Wenn über Informationssicherheit gesprochen wird, fällt ein Name fast immer: ISO 27001. Für viele klingt es nach einem dieser kryptischen Kürzel, die nur Berater, Auditoren und IT-Abteilungen verstehen. Manche halten es für eine rein formale Zertifizierung, eine Pflichtübung, um Kunden oder Aufsichtsbehörden zufriedenzustellen. Doch hinter der nüchternen Bezeichnung steckt weit mehr: ISO 27001 ist ein weltweit anerkannter Standard, der den Rahmen vorgibt, wie Organisationen ihre Informationssicherheit systematisch planen, umsetzen, überwachen und verbessern können. Wer ihn richtig versteht, erkennt, dass es nicht nur um IT geht, sondern um ein strategisches Managementsystem, das tief in die Organisation hineinwirkt. ISO 27001 macht Informationssicherheit mess-, steuer- und auditierbar und bringt damit Ordnung in ein Feld, das sonst leicht zur Ansammlung isolierter Maßnahmen verkommt.

Ein kurzer Blick zurück: Von BS 7799 zur globalen Referenz

Um zu verstehen, warum ISO 27001 so wichtig ist, lohnt ein Blick zurück. In den 1990er-Jahren wuchs die Erkenntnis, dass Informationssicherheit nicht nur aus technischen Maßnahmen wie Firewalls und Virenscannern bestehen kann. Unternehmen bauten globale Lieferketten auf, verarbeiteten Daten grenzüberschreitend und setzten immer stärker auf vernetzte Systeme. Gleichzeitig nahmen Angriffe zu, der Markt professionalisierte sich. Die British Standards Institution veröffentlichte 1995 den BS 7799, den direkten Vorläufer von ISO 27001. Ziel war es, einen strukturierten, nachvollziehbaren Ansatz für das Management von Informationssicherheit zu schaffen – mit klaren Rollen, Prozessen und Nachweisen. 2005 wurde der Standard zusammen mit der International Organization for Standardization weiterentwickelt und als ISO/IEC 27001 international etabliert. Seitdem gab es wichtige Anpassungen, zuletzt 2022: ISO/IEC 27001:2022 passt Terminologie, Struktur und Anhang A an die modernisierte ISO/IEC 27002:2022 an.

Wenn wir heute über Informationssicherheit sprechen, denken wir fast automatisch an digitale Angriffe, Firewalls, Passwörter und Verschlüsselung. Der Begriff wirkt untrennbar mit dem Internet verbunden. Dabei ist Informationssicherheit deutlich älter als die digitale Vernetzung. Sie beginnt nicht mit Computern, sondern mit den ersten Versuchen, Wissen, Daten und strategisch wichtige Fakten vor unbefugtem Zugriff zu schützen. Lange bevor Hacker aus dunklen Kellern und staatliche Cyberoperationen Schlagzeilen machten, mussten Unternehmen, Regierungen und Militärs dafür sorgen, dass Informationen nicht in falsche Hände gerieten. Nur waren die Bedrohungen damals anderer Natur – und die Schutzmaßnahmen sahen ganz anders aus. In einer Welt ohne digitale Kopien existierte jede Information auf einem physischen Medium: handgeschriebene Dokumente, gedruckte Akten, Mikrofilmrollen, Magnetbänder oder sogar in den Köpfen ausgewählter Personen. Wer eine Information stehlen wollte, musste nicht durch eine Firewall, sondern durch eine verschlossene Tür, an einem Pförtner vorbei oder in ein gesichertes Archiv eindringen. Und wer sie schützen wollte, setzte auf Schlösser, Tresore, Wachpersonal und strenge Zugangsprotokolle. Informationssicherheit bedeutete damals, die physische Kontrolle über das Medium zu behalten, auf dem die Information existierte. Diese grundlegende Idee – Kontrolle über das Trägermedium, Kontrolle über die Personen, Kontrolle über die Wege – prägt bis heute jedes moderne Sicherheitskonzept, auch wenn sich die Träger, Personen und Wege massiv verändert haben.

Militärische Kryptographie und staatliche Geheimhaltung

Besonders weit entwickelt war die Informationssicherheit schon früh im militärischen Bereich. Schon im 19. Jahrhundert kannten Armeen die Notwendigkeit, Operationspläne, technische Baupläne oder diplomatische Depeschen vor neugierigen Augen zu verbergen und bei Bedarf zu verschlüsseln. Im Ersten und Zweiten Weltkrieg wurden ganze Abteilungen damit beauftragt, Nachrichten unlesbar zu machen und gleichzeitig feindliche Chiffren zu knacken. Die berühmte Enigma-Maschine der deutschen Wehrmacht ist nur das bekannteste Beispiel, doch sie steht stellvertretend für ein umfassendes System aus Verschlüsselung, Schlüsselverwaltung, Kurierdiensten, Funkdisziplin, Tarnbegriffen, abgestuften Geheimhaltungsgraden und strenger Sanktionskultur. Die Antwort der Alliierten – die Codeknacker in Bletchley Park um Alan Turing – ist legendär und zeigt zugleich, dass Informationssicherheit nie nur Technik ist. Es geht ebenso um Organisation, Geheimhaltung, disziplinierte Arbeitsteilung, Redundanz und die Fähigkeit, Fehlerquellen im eigenen System zu erkennen und zu korrigieren. In diesem Umfeld entstanden Prinzipien, die später in die Managementsysteme der zivilen Wirtschaft gewandert sind: „Need to know“ statt „nice to have“, Schlüsseltausch nach definierten Intervallen, Vier-Augen-Prinzip bei besonders sensiblen Operationen, die klare Trennung von Rollen und Verantwortlichkeiten sowie eine kompromisslose Dokumentation von Veränderungen an Verfahren und Material.

Es gab eine Zeit, in der ein „Hackerangriff“ noch so simpel war, dass er mit wenigen Tastenanschlägen und einem guten Gedächtnis durchgeführt werden konnte. In den 1980er-Jahren bestand ein typischer Angriff häufig darin, das Passwort eines Kollegen zu erraten, einen einfachen Standardzugang zu nutzen oder eine öffentlich zugängliche Systemlücke auszuprobieren. Die ersten digitalen Einbrüche waren oft das Ergebnis von Neugier, technischem Spieltrieb und der Lust am Ausprobieren, nicht von krimineller Energie. Heute dagegen sprechen wir von hochgradig professionell organisierten Cyberoperationen, die sich über Ländergrenzen hinweg koordinieren, ganze Industriezweige lahmlegen, Milliardenverluste verursachen und sogar politische Machtverhältnisse beeinflussen können. Die Entwicklung von diesen Anfängen zu den komplexen, globalen Bedrohungen unserer Zeit ist eine Geschichte von technologischem Fortschritt, wachsendem wirtschaftlichem Interesse und einer stetigen Professionalisierung der Angreifer. Wer diese Entwicklung nachvollzieht, erkennt, warum Informationssicherheit nicht länger als punktuelle Maßnahme verstanden werden kann, sondern als Dauerzustand, als Fähigkeit, trotz Störungen zu funktionieren, schnell zu reagieren, sich anzupassen und gestärkt aus Vorfällen hervorzugehen.

Die frühen Jahre: Sportlicher Wettbewerb und technische Neugier

In den Anfangsjahren der Vernetzung, Ende der 1970er- und in den 1980er-Jahren, war Hacking häufig eher ein sportlicher Wettbewerb. Viele der frühen Computerpioniere wollten beweisen, dass sie Systeme verstehen und austricksen konnten. Wer es schaffte, sich in ein Bulletin Board System oder einen Uni-Mainframe einzuloggen, gehörte zu einem kleinen Kreis von Eingeweihten. Dabei ging es selten um Geld. Stattdessen stand der Reiz im Vordergrund, etwas Verbotenes zu tun, ohne erwischt zu werden, und sich dadurch einen Namen in der Szene zu machen. Ein legendäres Beispiel aus dieser Zeit ist der „Morris Worm“ von 1988. Robert Tappan Morris, ein Student, wollte eigentlich nur herausfinden, wie groß das Internet war. Sein Programm sollte sich kontrolliert von Rechner zu Rechner ausbreiten, um eine Zählung durchzuführen. Doch ein Fehler im Code sorgte dafür, dass der Wurm sich ungebremst vervielfältigte und einen großen Teil des damals noch kleinen Internets lahmlegte. Der Schaden war immens, doch die Motivation dahinter war nicht kriminell – es war ein Experiment, das aus dem Ruder lief. Diese Phase war geprägt von einer informellen Ethik: Wissen teilen, Barrieren überwinden, Systeme verstehen. Die Werkzeuge waren einfach, die Angriffsflächen klein, die Verteidiger oft ahnungslos, aber die Konsequenzen meist überschaubar.

Wenn wir heute das Wort „Hacker“ hören, schießen den meisten sofort stereotype Bilder in den Kopf: ein dunkler Raum, das fahle Licht eines Monitors, grüne Zeichenketten, die über den Bildschirm laufen, und irgendwo eine Person mit Kapuzenpulli, die blitzschnell tippt. Dieses Bild ist das Produkt von Filmen, Schlagzeilen und Popkultur – und es hat mit der Realität nur am Rande zu tun. Die Wahrheit ist: Hacker gibt es, seit es komplexe Systeme gibt. Lange bevor es Computer und Internet gab, versuchten Menschen, diese Systeme zu verstehen, zu hinterfragen, zu manipulieren oder zu verbessern. Die Geschichte des Hackens beginnt nicht mit Silicon Valley, sondern reicht zurück in eine Zeit, in der Nachrichten über optische Signale übertragen wurden und Telefonnetze noch von mechanischen Wählscheiben beherrscht wurden.

Frühe Systeme: Telegraf, Funk und der Informationsvorsprung

Der erste bekannte „Hack“ fand im Jahr 1834 statt und hatte mit Elektronik noch nichts zu tun. In Frankreich betrieb die Regierung ein hochmodernes optisches Telegrafensystem, bei dem Signale über große Entfernungen mithilfe von mechanischen Armen und Sichtlinien weitergegeben wurden. Zwei findige Geschäftsmänner, François und Joseph Blanc, erkannten, dass dieses Netz ihnen einen entscheidenden Vorteil an der Börse verschaffen konnte. Sie bestachen einen Telegrafenbeamten, der in den offiziellen Übertragungen winzige, kaum wahrnehmbare Veränderungen vornahm – Änderungen, die für Außenstehende bedeutungslos wirkten, für die beiden jedoch verschlüsselte Botschaften darstellten. So erhielten sie Kursinformationen schneller als alle anderen und konnten diese für gewinnbringende Geschäfte nutzen. Es war der erste dokumentierte Fall, bei dem ein bestehendes Kommunikationssystem manipuliert wurde, um einen Informationsvorsprung zu erlangen – der Urtypus des Hackens. Das 19. und frühe 20. Jahrhundert kannte viele solcher Manipulationen, auch wenn niemand sie damals als „Hacks“ bezeichnete. In den USA etwa nutzten Kriminelle schon in den 1860er-Jahren Telegrafenleitungen, um Pferderenn-Ergebnisse zu verzögern oder zu verändern und damit Wetten zu manipulieren; in den 1920er-Jahren traten Funkpiraten auf den Plan, die Radiowellen kaperten, um eigene Botschaften auszustrahlen oder offizielle Übertragungen zu stören. In allen Fällen ging es darum, die Funktionsweise eines Systems zu verstehen, seine Grenzen auszutesten und es dann kreativ – oder kriminell – zu nutzen.

Seit Jahren diskutieren Politik, Wirtschaft und IT-Sicherheits-Expert:innen über die Frage, wie man die digitale Widerstandsfähigkeit (Resilienz) von Finanzunternehmen in Europa einheitlich, verbindlich und zukunftsfähig gestalten kann. Cyberangriffe, Systemausfälle und Abhängigkeiten von kritischen Dienstleistern sind längst nicht mehr theoretische Risiken, sondern harte Realität. Mit dem Digital Operational Resilience Act – kurz DORA – hat die Europäische Union nun ein Regelwerk geschaffen, das genau hier ansetzt: einheitliche, verbindliche und umfassende Anforderungen an den Umgang mit IKT-Risiken in der Finanzbranche. Das Ziel ist klar: Finanzunternehmen sollen in der Lage sein, auch unter extremen digitalen Störungen weiter handlungsfähig zu bleiben. Doch was heißt das konkret? Und warum betrifft es so viele Unternehmen viel direkter, als manche denken?

Dieser Beitrag erklärt DORA verständlich und praxisnah: von Geltungsbereich und Kernanforderungen über Governance und Testkonzepte bis hin zu konkreten Umsetzungsschritten, KPIs und typischen Fallstricken. Er richtet sich an Praktiker:innen, die in kurzer Zeit einen klaren Umsetzungsplan brauchen – und an Führungskräfte, die wissen wollen, wofür sie Verantwortung tragen.