ISO 27001-Kennzahlen sind die Messgrößen, mit denen Sie nachweisen, dass Ihr Informationssicherheitsmanagementsystem tatsächlich Risiken reduziert – und nicht nur auf dem Papier existiert. Der wichtigste Schritt besteht darin, eine kleine Auswahl an Wirksamkeitskennzahlen zu wählen, die mit konkreten Zielen verknüpft sind, die Erhebungsmethode für jede Kennzahl exakt zu dokumentieren und datierte Aufzeichnungen für das Managementreview vorzuhalten. Starten Sie mit einem Kennzahlregister von fünf bis zehn Einträgen statt mit einer Tabellenkalkulation, die alles erfasst, was sich theoretisch messen lässt.
Kurzfassung:
- Wirksame ISO 27001-Kennzahlen sollten auf fünf bis zehn begrenzt, klar dokumentiert und auf konkrete Ziele mit konsistenten Datenquellen ausgerichtet sein.
- Kennzahlen sollten KPIs, KRIs und KCIs umfassen und auf die Messung der Kontrollleistung, Risikotrends und Wirksamkeit ausgerichtet sein – nicht auf das Zählen von Aktivitäten.
- Korrekt definierte Kennzahlen erfordern neun Pflichtfelder wie Zweck, Formel, Datenquelle, Erhebungsmethode, Verantwortlicher und Handlungsschwellenwerte, um einer Auditprüfung standzuhalten.
- Effektives Reporting variiert je nach Zielgruppe: Operative Dashboards zeigen Trends, Managementreviews liefern Analysen, und Vorstände erhalten vereinfachte, aussagekräftige Kennzahlen.
- Häufige Schwachstellen sind das Messen von Aktivitäten ohne Ergebnisbezug, fehlende Schwellenwerte, nicht zugewiesene Verantwortlichkeiten und fehlende Rohdaten als Belege – diese müssen vor Audits behoben werden.
Inhaltsverzeichnis
- Was fordert Abschnitt 9.1 für ISO 27001-Kennzahlen?
- Aktivitätskennzahlen vs. Wirksamkeitskennzahlen: Was messen Sie wirklich?
- Kennzahlbeispiele, die Sie diese Woche in Ihr Register übernehmen können
- Wie definieren Sie eine Kennzahl auditfest?
- ISO 27001-Kennzahlen in etwas verwandeln, das Ihr Vorstand tatsächlich nutzt
- Wo Kennzahlprogramme scheitern – und wie Sie das vor dem Audit beheben
- Welche Kennzahlen sollten Sie zuerst priorisieren?
- Ihr Kennzahlprogramm aus der Tabellenkalkulation in die Nachweisführung überführen
- Wo Sie mehr über ISO 27001-Kennzahlen erfahren
- Quellen
Was fordert Abschnitt 9.1 für ISO 27001-Kennzahlen?
Abschnitt 9.1 legt die Compliance-Mindestanforderungen fest, und Auditoren behandeln ihn als Checkliste. Er verlangt, dass Sie festlegen, was überwacht und gemessen werden muss, welche Methoden Sie einsetzen, wann gemessen wird und wer die Ergebnisse auswertet. Fehlt auch nur eines dieser vier Elemente, haben Sie eine Lücke, die ein Auditor in wenigen Minuten findet.
Der Leitfaden zu Abschnitt 9 versteht dies als dokumentierten Nachweis, nicht als bloße Absichtserklärung. ISO/IEC 27004 baut auf dieser Grundlage auf und unterteilt Kennzahlen in drei Familien, die die meisten Implementierer direkt übernehmen:
- KPIs messen die Leistung anhand operativer Zielwerte, z. B. die Geschwindigkeit der Patch-Behebung.
- KRIs signalisieren steigende Risiken, bevor sie zum Vorfall werden, z. B. steigende Phishing-Klickraten.
- KCIs bestätigen, dass ein bestimmtes Sicherheitskontrolle wie vorgesehen funktioniert, z. B. die termingerechte Durchführung von Zugriffsreviews.
Auditoren erwarten ein Kennzahlregister und datierte Messnachweise als Belege – keine verbale Beschreibung Ihrer Absichten im Interview.
Aktivitätskennzahlen vs. Wirksamkeitskennzahlen: Was messen Sie wirklich?
Die meisten unreifen ISMS-Programme messen Aufwand statt Ergebnisse – und Auditoren bemerken das sofort. „Wir haben dieses Quartal 40 Schwachstellenscans durchgeführt" ist eine Aktivitätskennzahl. Sie sagt nichts darüber aus, ob die Scans etwas gefunden haben oder ob Befunde behoben wurden. „92 % der kritischen Schwachstellen wurden innerhalb des SLA behoben" ist eine Wirksamkeitskennzahl, und sie beantwortet die einzig relevante Frage: Funktionieren die Kontrollen?
- Aktivität: Anzahl versendeter Security-Awareness-E-Mails
- Wirksamkeit: Phishing-Simulationsklickrate vor und nach der Schulung
- Aktivität: Anzahl protokollierter Firewall-Regeländerungen
- Wirksamkeit: Prozentsatz der Änderungen, die vor dem Einspielen ein Peer-Review bestanden haben
Hier tappen Teams in eine Falle. Eine steigende Vorfallanzahl kann bedeuten, dass die Erkennung besser geworden ist – nicht, dass die Sicherheitslage sich verschlechtert hat. Dies unterstreicht den Wert von proaktivem Website-Sicherheitsmonitoring. Praxisleitfäden zu Wirksamkeitskennzahlen empfehlen, jede zählbasierte Kennzahl mit einer Trendanalyse zu kombinieren, da ein Ausreißer ohne Kontext zu falschen Schlussfolgerungen verleitet. Der Test für jede Kennzahl: Wenn sie nicht aussagen kann, ob eine Kontrolle funktioniert, ist es eine Aktivitäts- und keine Wirksamkeitskennzahl.
Kennzahlbeispiele, die Sie diese Woche in Ihr Register übernehmen können
Praxis-Checklisten nennen immer wieder denselben Kernbestand – und der Grund für diese Wiederholung liegt darin, dass diese Kennzahlen sauber auf das abbilden, was Vorstände und Auditoren gleichermaßen sehen wollen. Hier ist ein Einstiegsset mit zugehörigen Formeln.
- Vorfallanzahl nach Schweregrad. Anzahl bestätigter Vorfälle, aufgeteilt in hoch/mittel/niedrig, monatlich aus Ihrem Ticketing-System oder SIEM erhoben.
- Mean Time to Detect (MTTD). Durchschnitt aus (Erkennungszeitpunkt minus Vorfallbeginn) über alle Vorfälle im Berichtszeitraum. Ziel: quartalsweise sinkender Trend.
- Mean Time to Respond (MTTR). Durchschnitt aus (Eindämmungszeitpunkt minus Erkennungszeitpunkt). Ein sinnvoller Ausgangszielwert für hochkritische Ereignisse ist eine zeitnahe und effiziente Reaktionszeit.
- Behebung kritischer Schwachstellen innerhalb des SLA. Prozentsatz kritischer/hoher Schwachstellen, die innerhalb des definierten Zeitfensters gepatcht wurden, typischerweise 15 bis 30 Tage.
- Phishing-Klickrate. Prozentsatz der Empfänger, die auf einen simulierten Phishing-Link geklickt haben, erfasst pro Kampagne.
- Schulungsbestehensquote. Prozentsatz der Mitarbeitenden, die die Nachschulungsprüfung beim ersten Versuch bestehen.
- Offene Nichtkonformitäten und Abschlussrate. Anzahl offener Auditbefunde plus Prozentsatz der fristgerecht geschlossenen Befunde.
- Kontrollwirksamkeitsrate. Prozentsatz der im Rahmen des internen Audits geprüften Kontrollen, die ihre Akzeptanzkriterien erfüllt haben.
Praxistipp: Erheben Sie keine Kennzahl, die Sie nicht in jedem Berichtszeitraum konsistent quellen können. Eine hervorragende Kennzahl mit unzuverlässigen Daten im Hintergrund scheitert beim Audit schneller als eine einfache, die Sie jederzeit belegen können.
Wie definieren Sie eine Kennzahl auditfest?
Jede Kennzahl benötigt dieselben neun Felder – sonst ist sie nur eine Zahl ohne Grundlage. Praxis-Templates für ein Mindestkennzahlregister konvergieren auf diese Struktur:
- Zweck: welches Geschäfts- oder Sicherheitsziel die Kennzahl unterstützt
- Formel: die exakte Berechnung, keine Beschreibung
- Datenquelle: System, Log oder Ticketing-Tool, aus dem sie stammt
- Erhebungsmethode: manueller Export, automatisierte Abfrage oder Dashboard-Abruf
- Frequenz: wöchentlich, monatlich oder quartalsweise
- Verantwortlicher: die namentlich genannte Person, die für die Berichterstattung verantwortlich ist
- Zielwert oder Schwellenwert: der Wert, der eine Maßnahme auslöst
- Maßnahme bei Überschreitung: was als Nächstes passiert und wer handelt
Zeitstempel sind wichtiger, als die meisten Implementierer annehmen. Wenn Ihre MTTR-Berechnung auf dem Feld „Gelöst" in einem Ticket basiert, dieses Feld aber nachträglich geändert wird, ist Ihre Kennzahl wertlos. Gleichen Sie Quelldaten periodisch mit einem zweiten System ab und bewahren Sie Rohdaten auf – nicht nur die Zusammenfassung –, da Auditoren mitunter die zugrundeliegenden Belege hinter einer gemeldeten Zahl einsehen möchten. KRIs und KCIs liegen in der Regel beim Security Operations- oder Risikoverantwortlichen; geschäftsseitige KPIs gehören oft zu demjenigen, der den gemessenen Prozess verantwortet.
ISO 27001-Kennzahlen in etwas verwandeln, das Ihr Vorstand tatsächlich nutzt
Dieselben zehn Zahlen benötigen drei verschiedene Aufbereitungen, je nachdem, wer sie liest. Ein operatives Dashboard zeigt Rohzahlen und tägliche Trends. Ein Managementreview-Bericht fügt Interpretation hinzu: Was hat sich geändert, warum, und welche Entscheidung ist erforderlich? Eine Vorstandszusammenfassung reduziert alles auf drei bis sechs Kennzahlen mit klar formulierter geschäftlicher Auswirkung.
- Operatives Dashboard: Live-Zahlen, wöchentlich aktualisiert, keine Interpretation erforderlich
- Managementreview: Trendlinien, Ursachenhinweise und namentlich genannte Maßnahmenverantwortliche
- Vorstandszusammenfassung: konsolidierte KPIs/KRIs, übersetzt in Kosten, Risikoexposition oder Kundenauswirkung
Vorstände wollen trendbasierte KPIs kombiniert mit geschäftlicher Auswirkung – keine rohe Tabellenkalkulation. Eine Zahl ohne „Was bedeutet das?" wird ignoriert, und eine ignorierte Kennzahl verfehlt den Sinn des Messens völlig.
Praxistipp: Berichten Sie Trends über mindestens drei Perioden, nie als einzelnen Schnappschuss. Ein Datenpunkt lädt zur Diskussion über die Genauigkeit ein; eine Trendlinie lädt zur Entscheidung ein.
Wo Kennzahlprogramme scheitern – und wie Sie das vor dem Audit beheben
Auditoren sehen immer wieder dieselben Mängel, und jeder einzelne lässt sich in einem einzigen Sprint beheben.
- Rein aktivitätsbezogene Kennzahlen ohne Verbindung zu einem Ergebnis oder Ziel
- Kein definierter Schwellenwert, sodass niemand weiß, wann eine Zahl „jetzt handeln" bedeutet
- Kein namentlich genannter Verantwortlicher, sodass ein verfehltes Ziel nirgendwo landet
- Fehlende Rohmessdaten hinter einer Zusammenfassungszahl
Vor Ihrem Audit: Öffnen Sie Ihr Kennzahlregister, ziehen Sie eine Stichprobe datierter Aufzeichnungen aus drei separaten Perioden heraus und bestätigen Sie, dass Sie eine Trendanalyse vorweisen können – nicht nur Momentaufnahmen. Diese eine Prüfung deckt die meisten Nichtkonformitäten auf, bevor ein Auditor sie findet.
Welche Kennzahlen sollten Sie zuerst priorisieren?
Zu Beginn der Implementierung konzentrieren Sie sich auf Dokumentation und grundlegende Beweiserhebung. Wählen Sie eine oder zwei Ergebniskennzahlen, z. B. die SLA-Compliance bei der Schwachstellenbehebung, und beweisen Sie, dass Sie diese konsistent nachverfolgen können, bevor Sie weitere hinzufügen.
Im laufenden Betrieb erweitern Sie auf Behebungs-SLAs, Phishing-Trends und echte Wirksamkeitsmessungen in Ihren höchsten Risikobereichen.
Auf Vorstandsebene konsolidieren Sie alles auf drei bis sechs KPIs und KRIs mit klar formulierter geschäftlicher Auswirkung. Ein Vorstand braucht keine vierzig Kennzahlen. Er braucht die richtigen sechs, einmal erklärt und danach quartalsweise verlässlich berichtet.
— Martin
Ihr Kennzahlprogramm aus der Tabellenkalkulation in die Nachweisführung überführen
Ein verteidigungsfähiges Kennzahlregister von Grund auf aufzubauen ist der Punkt, an dem die meisten Implementierer wochenlang mit der Suche nach Benchmarks verlieren. Ismscalculator bietet Ihnen einen schnelleren Einstieg: eine Bereitschaftsbewertung, die Ihre Reife in den vier Annex A-Kontrollthemen bewertet, Modellreferenzvergleiche, die Ihren Behebungs-SLA oder Ihre Schulungsbestehensquote gegen die Planungsannahmen des Modells plausibilisieren, sowie Gantt-basierte Planungstools, um festzulegen, wann jede Kennzahl in Betrieb geht.
Die Reifebewertung bildet direkt ab, was Auditoren nach Abschnitt 9.1 prüfen: dokumentierte Kennzahlen, Nachweise zur termingerechten Erhebung und aufbereitete Inputs für das Managementreview. Wenn Sie vor dem Aufbau Ihres vollständigen Registers eine schnelle Standortbestimmung wünschen, zeigt Ihnen der kostenlose 2-Minuten-Bereitschaftscheck, wo Ihre aktuellen Messkennzahlenlücken im Vergleich zu Organisationen Ihrer Größe liegen.
Wo Sie mehr über ISO 27001-Kennzahlen erfahren
- Praxisleitfaden zu ISO 27001 Abschnitt 9 für die vollständigen Anforderungen an Überwachung und Messung
- ISACA-KPI-Leitfaden für Details zur KPI/KRI/KCI-Klassifizierung
- Nachweisarten für ISO 27001-Audits – welche Aufzeichnungen Auditoren tatsächlich akzeptieren
- ISMS-Leistungskennzahlen auf Vorstandsebene zur Übersetzung von Kennzahlen in Geschäftsbegriffe
Quellen
- ISO 27001 Abschnitt 9: Ein Praxisleitfaden zur Leistungsbewertung
- Bewertung der Leistung eines ISMS anhand von Schlüsselindikatoren (ISACA KPI-Leitfaden 2024)
- ISO 27001 ISMS-Leistungskennzahlen, die Vorstände interessieren