ISO 27001 für KI-Workflows: Zertifizierung im Mittelstand

Sie haben KI-Workflows im Einsatz, automatisieren Vertrieb, Service oder Buchhaltung. Dann kommt früher oder später die Frage: Brauchen wir ISO 27001? Der Kunde fordert Nachweise, die Bank fragt bei der Kreditprüfung, oder die Geschäftsführung will sich absichern. Klar ist: Ein Zertifikat allein macht Ihre Systeme nicht sicherer. Aber es zeigt nach außen, dass Sie ein dokumentiertes Informationssicherheits-Managementsystem (ISMS) betreiben. Und in vielen Branchen wird genau das zur Voraussetzung für größere Aufträge.

In diesem Beitrag lesen Sie, wann ISO 27001 für KI-Workflows sinnvoll ist, welche Maßnahmen die Norm fordert und wie Sie die Zertifizierung vorbereiten, ohne monatelang alle Projekte zu blockieren.

Was ISO 27001 für KI-Workflows bedeutet

ISO/IEC 27001 ist eine international anerkannte Norm für Informationssicherheits-Managementsysteme. Sie legt fest, dass Sie Risiken systematisch bewerten, Maßnahmen definieren, umsetzen und regelmäßig prüfen. Die Norm selbst nennt keine konkreten Technologien, sondern beschreibt Anforderungen an Prozesse und Dokumentation.

Für KI-Workflows bedeutet das:

• Sie müssen alle Systeme und Datenflüsse erfassen, in denen KI zum Einsatz kommt.
• Sie bewerten das Risiko jedes Prozesses: Welche Daten werden verarbeitet, wo liegen sie, wer hat Zugriff?
• Sie definieren Schutzmaßnahmen: Zugriffskontrolle, Verschlüsselung, Logging, Incident-Management.
• Sie dokumentieren alles in einem ISMS und lassen sich regelmäßig auditieren.

Das klingt aufwändig. Tatsächlich profitieren Sie aber, wenn Sie bereits DSGVO, NIS2 oder den EU AI Act umsetzen: Viele Dokumente lassen sich wiederverwenden, und die Risikoanalyse deckt sich zu weiten Teilen.

Wann die Zertifizierung Pflicht oder sinnvoll wird

ISO 27001 ist selten gesetzlich vorgeschrieben. In der Praxis wird sie trotzdem oft zur Bedingung:

• Öffentliche Auftraggeber fordern sie in Ausschreibungen.
• Banken und Versicherungen verlangen sie bei größeren Finanzierungen.
• Konzern-Kunden setzen sie in Lieferantenaudits voraus.
• Bei kritischen Infrastrukturen (NIS2) ist ein zertifiziertes ISMS oft die einfachste Art, Compliance nachzuweisen.

Für den Mittelstand wird die Zertifizierung dann sinnvoll, wenn sie Ihnen Türen öffnet oder wenn die Alternative ein Audit pro Kunde wäre. Dann rechnet sich der einmalige Aufwand für das Zertifikat schneller, als jedes Mal individuelle Nachweise zu liefern.

Die wichtigsten Maßnahmen für KI-Workflows nach ISO 27001

Die Norm gliedert sich in Anforderungen (Kapitel 4 bis 10) und Controls (Anhang A). Für KI-Workflows sind folgende Punkte zentral:

Kontext und Scope definieren

Sie legen fest, welche Bereiche in den Geltungsbereich des ISMS fallen: etwa alle Workflows auf n8n, Make oder Zapier, die personenbezogene oder geschäftskritische Daten verarbeiten. Reine Test- oder Entwicklungsumgebungen können Sie ausklammern, müssen das aber begründen.

Risikoanalyse und Risikobewertung

Für jeden Workflow listen Sie auf: Welche Informationen werden verarbeitet, wo liegen sie, wer hat Zugriff, welche Schnittstellen gibt es? Dann bewerten Sie das Risiko nach Eintrittswahrscheinlichkeit und Schadenshöhe. Das Ergebnis ist eine priorisierte Liste: hohe Risiken verlangen sofortige Maßnahmen, niedrige Risiken dürfen Sie akzeptieren oder später angehen.

Zugriffskontrolle und Rechteverwaltung

Jeder Mitarbeitende darf nur auf die Systeme und Daten zugreifen, die er für seine Aufgabe braucht. Für KI-Workflows heißt das: Rollen in n8n, Make oder Zapier definieren, Multi-Faktor-Authentifizierung aktivieren, Service-Accounts dokumentieren. Externe Dienstleister (etwa OpenAI, Anthropic) müssen per Auftragsverarbeitungsvertrag gebunden sein.

Verschlüsselung und Netzwerk-Segmentierung

Daten in transit (zwischen Systemen) verschlüsseln Sie mit TLS 1.2 oder höher. Daten at rest (auf Servern oder in Datenbanken) sichern Sie je nach Schutzbedarf ebenfalls per Verschlüsselung. KI-Workflows, die kritische Daten verarbeiten, trennen Sie vom restlichen Netzwerk per VLAN oder Firewall-Regeln.

Logging, Monitoring und Incident-Response

Alle Zugriffe auf das ISMS und die Workflows müssen protokolliert werden. Bei Auffälligkeiten greift ein definierter Incident-Management-Prozess: Wer wird informiert, wer trifft welche Entscheidung, wie dokumentieren Sie den Vorfall? Auch False Positives (etwa eine KI-Antwort, die fälschlich als Datenleck gemeldet wird) gehören ins Log.

Backup und Business Continuity

Sie definieren, wie oft Backups laufen, wo sie gespeichert werden und wie schnell Sie Workflows wiederherstellen können. Für geschäftskritische Automatisierungen legen Sie fest, welche maximale Ausfallzeit akzeptabel ist.

Dokumentation und Schulung

Alle Prozesse, Entscheidungen und Vorfälle dokumentieren Sie zentral. Mitarbeitende erhalten regelmäßig Schulungen zu Informationssicherheit und den geltenden Richtlinien.

Rechenbeispiel: Aufwand und Kosten der Zertifizierung

Die konkreten Kosten hängen von Unternehmensgröße, Scope und bestehender Dokumentation ab. Das folgende Rechenbeispiel nutzt angenommene Werte für einen mittelständischen Betrieb mit rund 100 Mitarbeitenden und zehn produktiven KI-Workflows.

Angenommen, Sie setzen folgende Aufwände an:

• Interne Vorbereitung: 40 Personentage für Risikoanalyse, Prozessdokumentation, Maßnahmenumsetzung. Bei einem internen Tagessatz von 600 Euro entspricht das 24.000 Euro.
• Externer Berater: 15 Tage Begleitung bei Lückenanalyse und Audit-Vorbereitung, Tagessatz 1.200 Euro, macht 18.000 Euro.
• Zertifizierungsaudit: Angenommen 8.000 Euro für ein dreitägiges Erstaudit durch eine akkreditierte Zertifizierungsstelle.
• Werkzeuge und Lizenzen: 3.000 Euro jährlich für ISMS-Software (etwa ISMS.online, verinice oder ähnliche Tools).

Insgesamt läge die Erstinvestition bei rund 53.000 Euro. Hinzu kommen jährliche Überwachungsaudits mit angenommenen 4.000 Euro sowie interne Aufwände für Pflege und interne Audits, etwa 10 Personentage pro Jahr (6.000 Euro).

Die Amortisation hängt davon ab, ob Sie ohne Zertifikat Aufträge verlieren oder für jeden Kunden individuelle Audits durchführen müssten. Nehmen Sie an, ein Kundenaudit bindet drei Tage interner Ressourcen (1.800 Euro) und verhindert trotzdem in jedem dritten Fall den Zuschlag. Dann rechnet sich ISO 27001 ab etwa zehn bis fünfzehn Audits, die Sie sich sparen.

Was in der Praxis nicht funktioniert

Viele Unternehmen scheitern nicht an der Technik, sondern an der Prozess-Disziplin. Typische Stolpersteine:

• Die Dokumentation wird einmalig erstellt, aber nie aktualisiert. Im Audit fehlen dann neue Workflows oder geänderte Schnittstellen.
• Risikoanalysen werden pauschal kopiert, ohne konkret auf die eigenen KI-Anwendungen einzugehen. Das fällt spätestens beim Audit auf.
• Externe Dienstleister (etwa Cloud-KI-Anbieter) werden nicht sauber in den Scope integriert, und AV-Verträge liegen nicht vor.
• Incident-Management existiert nur auf dem Papier. Wenn tatsächlich ein Vorfall eintritt, weiß niemand, wer zuständig ist.
• Schulungen finden einmal statt, neue Mitarbeitende erhalten keine Einweisung.

Planen Sie deshalb von Anfang an feste Review-Termine ein: mindestens einmal pro Quartal prüfen Sie, ob neue Workflows hinzugekommen sind, ob sich Risiken geändert haben und ob alle Maßnahmen noch greifen.

So bereiten Sie die Zertifizierung vor

1. Scope festlegen: Definieren Sie, welche Systeme, Standorte und Prozesse ins ISMS fallen. Dokumentieren Sie Ausnahmen mit Begründung.
2. Bestandsaufnahme: Listen Sie alle KI-Workflows, Schnittstellen, Datenquellen und Dienstleister auf. Erstellen Sie ein Assetregister.
3. Risikoanalyse: Bewerten Sie jedes Asset nach Vertraulichkeit, Integrität und Verfügbarkeit. Leiten Sie daraus Maßnahmen ab.
4. Maßnahmen umsetzen: Setzen Sie Zugriffskontrolle, Verschlüsselung, Logging und Backup nach Priorität um. Dokumentieren Sie jede Maßnahme mit Verantwortlichem und Status.
5. Interne Audits: Prüfen Sie selbst, ob alle Prozesse funktionieren und dokumentiert sind. Korrigieren Sie Lücken vor dem Zertifizierungsaudit.
6. Management-Review: Die Geschäftsführung bewertet regelmäßig das ISMS und gibt neue Ziele vor. Das ist Pflicht nach ISO 27001.
7. Zertifizierungsaudit beauftragen: Wählen Sie eine akkreditierte Stelle (DAkkS-Akkreditierung) und vereinbaren Sie Termine für Stage 1 (Dokumentenprüfung) und Stage 2 (Vor-Ort-Audit).

Nach erfolgreichem Audit erhalten Sie ein Zertifikat mit Gültigkeit von drei Jahren. Jährlich findet ein Überwachungsaudit statt, nach drei Jahren eine Re-Zertifizierung.

Wie ISO 27001 mit DSGVO, NIS2 und EU AI Act zusammenspielt

Viele Unternehmen fürchten Doppelaufwand. Tatsächlich überschneiden sich die Anforderungen erheblich:

• DSGVO verlangt technische und organisatorische Maßnahmen (Art. 32). Die Controls aus ISO 27001 decken das größtenteils ab.
• NIS2 fordert Risikomanagement und Incident-Reporting. Beides ist Kern von ISO 27001.
• Der EU AI Act verlangt für Hochrisiko-KI Risikoanalyse, Dokumentation und Überwachung. Auch das lässt sich ins ISMS integrieren.

Richten Sie Ihr ISMS also so ein, dass es alle drei Regelwerke bedient. Dann müssen Sie nicht drei parallele Systeme pflegen, sondern nur einmal dokumentieren und jährlich prüfen.

Zusammenfassung und nächste Schritte

ISO 27001 ist kein Selbstzweck, sondern ein strukturierter Weg, Informationssicherheit dauerhaft zu organisieren. Für KI-Workflows bringt die Norm Klarheit: Sie wissen, welche Risiken bestehen, welche Maßnahmen greifen und wo noch Lücken sind. Nach außen zeigt das Zertifikat, dass Sie Sicherheit ernst nehmen und regelmäßig prüfen lassen.

Beginnen Sie mit einer Bestandsaufnahme Ihrer KI-Workflows und einer ersten Risikoanalyse. Wenn Sie merken, dass Kunden oder Partner die Zertifizierung fordern, sprechen Sie frühzeitig mit einem Berater und planen Sie sechs bis zwölf Monate für Vorbereitung und Audit ein.

Wir unterstützen Sie bei der Vorbereitung auf ISO 27001, von der Risikoanalyse über die technische Umsetzung bis zur Audit-Begleitung. Vereinbaren Sie ein Erstgespräch, und wir klären gemeinsam, welcher Scope für Ihr Unternehmen passt und wie der Weg zur Zertifizierung konkret aussieht.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.