Auf den Punkt: Für SaaS-Anbieter ist ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 vom Nice-to-have zum Vertriebsargument geworden. Größere Kunden machen den Vertragsabschluss zunehmend von einem Sicherheitsnachweis abhängig. Wer das Zertifikat nicht vorlegen kann, fällt im Auswahlprozess oft schon vor dem ersten Gespräch durch. Dieser Beitrag erklärt, warum das so ist, wie der Aufbau abläuft und mit welchem Aufwand SaaS-Unternehmen rechnen sollten.
Was ISO 27001 und ein ISMS überhaupt sind
ISO/IEC 27001 ist die international führende Norm für Informationssicherheit. Sie zertifiziert nicht einzelne Produkte, sondern ein Managementsystem – also den organisatorischen Rahmen, mit dem ein Unternehmen Informationsrisiken systematisch erkennt, bewertet und behandelt. Dieses System heißt ISMS (Information Security Management System).
Der Kern der Norm ist ein risikobasierter, fortlaufender Verbesserungsprozess: Risiken identifizieren, geeignete Maßnahmen auswählen, umsetzen, überwachen und nachbessern. Die Norm gibt im Anhang A einen Katalog von Sicherheitsmaßnahmen vor (Controls), aus dem ein Unternehmen begründet auswählt, welche für seinen Kontext relevant sind. Genau diese Systematik – nicht ein einzelnes Firewall-Häkchen – ist es, was Kunden überzeugt.
Warum SaaS-Kunden das Zertifikat zunehmend verlangen
Ein SaaS-Anbieter verarbeitet die Daten seiner Kunden auf der eigenen Plattform. Aus Sicht des Kunden ist der Anbieter damit ein Auftragsverarbeiter und ein potenzielles Einfallstor: Ein Sicherheitsvorfall beim SaaS-Anbieter ist faktisch ein Vorfall beim Kunden. Das treibt drei Anforderungen:
- Vendor Risk Management: Größere Unternehmen prüfen ihre Lieferanten systematisch. Im Sicherheitsfragebogen („Security Questionnaire“) ist „Sind Sie ISO 27001 zertifiziert?“ oft die erste Frage. Ein gültiges Zertifikat ersetzt seitenlange Einzelnachweise.
- Vertragliche Anforderungen: Einkaufsabteilungen und Compliance-Teams schreiben Sicherheitsnachweise zunehmend in die Verträge. Ohne Zertifikat scheidet ein Anbieter im Procurement schlicht aus.
- Regulatorischer Druck: Mit der NIS2-Richtlinie und branchenspezifischen Vorgaben steigt der Druck auf die gesamte Lieferkette. Regulierte Kunden geben ihre Anforderungen an ihre Dienstleister weiter – und SaaS-Anbieter sind Teil dieser Kette.
Kurz: Das Zertifikat ist weniger ein Compliance-Selbstzweck als ein Türöffner für den Enterprise-Vertrieb. Es verkürzt Sales-Zyklen, weil es die langwierige Sicherheitsprüfung des Kunden vorwegnimmt.
So läuft der Aufbau eines ISMS ab
Der Weg zur Zertifizierung folgt in der Regel diesen Phasen:
- Scoping: Festlegen, welche Teile des Unternehmens und welche Systeme das ISMS umfasst (etwa die SaaS-Plattform und die zugehörige Entwicklungs- und Betriebsorganisation).
- Gap-Analyse: Abgleich des Ist-Zustands mit den Normanforderungen. Wo fehlen Richtlinien, Prozesse oder technische Maßnahmen?
- Risikoanalyse und Maßnahmenplan: Risiken bewerten, Controls aus Anhang A auswählen, eine Anwendbarkeitserklärung (Statement of Applicability) erstellen.
- Umsetzung: Richtlinien einführen, technische Maßnahmen umsetzen, Mitarbeitende schulen, Nachweise dokumentieren.
- Internes Audit und Management-Review: Pflicht vor der Zertifizierung – das ISMS muss sich selbst überprüfen.
- Zertifizierungsaudit: Eine akkreditierte Zertifizierungsstelle prüft in zwei Stufen (Dokumenten- und Vor-Ort-/Remote-Audit) und stellt bei Erfolg das Zertifikat aus.
Nach der Zertifizierung folgen jährliche Überwachungsaudits; nach drei Jahren steht die Rezertifizierung an. Ein ISMS ist also kein Projekt mit Enddatum, sondern ein Dauerbetrieb.
Aufwand und Dauer realistisch einschätzen
Der Weg zur Erstzertifizierung dauert nach Branchenangaben typischerweise zwischen sechs und zwölf Monaten – abhängig von Reifegrad, Unternehmensgröße und verfügbaren Ressourcen. Für kleinere SaaS-Anbieter, die ohnehin technisch sauber aufgestellt sind, geht es eher schneller; wer bei null startet, braucht länger.
| Posten | Was dahintersteckt |
|---|---|
| Interner Personalaufwand | Größter Kostenblock: ISMS-Verantwortliche, Dokumentation, Schulung, internes Audit |
| Beratung / Tool | Externe Unterstützung oder ISMS-Software für Risikoregister, Richtlinien, Nachweise |
| Zertifizierungsstelle | Auditkosten der akkreditierten Stelle – skaliert mit Unternehmensgröße und Scope |
| Laufende Pflege | Jährliche Überwachungsaudits und kontinuierlicher Betrieb des ISMS |
Konkrete Zertifizierungskosten variieren stark mit Größe und Scope. Für kleine Unternehmen beginnen die Gesamtkosten branchentypisch im niedrigen fünfstelligen Bereich; bei größeren Organisationen liegen allein die Auditkosten deutlich höher. Der dominierende Faktor ist fast immer der interne Personalaufwand – nicht die Rechnung der Zertifizierungsstelle. Plattformgestützte Ansätze senken genau diesen Aufwand, weil sie Richtlinien, Risikoregister und Nachweisführung vorstrukturieren.
ISO 27001 oder TISAX, SOC 2 und Co.?
SaaS-Anbieter stoßen im Vertrieb auf verschiedene Sicherheitsnachweise – und nicht jeder Kunde verlangt denselben. ISO 27001 ist der international breiteste und in Deutschland am häufigsten verlangte Standard; das Zertifikat einer akkreditierten Stelle wird praktisch überall anerkannt. Der US-amerikanische SOC-2-Report ist vor allem für Kunden aus dem nordamerikanischen Raum relevant, während TISAX die Automobilbranche bedient.
Für die meisten deutschen und europäischen SaaS-Anbieter ist ISO 27001 deshalb die naheliegende Wahl: Sie deckt die größte Zahl an Kundenanforderungen mit einem einzigen Audit ab und bildet zugleich das Fundament, auf dem weitere Nachweise – etwa für regulierte Branchen – aufgesetzt werden können. Wer das ISMS einmal sauber etabliert hat, kann zusätzliche Anforderungen mit überschaubarem Mehraufwand bedienen, weil die grundlegende Sicherheitsorganisation bereits steht.
So halten Sie den Aufwand klein
- Scope eng fassen: Zertifizieren Sie zunächst das, was Kunden sehen wollen – die Plattform und ihren Betrieb. Eine zu breite Scope-Definition treibt Aufwand und Auditkosten.
- Vorhandenes nutzen: Wer bereits DSGVO-Prozesse, Verschlüsselung und Zugriffskontrollen betreibt, hat einen Großteil der Controls schon erfüllt – sie müssen nur dokumentiert werden.
- Plattform statt Excel: Risikoregister und Nachweise in einer dafür gemachten Lösung zu führen, spart im Audit erheblich Zeit.
- Früh Verantwortliche benennen: Ein ISMS ohne klare Zuständigkeit bleibt liegen.
Gerade für SaaS-Teams, deren Stärke im Produkt liegt und nicht in der Compliance-Bürokratie, lohnt sich ein strukturierter Ansatz. Ein ISMS für SaaS-Anbieter hilft, Richtlinien, Risikobewertung und Audit-Nachweise so vorzustrukturieren, dass der interne Aufwand beherrschbar bleibt.
FAQ
Müssen wir als kleiner SaaS-Anbieter wirklich ISO 27001 haben?
Eine gesetzliche Pflicht besteht in den meisten Fällen nicht. Faktisch verlangen größere Kunden den Nachweis aber im Vendor-Assessment – ohne ihn fallen Sie im Procurement oft heraus. Es ist also ein Vertriebsthema, kein reines Compliance-Thema.
Wie lange dauert die Erstzertifizierung?
Branchentypisch sechs bis zwölf Monate, abhängig von Reifegrad, Größe und Ressourcen. Technisch ohnehin gut aufgestellte Teams sind schneller.
Was kostet die Zertifizierung?
Das hängt stark von Unternehmensgröße und Scope ab. Der größte Kostenblock ist meist nicht die Zertifizierungsstelle, sondern der interne Personalaufwand für Aufbau und Betrieb des ISMS.
Ist das Zertifikat ein einmaliger Aufwand?
Nein. Nach der Erstzertifizierung folgen jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung. Das ISMS muss dauerhaft betrieben und gepflegt werden.
Fazit
Für SaaS-Anbieter hat sich ISO 27001 vom abstrakten Compliance-Ziel zum konkreten Vertriebshebel entwickelt: Das Zertifikat öffnet die Tür zu größeren, regulierten Kunden und verkürzt deren Sicherheitsprüfung. Der Aufbau folgt einem klaren Phasenmodell und dauert meist sechs bis zwölf Monate. Wer den Scope eng fasst, vorhandene Sicherheitsmaßnahmen sauber dokumentiert und ein strukturiertes Vorgehen wählt, hält den Aufwand beherrschbar – und macht aus einer lästigen Kundenanforderung ein Verkaufsargument.
