Volljurist und Compliance-Experte
November 12, 2025
5 Minuten
.svg)
Eine gründliche Stakeholder-Analyse ist entscheidend, um Ihr ISMS an den realen Anforderungen Ihrer internen und externen Parteien auszurichten.
Durch die klare Zuordnung von Erwartungen zu konkreten ISO 27001-Maßnahmen schaffen Sie Transparenz und Nachvollziehbarkeit im Audit.
Die Analyse stärkt Vertrauen bei Kunden, Partnern und Behörden, da sie zeigt, dass Informationssicherheit strategisch verankert ist.
Eine regelmäßige Aktualisierung der Stakeholder-Analyse stellt sicher, dass Ihr ISMS auch bei neuen Risiken und Veränderungen relevant bleibt.
Stellen Sie sich vor, Sie bauen die sicherste Festung der Welt. Die Mauern sind undurchdringlich, die Tore aus massivem Stahl und die Wachtürme mit modernster Technologie ausgestattet. Aber Sie haben vergessen, die Händler zu fragen, wie breit ihre Karren sind, die Bauern, wann sie ihre Ernte einbringen müssen, und die Bewohner, wo sie ihre Brunnen brauchen. Das Ergebnis? Eine technisch perfekte, aber praktisch nutzlose Festung.
Genau dieses Szenario verhindert die Stakeholder-Analyse nach ISO 27001. Viele sehen Klausel 4.2 – „Verstehen der Erfordernisse und Erwartungen interessierter Parteien“ – als eine weitere bürokratische Hürde auf dem Weg zur Zertifizierung. In Wahrheit ist sie das strategische Herzstück Ihres Informationssicherheits-Managementsystems (ISMS). Es geht darum sicherzustellen, dass Ihre „Festung“ nicht nur sicher ist, sondern auch den Anforderungen derer gerecht wird, die von ihr abhängig sind.
Dieser Leitfaden übersetzt die Theorie in die Praxis. Wir zeigen Ihnen, wie Sie diese Analyse nicht nur als Pflichtaufgabe abhaken, sondern als strategisches Werkzeug nutzen, um ein ISMS aufzubauen, das Ihr Unternehmen wirklich schützt und Vertrauen bei allen wichtigen Parteien schafft.
Bevor wir in den Prozess eintauchen, müssen wir eine gemeinsame Sprache finden. Was genau meint die Norm mit „interessierten Parteien“ und warum sind ihre Erwartungen so entscheidend für die Informationssicherheit?
Eine interessierte Partei, oft auch als Stakeholder bezeichnet, ist jede Person oder Organisation, die Ihr ISMS beeinflussen kann oder von ihm beeinflusst wird. Das ist eine sehr weite Definition – und das ist Absicht. Es zwingt Sie, über den Tellerrand Ihres eigenen Unternehmens hinauszuschauen.
Denken Sie an den Bau eines Hauses:
Jede dieser Gruppen hat spezifische Anforderungen und Erwartungen an die Sicherheit und Funktionalität des Hauses. Wenn Sie eine davon ignorieren, riskieren Sie Probleme – von rechtlichen Konsequenzen bis hin zum Scheitern des gesamten Projekts.
Die Stakeholder-Analyse ist die Brücke zwischen den abstrakten ISO 27001 Anforderungen und der realen Geschäftswelt. Sie sorgt dafür, dass Ihr ISMS:
Kurz gesagt: Ein ISMS ohne gründliche Stakeholder-Analyse ist wie ein Schiff ohne Kompass. Es mag seetüchtig sein, aber niemand weiß, wohin es fährt oder warum.
Die gute Nachricht ist: Der Prozess ist systematisch und logisch. Er lässt sich in fünf klare Schritte unterteilen, die sicherstellen, dass Sie nichts Wichtiges übersehen.
Beginnen Sie mit einem Brainstorming. Teilen Sie Ihre Stakeholder in zwei Hauptgruppen auf: intern und extern.
Sobald Sie Ihre Liste haben, fragen Sie sich für jeden Stakeholder: „Was ist dieser Partei in Bezug auf unsere Informationssicherheit wichtig?“
Nicht alle Anforderungen haben das gleiche Gewicht. Sie müssen bewerten, welche am kritischsten sind. Ein risikobasiertes Denken ist hier entscheidend. Stellen Sie sich zwei Fragen:
Nutzen Sie eine einfache Matrix, um Anforderungen mit hohem Einfluss und hoher Auswirkung zu priorisieren.
Dies ist der entscheidende Schritt, der oft übersehen wird. Es reicht nicht, die Anforderungen zu kennen – Sie müssen sie in konkrete Handlungen übersetzen und dies dokumentieren.
Ihre Geschäftswelt verändert sich ständig. Neue Gesetze treten in Kraft, neue Kundengruppen kommen hinzu, neue Technologien werden eingeführt. Ihre Stakeholder-Analyse ist kein einmaliges Dokument, sondern ein lebender Prozess. Planen Sie eine regelmäßige Überprüfung (z. B. jährlich oder bei wesentlichen Änderungen), um sicherzustellen, dass Ihr ISMS relevant bleibt. Dies ist auch ein zentraler Punkt, der in jedem ISMS Audit geprüft wird.
Allgemeine Beispiele sind hilfreich, aber der wahre Wert entsteht, wenn Sie die Analyse auf Ihre spezifische Branche anwenden. Die Anforderungen an eine Bank unterscheiden sich dramatisch von denen eines Tech-Startups.
Hier sind einige konkrete Beispiele, die den Unterschied verdeutlichen:
Branche: Finanzen / FinTech
StakeholderTypische Anforderung/ErwartungAuswirkung auf das ISMSBaFin / EBAEinhaltung von BAIT/VAIT, DORAStrenge Anforderungen an Risikomanagement, IT-Outsourcing und Notfallpläne.KundenSicherheit von Transaktionsdaten und persönlichen FinanzinformationenImplementierung starker Verschlüsselung, Zwei-Faktor-Authentifizierung.Zahlungsnetzwerke (z.B. VISA)Einhaltung des PCI DSS StandardsSpezifische Kontrollen für den Schutz von Kartendaten.
Branche: Gesundheitswesen
StakeholderTypische Anforderung/ErwartungAuswirkung auf das ISMSPatientenStrikte Vertraulichkeit von Gesundheitsdaten (ePA)Strenge Zugriffskontrollen, Pseudonymisierung/Anonymisierung.Ärzte/KlinikenHohe Verfügbarkeit von Patientendaten im NotfallRobuste Backup- und Wiederherstellungsprozesse.KrankenkassenSicherer und standardisierter DatenaustauschSichere Schnittstellen und Einhaltung von Branchenstandards (z.B. HL7).
Branche: Technologie / SaaS
StakeholderTypische Anforderung/ErwartungAuswirkung auf das ISMSEnterprise-KundenNachweis von Sicherheitszertifizierungen (ISO 27001, SOC 2)Das ISMS selbst ist eine zentrale Anforderung und ein Verkaufsargument.NutzerHohe Plattformverfügbarkeit (SLA) und DatenschutzFokus auf sichere Softwareentwicklung (DevSecOps) und resiliente Infrastruktur.InvestorenSchutz des geistigen Eigentums (Quellcode)Strenge interne Zugriffskontrollen und Maßnahmen gegen Datendiebstahl.
Selbst mit einem klaren Prozess gibt es typische Fallstricke. Indem Sie diese kennen, können Sie sie proaktiv vermeiden und die Qualität Ihrer Analyse erheblich verbessern.
Die Stakeholder-Analyse ist weit mehr als eine formale Anforderung der ISO 27001. Sie ist das Fundament, auf dem ein effektives, relevantes und widerstandsfähiges ISMS aufgebaut wird. Indem Sie die Bedürfnisse und Erwartungen Ihrer interessierten Parteien verstehen und in den Mittelpunkt Ihrer Sicherheitsstrategie stellen, verwandeln Sie Ihr ISMS von einer reinen Compliance-Übung in einen echten Wettbewerbsvorteil.
Sie bauen nicht nur eine sichere Festung, sondern eine florierende Stadt, in der Handel, Vertrauen und Sicherheit Hand in Hand gehen. Und das ist ein Ziel, das weit über jede Zertifizierung hinausgeht.
Es ist ein strukturierter Prozess, um herauszufinden, wer ein Interesse an der Sicherheit Ihrer Informationen hat (Personen oder Gruppen) und was genau deren Bedürfnisse und Erwartungen sind.
Typische Beispiele sind Mitarbeiter, das Management, Kunden, Lieferanten, Geschäftspartner, Investoren sowie gesetzliche und regulatorische Behörden. Die genaue Liste hängt stark von Ihrer Branche und Ihrem Geschäftsmodell ab.
Sehr eng! Die Anforderungen Ihrer wichtigsten Stakeholder helfen Ihnen dabei, den Geltungsbereich (Scope) Ihres ISMS zu definieren. Wenn zum Beispiel ein wichtiger Kunde die Absicherung eines bestimmten Dienstes fordert, muss dieser Dienst in den Geltungsbereich Ihres ISMS aufgenommen werden.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Sichern Sie nicht nur die Informationssicherheit Ihres Unternehmens, sondern stärken Sie auch das Vertrauen von Kunden und Partnern durch eine ISMS Zertifizierung. Erfahren Sie, was ein ISMS ist und wie es Risiken minimiert, die durch interne und externe Faktoren entstehen können. Die Implementierung eines ISMS ist nicht nur entscheidend für den Schutz sensibler Daten, sondern auch für die Erfüllung gesetzlicher Anforderungen und die Sicherung von Geschäftsmöglichkeiten, insbesondere in Branchen wie Gesundheitswesen, Finanzwesen und Industrie.
Viele Webseiten verfügen über eine Datenschutzerklärung. Aber benötigt wirkliche jede Internetseite eine Datenschutzerklärung? Muss auch die Homepage einer Privatperson eine Datenschutzerklärung haben? Die SECJUR-Datenschutzexperten klären auf.
Im Oktober 2024 wäre Deutschland verpflichtet gewesen, die europäische NIS-2-Richtlinie in ihr nationales Recht zu integrieren. Es wird geschätzt, dass nahezu 30.000 Unternehmen in Deutschland davon betroffen sein werden. Wie reagiert die deutsche Wirtschaft auf die ambitionierten Ziele der EU? Große Konzerne, die über umfangreiche Compliance-Abteilungen verfügen, haben bereits begonnen, sich intensiv mit der NIS-2-Richtlinie zu befassen und ihre Informationssicherheit im Hinblick auf das festgelegte Datum umfassend zu überprüfen. Im Gegensatz dazu sind sich viele Unternehmen im Mittelstand häufig nicht bewusst, dass sie in den Geltungsbereich der Richtlinie fallen. Die NIS2 Richtlinie stellt eine der bedeutendsten Compliance-Herausforderungen der letzten Jahre dar – und sie wird voraussichtlich weiterhin erhebliche Auswirkungen haben.
.svg)
.svg)
.svg){kind=small}