Willkommen zur fünften Ausgabe des S7, dem Club der Souveränen. Diesmal geht es um ein Blatt Papier, das viele für einen Sicherheitsnachweis halten: das ISO-27001-Zertifikat eines Dienstleisters, hinter dem am Ende niemand die Prüfer kontrolliert hat. Außerdem zeigen wir, wie unser E-Mail-Arbeitsplatz aussieht, vom Phishing-Knopf bis zur Verschlüsselung. Und wir beantworten die Frage, warum wir OpenDesk gut finden und trotzdem nicht einsetzen. Viel Spaß beim Lesen. 1. UNTER KUMPELN: Ein Zertifikat im Ordner, kein Prüfer dahinter Vor ein paar Wochen saßen wir in einer Lieferantenprüfung. Ein Dienstleister sollte künftig sensible Daten verarbeiten, und der Nachweis lag schon auf dem Tisch: ein ISO-27001-Zertifikat, sauber gesetzt, mit Nummer, Geltungsdauer und Unterschrift. Auf der Kundenseite war das Thema damit erledigt. Wir haben trotzdem nachgesehen, wer dieses Papier ausgestellt hat. Auf dem Zertifikat fehlte das Akkreditierungssymbol. Die ausstellende Stelle stand in keiner Akkreditierungsdatenbank. Zwei Minuten, kein Treffer. Dahinter stecken zwei Ebenen, die im Alltag ständig durcheinandergehen. Die Zertifizierung ist die eine: Eine Stelle prüft ein Unternehmen und bescheinigt ihm, dass sein Managementsystem für Informationssicherheit der Norm entspricht. Die Akkreditierung ist die andere: Eine staatliche Stelle prüft die Prüfer, also Kompetenz, Unabhängigkeit und Arbeitsweise der Zertifizierungsstelle selbst. In Deutschland macht das die DAkkS, die Deutsche Akkreditierungsstelle. Sie ist die einzige nationale Stelle dafür, gesetzlich verankert über die EU-Verordnung 765/2008. Geprüft wird nach ISO/IEC 17021-1, der Norm für Zertifizierungsstellen, und für ISMS-Zertifikate zusätzlich nach ISO/IEC 27006-1. Der Haken daran: Der Begriff ISO-27001-Zertifikat ist nicht geschützt. Ausstellen darf so ein Papier grundsätzlich jeder. Damit ist auch klar, was ein Zertifikat ohne Akkreditierung aussagt. Es sagt, dass jemand hingeschaut hat. Wie tief, nach welcher Methode und mit welcher Unabhängigkeit, das steht nirgends. Niemand kontrolliert die Prüfer, niemand zieht Konsequenzen, wenn ein Audit oberflächlich läuft. Und international zählt so ein Papier nicht: Nur akkreditierte Zertifikate sind über das IAF-Abkommen gegenseitig anerkannt, das internationale Übereinkommen der Akkreditierungsstellen. In Ausschreibungen fliegen sie deshalb raus, spätestens wenn ein Auftraggeber genauer liest. Ein Zertifikat ist keine Aussage über Sicherheit, sondern über eine Prüfung. Und eine Prüfung ist höchstens so viel wert wie die Stelle, die sie durchgeführt hat. Wer im Lieferantenmanagement ein Zertifikat ablegt, ohne die Herkunft zu prüfen, kauft sich ein gutes Gefühl. Mehr nicht. Das ist gefährlicher als gar kein Nachweis, weil ein Häkchen jede weitere Frage abschneidet. So begegnen wir dem: Wir lesen jedes vorgelegte Zertifikat bis zum Fußtext, dort steht das Akkreditierungssymbol oder eben nicht. Fehlt es, prüfen wir die ausstellende Stelle in der Datenbank der DAkkS, https://www.dakks.de . Bei Stellen aus dem Ausland schauen wir nach, ob deren Akkreditierungsstelle im IAF-Abkommen gelistet ist. Das dauert keine fünf Minuten und ist der billigste Prüfschritt im ganzen Lieferantenmanagement. Zwei Dinge lesen wir: 1. Der Geltungsbereich: Ein Zertifikat deckt oft nur einen Standort oder einen einzelnen Dienst ab, nicht das ganze Unternehmen. Genau der Teil, der Ihre Daten verarbeitet, steht manchmal nicht drin. 2. Die Laufzeit: Ein akkreditiertes Zertifikat gilt drei Jahre. In den beiden Folgejahren bestätigt je ein Überwachungsaudit, dass es noch trägt, danach steht die Rezertifizierung an. Wer diese Nachweise nicht vorlegen kann, hat ein Andenken im Ordner. Ein nicht akkreditiertes Zertifikat ist dabei kein Grund, jemanden vor die Tür zu setzen. Wir sagen dem Dienstleister, was uns fehlt, und fragen nach dem, was wirklich weiterhilft: dem Auditbericht, der Erklärung zur Anwendbarkeit, den offenen Abweichungen. Wer sauber arbeitet, legt das vor. Wer nur ein Papier gekauft hat, wird an dieser Stelle einsilbig. Auch das ist ein Ergebnis. Bei uns steht in der Lieferantenliste heute nicht nur ja oder nein. Es stehen drei Angaben: 1. Ausstellende Stelle 2. Akkreditierung geprüft am 3. Geltungsbereich passt zur beauftragten Leistung Das kostet pro Dienstleister ein paar Minuten im Jahr. Es ist der Unterschied zwischen einem Nachweis und einem Andenken. 2. HAMMER UND SCHLÄGEL: Ein Fenster für Mail und Kalender In dieser Rubrik geht es ums Werkzeug. Heute: Mozilla Thunderbird, https://www.thunderbird.net , bei uns der Arbeitsplatz für die tägliche Kommunikation. Unsere Mail liegt bei mailbox.org, einem deutschen Anbieter, damit die Daten in Deutschland bleiben. Thunderbird ist quelloffen und läuft bei jedem Kollegen. Der Kalender von mailbox.org hängt direkt darin, Zulip läuft im Browser daneben. Wer morgens anfängt, hat Mail und Termine in einem Fenster. Drei Dinge haben wir zusätzlich eingebaut. Einen Melde-Knopf für verdächtige Mails, mit dem eine Meldung einen Klick kostet statt einer Weiterleitung an die IT. Die zentrale Verwaltung der Signaturen, damit nicht jeder Kollege seine eigene Version pflegt. Und OpenPGP für echte Ende-zu-Ende-Verschlüsselung. Das steckt seit Jahren fest in Thunderbird und braucht kein Add-on mehr. Warum wir das so machen: Ein offener Standard-Client bindet uns an kein Ökosystem. Wechselt der Mailanbieter, bleibt der Arbeitsplatz gleich. Die ehrliche Ansage dazu: Diese Einrichtung macht sich nicht von allein. Wir haben Konten, Kalender und Schlüssel pro Arbeitsplatz konfiguriert und dokumentiert, damit ein neuer Kollege nicht wieder bei Null anfängt. Und Verschlüsselung funktioniert nur, wenn die Gegenseite mitmacht. Die meisten unserer Mails gehen weiterhin unverschlüsselt raus. PGP hat sich leider nie in der breiten Öffentlichkeit durchgesetzt. Kommunizieren kann man so aber trotzdem mit uns. 3. ERFAHRUNG AUS DEM CLUB: Wie wir zu OpenDesk stehen Diese Frage hat uns per E-Mail erreicht: Wie halten Sie es eigentlich mit OpenDesk? Kurze Antwort: gut. Wir setzen es trotzdem nicht ein. OpenDesk ist der souveräne Arbeitsplatz aus staatlicher Hand, entwickelt über das Zentrum für Digitale Souveränität, quelloffen. Mehrere Bausteine für Mail, Dateien, Chat, Videokonferenz und Dokumente kommen als ein Paket, gemeinsam betrieben und gemeinsam gepflegt. Genau diese Integrationsarbeit ist der eigentliche Wert der Suite. Bei uns steht der Stack schon: OpenProject, Zulip, mailbox.org, Thunderbird, Nextcloud, Nextcloud Talk und einiges mehr. Jedes Werkzeug haben wir einzeln ausgesucht, und jedes können wir einzeln austauschen, wenn es nicht mehr passt. Diese Beweglichkeit wollten wir nicht gegen ein Bündel eintauschen, auch nicht gegen ein souveränes. Der Preis dafür ist Arbeit, und den zahlen wir jeden Monat. Mehr Systeme heißen mehr Updates, mehr Schnittstellen und mehr Angriffsfläche. Anmeldung, Kalender und Kontakte müssen wir selbst zusammenhalten. Bei OpenDesk erledigt das jemand anderes. Drei Schritte, wenn Sie vor derselben Frage stehen: Erstens: Zählen Sie die Werkzeuge, die Sie wirklich ersetzen müssen. Wer vier oder fünf Bausteine braucht, fährt mit einer fertigen Suite oft besser als mit fünf Einzelentscheidungen. Zweitens: Rechnen Sie Ihre Betriebskapazität ehrlich nach, in Stunden pro Woche. Ein modularer Stack ist kein Sparmodell. Er verschiebt Lizenzkosten in eigene Arbeitszeit. Drittens: Testen Sie an einem echten Ablauf, nicht an einer Funktionsliste. Nehmen Sie einen Vorgang, der bei Ihnen jede Woche läuft, und gehen Sie ihn einmal komplett durch. Die Community Edition von OpenDesk ist kostenlos, https://opendesk.eu . Unser Fazit: Für Häuser ohne eigene Admin-Mannschaft ist OpenDesk der kürzere Weg zur Souveränität. Für uns lohnt sich der Mehraufwand, weil wir die Kontrolle über jeden einzelnen Baustein behalten. Haben Sie auch so eine Frage rund um digitale Souveränität, Zertifikate oder Lieferantenprüfung? Antworten Sie einfach auf diese Mail. Die spannendsten Themen nehmen wir uns hier vor, konkret und mit Handlungsschritten statt Beratersprech. Glück auf Chris -------------------------------------------------------------------- Sie erhalten diese E-Mail, weil Sie sich zum AWARE7 Insider Newsletter angemeldet und Ihre Anmeldung per Double-Opt-in bestätigt haben. Newsletter abbestellen: https://m.a7.de/subscription/3db65aa3-5521-405f-99b0-6b74f38bb337/ -------------------------------------------------------------------- Impressum / Anbieterkennzeichnung gemäß § 5 DDG AWARE7 GmbH Munscheidstraße 14 45886 Gelsenkirchen Deutschland Geschäftsführer: Chris Wojzechowski Registergericht: Amtsgericht Gelsenkirchen, HRB 14935 USt-IdNr.: DE321457114 E-Mail: legal@a7.de Telefon: 0209 8830 6760 Web: https://a7.de Datenschutzerklärung: https://a7.de/datenschutz Security-Kontakt: https://a7.de/.well-known/security.txt --------------------------------------------------------------------