Informationswerte: Informationswerte sind alle Daten, Dokumente, Systeme oder auch das Fachwissen von Mitarbeitenden, die für ein Unternehmen einen Wert besitzen und deshalb im Rahmen eines ISMS nach ISO 27001 identifiziert, einem Verantwortlichen zugeordnet und angemessen geschützt werden müssen.
Der Begriff stammt aus der Informationssicherheit und ist bewusst weiter gefasst als „IT-Systeme“: Informationswerte umfassen materielle Werte wie Server, Laptops und Papierakten ebenso wie immaterielle Werte wie Kundendaten, Quellcode, Verträge, Konstruktionspläne oder das Erfahrungswissen einzelner Mitarbeitender. Auch Reputation und Software-Lizenzen zählen dazu.
| Kategorie | Beispiele |
|---|---|
| Physisch | Server, Notebooks, Aktenordner, Datenträger |
| Digital | Datenbanken, Kundendaten, Quellcode, E-Mails |
| Immateriell | Fachwissen, Verträge, Reputation, Lizenzen |
ISO/IEC 27001:2022 verlangt in Anhang A.5.9 ein Inventar der Informationswerte und anderer zugehöriger Werte; jedem Wert muss ein Eigentümer zugeordnet sein, der für Klassifizierung und Schutz verantwortlich ist. Die Erfassung ist kein reiner Verwaltungsakt: Sie bildet die Grundlage der Risikoanalyse nach Kapitel 6.1.2, denn ohne bekannte Werte lassen sich weder Bedrohungen noch deren Auswirkungen sinnvoll bewerten. Fehlt ein vollständiges Inventar, bleibt die gesamte Risikoanalyse lückenhaft – ein Muster, das Auditoren regelmäßig als Feststellung dokumentieren.
In der Praxis genügt für kleine Unternehmen eine übersichtliche Tabelle mit Wertbezeichnung, Kategorie, Standort, Eigentümer und Schutzbedarf; ein aufwendiges CMDB-Tool ist nicht erforderlich, solange die Liste gepflegt und vollständig ist.
Bewährt hat sich zusätzlich eine grobe Klassifizierung nach Schutzbedarf – etwa niedrig, mittel, hoch –, die spätere Entscheidungen zur Risikobehandlung erheblich erleichtert, ohne dass für jeden einzelnen Wert ein eigenes Sicherheitskonzept nötig wird. Ändert sich der Bestand, etwa durch neue Software oder einen Standortwechsel, sollte das Inventar zeitnah aktualisiert werden – nicht erst kurz vor dem nächsten Audit.
Relevanz für die Zertifizierung
Vor dem Stufe-1-Audit bei KCERT sollte ein vollständiges und aktuelles Inventar der Informationswerte vorliegen – der Auditor prüft es als eines der ersten Dokumente, weil darauf die gesamte Risikoanalyse und das Statement of Applicability aufbauen. Häufigster Praxisfehler: Das Inventar erfasst nur IT-Systeme, aber keine Papierakten, Cloud-Dienste oder das Wissen einzelner Schlüsselpersonen. Wer die Liste schlank hält – wenige, aber vollständig erfasste Kategorien statt hunderter Einzelgeräte – spart im laufenden Betrieb erheblichen Pflegeaufwand, ohne an Aussagekraft im Audit zu verlieren.
Häufige Fragen zu Informationswerte
Zu Informationswerten zählen physische Werte wie Server und Aktenordner, digitale Werte wie Datenbanken, Kundendaten und Quellcode sowie immaterielle Werte wie Fachwissen von Mitarbeitenden, Verträge und Reputation. Entscheidend ist nicht die Form, sondern ob der Verlust, die Offenlegung oder die Manipulation des Werts dem Unternehmen schaden würde. ISO 27001 verlangt deshalb ein Inventar über alle Kategorien hinweg.
Ja. Anhang A.5.9 der ISO/IEC 27001:2022 verlangt ein Inventar der Informationswerte und zugehöriger Werte mit benanntem Eigentümer je Wert. Ohne dieses Inventar fehlt die Grundlage für die Risikoanalyse nach Kapitel 6.1.2, weshalb Auditoren es zu Beginn des Stufe-1-Audits als eines der ersten Dokumente einsehen.
Es gibt keine feste Normvorgabe zur Detailtiefe. Für kleine Unternehmen genügt eine kategorienbasierte Liste, etwa 'Notebooks Vertrieb' statt jedes Einzelgeräts, solange Schutzbedarf und Eigentümer klar zugeordnet sind. Wichtiger als Vollständigkeit bis ins letzte Gerät ist, dass keine ganze Kategorie – etwa Papierakten oder Cloud-Dienste – schlicht vergessen wird.