Ein Informationswert ist alles, was Informationen enthält, verarbeitet, überträgt oder trägt und deshalb geschützt werden muss. Dazu gehören die Kundendatenbank ebenso wie der Server, auf dem sie läuft, der Laptop des Vertriebs, die Papierakte im Archiv, der Vertrag mit dem Cloudanbieter und das Wissen der einen Person, die weiß, wie die alte Kalkulationsanwendung funktioniert.
Der Begriff ist die Grundlage des gesamten ISMS. Ohne ihn lässt sich keine Risikoanalyse führen, denn ein Risiko braucht ein Objekt, das bedroht ist.
Warum das Inventar am Anfang steht
ISO/IEC 27001 verlangt in Anhang A ein Verzeichnis der Informationen und der damit verbundenen Werte, jeweils mit einem benannten Eigentümer. Das klingt nach Verwaltungsaufwand und ist in Wahrheit die Voraussetzung für jede spätere Entscheidung. Solange niemand weiß, welche Daten wo liegen, ist jede Aussage über den Schutzbedarf geraten.
Praktisch entsteht das Inventar aus zwei Richtungen. Von oben über die Geschäftsprozesse: Welche Informationen braucht der Prozess, ohne die er stehen bleibt? Von unten über die Systemlandschaft: Was läuft, was ist angeschlossen, was liegt in der Cloud? Die zweite Richtung allein liefert eine IT-Liste, keinen Informationswert-Katalog.
Klassifizierung: mehr als drei Stufen sind selten sinnvoll
Zu jedem Wert gehört ein Schutzbedarf. Üblich sind drei bis vier Stufen — etwa öffentlich, intern, vertraulich, streng vertraulich. Die Stufe leitet sich aus dem Schaden ab, der bei Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit entstünde.
Der häufigste Fehler ist eine zu feine Skala. Wer sechs Stufen einführt, bekommt sechs Stufen im Konzept und zwei in der gelebten Praxis. Der zweithäufigste ist die Klassifizierung ohne Folge: Ein Dokument wird als vertraulich markiert, aber es existiert keine Regel, die für vertrauliche Dokumente etwas anderes vorschreibt als für interne. Dann ist die Markierung Dekoration.
Woran es scheitert
Das Inventar veraltet. Es wird zur Zertifizierung erstellt, im Folgejahr nicht angefasst, und beim Überwachungsaudit stehen darin drei Systeme, die längst abgeschaltet sind, während das im Frühjahr eingeführte Ticketsystem fehlt. Auditoren prüfen das gern gegenläufig: Sie lassen sich ein reales System zeigen und suchen es dann im Verzeichnis.
Der zweite Punkt ist der Eigentümer. „IT” als Eigentümer für alle Werte ist keine Zuordnung, sondern deren Vermeidung. Der Eigentümer muss eine Person mit Entscheidungsbefugnis sein, denn er akzeptiert am Ende auch das Restrisiko.
Und schließlich vergessen viele Verzeichnisse die Werte ohne Stecker: Papierunterlagen, Schlüssel und Ausweise, Beziehungen zu Dienstleistern und personengebundenes Wissen. Gerade Letzteres ist im Mittelstand oft das Risiko mit der größten Schadenshöhe und der geringsten Absicherung.
Ein pragmatischer Einstieg: Beginnen Sie mit den fünf Prozessen, die im Geltungsbereich den größten Anteil an der Wertschöpfung haben, und erfassen Sie nur deren Werte vollständig. Ein kleines, gepflegtes Verzeichnis ist im Audit belastbarer als eine große Liste, die niemand mehr aktualisiert.