Site icon bintorosoft.com

ISO 27001 im Netzwerk: Kontrollen, Nachweise und typische Lücken

Red Snapper

A network diagram showing the secure communication between IoT devices, with encryption and firewall protection ensuring data integrity

ISO 27001 im Netzwerk wirkt auf den ersten Blick wie „Papierarbeit“ – in der Praxis entscheidet es aber darüber, ob Ihre Netzwerk-Security strukturiert, auditierbar und langfristig wirksam ist. Gerade Netzwerkkomponenten wie Firewalls, VPN-Gateways, Switches, WLAN, Proxies, DNS, Management-Zugänge und Logging-Systeme sind zentrale Kontrollpunkte: Hier lassen sich Angriffsflächen reduzieren, laterale Bewegung begrenzen und Sicherheitsvorfälle schneller erkennen. Gleichzeitig entstehen hier typische ISO-27001-Lücken, weil Netzwerke häufig historisch gewachsen sind: unklare Zonenmodelle, zu breite Regelwerke, fehlende Rezertifizierung, inkonsistente Konfigurationsstände, ungeplante Änderungen oder unvollständige Logs. ISO/IEC 27001 fordert nicht, dass Sie „perfekt“ sind – aber dass Sie Risiken systematisch behandeln, Kontrollen begründen (Statement of Applicability), Umsetzung nachweisen und kontinuierlich verbessern. Dieser Artikel zeigt, welche ISO-27001-Kontrollen im Netzwerk besonders relevant sind, welche Nachweise Auditoren typischerweise erwarten und welche Lücken in der Praxis am häufigsten zu Findings führen. So können Sie Ihr Netzwerk nicht nur „sicherer“, sondern auch messbar prüfbarer und stabiler betreiben.

ISO 27001 im Netzwerk: Was wird wirklich geprüft?

Bei ISO 27001 prüfen Auditoren nicht einzelne Firewall-Regeln „im Detail“, sondern ob Ihr Informationssicherheits-Managementsystem (ISMS) Netzwerk-Risiken nachvollziehbar steuert. Vereinfacht läuft die Prüfung immer auf drei Fragen hinaus:

Der „Netzwerk“-Teil findet dabei auf zwei Ebenen statt: in den verpflichtenden ISO-27001-Kapiteln (Clauses 4–10) und in Annex A (Kontrollen). Für einen offiziellen Überblick zu ISO/IEC 27001 eignet sich die Informationsseite der ISO: ISO/IEC 27001 Überblick.

Die Pflichtkapitel (Clauses 4–10): Warum sie im Netzwerk oft unterschätzt werden

Viele Teams fokussieren Annex A, vergessen aber: Clauses 4–10 sind die eigentlichen Muss-Anforderungen. Im Netzwerkbereich sind besonders relevant:

Eine gut verständliche Zusammenfassung der Clauses findet sich z. B. bei ISO 27001 Clauses 4–10 (Guidance) (als Orientierung, nicht als Standardtext).

Annex A im Netzwerk: Die wichtigsten Kontrollen, die fast immer betroffen sind

Annex A in ISO/IEC 27001:2022 ist in Themenbereiche gegliedert; für Netzwerk-Security sind vor allem „Technological Controls“ relevant. Im praktischen Audit sind die folgenden Kontrollfamilien besonders häufig:

Für den „Companion“-Standard ISO/IEC 27002:2022 (Erklärungen und Umsetzungshinweise zu Kontrollen) gibt es eine offizielle Übersicht: ISO/IEC 27002:2022 Standardseite. Speziell für Netzwerksicherheit werden dort unter anderem Kontrollen wie „Network Security“ und „Segregation of Networks“ beschrieben (je nach Nummerierung in 27002:2022).

Kontrolle im Fokus: Netzwerksicherheit, Netzwerkdienste und Segmentierung

In der Praxis lassen sich viele Audit-Anforderungen im Netzwerk auf drei Kernbereiche verdichten: sichere Kommunikation, sichere Dienste und saubere Trennung. ISO/IEC 27002:2022 beschreibt dafür u. a. Controls wie „Network Security“ und „Security of Network Services“ (z. B. Control 8.20 und 8.21) sowie die Trennung von Netzen (z. B. Control 8.22). Eine praxisnahe Einordnung dieser Controls findet sich beispielsweise unter ISO 27002 Control 8.20 (Netzwerksicherheit) und ISO 27002 Control 8.21 (Sicherheit von Netzwerkdiensten).

Was Prüfer in der Segmentierung sehen wollen

Was Prüfer bei Netzwerkdiensten typischerweise hinterfragen

Statement of Applicability (SoA): Der Dreh- und Angelpunkt für Netzwerk-Kontrollen

Das Statement of Applicability (SoA) ist in der Zertifizierungspraxis ein zentrales Dokument: Es zeigt, welche Annex-A-Kontrollen Sie anwenden, warum – und wie der Umsetzungsstatus ist. Für Netzwerke ist das besonders wichtig, weil viele Kontrollen „teilweise“ gelten (z. B. Segmentierung in Rechenzentren stark, in kleinen Standorten pragmatischer). Ein gutes SoA verbindet Risikoanalyse, Netzarchitektur und konkrete Nachweise.

Als Einstieg/Orientierung eignen sich Erklärseiten zum SoA, z. B. SoA in ISO 27001:2022 (Erklärung) oder deutschsprachige Einordnungen wie SoA einfach erklärt.

Nachweise im Netzwerk: Was Auditoren als „gute Evidence“ akzeptieren

Auditoren erwarten selten vollständige Dumps, sondern belastbare Stichproben und konsistente Nachweisführung. Im Netzwerkbereich überzeugen typischerweise:

Für Logging-Nachweise ist es hilfreich, sich an etablierten Standards zu orientieren, z. B. Syslog (RFC 5424) als Basis für zentrale Protokollierung.

Typische Lücken: Wo ISO-27001-Audits im Netzwerk am häufigsten Findings erzeugen

Viele Findings sind nicht „fehlende Technik“, sondern fehlende Steuerung und Nachweise. Die folgenden Lücken tauchen in Audits besonders häufig auf:

Scheinsegmentierung durch VLANs ohne Enforcement

Firewall-Regelwerke ohne Governance

Change Management nicht auditfest

Management-Zugänge nicht sauber getrennt

Logging vorhanden, aber nicht wirksam

Kontrollen praktisch umsetzen: Netzwerk-Kontrollen als wiederverwendbare Standards

Ein ISMS wird im Netzwerk deutlich einfacher, wenn Sie Standards etablieren, die immer wieder angewendet werden können. Das reduziert Komplexität und verbessert Auditierbarkeit.

Standard-Zonenmodell

Standard-Change-Template für Firewall/Netzwerk

Standard-Evidence-Paket für Audits

Audit-Tipps: So bereiten Sie Netzwerk-Nachweise effizient vor

Viele Audits scheitern nicht an fehlender Security, sondern an Zeitverlust durch unstrukturierte Nachlieferungen. Diese Vorgehensweise ist in der Praxis effizient:

Checkliste: ISO 27001 im Netzwerk ohne typische Lücken

Weiterführende Informationsquellen

Exit mobile version