Die 93 Controls aus Anhang A der ISO 27001:2022 erklärt

Anhang A ist der Teil der ISO 27001, über den am meisten gesprochen wird – und der am häufigsten missverstanden wird. Viele halten ihn für eine Checkliste, die komplett abzuarbeiten ist. Tatsächlich ist er ein Referenzkatalog: eine Sammlung bewährter Sicherheitsmaßnahmen, aus der jedes Unternehmen risikobasiert auswählt, was zu ihm passt.

Dieser Artikel erklärt die Struktur des Anhangs A in der Fassung 2022, stellt die vier Themenfelder mit ihren wichtigsten Controls vor, zeigt, was sich gegenüber der Vorversion geändert hat, und beschreibt den praktischen Umgang mit dem Katalog – vom ersten Abgleich bis zum Statement of Applicability.

Was Anhang A ist – und wie er mit dem Risikoprozess zusammenhängt

Anhang A ist ein normativer Bestandteil der ISO/IEC 27001: eine Liste von 93 Sicherheitsmaßnahmen, im Normtext Controls genannt. Jedes Control besteht aus einer knappen Vorgabe – etwa: Informationen müssen entsprechend ihrer Bedeutung klassifiziert werden. Wie ein Unternehmen das umsetzt, bleibt ihm überlassen; ausführliche Umsetzungshinweise liefert die Schwesternorm ISO 27002.

Der Zusammenhang mit dem Rest der Norm läuft über Kapitel 6.1.3: Nach der Risikoanalyse wählt das Unternehmen Maßnahmen zur Risikobehandlung – frei nach Bedarf. Anschließend gleicht es die gewählten Maßnahmen mit Anhang A ab, um sicherzustellen, dass nichts Wesentliches übersehen wurde. Der Katalog wirkt also wie ein Sicherheitsnetz: Er zwingt niemanden, alles umzusetzen, aber jeder muss zu jedem Control Stellung beziehen.

Das Ergebnis dieses Abgleichs ist das Statement of Applicability (SoA): eine Übersicht aller 93 Controls mit der Angabe, ob sie anwendbar sind, einer Begründung für Aufnahme oder Ausschluss und dem Umsetzungsstand. Auditoren nutzen das SoA als Landkarte für das gesamte Audit – entsprechend sorgfältig sollte es gepflegt sein.

Die vier Themenfelder im Überblick

Mit der Revision 2022 wurde der Katalog neu geordnet: Statt 114 Controls in 14 Kapiteln gibt es nun 93 Controls in vier Themenfeldern, sortiert danach, wer sie typischerweise umsetzt:

Zusätzlich ordnet die Norm jedem Control sogenannte Attribute zu – etwa Control-Typ (präventiv, detektiv, korrektiv) oder betroffene Schutzziele. Diese Attribute sind optionale Sortierhilfen, keine Pflichten: Sie erleichtern es, den Katalog nach eigenen Fragestellungen zu filtern, etwa für Berichte an die Geschäftsleitung.

A.5: Die 37 organisatorischen Controls

Das größte Themenfeld regelt die Organisation der Sicherheit. Hierzu gehören die Informationssicherheitsleitlinie und themenspezifische Richtlinien (A.5.1), Rollen und Verantwortlichkeiten (A.5.2), die Funktionstrennung (A.5.3) sowie der Kontakt zu Behörden und Interessengruppen. Ein zweiter Block betrifft den Umgang mit Informationswerten: Inventarisierung (A.5.9), zulässige Nutzung, Rückgabe bei Austritt, Klassifizierung (A.5.12) und Kennzeichnung von Informationen.

Praktisch besonders relevant für KMU sind drei Gruppen. Erstens das Lieferantenmanagement (A.5.19 bis A.5.23): Wer Cloud-Dienste oder externe IT-Betreuung nutzt, muss deren Sicherheit bewerten, vertraglich regeln und überwachen – A.5.23 widmet sich ausdrücklich der Cloud-Nutzung. Zweitens das Vorfallsmanagement (A.5.24 bis A.5.28): definierte Meldewege, Bewertung von Ereignissen, Reaktion und das Lernen aus Vorfällen. Drittens Business Continuity (A.5.29 und A.5.30): Sicherheit auch in der Krise aufrechterhalten und die IT-Bereitschaft für den Geschäftsbetrieb planen. Dazu kommen rechtliche Anforderungen, Datenschutz und der Schutz von Aufzeichnungen (A.5.31 bis A.5.37) – hier schließt sich der Kreis zur DSGVO.

A.6: Die 8 personenbezogenen Controls

Das kleinste Themenfeld hat es in sich, denn der Faktor Mensch ist an den meisten Sicherheitsvorfällen beteiligt. Die acht Controls begleiten den gesamten Beschäftigungszyklus: Überprüfung von Bewerbern vor der Einstellung (A.6.1) – im deutschen Rahmen etwa Zeugnisse und Referenzen, bei sensiblen Rollen auch ein Führungszeugnis. Sicherheitspflichten im Arbeitsvertrag (A.6.2), Awareness und Schulungen (A.6.3), ein geregeltes Disziplinarverfahren bei Verstößen (A.6.4) sowie fortbestehende Pflichten nach Vertragsende (A.6.5).

Dazu kommen Vertraulichkeitsvereinbarungen (A.6.6), die Sicherheit bei Remote-Arbeit (A.6.7) – von der Bildschirmsperre im Homeoffice bis zum VPN – und die Pflicht aller Mitarbeitenden, beobachtete Sicherheitsereignisse zu melden (A.6.8). Für KMU liegt hier oft der schnellste Sicherheitsgewinn: Eine jährliche Schulung, klare Regeln fürs Homeoffice und ein niedrigschwelliger Meldeweg kosten wenig und wirken unmittelbar. Wichtig ist die Verzahnung mit der Personalarbeit – Sicherheitsthemen gehören in Onboarding, Arbeitsverträge und Austrittsprozesse, nicht in einen separaten IT-Ordner.

A.7: Die 14 physischen Controls

Informationssicherheit endet nicht am Bildschirm. Die physischen Controls schützen Gebäude, Räume und Geräte: Sicherheitszonen mit definierten Grenzen (A.7.1), geregelter Zutritt (A.7.2), Schutz von Büros und Einrichtungen, laufende Überwachung – das 2022 neu eingeführte Control A.7.4 verlangt, physische Sicherheit auch zu monitoren, etwa durch Alarmanlagen. Dazu kommen Schutz vor physischen und umweltbedingten Bedrohungen wie Feuer oder Wasser (A.7.5), Arbeiten in Sicherheitsbereichen und die Clear-Desk-Regel (A.7.7): aufgeräumte Schreibtische, gesperrte Bildschirme.

Der zweite Block betrifft Ausrüstung: sichere Platzierung von Geräten, Sicherheit von Werten außerhalb des Firmengeländes (A.7.9, relevant für Laptops und mobiles Arbeiten), Speichermedien (A.7.10), Versorgungseinrichtungen wie Strom und Klima, Verkabelung, Wartung und die sichere Entsorgung oder Wiederverwendung von Geräten (A.7.14) – Festplatten werden gelöscht oder vernichtet, nicht einfach entsorgt. Für kleine Unternehmen ohne eigenes Rechenzentrum ist dieses Feld überschaubar: Abschließbare Räume, Alarmanlage, geregelte Schlüsselvergabe und ein Entsorgungsnachweis decken die häufigsten Anforderungen bereits ab.

A.8: Die 34 technologischen Controls

Das zweitgrößte Themenfeld bündelt die klassische IT-Sicherheit. Die wichtigsten Gruppen: Endgeräte und Zugriff (A.8.1 bis A.8.5) – Geräteverwaltung, privilegierte Rechte, Beschränkung des Informationszugriffs, Quellcode-Schutz und sichere Authentifizierung, in der Praxis meist per Multi-Faktor-Authentifizierung. Es folgen Kapazitätsmanagement, Schutz gegen Malware, das Management technischer Schwachstellen (A.8.8) inklusive Patch-Prozess und das 2022 neue Konfigurationsmanagement (A.8.9).

Neu sind auch die Löschung von Informationen (A.8.10), Datenmaskierung (A.8.11), Data Leakage Prevention (A.8.12), die Überwachung von Aktivitäten (A.8.16) und Webfilter (A.8.23). Bewährte Klassiker bleiben: Backups (A.8.13), Redundanz, Protokollierung (A.8.15), Netzwerksicherheit und Netztrennung (A.8.20 bis A.8.22), Kryptografie (A.8.24). Den Abschluss bildet der Entwicklungsblock (A.8.25 bis A.8.34) mit sicherem Entwicklungszyklus, sicherem Codieren (A.8.28), Tests und dem Umgang mit Testdaten – relevant nur für Unternehmen, die selbst Software entwickeln; alle anderen schließen diese Controls begründet aus.

Die 11 neuen Controls seit 2022

Elf Controls kamen mit der Revision 2022 neu hinzu – sie spiegeln die veränderte Bedrohungslage und moderne IT-Landschaften:

• A.5.7 Threat Intelligence: Informationen über aktuelle Bedrohungen sammeln und auswerten – für KMU reicht oft ein Abo der BSI-Warnmeldungen plus Herstellermeldungen.
• A.5.23 Cloud-Sicherheit: Auswahl, Nutzung und Ausstieg bei Cloud-Diensten regeln.
• A.5.30 IKT-Bereitschaft für Business Continuity: IT-Wiederanlauf planen und testen.
• A.7.4 Physische Sicherheitsüberwachung: Räume und Gelände kontinuierlich überwachen.
• A.8.9 Konfigurationsmanagement: Sichere Standardkonfigurationen definieren und durchsetzen.
• A.8.10 Löschung von Informationen: Daten löschen, wenn sie nicht mehr benötigt werden.
• A.8.11 Datenmaskierung: Sensible Daten in Tests und Auswertungen pseudonymisieren.
• A.8.12 Data Leakage Prevention: Abfluss sensibler Daten erkennen und verhindern.
• A.8.16 Überwachung von Aktivitäten: Netzwerke und Systeme auf Anomalien beobachten.
• A.8.23 Webfilter: Zugriff auf schädliche Websites einschränken.
• A.8.28 Sicheres Codieren: Sicherheitsprinzipien in der Softwareentwicklung verankern.

Alle übrigen Controls der Vorversion wurden zusammengeführt oder umformuliert – inhaltlich verloren ging nichts.

So arbeiten Sie praktisch mit den 93 Controls

Der Katalog wirkt auf den ersten Blick erdrückend. In der Praxis hat sich ein dreistufiges Vorgehen bewährt. Erstens: Risikoanalyse zuerst. Wer mit den Controls startet und rückwärts Risiken erfindet, produziert ein Papier-ISMS. Die Maßnahmen müssen aus den eigenen Risiken folgen – der Katalog dient danach als Vollständigkeitsprüfung. Zweitens: ehrlich ausschließen. Nicht anwendbare Controls – typisch sind die Entwicklungs-Controls bei Unternehmen ohne Softwareentwicklung – werden mit einem Satz sauber begründet ausgeschlossen. Das ist keine Schwäche, sondern gewollte Normlogik. Drittens: priorisieren statt alles gleichzeitig. Erfahrungsgemäß tragen wenige Controls den Großteil der Risikominderung: Multi-Faktor-Authentifizierung, getestete Backups, Patch-Management, Berechtigungskonzept, Awareness und Vorfallsmanagement zuerst – kosmetische Feinheiten später.

Ein realistischer Rahmen für kleine Dienstleister: 60 bis 75 anwendbare Controls, davon ein Teil bereits durch vorhandene Praxis abgedeckt. Der Aufwand liegt weniger im Umsetzen als im Nachweisen – pro Control sollte klar sein, wo die Regelung steht und welcher Beleg die Umsetzung zeigt.

Häufige Fragen

Begriffe in diesem Artikel

Verwandte Beiträge