ISO 27001 im CRM: So bewerten Sie die Sicherheit eines Anbieters

ISO/IEC 27001 ist ein internationaler Standard für Informationssicherheitsmanagementsysteme (ISMS), der beschreibt, wie Unternehmen Sicherheitsrisiken systematisch identifizieren, bewerten und behandeln. Im CRM-Kontext bietet eine ISO-27001-Zertifizierung Unternehmen einen unabhängigen Nachweis dafür, dass Informationssicherheit beim Anbieter systematisch organisiert, überprüft und kontinuierlich weiterentwickelt wird.

Ergänzend können ISO 9001 (Qualitätsmanagement) und BSI C5 (Cloud-Sicherheitsrahmen) zur Bewertung von CRM-Anbietern herangezogen werden. Aussagekräftig wird das Zertifikat insbesondere durch die dahinterliegenden Prozesse wie Risikomanagement, Zugriffskontrollen, Incident-Management und kontinuierliche Verbesserung.

Ein CRM-System verarbeitet einen wesentlichen Teil des Wissens über Kunden, Interessenten, Vertriebschancen, Servicefälle und Geschäftsbeziehungen. Entsprechend wichtig ist die Frage, wie zuverlässig diese Informationen geschützt werden.

Doch woran lässt sich die Sicherheit eines CRM-Anbieters tatsächlich beurteilen?
Aussagen wie „höchste Sicherheitsstandards“, „sicheres Hosting“ oder „DSGVO-konform“ finden sich bei vielen Softwareanbietern. Für Unternehmen, die eine geschäftskritische Lösung auswählen, reichen solche Versprechen allein jedoch nicht aus. Gefragt sind nachvollziehbare Prozesse, klar geregelte Verantwortlichkeiten und unabhängige Nachweise.

Genau hier kommen Standards wie ISO/IEC 27001, ISO 9001 oder Prüfrahmen wie der BSI C5 ins Spiel. Sie machen Sicherheit und Prozessqualität besser überprüfbar – vorausgesetzt, Unternehmen verstehen, was hinter den jeweiligen Nachweisen steckt und wo ihre Grenzen liegen.

Warum Sicherheitsversprechen allein nicht ausreichen

Pauschale Aussagen über hohe Sicherheitsstandards sind schnell getroffen. Für Unternehmen, die einen CRM-Anbieter bewerten, ist jedoch entscheidend, wie sich solche Aussagen nachvollziehen und überprüfen lassen. Denn Informationssicherheit besteht nicht aus einzelnen technischen Maßnahmen.

Entscheidend ist daher nicht nur, welche Sicherheitsfunktionen ein Anbieter bereitstellt, sondern wie diese im laufenden Betrieb gesteuert, überprüft und weiterentwickelt werden.

Zertifizierte Managementsysteme schaffen hierfür einen überprüfbaren Rahmen: Sie verankern Informationssicherheit organisatorisch und machen sie zu einem kontinuierlichen Prozess statt zu einer einmaligen technischen Umsetzung.

Welche konkreten technischen und organisatorischen Maßnahmen zur Datensicherheit beitragen, haben wir im Beitrag „Datensicherheit – Worauf bei Anbietern achten?“ ausführlicher beschrieben.

Was bedeutet ISO/IEC 27001?

Die ISO/IEC 27001 ist ein international anerkannter Standard für Informationssicherheitsmanagementsysteme (ISMS). Unternehmen können damit Informationssicherheitsrisiken systematisch identifizieren, bewerten und behandeln. Im Mittelpunkt stehen Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.
Die Norm versteht Informationssicherheit nicht als einmaliges IT-Projekt, sondern als kontinuierliche Managementaufgabe. Dabei werden Risiken, Maßnahmen und Prozesse regelmäßig überprüft und an veränderte Rahmenbedingungen angepasst. Informationssicherheit wird damit nicht nur zu einem bestimmten Zeitpunkt betrachtet, sondern fortlaufend auf den Prüfstand gestellt und weiterentwickelt.

Ein ISMS definiert unter anderem:

• Verantwortlichkeiten für Informationssicherheit
• Prozesse zur Identifikation und Behandlung von Risiken
• Richtlinien und Sicherheitsvorgaben
• Kontroll- und Überprüfungsmechanismen
• den Umgang mit Sicherheitsvorfällen
• Schulungs- und Sensibilisierungsmaßnahmen
• kontinuierliche Verbesserungsprozesse

Für CRM-Systeme ist dieser Ansatz besonders relevant, da sie langfristig im Einsatz sind und sich Bedrohungslagen, Technologien und regulatorische Anforderungen kontinuierlich verändern.

Was eine ISO-27001-Zertifizierung nicht bedeutet

Der Economic Buyer ist die Person, die eine Investition wirtschaftlich freigeben oder stoppen kann. Die Person ist nicht zwangsläufig die ranghöchste Person im Unternehmen, sondern diejenige, die über Budget und Priorisierung entscheidet. Ein häufiger Fehler ist, den fachlichen Ansprechpartner automatisch mit dem Economic Buyer gleichzusetzen. Eine Vertriebsleiterin kann ein CRM-Projekt fachlich vorantreiben, während die Budgetentscheidung bei der Geschäftsführung liegt.

Wer kann das Budget final freigeben, welche wirtschaftlichen Ziele verfolgt diese Person, und hatte der Vertrieb bereits direkten Kontakt? Solange der Economic Buyer nur namentlich bekannt ist, bleibt die Opportunity unsicher. Erst wenn Ziele, Einwände und Erwartungen dieser Person verstanden sind, wird sie belastbar.

Was eine ISO-27001-Zertifizierung nicht bedeutet

ISO 27001 ist kein Versprechen absoluter Sicherheit.

Auch zertifizierte Unternehmen können von Sicherheitsvorfällen, Fehlkonfigurationen oder neuen Schwachstellen betroffen sein. Entscheidend ist daher nicht das Auftreten von Risiken, sondern der strukturierte Umgang damit.

Ein nach ISO/IEC 27001 aufgebautes ISMS stellt sicher, dass Risiken nicht ad hoc, sondern in einem definierten Management- und Verbesserungsprozess behandelt werden. Die Zertifizierung dient dabei als unabhängiger Nachweis, dass Informationssicherheit im festgelegten Geltungsbereich systematisch organisiert und regelmäßig überprüft wird.

Für die Bewertung eines Anbieters reicht das Zertifikatslogo allein jedoch nicht aus. Entscheidend ist insbesondere der sogenannte Geltungsbereich, also der Scope der Zertifizierung: Welche Unternehmensteile, Standorte, Prozesse und Leistungen wurden tatsächlich einbezogen?

Unternehmen sollten deshalb unter anderem prüfen:

• Welchen Geltungsbereich umfasst die Zertifizierung?
• Bezieht sie die für das CRM relevanten Prozesse und Leistungen ein?
• Wie regelmäßig erfolgen unabhängige Prüfungen?
• Welche konkreten Sicherheitsprozesse stehen hinter der Zertifizierung
• Das Zertifikat ist damit ein Einstiegspunkt für Vertrauen – nicht dessen alleinige Grundlage.

Was eine ISO-27001-Zertifizierung in der Praxis bedeutet

Besonders aussagekräftig wird eine ISO-Zertifizierung, wenn sie sich im operativen Alltag eines Anbieters widerspiegelt.

1. Verantwortlichkeiten für Informationssicherheit

Informationssicherheit darf nicht ausschließlich in der IT verankert sein. Sie benötigt klar definierte Verantwortlichkeiten und die Einbindung des Managements.

In reifen ISMS-Strukturen sind Rollen und Zuständigkeiten eindeutig geregelt – von der operativen Umsetzung bis zur strategischen Steuerung. Häufig existieren dedizierte Funktionen für Informationssicherheit, die das System kontinuierlich weiterentwickeln.

Wichtig ist zudem, dass diese Strukturen regelmäßig extern überprüft werden.

2. Sensibilisierung von Mitarbeitenden

Menschliches Verhalten ist ein wesentlicher Faktor für Informationssicherheit. Phishing, Fehlbedienungen oder ein unachtsamer Umgang mit Informationen können technische Schutzmaßnahmen unterlaufen. Regelmäßige Schulungen, klare Richtlinien und kontinuierliche Sensibilisierung sind deshalb ein wichtiger Bestandteil eines wirksamen Sicherheitsmanagements.

Sicherheitsbewusstsein sollte dabei nicht als einmalige Maßnahme verstanden werden, sondern als fortlaufender Prozess.

3. Steuerung von Zugriffsrechten

Nicht jeder Mitarbeitende benötigt Zugriff auf alle Daten.

Das Prinzip Least Privilege stellt sicher, dass nur die Berechtigungen vergeben werden, die für die jeweilige Aufgabe erforderlich sind.
Wichtig sind ein nachvollziehbares Berechtigungskonzept, regelmäßige Überprüfung und die Anpassung bei organisatorischen Veränderungen.

4. Backup-, Notfall- und Incident-Prozesse

Sicherheit umfasst auch den Umgang mit Störungen und Vorfällen.

Dazu gehören Backups, Wiederherstellungstests, Monitoring sowie definierte Prozesse für Sicherheitsereignisse. Ebenso wichtig sind Notfall- und Business-Continuity-Konzepte.

Entscheidend ist nicht nur die Existenz dieser Prozesse, sondern ihre regelmäßige Prüfung und praktische Wirksamkeit.

5. Kontrollierte Softwareänderungen

CRM-Systeme entwickeln sich kontinuierlich weiter. Änderungen können jedoch Auswirkungen auf Sicherheit und Stabilität haben.

Daher sind kontrollierte Entwicklungs- und Test- und Freigabeprozesse notwendig. Änderungen müssen geplant, getestet und freigegeben werden, bevor sie produktiv eingesetzt werden.

6. Einbindung von Dienstleistern und Lieferanten

Moderne Softwarelösungen sind stark vernetzt und abhängig von externen Dienstleistern.

Ein ganzheitliches Risikomanagement berücksichtigt daher auch die Lieferkette. Externe Partner müssen definierten Sicherheitsanforderungen entsprechen und regelmäßig überprüft werden.

ISO 9001: Warum Qualität auch ein Sicherheitsthema ist

Neben Informationssicherheit spielt die Qualität der Prozesse eine zentrale Rolle.

ISO 9001 ist kein Informationssicherheitsstandard, ergänzt die Betrachtung jedoch um einen weiteren wichtigen Aspekt: die Qualität und Verlässlichkeit organisatorischer Prozesse.

Klare Verantwortlichkeiten, dokumentierte Abläufe, Qualitätssicherung und kontinuierliche Verbesserung können dazu beitragen, organisatorische Risiken zu reduzieren und die Verlässlichkeit von Softwareentwicklung und Betrieb zu erhöhen.

Stabile und nachvollziehbare Prozesse reduzieren organisatorische Risiken und erhöhen die Verlässlichkeit von Softwarelösungen.
ADITO ist neben ISO/IEC 27001:2022 auch nach ISO 9001:2015 zertifiziert. Das Qualitätsmanagement bildet dabei die Grundlage für strukturierte Prozesse, Qualitätssicherung und Wissensmanagement.

Damit adressieren beide Standards unterschiedliche, aber eng verbundene Bereiche:

ISO/IEC 27001 fokussiert Informationssicherheitsrisiken. ISO 9001 fokussiert Prozessqualität und kontinuierliche Verbesserung.

Warum auch die Cloud-Infrastruktur berücksichtigt werden sollte

Die Zertifizierung eines Softwareanbieters ist nur ein Teil der Gesamtbewertung. Welche zusätzlichen Aspekte relevant sind, hängt auch vom gewählten Betriebsmodell ab.

Bei Cloud-Lösungen spielt insbesondere die zugrunde liegende Infrastruktur eine wichtige Rolle. Unternehmen sollten deshalb prüfen, welcher Hosting-Anbieter eingesetzt wird, wo die Daten verarbeitet werden und welche Sicherheitsnachweise für die Infrastruktur vorliegen.

Wird ein CRM dagegen auf eigener Infrastruktur betrieben, verschieben sich Teile der Verantwortung für Betrieb, Infrastruktur und deren Absicherung zum Unternehmen selbst. Auch diese Verantwortungsverteilung sollte bei der Sicherheitsbewertung berücksichtigt werden.

Der Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamts für Sicherheit in der Informationstechnik (BSI) bietet einen etablierten Kriterienrahmen zur Beurteilung der Informationssicherheit von Cloud-Diensten. Die Prüfung erfolgt durch unabhängige Wirtschaftsprüfer; das daraus resultierende C5-Testat wird nicht vom BSI selbst vergeben.

Für Unternehmen ist dabei nicht nur relevant, ob ein Testat vorhanden ist, sondern auch, für welche Cloud-Dienste und welchen Prüfungszeitraum es gilt.

Bei ADITO wird die Cloud auf Infrastruktur des Hosting-Anbieters Hetzner betrieben. Für die entsprechenden Cloud-Dienste liegen unter anderem Nachweise nach ISO/IEC 27001 sowie ein C5-Testat Typ 2 vor.

Das Beispiel zeigt: Bei der Bewertung einer Cloud-Lösung sollte die gesamte Leistungskette betrachtet werden – vom Softwareanbieter über dessen Sicherheits- und Betriebsprozesse bis zur zugrunde liegenden Infrastruktur.

Zertifikate richtig bewerten: Diese Fragen sollten Unternehmen stellen

Zertifizierungen schaffen Orientierung. Für eine fundierte Anbieterentscheidung müssen sie jedoch richtig eingeordnet werden. Entscheidend ist nicht nur, welche Logos ein Anbieter vorweisen kann, sondern was tatsächlich geprüft wurde und wie Informationssicherheit im täglichen Betrieb umgesetzt wird.

Für die Auswahl eines CRM-Anbieters sollten Unternehmen deshalb insbesondere folgende Fragen stellen:

Für die Bewertung eines CRM-Anbieters helfen unter anderem folgende Fragen:

Sicherheit, Hosting und digitale Souveränität: Drei unterschiedliche Fragen

Informationssicherheit, Hosting und digitale Souveränität sind eng miteinander verbunden, sollten jedoch getrennt betrachtet werden.

Informationssicherheit:
Wie werden Risiken, Zugriffe und Schutzmaßnahmen systematisch gesteuert?

Hosting:
Wo und unter welchen Rahmenbedingungen wird die Lösung betrieben?

Digitale Souveränität:
Wie unabhängig und handlungsfähig bleibt ein Unternehmen gegenüber Anbietern und Technologien?

Mit den 2026 veröffentlichten C3A – Criteria enabling Cloud Computing Autonomy – stellt das BSI einen Kriterienrahmen bereit, der Unternehmen dabei unterstützen soll, die eigene Handlungsfähigkeit und Abhängigkeiten beim Einsatz von Cloud-Diensten zu bewerten.

Damit erweitert sich die Perspektive über Informationssicherheit hinaus: Für Unternehmen stellt sich zunehmend auch die Frage, wie austauschbar Anbieter und Technologien sind und wie viel Kontrolle über Daten, Betrieb und Weiterentwicklung langfristig erhalten bleibt.

Fazit: Vertrauen braucht überprüfbare Grundlagen

CRM-Systeme bündeln zentrale Informationen und Prozesse rund um Kundenbeziehungen. Sie sind somit geschäftskritische Anwendungen und Informationssicherheit sollte deshalb ein fester Bestandteil jeder CRM-Auswahl sein.

Zertifizierungen und unabhängige Prüfungen liefern dafür wichtige Anhaltspunkte: ISO/IEC 27001 gibt Einblick in das Informationssicherheitsmanagement eines Anbieters, ISO 9001 in die Qualität seiner Prozesse und C5 in relevante Sicherheitsaspekte von Cloud-Diensten.

Für eine belastbare Entscheidung reicht der Blick auf Zertifikatslogos jedoch nicht aus. Unternehmen sollten prüfen, was zertifiziert oder testiert wurde, welchen Geltungsbereich der Nachweis umfasst und wie Sicherheitsprozesse im Alltag umgesetzt werden.

Ein vertrauenswürdiger CRM-Anbieter macht diese Punkte transparent und kann nachvollziehbar zeigen, wie Informationssicherheit organisiert, überprüft und kontinuierlich weiterentwickelt wird.

Häufige Fragen zu ISO 27001 und CRM-Sicherheit