Ein ungepatchter Server, ein gemeinsam genutztes Administratorkonto und fehlende Regeln für externe Zugriffe: Solche Befunde sind in KMU selten ein Zeichen von Gleichgültigkeit. Meist fehlen Übersicht, klare Zuständigkeiten und ein Prozess, der Sicherheitsanforderungen in umsetzbare Arbeit übersetzt. Dieses Beispiel für einen ISMS-Rollout im KMU zeigt, wie eine Organisation ihre Informationssicherheit innerhalb weniger Monate strukturiert aufbaut - ohne ein schwerfälliges Grossprojekt daraus zu machen.

Ausgangslage: Sicherheit war vorhanden, aber nicht steuerbar

Unser Beispiel ist ein Schweizer Dienstleistungsunternehmen mit 85 Mitarbeitenden, zwei Standorten und einer stark cloudbasierten IT. Die Geschäftsleitung erwartet, dass Kundendaten geschützt sind und der Betrieb auch bei einem Sicherheitsvorfall weiterläuft. Zusätzlich verlangt ein wichtiger Auftraggeber einen nachvollziehbaren Nachweis zum Sicherheitsniveau.

Die IT verantwortet den technischen Betrieb mit einem kleinen Team. Sie setzt bereits einzelne Schutzmassnahmen um: Multifaktor-Authentifizierung, Endpoint-Schutz, Backups und Berechtigungen. Was fehlt, ist die Gesamtsicht. Welche Anforderungen gelten? Welche Kontrollen sind erfüllt? Wo bestehen Lücken? Welche Risiken akzeptiert die Geschäftsleitung bewusst und welche müssen priorisiert behandelt werden?

Genau hier setzt ein Informationssicherheitsmanagementsystem, kurz ISMS, an. Es ist nicht primär ein Dokumentenordner für eine spätere Zertifizierung. Für ein KMU ist es ein Führungsinstrument: Es macht Sicherheitsstatus, offene Massnahmen und Restrisiken sichtbar und erlaubt, Fortschritte nachvollziehbar zu steuern.

Das Beispiel: ISMS-Rollout im KMU in vier Etappen

Der Rollout wird nicht auf das gesamte Unternehmen gleichzeitig ausgedehnt. Zu Beginn definiert die Geschäftsleitung einen machbaren Geltungsbereich: Kundenportal, zentrale Microsoft-365-Umgebung, Endgeräte, Datenablagen und die Prozesse, in denen Kundendaten bearbeitet werden. Produktionssysteme eines externen Partners bleiben vorerst ausserhalb des ersten Assessments, werden aber als Abhängigkeit dokumentiert.

Diese Abgrenzung ist kein Mangel. Sie verhindert, dass das Vorhaben zu gross wird und nach wenigen Wochen an Detailfragen stehen bleibt. Entscheidend ist, dass der Umfang begründet, freigegeben und später schrittweise erweitert werden kann.

1. Assessment: Den Ist-Zustand belastbar erfassen

In der ersten Etappe führt das Unternehmen ein strukturiertes Assessment entlang eines passenden Standards durch. Je nach Anspruch kann das beispielsweise der Cyber Security Basis Check, ein NIST-orientierter IKT-Minimalstandard oder ISO 27001:2022 sein. Für das Unternehmen im Beispiel ist ein pragmatischer Einstiegsstandard sinnvoll, der die wichtigsten organisatorischen und technischen Kontrollen abdeckt.

Die Fragen werden nicht allein von der IT beantwortet. Der Leiter IT beurteilt technische Schutzmassnahmen, die Personalverantwortliche bringt den Ein- und Austrittsprozess ein, und die Fachbereiche klären den Umgang mit vertraulichen Daten. Zu jeder Antwort hinterlegt das Team Nachweise, etwa Richtlinien, Konfigurationen, Protokolle oder Verträge mit Dienstleistern.

Damit entsteht mehr als eine Momentaufnahme. Es wird revisionssicher nachvollziehbar, warum eine Kontrolle als erfüllt, teilweise erfüllt oder nicht erfüllt bewertet wurde. Das spart Rückfragen, wenn ein Kunde, eine Revision oder die Geschäftsleitung später einen Nachweis verlangt.

2. Auswertung: Aus Antworten werden Prioritäten

Das Assessment zeigt ein gemischtes Bild. Der technische Basisschutz ist solide, doch bei den organisatorischen Themen bestehen Lücken. Es gibt keine formell freigegebene Sicherheitsrichtlinie, wichtige Lieferanten werden nicht nach einheitlichen Kriterien beurteilt, und Notfalltests sind zwar geplant, aber nie dokumentiert durchgeführt worden.

Nicht jede Lücke hat dieselbe Bedeutung. Ein fehlender Nachweis über einen jährlichen Restore-Test kann ein erhebliches Betriebsrisiko darstellen. Eine noch nicht aktualisierte Formulierung in einer Richtlinie ist dagegen meist weniger dringlich. Die Auswertung muss daher Reifegrad, Schutzbedarf, Eintrittswahrscheinlichkeit und potenzielle Auswirkungen zusammenführen.

Ein digitales ISMS verhindert dabei den typischen Excel-Effekt: Ergebnisse liegen nicht in getrennten Tabellen, E-Mails und Sitzungsnotizen. Befunde werden direkt mit Anforderungen, Nachweisen, Massnahmen und Risiken verbunden. SCMC unterstützt diesen Ablauf von der Bewertung über die Lückenanalyse bis zur Management-tauglichen Auswertung in einer Plattform.

3. Massnahmen: Weniger Vorhaben, klare Verantwortung

Aus der Lückenanalyse leitet das Team zunächst sechs priorisierte Massnahmen ab. Dazu gehören die Einführung eines geregelten Joiner-Mover-Leaver-Prozesses, ein verbindlicher Prozess zur Lieferantenbeurteilung, die Dokumentation und Durchführung von Restore-Tests sowie eine Notfallübung für den Ausfall der zentralen Cloud-Dienste.

Jede Massnahme erhält eine verantwortliche Person, ein realistisches Zieldatum, einen Status und ein erwartetes Ergebnis. Die Geschäftsleitung entscheidet bei Zielkonflikten. So kann sie etwa festlegen, ob die Absicherung eines privilegierten Admin-Zugangs vorgezogen wird, auch wenn dadurch ein internes Digitalisierungsprojekt später startet.

Der Unterschied zwischen einer Massnahmenliste und wirksamer Steuerung liegt in dieser Verbindlichkeit. Eine Aufgabe ohne Eigentümer bleibt eine Absicht. Eine Aufgabe ohne Nachweis lässt sich nicht abschliessen. Deshalb wird bei jeder Umsetzung dokumentiert, welches Ergebnis vorliegt und wer die Wirksamkeit geprüft hat.

4. Risiken: Bewusst entscheiden statt stillschweigend akzeptieren

Ein ISMS kann nicht jedes Risiko eliminieren. Im Beispiel nutzt das Unternehmen eine Fachanwendung, die nur eingeschränkte Protokollierungsfunktionen bietet. Ein sofortiger Ersatz wäre teuer und würde den Betrieb belasten. Das Risiko wird deshalb nicht verdrängt, sondern im Risikoregister festgehalten.

Der Eintrag beschreibt das betroffene System, das Szenario, mögliche Auswirkungen, bestehende Kontrollen und die Bewertung des Restrisikos. Als Übergangsmassnahme werden die Zugriffsrechte reduziert und Log-Daten an einer anderen Stelle überwacht. Die Geschäftsleitung akzeptiert das Restrisiko befristet und verlangt bis Ende Jahr eine Entscheidungsgrundlage für die Ablösung.

Das ist gelebte Informationssicherheit: Nicht jede Schwachstelle wird sofort technisch gelöst. Aber jedes relevante Risiko ist sichtbar, bewertet, einer verantwortlichen Stelle zugeordnet und mit einem Entscheid verbunden.

Rollen und Taktung entscheiden über den Erfolg

Für ein KMU braucht der Rollout keine neue Vollzeitstelle. Er braucht jedoch klare Rollen. Die Geschäftsleitung trägt die Verantwortung für Prioritäten und Risikoentscheide. Eine koordinierende Person - oft der IT-Leiter oder die Informationssicherheitsbeauftragte - steuert Assessment, Nachweise und Massnahmen. Fachverantwortliche liefern Inhalte aus ihren Prozessen und setzen vereinbarte Aufgaben um.

Im Beispiel trifft sich das Kernteam alle zwei Wochen während 30 Minuten. Es prüft überfällige Massnahmen, neue Risiken und offene Nachweise. Einmal pro Quartal erhält die Geschäftsleitung einen kompakten Bericht: Reifegrad nach Themenbereich, wichtigste Veränderungen, kritische Risiken, Status der Massnahmen und notwendige Entscheide.

Diese Taktung ist bewusst schlank. Monatliche Managementrunden können bei erhöhtem Druck sinnvoll sein, etwa vor einer Kundenprüfung oder nach einem Sicherheitsvorfall. Für viele KMU reichen quartalsweise Entscheide, wenn operative Aufgaben regelmässig nachverfolgt werden.

Drei Fehler, die den Rollout ausbremsen

Der erste Fehler ist, den Rollout als einmaliges Compliance-Projekt zu behandeln. Nach dem ersten Assessment ändern sich Systeme, Mitarbeitende, Lieferanten und Bedrohungen. Ein ISMS muss deshalb immer aktuell gehalten werden, sonst verliert es schnell seinen Nutzen.

Der zweite Fehler ist übertriebene Perfektion. Wer jede Richtlinie bis ins letzte Detail formulieren will, bevor die erste Massnahme umgesetzt wird, verliert Zeit. Besser ist eine nachvollziehbare Mindestdokumentation, die mit dem Reifegrad der Organisation wächst.

Der dritte Fehler ist eine rein technische Sicht. Viele der wirksamsten Verbesserungen liegen an Schnittstellen: Eintritt und Austritt von Mitarbeitenden, Freigaben von Zugriffsrechten, Umgang mit Dienstleistern, Notfallkommunikation und Entscheidungen der Geschäftsleitung. Ein ISMS bringt diese Bereiche an einen Tisch.

Nach 90 Tagen: Was im Unternehmen anders ist

Nach drei Monaten hat das Unternehmen keinen fertigen Endzustand erreicht. Es besitzt aber etwas Wesentlicheres: einen dokumentierten Sicherheitsstatus, priorisierte Massnahmen, ein nachvollziehbares Risikoregister und feste Entscheidungswege. Der nächste Kundenfragebogen wird nicht mehr aus Erinnerungen und Einzeldateien beantwortet. Das Team kann auf aktuelle Nachweise und freigegebene Bewertungen zurückgreifen.

Der sinnvollste erste Schritt ist daher nicht, möglichst viele Richtlinien zu schreiben. Beginnen Sie mit einem klar abgegrenzten Assessment. Sobald Lücken, Verantwortlichkeiten und Risiken sichtbar sind, wird aus Informationssicherheit eine steuerbare Aufgabe - mit voller Kontrolle über Fortschritt, Nachweise und die nächsten Entscheidungen.