ISO 27001 für IT-Dienstleister: Ihr Vertrauen ist Ihr Produkt

Der BSI-Lagebericht 2025 zählt für den Berichtszeitraum von Juli 2024 bis Juni 2025 durchschnittlich 119 neue Softwareschwachstellen pro Tag, ein Anstieg um 24 Prozent gegenüber dem Vorjahr, insgesamt rund 43.435. Für ein Unternehmen, dessen Produkt Software oder der Betrieb fremder Systeme ist, ist das keine Statistik, sondern die tägliche Arbeitslast. Und es ist der Grund, warum Kunden inzwischen wissen wollen, wie diese Last strukturiert bearbeitet wird.

Warum ist ISO 27001 für IT-Dienstleister die Geschäftsgrundlage und nicht nur ein Siegel?

Weil das Vertrauen des Kunden hier das eigentliche Produkt ist. Wer Software entwickelt, Systeme integriert oder fremde Infrastruktur betreibt, verfügt über privilegierte Zugänge und sieht Daten, die dem Kunden gehören. Fällt dieses Vertrauen, ist nicht ein Projekt gefährdet, sondern das Geschäftsmodell.

Der Nachweis dafür ist standardisiert. Die ISO-Survey zählt weltweit 96.709 gültige Zertifikate nach ISO/IEC 27001, rund eine Verdopplung gegenüber dem Vorjahr, und seit dem 31. Oktober 2025 gilt allein die Fassung von 2022. Ihr Annex A stellt 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird. Der Punkt ist dabei nicht das Zertifikat an der Wand, sondern dass Vertraulichkeit prüfbar wird, statt behauptet zu bleiben.

Wer verlangt ISO 27001 für IT-Dienstleister, und aus welcher Rechtsposition?

Meist aus der Position des Verantwortlichen nach der DSGVO. Sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeitet, ist er Auftragsverarbeiter, und der Kunde darf ihn nach Artikel 28 Absatz 1 DSGVO nur einsetzen, wenn er hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet. Der Auftragsverarbeitungsvertrag muss zudem Kontroll- und Auditrechte einräumen, Artikel 32 verlangt Maßnahmen, die dem Risiko angemessen sind.

Praktisch heißt das: Jeder Kunde muss diese Garantien einholen, also landet die Frage bei jedem neuen Vertrag erneut auf dem Tisch des Dienstleisters. Ein anerkanntes Zertifikat beantwortet sie einmal und geprüft, statt in jedem Vertragsanhang neu. Dazu kommt bei regulierten Kunden die Lieferkettenpflicht aus § 30 BSIG, die vertraglich nach unten weitergegeben wird.

Welche Risiken adressiert ISO 27001 für IT-Dienstleister konkret?

Die Hebelwirkung ist das Kernproblem. Ein kompromittierter Administratorzugang oder ein manipuliertes Update betrifft nicht einen Kunden, sondern potenziell alle gleichzeitig. Dasselbe gilt für geteilte Passwortspeicher und für Mandantentrennung in gemeinsam genutzten Verwaltungssystemen.

Die Zahlen dazu sind eindeutig. Das BSI dokumentiert im Berichtszeitraum 950 Ransomware-Angriffe, 80 Prozent davon bei kleinen und mittleren Unternehmen, sowie über 800 neue Phishing-Seiten pro Tag. Der Verizon Data Breach Investigations Report 2025 findet Ransomware in 44 Prozent aller Datenpannen und in 88 Prozent der Fälle bei kleinen und mittleren Unternehmen; missbrauchte Zugangsdaten stellen 22 Prozent der Einstiegsvektoren. Im Vordergrund stehen für Dienstleister daher die Steuerung privilegierter Zugriffe, Mandantentrennung, Protokollierung, geregelte Schwachstellenbehandlung im eigenen Code und ein sauberes Offboarding.

Was macht ISO 27001 für IT-Dienstleister zum Vertriebshebel?

Der Zeitgewinn im Verkaufsprozess. Ohne Nachweis beantwortet ein Anbieter jeden Sicherheitsfragebogen neu, gibt Auskunft über seine eigene SaaS-Kette und verhandelt jedes Auditrecht einzeln. Mit Zertifikat ist ein Großteil dieser Fragen mit einem Dokument beantwortet, und die Prüfung verschiebt sich von der Frage, ob überhaupt, zur Frage, wie im Detail.

Dazu kommt der Mehrfachnutzen. Risikomanagement, Zugriffskontrolle, Lieferantensteuerung, Vorfall- und Schwachstellenbehandlung verlangt jeder relevante Rahmen, von SOC 2 im US-Geschäft bis zu NIS2 und TISAX. Einmal aufgebaut, tragen diese Bausteine mehrere Nachweise. Dass der Aufwand marktüblich ist, zeigt die Budgetseite: Unternehmen stecken laut Bitkom inzwischen 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 für IT-Dienstleister bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch, und IT-Dienstleister starten technisch selten bei null. Verschlüsselung, Zugriffskontrolle und Protokollierung sind meist vorhanden. Was fehlt, ist die belegbare Struktur: dokumentierte Prozesse, benannte Verantwortlichkeiten und Nachweise, die im Audit Bestand haben.

Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits. Der wirksamste Hebel bleibt der Geltungsbereich, der die angebotenen Dienstleistungen und die dafür genutzten Systeme sauber umschließen sollte, damit er im Kundengespräch trägt.

Was steht im Whitepaper?

• Warum ein IT-Dienstleister Vertrauen verkauft und wie sich das prüfbar machen lässt
• Fünf Eigenheiten von Software-Häusern, Beratungen und Managed-Service-Providern, von dünner Struktur bis zur eigenen SaaS-Lieferkette
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein Fundament ISO 27001, SOC 2 und NIS2 zugleich trägt, mit einem Praxisbeispiel

Das Whitepaper richtet sich an Geschäftsführungen, CTOs sowie Sicherheits- und Compliance-Verantwortliche bei Software-Häusern, IT-Beratungen und Managed-Service-Providern. Laden Sie es kostenfrei herunter.