ISO 27001 A.5.6: Interessengruppen für Cybersicherheit nutzen
ISO 27001 A.5.6: Interessengruppen für Cybersicherheit nutzen
Amin Abbaszadeh
Informationssicherheitsexperte
December 19, 2025
5 Minuten
Amin Abbaszadeh ist Informationssicherheitsexperte bei SECJUR und unterstützt Unternehmen dabei, Informationssicherheits- und Compliance-Standards wie ISO 27001 effektiv umzusetzen. Zuvor war er als Senior Consultant Cybersecurity bei NTT DATA tätig, wo er Projekte im Bereich IT-Compliance und ISMS verantwortete. Durch seine interdisziplinäre Erfahrung in Technik, Beratung und Management verbindet Amin strategisches Denken mit praxisnaher Umsetzung – immer mit dem Ziel, nachhaltige Sicherheits- und Compliance-Strukturen zu schaffen.
Key Takeaways
ISO 27001 A.5.6 macht externe Bedrohungsinformationen erstmals systematisch nutzbar.
Der Austausch mit Interessengruppen stärkt die Cybersicherheit proaktiv statt nur reaktiv.
KMU erhalten dadurch Sicherheitswissen auf Konzernniveau ohne hohe Kosten.
Compliance wird so vom Pflichtprogramm zum strategischen Wettbewerbsvorteil.
Stellen Sie sich vor, es gäbe eine ISO 27001-Anforderung, die von vielen Unternehmen nur als lästige Pflichtübung angesehen wird, in Wahrheit aber einer der größten strategischen Vorteile für kleine und mittlere Unternehmen (KMU) ist. Eine Anforderung, die Ihnen Zugang zu Bedrohungsanalysen auf Konzernniveau verschafft – ganz ohne das entsprechende Budget.
Genau das ist die Anforderung A.5.6: „Kontakt mit Interessengruppen“. Auf den ersten Blick klingt das trocken und bürokratisch. Doch wer genauer hinschaut, entdeckt ein mächtiges Werkzeug, um die eigene Organisation proaktiv vor den neuesten Cyberbedrohungen zu schützen. Statt nur auf Angriffe zu reagieren, lernen Sie, sie vorauszusehen.
In diesem Leitfaden zeigen wir Ihnen, wie Sie diese Anforderung nicht nur erfüllen, sondern als Kernstück Ihrer Sicherheitsstrategie nutzen. Wir übersetzen die abstrakten Vorgaben des Standards in eine konkrete, umsetzbare Anleitung für den deutschen Mittelstand und verraten, wo Sie die entscheidenden Informationen finden.
Das Fundament: Was sind A.5.6 & A.5.7? (Und warum sie zusammengehören)
Um das volle Potenzial auszuschöpfen, müssen wir zwei Maßnahmen der ISO 27001 als Team betrachten:
A.5.6 – Kontakt mit Interessengruppen: Diese Maßnahme fordert, dass Ihre Organisation angemessene Kontakte zu speziellen Interessengruppen (Special Interest Groups) sowie anderen Fachforen und Berufsverbänden pflegt.
A.5.7 – Bedrohungsintelligenz (Threat Intelligence): Hier geht es darum, Informationen über Bedrohungen zu sammeln und zu analysieren. Ziel ist es, ein klares Bild der aktuellen Bedrohungslandschaft zu erhalten, um präventive Maßnahmen ergreifen zu können.
Die „Aha-Erkenntnis“ liegt in der Verbindung: Der Kontakt mit Interessengruppen (A.5.6) ist die beste Methode, um an hochwertige Bedrohungsintelligenz (A.5.7) zu gelangen. Die Gruppen sind Ihre Informationsquelle, die Threat Intelligence das Ergebnis. Sie liefern sich gegenseitig den Input, um Ihre Sicherheitsmaßnahmen stets aktuell zu halten.
Diese enge Verknüpfung ist eine wichtige Neuerung der ISO 27001:2022. Sie betont, dass Informationssicherheit kein statischer Zustand ist, sondern ein dynamischer Prozess, der von externen Informationen lebt.
Der Aufbau: Ihr Schritt-für-Schritt-Umsetzungsplan
Die Theorie ist klar, aber wie sieht die praktische Umsetzung aus? Für KMU ist ein pragmatischer Ansatz entscheidend, der sich ohne großen Verwaltungsaufwand in den Alltag integrieren lässt.
Folgen Sie diesen vier Schritten, um eine effektive Routine zu etablieren:
Schritt 1: Potenzielle Gruppen identifizieren
Recherchieren Sie, welche Foren, Verbände oder Initiativen für Ihre Branche und Ihre technologische Landschaft relevant sind. Eine Liste mit konkreten Beispielen für den deutschen Raum finden Sie im nächsten Abschnitt.
Schritt 2: Verantwortung zuweisen
Bestimmen Sie eine Person (z. B. den Informationssicherheitsbeauftragten, IT-Leiter), die für die aktive Teilnahme und das Monitoring dieser Gruppen verantwortlich ist. Ein häufiger Fehler ist, sich anzumelden und dann nie wieder reinzuschauen.
Schritt 3: Prozess zur Informationsgewinnung definieren
Legen Sie fest, wie Informationen gesammelt werden. Das kann ein wöchentlicher Check der relevanten Newsletter, die Teilnahme an Webinaren oder die aktive Beobachtung von Diskussionsforen sein. Wichtig ist, relevante von irrelevanten Informationen zu filtern.
Schritt 4: Feedback-Schleife zu Ihren Richtlinien schaffen
Dies ist der entscheidende Schritt. Die gewonnenen Erkenntnisse müssen in Ihre Organisation zurückfließen. Erstellen Sie einen Prozess, der sicherstellt, dass neue Bedrohungsinformationen Ihr Risikomanagement und Ihre Sicherheitsrichtlinien (gemäß A.5.1) direkt beeinflussen.
Die Meisterung: Hier finden Sie deutschsprachige Interessengruppen
Die größte Hürde für viele KMU ist die Frage: „Wo fange ich überhaupt an?“ Die meisten Ratgeber bleiben hier vage. Wir geben Ihnen eine konkrete Liste an die Hand, die als Ausgangspunkt für Ihre Recherche dient.
Staatliche und branchenübergreifende Gruppen
Diese Anlaufstellen bieten eine solide Grundlage an Informationen, die für fast jedes Unternehmen in Deutschland relevant sind.
Allianz für Cyber-Sicherheit (ACS) des BSI: Dies ist die wohl wichtigste Initiative in Deutschland. Die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gegründete Allianz bietet aktuelle Lageberichte, Warnmeldungen, Handlungsempfehlungen und ein riesiges Netzwerk zum Austausch. Die Teilnahme ist kostenlos.
Deutschland sicher im Netz e.V. (DsiN): Bietet praxisnahe Unterstützungsangebote und Informationen speziell für den Mittelstand.
Branchenspezifische Gruppen (ISACs)
Information Sharing and Analysis Centers (ISACs) sind Zusammenschlüsse von Unternehmen einer bestimmten Branche, um Bedrohungsinformationen vertraulich auszutauschen.
Maschinen- und Anlagenbau: Der VDMA (Verband Deutscher Maschinen- und Anlagenbau) bietet eigene Arbeitskreise und Informationsdienste zum Thema Cybersicherheit. Für Unternehmen in diesem Sektor ist es essenziell, automatisierte Compliance für die Fertigungsindustrie zu gewährleisten.
Gesundheitswesen: Spezifische Arbeitsgruppen wie die der GMDS (Deutsche Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie) e.V.
Automobilindustrie: Der VDA (Verband der Automobilindustrie) betreibt das TISAX-Modell, das einen eigenen Standard für Informationssicherheit definiert und einen Austausch unter den Teilnehmern fördert.
Fachliche und akademische Foren
Diese Gruppen bieten oft einen tieferen Einblick in technologische Entwicklungen und Forschungsergebnisse.
Berufsverbände: ISACA oder (ISC)² bieten lokale Chapter in vielen deutschen Städten. Hier können Sie sich mit anderen Sicherheitsexperten vernetzen.
Forschungsinstitute: Die Fraunhofer-Gesellschaft (insbesondere das FKIE) veröffentlicht regelmäßig Studien und Analysen zu neuen Cyber-Angriffsmethoden.
Heise Security / iX: Die Foren und Publikationen des Heise-Verlags sind eine Goldgrube für technische Diskussionen und aktuelle Sicherheitsmeldungen im deutschsprachigen Raum.
Die Aktion: Geheimdienstwissen in die Praxis umsetzen (Ein Szenario)
Lassen Sie uns den Prozess an einem konkreten Beispiel durchspielen, um den Kreislauf aus Beitreten -> Lernen -> Handeln zu verdeutlichen.
Die Situation: Ihr Informationssicherheitsbeauftragter (ISB) liest im Forum der Allianz für Cyber-Sicherheit einen dringenden Beitrag. Darin wird eine neue Phishing-Technik beschrieben, bei der Angreifer gefälschte Rechnungen über ein populäres Buchhaltungstool versenden, das auch Ihr Unternehmen nutzt.
Der Prozess:
Lernen (Informationsgewinnung): Der ISB sammelt alle Details: Wie sehen die E-Mails aus? Welche Dateianhänge werden verwendet? Welche Schwachstelle im Tool wird ausgenutzt?
Analysieren (Threat Intelligence): Er bewertet das Risiko für Ihr Unternehmen als „hoch“, da die Buchhaltungsabteilung genau dieses Tool verwendet und die Mitarbeiter auf die pünktliche Bezahlung von Rechnungen getrimmt sind.
Handeln (Risikobehandlung & Richtlinien-Update):
Sofortmaßnahme: Der ISB informiert sofort die Buchhaltungsabteilung und die gesamte Belegschaft über die konkrete Bedrohung und teilt Screenshots der gefälschten E-Mails.
Richtlinien-Update (A.5.1): Er ergänzt die Richtlinie zur E-Mail-Nutzung um einen spezifischen Passus, der den Umgang mit Rechnungen aus diesem Tool regelt (z. B. „Rechnungen von Lieferant X werden nur noch über das offizielle Portal und nie als direkter E-Mail-Anhang akzeptiert“).
Schulung: Er plant eine kurze, gezielte Awareness-Schulung für die Finanzabteilung.
Technische Maßnahme: Die IT prüft, ob die Absenderdomänen der Angreifer auf der E-Mail-Firewall blockiert werden können.
Durch diesen Prozess haben Sie eine reale Bedrohung abgewehrt, bevor sie Schaden anrichten konnte. Sie haben nicht nur reaktiv ein Problem gelöst, sondern Ihr gesamtes Sicherheitssystem proaktiv verbessert. Das ist der wahre Wert einer professionellen ISO 27001 Umsetzung.
Ihr Weg zu proaktiver Sicherheit beginnt jetzt
Die Maßnahme A.5.6 ist kein bürokratisches Übel, sondern Ihre Eintrittskarte in die Welt der proaktiven Cybersicherheit. Indem Sie sich aktiv vernetzen und Bedrohungsinformationen nutzen, verwandeln Sie eine Compliance-Anforderung in einen echten Wettbewerbsvorteil. Sie schützen nicht nur Ihr Unternehmen effektiver, sondern bauen auch Vertrauen bei Kunden und Partnern auf.
Dieser Ansatz, bei dem externe Intelligenz kontinuierlich in die eigenen Sicherheitsprozesse einfließt, ist übrigens ein Grundprinzip, das sich in vielen modernen Sicherheits-Frameworks wiederfindet, so auch im SOC 2 Standard.
Beginnen Sie noch heute: Identifizieren Sie eine relevante Gruppe, weisen Sie die Verantwortung zu und etablieren Sie eine Routine. Machen Sie den ersten Schritt von der reaktiven zur vorausschauenden Informationssicherheit.
Häufig gestellte Fragen (FAQ)
Was genau ist eine „Special Interest Group“ im Kontext von ISO 27001?
Im Grunde ist es jede Gruppe von Personen oder Organisationen, die ein gemeinsames Interesse an einem bestimmten Thema – in diesem Fall Informationssicherheit – teilt. Das können formelle Verbände, staatliche Initiativen, Online-Foren oder sogar lokale Treffen sein.
Muss ich für diese Gruppen bezahlen?
Nicht unbedingt. Viele der wertvollsten Ressourcen wie die Allianz für Cyber-Sicherheit des BSI sind kostenlos. Berufsverbände wie ISACA erheben Mitgliedsbeiträge, bieten dafür aber oft exklusive Inhalte und Zertifizierungen. Beginnen Sie mit den kostenlosen Angeboten.
Wie viel Zeitaufwand bedeutet das für mein KMU?
Der Schlüssel liegt in der Effizienz. Planen Sie einen festen Zeitblock ein, z. B. 1-2 Stunden pro Woche, in dem die verantwortliche Person gezielt die wichtigsten Quellen prüft. Es geht nicht darum, alles zu lesen, sondern das Relevante zu identifizieren.
Wie dokumentiere ich die Einhaltung von A.5.6 für einen Auditor?
Ein Auditor möchte sehen, dass Sie einen etablierten Prozess haben. Dokumentieren Sie Folgendes:
Eine Liste der Gruppen und Foren, in denen Sie Mitglied sind.
Den Namen der verantwortlichen Person.
Beispiele dafür, wie gewonnene Informationen zu konkreten Maßnahmen geführt haben (z. B. Protokolle von Meetings, aktualisierte Richtlinien, Awareness-Mails).
Amin Abbaszadeh ist Informationssicherheitsexperte bei SECJUR und unterstützt Unternehmen dabei, Informationssicherheits- und Compliance-Standards wie ISO 27001 effektiv umzusetzen. Zuvor war er als Senior Consultant Cybersecurity bei NTT DATA tätig, wo er Projekte im Bereich IT-Compliance und ISMS verantwortete. Durch seine interdisziplinäre Erfahrung in Technik, Beratung und Management verbindet Amin strategisches Denken mit praxisnaher Umsetzung – immer mit dem Ziel, nachhaltige Sicherheits- und Compliance-Strukturen zu schaffen.
Über SECJUR
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Compliance, completed
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Wie startet man den ISMS Aufbau? Von der Risikobewertung bis zur kontinuierlichen Verbesserung – welche Schritte sind entscheidend? In diesem Artikel lesen Sie, warum ein starkes ISMS nicht nur eine Notwendigkeit, sondern auch eine Chance ist, Ihr Unternehmen vor digitalen Gefahren zu schützen. Welcher ISMS Standard ist am besten für Ihr Unternehmen geeignet und ermöglicht Ihnen Wettbewerbsvorteile?
Cybersicherheit ist für die Europäische Union und ihre Mitgliedstaaten, einschließlich Deutschland, von wachsender Bedeutung, insbesondere aufgrund zunehmender Hackerangriffe auf Infrastrukturen. Die EU veröffentlicht und aktualisiert aktiv Rechtsvorschriften, darunter die neueste NIS2 Richtlinie, die zusätzliche Maßnahmen zur Gewährleistung eines hohen gemeinsamen Niveaus der Cybersicherheit in der Union enthält. In Deutschland liegt nun ein Entwurf für ein NIS2 Umsetzungsgesetz vor, um die Vorgaben der NIS2 Richtlinie umzusetzen.
Gerade die Überwachung von Mitarbeitern ist immer wieder Gegenstand gerichtlicher Streitigkeiten. Dabei stehen Unternehmen mittlerweile die verschiedensten Möglichkeiten zur Verfügung - von der Überwachung des E-Mail-Verkehrs bis hin zum Anbringen von Videokameras am Arbeitsplatz. Ob die umfassende GPS-Überwachung von Mitarbeitern datenschutzrechtlich zulässig ist, hatte das Verwaltungsgericht Lüneburg zu entscheiden. Wie ging es aus?
.svg)
.svg)
.svg)
.svg){kind=small}