ISO 27001 bei Softwareanbietern: Was das Zertifikat aussagt und was nicht

Ein ISO-27001-Zertifikat ist ein starkes Signal. Es ist aber kein Sicherheitssiegel für jede einzelne Funktion, jeden Server und jedes denkbare Angriffsszenario.

Genau diese Unterscheidung ist bei der Auswahl von Softwareanbietern wichtig. ISO/IEC 27001 zertifiziert ein Informationssicherheits-Managementsystem, kurz ISMS. Damit wird geprüft, ob eine Organisation Informationssicherheit systematisch steuert. Ob der konkrete Dienst, den ein Kunde einkauft, vollständig im zertifizierten Geltungsbereich liegt, muss trotzdem separat geprüft werden.

Zertifiziert wird ein Managementsystem

ISO beschreibt ISO/IEC 27001 als Standard für Informationssicherheits-Managementsysteme. Eine Zertifizierung durch eine unabhängige Stelle bestätigt, dass das geprüfte System bestimmte Anforderungen erfüllt. Die Norm selbst wird von ISO und IEC herausgegeben; ISO stellt Unternehmen nicht selbst die Zertifikate aus.

Das klingt nach einer Formalie, verändert aber die richtige Lesart. Ein Zertifikat sagt nicht: „Diese Software ist sicher.“ Es sagt wesentlich präziser: Für einen definierten Geltungsbereich wurde ein Managementsystem gegen ISO/IEC 27001 bewertet.

Dazu gehören Prozesse, mit denen eine Organisation Risiken beurteilt, Verantwortlichkeiten festlegt, Kontrollen auswählt, Wirksamkeit überprüft und das Managementsystem weiterentwickelt. Die Zertifizierung schafft damit belastbarere Evidenz als eine bloße Selbstauskunft des Anbieters.

Der Scope entscheidet, wie viel das Zertifikat wert ist

Der wichtigste Teil eines Zertifikats steht oft nicht groß auf der ersten Seite: der Geltungsbereich.

Ein Softwareunternehmen kann als Organisation zertifiziert sein, ohne dass daraus automatisch folgt, dass jede Tochtergesellschaft, jeder Standort, jedes Produkt oder jede Betriebsleistung vom selben Scope erfasst wird. Das BSI weist in einem anderen Nachweiskontext ausdrücklich auf genau dieses Problem hin: Ein vorhandenes ISO-27001-Zertifikat deckt nicht automatisch den für einen konkreten Nachweis relevanten Geltungsbereich ab.

Für die Softwareauswahl folgt daraus eine einfache Regel: Nicht nur nach „ISO 27001: ja oder nein?“ fragen. Zertifikat, Normversion, Gültigkeit und Scope gehören zusammen.

Besonders relevant ist, ob der Geltungsbereich die Leistungen umfasst, auf die der Kunde tatsächlich angewiesen ist: Entwicklung, Betrieb, Support, relevante Standorte oder andere wesentliche Teile der Leistungskette. Was davon zwingend im Scope liegen muss, hängt vom konkreten Beschaffungs- und Risikokontext ab.

Akkreditierung prüft die Kompetenz der Zertifizierungsstelle

Auch die Stelle hinter dem Zertifikat ist relevant.

ISO unterscheidet zwischen Zertifizierung und Akkreditierung. Zertifizierung ist die unabhängige Bestätigung, dass ein System festgelegte Anforderungen erfüllt. Akkreditierung bestätigt wiederum die Kompetenz einer Zertifizierungsstelle. ISO weist darauf hin, dass ein Zertifikat einer akkreditierten Konformitätsbewertungsstelle eine zusätzliche Vertrauensebene schaffen kann.

In Deutschland ist die DAkkS die nationale Akkreditierungsstelle. Sie führt unter anderem Akkreditierungen im Bereich der Zertifizierung von Informationssicherheits-Managementsystemen nach ISO/IEC 27001.

Das macht ein akkreditiertes Zertifikat nicht unfehlbar. Es schafft aber eine nachvollziehbare Prüfungskette: Organisation, Zertifizierungsstelle und Akkreditierungsstelle haben unterschiedliche Rollen.

ISO 27001 ist kein Penetrationstest

Hier entsteht in Ausschreibungen schnell ein Kategorienfehler.

Ein ISMS-Zertifikat beantwortet die Frage, ob Informationssicherheit in einem definierten Organisationsbereich systematisch gemanagt wird. Ein Penetrationstest beantwortet eine andere Frage: ob sich in einem bestimmten technischen Prüfgegenstand unter bestimmten Bedingungen konkrete Schwachstellen finden lassen.

Auch Datenschutz, Datenresidenz, Verfügbarkeit, Backup-Architektur oder die Sicherheit einer einzelnen Produktfunktion werden nicht allein dadurch bewiesen, dass ein Anbieter ein ISO-27001-Zertifikat vorlegt. Solche Anforderungen können durch das Managementsystem berührt sein. Für eine konkrete Beschaffungsentscheidung brauchen sie aber eigene Nachweise.

Das ist keine Schwäche der Norm. Es ist eine Frage der Erwartung. Wer von einem Managementsystem-Zertifikat einen vollständigen technischen Sicherheitsnachweis verlangt, benutzt das richtige Dokument für die falsche Frage.

Die Normversion ist inzwischen ein schneller Plausibilitätscheck

Die aktuelle internationale Ausgabe ist ISO/IEC 27001:2022. Für Zertifikate auf Basis der älteren Ausgabe lief die von der DAkkS dokumentierte Umstellungsfrist am 31. Oktober 2025 aus. Die DAkkS hielt dazu fest, dass Zertifikate auf Basis der alten Normgrundlage ab diesem Datum ungültig sind.

Im Jahr 2026 ist die Normversion deshalb kein Detail. Ein Anbieter, der ein altes Zertifikat als aktuellen ISO-27001-Nachweis vorlegt, erzeugt mindestens Klärungsbedarf.

Neben der Normversion sollten Beschaffer auf Gültigkeitszeitraum, ausstellende Zertifizierungsstelle und den exakten Scope achten. Bei akkreditierten Zertifikaten lässt sich zusätzlich die Akkreditierung der Zertifizierungsstelle prüfen.

Was ISO 27001 in einer Softwareauswahl sinnvoll leistet

Als Auswahlkriterium ist ISO 27001 besonders nützlich, wenn es als Einstieg in die Sicherheitsprüfung verwendet wird, nicht als deren Ende.

Ein belastbarer Check kann fünf Fragen trennen:

1. Existiert ein aktuelles Zertifikat? Prüfen Sie Normversion und Gültigkeit.
2. Wer hat es ausgestellt? Prüfen Sie die Zertifizierungsstelle und bei Bedarf deren Akkreditierung.
3. Was ist zertifiziert? Lesen Sie den Geltungsbereich, nicht nur das Logo auf der Website.
4. Passt der Scope zum eingekauften Dienst? Ordnen Sie Produkt, Betrieb und relevante Leistungsteile dem Zertifikat zu.
5. Welche Anforderungen bleiben offen? Prüfen Sie konkrete technische, datenschutzrechtliche, betriebliche und vertragliche Anforderungen separat.

Damit wird aus einer Checkbox ein brauchbares Prüfwerkzeug.

Ein Zertifikat reduziert Prüfaufwand, ersetzt ihn aber nicht

ISO 27001 ist bei Softwareanbietern wertvoll, weil ein unabhängiges Zertifizierungsverfahren mehr aussagt als eine selbst formulierte Sicherheitsseite. Ein aktuelles, passend gescoptes und nachvollziehbar ausgestelltes Zertifikat ist deshalb ein relevantes Vertrauenssignal.

Die Grenze ist ebenso wichtig: Es beweist nicht die Sicherheit jeder Produktfunktion und ersetzt keine Prüfung der Anforderungen, die für den eigenen Einsatzfall entscheidend sind.

Für Beschaffer ist deshalb nicht die Frage „Hat der Anbieter ISO 27001?“ am stärksten. Besser ist: „Welcher Teil der Leistung ist nach welcher Normversion von welcher Stelle zertifiziert – und welche Risiken müssen wir trotzdem noch selbst prüfen?“