256 mit mindestens 600.000 Iterationen oder Argon2id für passwortbasierte Schlüssel, TLS 1.3 für den Transport. Schlüsselspeicherung in FIPS-140-2-Level-2-HSM oder Cloud-Äquivalent (AWS CloudHSM, Azure Managed HSM). Master-Schlüssel jährlich rotieren.

A.5.15 Zugriffskontrolle und A.8.3 Informationszugriffsbeschränkung

A.5.15 verlangt eine Zugriffssteuerungsrichtlinie. A.8.3 verlangt die Beschränkung des Informationszugriffs auf Basis dieser Richtlinie. Für Dateiübertragungssysteme: Least Privilege über rollenbasierte Zugriffskontrollen durchsetzen, MFA für administrative Zugriffe verlangen (FIDO2 bevorzugt), mit einem zentralen Identity Provider integrieren (Okta, Azure AD, Google Workspace), vierteljährliche Zugriffsüberprüfungen mit dokumentierter Genehmigung durchführen und alle Zugriffsversuche protokollieren. Der ISO-27001-Prüfer nimmt Stichproben von Zugriffsgewährungen und -überprüfungen – machen Sie diese über IdP-Exporte und Ticketsystem-Integration leicht abrufbar.

A.8.10 Informationslöschung und Aufbewahrung

A.8.10 (neu in 2022) verlangt, dass Informationen gelöscht werden, wenn sie nicht mehr benötigt werden, im Einklang mit der Aufbewahrungsrichtlinie. Für Dateiübertragungsplattformen bedeutet das: automatischen Ablauf durchsetzen (7 bis 30 Tage ist üblich), Löschung über Protokolle verifiziert, Backup-Purge synchron mit primärer Löschung, sichere Löschung physischer Medien am Lebensende (DoD-5220.22-M-Überschreibung oder kryptografische Löschung durch Schlüsselvernichtung). Aufbewahrungsrichtlinie nach Datenkategorie dokumentieren: Nutzerdateien 7 Tage, Audit-Protokolle 365 Tage, Backups 30 Tage rotierend, Support-Tickets 24 Monate, Steuerunterlagen 7 Jahre (gemäß deutschem Handelsrecht).

A.5.30 IKT-Bereitschaft für Geschäftskontinuität

Neu in 2022. Verlangt, dass IKT-Systeme bereit sind, Geschäftskontinuität sicherzustellen. Übersetzt bedeutet das: getesteter Notfallplan mit dokumentiertem RPO und RTO, vierteljährliche Backup-Integritätstests, jährliche Failover-Tests, Incident-Response-Playbook ausgerichtet an ISO 22301 und Krisenkommuni­kationsverfahren. Für eine Dateiübertragungsplattform: RPO dokumentieren (z. B. 1 Stunde – maximaler tolerierbarer Datenverlust) und RTO (z. B. 4 Stunden – maximale Wiederherstellungszeit). Restaurierung aus Backup vierteljährlich mit Nachweisen im Runbook testen. Cloud-Anbieter (AWS, Azure, OVH) ermöglichen Multi-AZ- und Multi-Region-Architekturen, die die meisten Szenarien abdecken.

A.5.7 Bedrohungsintelligenz und A.5.23 Informationssicherheit für Cloud-Dienste

A.5.7 (neu) verlangt Bedrohungsintelligenzerhebung und -analyse. Praktisch: Abonnieren Sie Sektor-CERT-Hinweise, ENISA-Warnungen, Lieferanten-Sicherheitsbulletins (AWS Security Bulletins, Cloudflare Radar). Dokumentieren Sie, wie Informationen in Risiko- und Schwachstellenmanagement einfließen. A.5.23 (neu) verlangt Richtlinien und Verfahren für die Nutzung von Cloud-Diensten. Für Dateiübertragungsanbieter, die auf AWS, Azure oder OVH hosten: Cloud-Provider-Auswahlkriterien, Aufgabenteilung (Shared-Responsibility-Modell), Datenstandortverpflichtungen und Exit-Strategie bei Ausfall oder Kündigung des Cloud-Providers dokumentieren.

A.8.28 Sicheres Coden

Neu in 2022. Verlangt die Anwendung sicherer Codierungsprinzipien. Für Dateiübertragungscode: SAST im CI (Semgrep, SonarQube, Checkmarx), DAST vor Release (OWASP ZAP, Burp Suite), Abhängigkeitsscanning (Snyk, Dependabot, Trivy), Secrets-Scanning (gitleaks, TruffleHog), verpflichtende Peer-Reviews mit sicherheitsorientierter Checkliste, Threat-Modelling für wesentliche Features und jährliches OWASP-Top-10-Training. Prüfungserwartete Nachweise: CI-Pipeline-Konfigurationen mit SAST/DAST-Schritten, Scan-Berichte über den Audit-Zeitraum, Behebungs-SLAs (kritisch 7 Tage, hoch 30 Tage) und Schulungsabschlussquoten.

Internes Audit und Management-Review

Klausel 9.2 verlangt ein internes Audit-Programm. Mindestens jährlich Audits durchführen, die das gesamte ISMS oder rotierende Bereiche über einen Drei-Jahres-Zyklus abdecken. Klausel 9.3 verlangt ein Management-Review – typischerweise vierteljährlich – zu ISMS-Performance, KPI-Trends, Audit-Findings, Risikoregisteränderungen und Ressourcenbedarf. Minuten und Maßnahmen dokumentieren. Die Zertifizierungsstelle prüft interne Audit- und Management-Review-Unterlagen als starke Indikatoren für ISMS-Reife.

Zertifizierungsaudit und Überwachung

Stufe-1-Audit (1–3 Tage): Dokumentenprüfung, Bereitschaftsbeurteilung. Stufe-2-Audit (3–10 Tage je nach Umfang): Vor-Ort- oder Fernprüfung von Nachweisen, Interviews, technische Überprüfungen. Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits (jeweils 1–3 Tage) und vollständiger Rezertifizierung im dritten Jahr. Wesentliche Abweichungen müssen vor Zertifikatausstellung behoben werden; geringfügige können mit Korrekturmaßnahmenplänen bestehen bleiben. Erwarten Sie beim ersten Zyklus 5 bis 15 geringfügige und 0 bis 2 wesentliche Findings. Wählen Sie eine akkreditierte Zertifizierungsstelle (BSI, DNV, TÜV SÜD, DEKRA, LRQA, SGS).

Eine ISO-27001-fähige Architektur aufbauen

Eine Dateiübertragungsplattform, die gut vorbereitet in die ISO-27001-Zertifizierung geht: Multi-AZ-Deployment in der EU mit Notfallwiederherstellung in einer Partnerregion, clientseitiges AES-256-GCM plus serverseitiges AES-256 im Ruhezustand, FIDO2-MFA über IdP für alle Admin-Zugriffe, automatische 7-Tage-Löschung mit schlüsselbasierter kryptografischer Löschung, zentralisiertes Logging in unveränderlichem Speicher, vierteljährliche Zugriffsüberprüfungen über den IdP, jährlicher Penetrationstest durch eine CREST-Firma, SIEM-basierte Bedrohungserkennung, dokumentierter AVV und Sub-Processor-Register sowie ein Sicherheitsteam, das auf die 2022er Kontrollen geschult ist. HexaTransfers Architektur entspricht den meisten dieser Punkte von Haus aus; weniger strukturierte Wettbewerber benötigen 6 bis 12 Monate Sanierung vor der Zertifizierung.

ISO 27001 belohnt Disziplin, keine Heldentaten. Dokumentieren Sie, was Sie tun; tun Sie, was Sie dokumentieren. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.