Inhalt:<\/b><\/p>\n \u00a0<\/strong><\/p>\n Ein CRM-System verarbeitet einen wesentlichen Teil des Wissens \u00fcber Kunden, Interessenten, Vertriebschancen, Servicef\u00e4lle und Gesch\u00e4ftsbeziehungen. Entsprechend wichtig ist die Frage, wie zuverl\u00e4ssig diese Informationen gesch\u00fctzt werden.<\/p>\n Doch woran l\u00e4sst sich die Sicherheit eines CRM-Anbieters tats\u00e4chlich beurteilen? Genau hier kommen Standards wie ISO\/IEC 27001, ISO 9001 oder Pr\u00fcfrahmen wie der BSI C5 ins Spiel. Sie machen Sicherheit und Prozessqualit\u00e4t besser \u00fcberpr\u00fcfbar \u2013 vorausgesetzt, Unternehmen verstehen, was hinter den jeweiligen Nachweisen steckt und wo ihre Grenzen liegen.<\/p>\n Pauschale Aussagen \u00fcber hohe Sicherheitsstandards sind schnell getroffen. F\u00fcr Unternehmen, die einen CRM-Anbieter bewerten, ist jedoch entscheidend, wie sich solche Aussagen nachvollziehen und \u00fcberpr\u00fcfen lassen. Denn Informationssicherheit besteht nicht aus einzelnen technischen Ma\u00dfnahmen.<\/p>\n Entscheidend ist daher nicht nur, welche Sicherheitsfunktionen ein Anbieter bereitstellt, sondern wie diese im laufenden Betrieb gesteuert, \u00fcberpr\u00fcft und weiterentwickelt werden.<\/p>\n Zertifizierte Managementsysteme schaffen hierf\u00fcr einen \u00fcberpr\u00fcfbaren Rahmen: Sie verankern Informationssicherheit organisatorisch und machen sie zu einem kontinuierlichen Prozess statt zu einer einmaligen technischen Umsetzung.<\/p>\n Welche konkreten technischen und organisatorischen Ma\u00dfnahmen zur Datensicherheit beitragen, haben wir im Beitrag \u201eDatensicherheit \u2013 Worauf bei Anbietern achten?\u201c ausf\u00fchrlicher beschrieben.<\/p>\n Die ISO\/IEC 27001 ist ein international anerkannter Standard f\u00fcr Informationssicherheitsmanagementsysteme (ISMS). Unternehmen k\u00f6nnen damit Informationssicherheitsrisiken systematisch identifizieren, bewerten und behandeln. Im Mittelpunkt stehen Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit von Informationen. Ein ISMS definiert unter anderem:<\/p>\n F\u00fcr CRM-Systeme ist dieser Ansatz besonders relevant, da sie langfristig im Einsatz sind und sich Bedrohungslagen, Technologien und regulatorische Anforderungen kontinuierlich ver\u00e4ndern.<\/p>\n Der Economic Buyer ist die Person, die eine Investition wirtschaftlich freigeben<\/strong> oder stoppen<\/strong> kann. Die Person ist nicht zwangsl\u00e4ufig die rangh\u00f6chste Person im Unternehmen, sondern diejenige, die \u00fcber Budget und Priorisierung entscheidet. Ein h\u00e4ufiger Fehler ist, den fachlichen Ansprechpartner automatisch mit dem Economic Buyer gleichzusetzen. Eine Vertriebsleiterin kann ein CRM-Projekt fachlich vorantreiben, w\u00e4hrend die Budgetentscheidung bei der Gesch\u00e4ftsf\u00fchrung liegt.<\/p>\n Wer kann das Budget final freigeben, welche wirtschaftlichen Ziele verfolgt diese Person, und hatte der Vertrieb bereits direkten Kontakt? Solange der Economic Buyer nur namentlich bekannt ist, bleibt die Opportunity unsicher. Erst wenn Ziele, Einw\u00e4nde und Erwartungen dieser Person verstanden sind, wird sie belastbar.<\/p>\n ISO 27001 ist kein Versprechen absoluter Sicherheit.<\/p>\n Auch zertifizierte Unternehmen k\u00f6nnen von Sicherheitsvorf\u00e4llen, Fehlkonfigurationen oder neuen Schwachstellen betroffen sein. Entscheidend ist daher nicht das Auftreten von Risiken, sondern der strukturierte Umgang damit.<\/p>\n Ein nach ISO\/IEC 27001 aufgebautes ISMS stellt sicher, dass Risiken nicht ad hoc, sondern in einem definierten Management- und Verbesserungsprozess behandelt werden. Die Zertifizierung dient dabei als unabh\u00e4ngiger Nachweis, dass Informationssicherheit im festgelegten Geltungsbereich systematisch organisiert und regelm\u00e4\u00dfig \u00fcberpr\u00fcft wird.<\/p>\n F\u00fcr die Bewertung eines Anbieters reicht das Zertifikatslogo allein jedoch nicht aus. Entscheidend ist insbesondere der sogenannte Geltungsbereich, also der Scope der Zertifizierung: Welche Unternehmensteile, Standorte, Prozesse und Leistungen wurden tats\u00e4chlich einbezogen?<\/p>\n Unternehmen sollten deshalb unter anderem pr\u00fcfen:<\/p>\n Besonders aussagekr\u00e4ftig wird eine ISO-Zertifizierung, wenn sie sich im operativen Alltag eines Anbieters widerspiegelt.<\/p>\n Informationssicherheit darf nicht ausschlie\u00dflich in der IT verankert sein. Sie ben\u00f6tigt klar definierte Verantwortlichkeiten und die Einbindung des Managements.<\/p>\n In reifen ISMS-Strukturen sind Rollen und Zust\u00e4ndigkeiten eindeutig geregelt \u2013 von der operativen Umsetzung bis zur strategischen Steuerung. H\u00e4ufig existieren dedizierte Funktionen f\u00fcr Informationssicherheit, die das System kontinuierlich weiterentwickeln.<\/p>\n Wichtig ist zudem, dass diese Strukturen regelm\u00e4\u00dfig extern \u00fcberpr\u00fcft werden.<\/p>\n Menschliches Verhalten ist ein wesentlicher Faktor f\u00fcr Informationssicherheit. Phishing, Fehlbedienungen oder ein unachtsamer Umgang mit Informationen k\u00f6nnen technische Schutzma\u00dfnahmen unterlaufen. Regelm\u00e4\u00dfige Schulungen, klare Richtlinien und kontinuierliche Sensibilisierung sind deshalb ein wichtiger Bestandteil eines wirksamen Sicherheitsmanagements.<\/p>\n Sicherheitsbewusstsein sollte dabei nicht als einmalige Ma\u00dfnahme verstanden werden, sondern als fortlaufender Prozess.<\/p>\n Nicht jeder Mitarbeitende ben\u00f6tigt Zugriff auf alle Daten.<\/p>\n Das Prinzip Least Privilege<\/strong> stellt sicher, dass nur die Berechtigungen vergeben werden, die f\u00fcr die jeweilige Aufgabe erforderlich sind. Sicherheit umfasst auch den Umgang mit St\u00f6rungen und Vorf\u00e4llen.<\/p>\n Dazu geh\u00f6ren Backups, Wiederherstellungstests, Monitoring sowie definierte Prozesse f\u00fcr Sicherheitsereignisse. Ebenso wichtig sind Notfall- und Business-Continuity-Konzepte.<\/p>\n Entscheidend ist nicht nur die Existenz dieser Prozesse, sondern ihre regelm\u00e4\u00dfige Pr\u00fcfung und praktische Wirksamkeit.<\/p>\n CRM-Systeme entwickeln sich kontinuierlich weiter. \u00c4nderungen k\u00f6nnen jedoch Auswirkungen auf Sicherheit und Stabilit\u00e4t haben.<\/p>\n Daher sind kontrollierte Entwicklungs- und Test- und Freigabeprozesse notwendig. \u00c4nderungen m\u00fcssen geplant, getestet und freigegeben werden, bevor sie produktiv eingesetzt werden.<\/p>\n Moderne Softwarel\u00f6sungen sind stark vernetzt und abh\u00e4ngig von externen Dienstleistern.<\/p>\n Ein ganzheitliches Risikomanagement ber\u00fccksichtigt daher auch die Lieferkette. Externe Partner m\u00fcssen definierten Sicherheitsanforderungen entsprechen und regelm\u00e4\u00dfig \u00fcberpr\u00fcft werden.<\/p>\n Neben Informationssicherheit spielt die Qualit\u00e4t der Prozesse eine zentrale Rolle.<\/p>\n ISO 9001 ist kein Informationssicherheitsstandard, erg\u00e4nzt die Betrachtung jedoch um einen weiteren wichtigen Aspekt: die Qualit\u00e4t und Verl\u00e4sslichkeit organisatorischer Prozesse.<\/p>\n Klare Verantwortlichkeiten, dokumentierte Abl\u00e4ufe, Qualit\u00e4tssicherung und kontinuierliche Verbesserung k\u00f6nnen dazu beitragen, organisatorische Risiken zu reduzieren und die Verl\u00e4sslichkeit von Softwareentwicklung und Betrieb zu erh\u00f6hen.<\/p>\n Stabile und nachvollziehbare Prozesse reduzieren organisatorische Risiken und erh\u00f6hen die Verl\u00e4sslichkeit von Softwarel\u00f6sungen. Damit adressieren beide Standards unterschiedliche, aber eng verbundene Bereiche:<\/p>\n ISO\/IEC 27001 fokussiert Informationssicherheitsrisiken. ISO 9001 fokussiert Prozessqualit\u00e4t und kontinuierliche Verbesserung.<\/strong><\/p>\n Die Zertifizierung eines Softwareanbieters ist nur ein Teil der Gesamtbewertung. Welche zus\u00e4tzlichen Aspekte relevant sind, h\u00e4ngt auch vom gew\u00e4hlten Betriebsmodell ab.<\/p>\n Bei Cloud-L\u00f6sungen spielt insbesondere die zugrunde liegende Infrastruktur eine wichtige Rolle. Unternehmen sollten deshalb pr\u00fcfen, welcher Hosting-Anbieter eingesetzt wird, wo die Daten verarbeitet werden und welche Sicherheitsnachweise f\u00fcr die Infrastruktur vorliegen.<\/p>\n Wird ein CRM dagegen auf eigener Infrastruktur betrieben, verschieben sich Teile der Verantwortung f\u00fcr Betrieb, Infrastruktur und deren Absicherung zum Unternehmen selbst. Auch diese Verantwortungsverteilung sollte bei der Sicherheitsbewertung ber\u00fccksichtigt werden.<\/p>\n Der Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamts f\u00fcr Sicherheit in der Informationstechnik (BSI) bietet einen etablierten Kriterienrahmen zur Beurteilung der Informationssicherheit von Cloud-Diensten. Die Pr\u00fcfung erfolgt durch unabh\u00e4ngige Wirtschaftspr\u00fcfer; das daraus resultierende C5-Testat wird nicht vom BSI selbst vergeben.<\/p>\n F\u00fcr Unternehmen ist dabei nicht nur relevant, ob ein Testat vorhanden ist, sondern auch, f\u00fcr welche Cloud-Dienste und welchen Pr\u00fcfungszeitraum es gilt.<\/p>\n Bei ADITO wird die Cloud auf Infrastruktur des Hosting-Anbieters Hetzner betrieben. F\u00fcr die entsprechenden Cloud-Dienste liegen unter anderem Nachweise nach ISO\/IEC 27001 sowie ein C5-Testat Typ 2 vor.<\/p>\n Das Beispiel zeigt: Bei der Bewertung einer Cloud-L\u00f6sung sollte die gesamte Leistungskette betrachtet werden \u2013 vom Softwareanbieter \u00fcber dessen Sicherheits- und Betriebsprozesse bis zur zugrunde liegenden Infrastruktur.<\/p>\n Zertifizierungen schaffen Orientierung. F\u00fcr eine fundierte Anbieterentscheidung m\u00fcssen sie jedoch richtig eingeordnet werden. Entscheidend ist nicht nur, welche Logos ein Anbieter vorweisen kann, sondern was tats\u00e4chlich gepr\u00fcft wurde und wie Informationssicherheit im t\u00e4glichen Betrieb umgesetzt wird.<\/p>\n F\u00fcr die Auswahl eines CRM-Anbieters sollten Unternehmen deshalb insbesondere folgende Fragen stellen:<\/p>\n F\u00fcr die Bewertung eines CRM-Anbieters helfen unter anderem folgende Fragen: Informationssicherheit, Hosting und digitale Souver\u00e4nit\u00e4t sind eng miteinander verbunden, sollten jedoch getrennt betrachtet werden.<\/p>\n Informationssicherheit:<\/strong> Hosting:<\/strong> Digitale Souver\u00e4nit\u00e4t:<\/strong> Mit den 2026 ver\u00f6ffentlichten C3A \u2013 Criteria enabling Cloud Computing Autonomy \u2013 stellt das BSI einen Kriterienrahmen bereit, der Unternehmen dabei unterst\u00fctzen soll, die eigene Handlungsf\u00e4higkeit und Abh\u00e4ngigkeiten beim Einsatz von Cloud-Diensten zu bewerten.<\/p>\n Damit erweitert sich die Perspektive \u00fcber Informationssicherheit hinaus: F\u00fcr Unternehmen stellt sich zunehmend auch die Frage, wie austauschbar Anbieter und Technologien sind und wie viel Kontrolle \u00fcber Daten, Betrieb und Weiterentwicklung langfristig erhalten bleibt.<\/p>\n CRM-Systeme b\u00fcndeln zentrale Informationen und Prozesse rund um Kundenbeziehungen. Sie sind somit gesch\u00e4ftskritische Anwendungen und Informationssicherheit sollte deshalb ein fester Bestandteil jeder CRM-Auswahl sein.<\/p>\n Zertifizierungen und unabh\u00e4ngige Pr\u00fcfungen liefern daf\u00fcr wichtige Anhaltspunkte: ISO\/IEC 27001 gibt Einblick in das Informationssicherheitsmanagement eines Anbieters, ISO 9001 in die Qualit\u00e4t seiner Prozesse und C5 in relevante Sicherheitsaspekte von Cloud-Diensten.<\/p>\n F\u00fcr eine belastbare Entscheidung reicht der Blick auf Zertifikatslogos jedoch nicht aus. Unternehmen sollten pr\u00fcfen, was zertifiziert oder testiert wurde, welchen Geltungsbereich der Nachweis umfasst und wie Sicherheitsprozesse im Alltag umgesetzt werden.<\/p>\n Ein vertrauensw\u00fcrdiger CRM-Anbieter macht diese Punkte transparent und kann nachvollziehbar zeigen, wie Informationssicherheit organisiert, \u00fcberpr\u00fcft und kontinuierlich weiterentwickelt wird.<\/p>\n\n
\nAussagen wie \u201eh\u00f6chste Sicherheitsstandards\u201c, \u201esicheres Hosting\u201c oder \u201eDSGVO-konform\u201c finden sich bei vielen Softwareanbietern. F\u00fcr Unternehmen, die eine gesch\u00e4ftskritische L\u00f6sung ausw\u00e4hlen, reichen solche Versprechen allein jedoch nicht aus. Gefragt sind nachvollziehbare Prozesse, klar geregelte Verantwortlichkeiten und unabh\u00e4ngige Nachweise.<\/p>\nWarum Sicherheitsversprechen allein nicht ausreichen<\/h2>\n
Was bedeutet ISO\/IEC 27001?<\/h2>\n
\nDie Norm versteht Informationssicherheit nicht als einmaliges IT-Projekt, sondern als kontinuierliche Managementaufgabe. Dabei werden Risiken, Ma\u00dfnahmen und Prozesse regelm\u00e4\u00dfig \u00fcberpr\u00fcft und an ver\u00e4nderte Rahmenbedingungen angepasst. Informationssicherheit wird damit nicht nur zu einem bestimmten Zeitpunkt betrachtet, sondern fortlaufend auf den Pr\u00fcfstand gestellt und weiterentwickelt.<\/p>\n\n
![\"CRM](\"https:\/\/www.adito.de\/knowhow\/blog\/wp-content\/uploads\/erfolgsrechner-vorschau.jpg\")
<\/a>Was eine ISO-27001-Zertifizierung nicht bedeutet<\/h3>\n
Was eine ISO-27001-Zertifizierung nicht bedeutet<\/h2>\n
\n
![\"\"](\"https:\/\/www.adito.de\/knowhow\/blog\/wp-content\/uploads\/CTA_CRM-Checkliste-1-scaled.jpg\")
<\/a>
Welche Anforderungen sollte eine CRM-L\u00f6sung erf\u00fcllen? Die kostenfreie CRM-Checkliste b\u00fcndelt wichtige Fragen zu Funktionen, Integration, Sicherheit, Flexibilit\u00e4t, Kosten und Zusammenarbeit.<\/figcaption><\/figure>\nWas eine ISO-27001-Zertifizierung in der Praxis bedeutet<\/h2>\n
1. Verantwortlichkeiten f\u00fcr Informationssicherheit<\/h3>\n
2. Sensibilisierung von Mitarbeitenden<\/h3>\n
3. Steuerung von Zugriffsrechten<\/h3>\n
\nWichtig sind ein nachvollziehbares Berechtigungskonzept, regelm\u00e4\u00dfige \u00dcberpr\u00fcfung und die Anpassung bei organisatorischen Ver\u00e4nderungen.<\/p>\n4. Backup-, Notfall- und Incident-Prozesse<\/h3>\n
5. Kontrollierte Software\u00e4nderungen<\/h3>\n
6. Einbindung von Dienstleistern und Lieferanten<\/h3>\n
ISO 9001: Warum Qualit\u00e4t auch ein Sicherheitsthema ist<\/h2>\n
\nADITO ist neben ISO\/IEC 27001:2022 auch nach ISO 9001:2015 zertifiziert. Das Qualit\u00e4tsmanagement bildet dabei die Grundlage f\u00fcr strukturierte Prozesse, Qualit\u00e4tssicherung und Wissensmanagement.<\/p>\nWarum auch die Cloud-Infrastruktur ber\u00fccksichtigt werden sollte<\/h2>\n
Zertifikate richtig bewerten: Diese Fragen sollten Unternehmen stellen<\/h2>\n
\n\n Welche Zertifizierungen besitzt der Anbieter selbst?<\/a>\n <\/h4>\n <\/div>\n
\n Welchen Geltungsbereich deckt die Zertifizierung ab?<\/a>\n <\/h4>\n <\/div>\n
\n Wie regelm\u00e4\u00dfig finden unabh\u00e4ngige Pr\u00fcfungen statt?<\/a>\n <\/h4>\n <\/div>\n
\n Wie werden Sicherheitsrisiken im Alltag behandelt?<\/a>\n <\/h4>\n <\/div>\n
\n Wie werden Software\u00e4nderungen abgesichert?<\/a>\n <\/h4>\n <\/div>\n
\n Wie werden Dienstleister und Lieferanten gepr\u00fcft?<\/a>\n <\/h4>\n <\/div>\n
\n Welche Nachweise existieren f\u00fcr die Cloud-Infrastruktur?<\/a>\n <\/h4>\n <\/div>\n
Sicherheit, Hosting und digitale Souver\u00e4nit\u00e4t: Drei unterschiedliche Fragen<\/h2>\n
\nWie werden Risiken, Zugriffe und Schutzma\u00dfnahmen systematisch gesteuert?<\/p>\n
\nWo und unter welchen Rahmenbedingungen wird die L\u00f6sung betrieben?<\/p>\n
\nWie unabh\u00e4ngig und handlungsf\u00e4hig bleibt ein Unternehmen gegen\u00fcber Anbietern und Technologien?<\/p>\nFazit: Vertrauen braucht \u00fcberpr\u00fcfbare Grundlagen<\/h2>\n
H\u00e4ufige Fragen zu ISO 27001 und CRM-Sicherheit<\/h2>\n
\n Was bringt eine ISO-27001-Zertifizierung bei einem CRM-Anbieter konkret?<\/a>\n <\/h4>\n <\/div>\n
\nEine ISO-27001-Zertifizierung zeigt, dass ein Anbieter ein strukturiertes Informationssicherheitsmanagementsystem (ISMS) etabliert hat. Das bedeutet, dass Risiken systematisch bewertet, Sicherheitsma\u00dfnahmen definiert und regelm\u00e4\u00dfig \u00fcberpr\u00fcft werden. F\u00fcr Kunden ist das ein wichtiger Nachweis, dass Informationssicherheit nicht zuf\u00e4llig, sondern organisiert und kontinuierlich gesteuert wird.
\n\n <\/div>\n <\/div>\n <\/div>\n Ist ein ISO-27001-Zertifikat eine Garantie f\u00fcr sichere Daten?<\/a>\n <\/h4>\n <\/div>\n
\nNein. ISO 27001 ist kein Garant f\u00fcr absolute Sicherheit. Auch zertifizierte Unternehmen k\u00f6nnen Sicherheitsvorf\u00e4lle erleben. Der entscheidende Vorteil liegt darin, dass Risiken systematisch gemanagt und kontinuierlich verbessert werden, statt ad hoc zu reagieren.
\n\n <\/div>\n <\/div>\n <\/div>\n Worin unterscheidet sich ISO 27001 von ISO 9001 im CRM-Kontext?<\/a>\n <\/h4>\n <\/div>\n
\nISO 27001 fokussiert auf Informationssicherheit und den Schutz sensibler Daten. ISO 9001 hingegen beschreibt Anforderungen an ein Qualit\u00e4tsmanagementsystem, also die strukturierte Steuerung und Verbesserung von Unternehmensprozessen. Beide Normen erg\u00e4nzen sich, da stabile Prozesse auch die Sicherheit indirekt st\u00e4rken.
\n\n <\/div>\n <\/div>\n <\/div>