Welche ISMS Tools nutzt ihr eigentlich?

VonJulian Bednara

„Was nutzt Ihr eigentlich für Euer ISMS?? Excel, Word, SharePoint – oder etwas Spezifischeres?“ Die Frage kam keine fünf Minuten nach Beginn des Workshops. Ich saß mit einem Team aus IT-Leitung, Compliance und einem externen Dienstleister zusammen. Es ging eigentlich um Rollen, Zuständigkeiten und Dokumentationslogik. Aber der Tool-Wunsch lag spürbar in der Luft – wie eine Abkürzung, die alle suchten. Dabei gilt: Auch Excel kann ein valider Einstieg sein – solange Struktur, Nachvollziehbarkeit und Verantwortlichkeiten gewährleistet sind.

Ich erlebe das oft: Sobald das Wort „ISMS“ fällt, geht es nicht lange, bis jemand nach dem passenden Tool fragt. Am liebsten eine Lösung, die „alles abbildet“. Eine, mit der man nicht nur dokumentieren, sondern gleich das ganze System „managen“ kann – am besten automatisch.

Was ich dann meist tue? Erstmal: nichts. Denn so verlockend es ist, die Toolfrage direkt zu beantworten – sie kommt fast immer zu früh. Und wenn man sie zu früh beantwortet, stellt man sie später nochmal. Und nochmal. Bis klar wird: Nicht das Tool ist das Problem. Sondern das, was es eigentlich abbilden soll.

Warum ISMS Tools keine Lösung sind

Die Frage nach dem richtigen ISMS Tool klingt erstmal harmlos. Oft wirkt sie sogar professionell – als wüsste man schon, worauf es ankommt. Aber in Wirklichkeit steht dahinter oft ein Denkfehler: Man sucht die Lösung im Werkzeug, nicht im Vorgehen. Und genau das führt regelmäßig in die Sackgasse.

Viele Organisationen starten mit einem ambitionierten Ziel: „Wir wollen ein funktionierendes ISMS.“ Doch statt sich mit Prozessen, Rollen, Verantwortlichkeiten oder Dokumentationspflichten zu befassen, beginnt die Diskussion mit: „Nehmen wir Excel, SharePoint oder lieber ein spezialisiertes Tool?“ Der Fokus verschiebt sich – weg von der Frage was man braucht, hin zu womit man es abbildet.

Das Problem daran: Wer kein klares Bild davon hat, was strukturiert werden soll, wird auch mit dem besten Tool nur Chaos erzeugen – strukturiertes Chaos. Ich habe schon ISMS-Tabellen gesehen, die in Excel mit 20 Reitern arbeiteten, kryptischen Kürzeln, und einer Pflegekomplexität, die niemand mehr verstand. Aber: „Wir haben was – und es ist vollständig.“ Zumindest auf dem Papier.

Ein anderes häufiges Missverständnis: Automatisierung. Viele hoffen, dass ein Tool Dinge „automatisch“ erledigt – Fristen, Erinnerungen, Reports. Doch Tools automatisieren Workflows, nicht das Denken. Sie verstärken lediglich, was bereits strukturiert vorhanden ist – nicht das Risikobewusstsein oder die Verantwortlichkeitskultur. Wenn das ISMS inhaltlich wackelt, wird es durch ein Tool nicht besser – nur hübscher.

Deshalb gilt: Wer frühzeitig auf Tools setzt, überspringt oft die eigentliche Strukturarbeit. Und merkt zu spät, dass genau diese fehlt. Die Folge: Nach Monaten Toolnutzung steht man wieder am Anfang – aber mit mehr Frust und einem noch unübersichtlicheren System.

Erst Struktur, dann Tool

Wenn mich jemand fragt, welches ISMS Tool ich empfehle, frage ich meist zurück: „Was genau willst Du denn damit abbilden?“ Denn aus meiner Sicht kommt das Tool immer zuletzt – nach Prozessen, Rollen, Inhalten und Zielen. Nicht davor.

Ein funktionierendes ISMS basiert nicht auf Software, sondern auf Struktur. Wer macht was? Wann? Warum? Wer trägt welche Verantwortung? Und wie dokumentieren wir das? Diese Klarheit ist auch entscheidend im Hinblick auf gesetzliche Vorgaben wie Art. 32 DSGVO – der „Sicherheit der Verarbeitung“ – und normative Anforderungen aus ISO 27001, insbesondere zum Risikomanagement. Solange diese Fragen nicht klar beantwortet sind, bleibt jede Toolentscheidung eine Wette ins Ungewisse.

Bevor ich ein Tool empfehlen kann, brauche ich Antworten auf grundlegende Fragen:

  • Was soll abgebildet werden? Geht es um Policies, um Risikomanagement, um Maßnahmenpläne – oder alles zusammen?
  • Wer arbeitet damit? Nur die IT oder auch HR, Einkauf, Geschäftsführung? Sollen externe Dienstleister Zugriff haben?
  • Welche Anforderungen existieren? Reicht eine einfache Dokumentation, oder braucht es Workflowsteuerung, Fristmanagement, Nachweispflichten?

Die besten Tools sind nutzlos, wenn die Nutzenden nicht wissen, wofür sie sie einsetzen sollen.

Ein Beispiel aus meiner Praxis: Zwei mittelständische Unternehmen, beide mit etwa 200 Mitarbeitenden, beide mit der Aufgabe, ein ISMS aufzubauen. Firma A begann mit einer Toolrecherche. Man testete drei Lösungen, evaluierte Funktionen, diskutierte über Bedienbarkeit. Parallel wurde „mal angefangen“ mit ersten Inhalten. Nach sechs Monaten stand ein Tool – aber keine ISMS-Struktur. Rollen unklar, Prozesse lückenhaft, Verantwortlichkeiten diffus. Ergebnis: hoher Frust, hoher Aufwand, wenig Wirkung.

Firma B ging anders vor. Zunächst wurde ein gemeinsames Verständnis entwickelt: Welche Anforderungen haben wir überhaupt? Wer ist wofür zuständig? Wie sieht unser Informationssicherheitsprozess aus – unabhängig vom Tool? Man arbeitete zunächst mit Word, Excel und einem gemeinsam gepflegten SharePoint. Erst nach drei Monaten – als Inhalte, Rollen und ein erstes Risikoregister standen – wurde ein Tool eingeführt. Der Umstieg war glatt, das Tool wurde zielgerichtet genutzt. Ergebnis: Wenig Diskussionen, hoher Nutzen, gute Akzeptanz.

Das zeigt: Tools sind keine Strukturgeber – sie sind Strukturverstärker. Wenn die Inhalte klar sind, kann ein Tool dabei helfen, Übersicht zu behalten, Fristen zu steuern oder Reports zu erstellen. Wenn aber noch gar nicht klar ist, wasüberhaupt dokumentiert oder gesteuert werden soll, entsteht eher Verwirrung.

Ich empfehle deshalb: Beginnt mit den Basics. Nehmt Euch die Zeit, Prozesse zu skizzieren, Rollen zu klären, Inhalte zu definieren. Erst wenn das steht, wird die Toolfrage konkret – und sinnvoll. Dann lässt sich auch gezielt auswählen: Brauchen wir eine spezialisierte ISMS-Lösung? Oder reicht ein SharePoint mit sauberer Struktur?

Tools sind Werkzeuge – keine Strategien. Sie lösen keine Probleme, die noch nicht durchdacht sind. Aber sie können hervorragend dabei helfen, gute Strukturen effizient umzusetzen. Wenn sie zu diesen Strukturen passen.

Was Du mitnehmen kannst

Viele Diskussionen rund um ISMS Tools starten zu früh – und führen dann in die Irre. Aus meiner Sicht lassen sich drei zentrale Learnings ableiten:

  • Tools lösen kein Chaos – sie strukturieren, was da ist. Ohne klare Prozesse, definierte Rollen, dokumentierte Risiken und abgestimmte Inhalte wird jedes Tool zur schönen Verpackung von Unsicherheit.
  • Wer zu früh über Tools spricht, verzögert den Prozess. Denn statt Entscheidungen zu klären, wird über Funktionen diskutiert – oft ohne Bezug zum eigenen Bedarf.
  • Toolwahl ist Organisationsentwicklung, kein Einkauf. Es geht nicht um Softwarefunktionen, sondern um die Frage, wie Eure Organisation mit Verantwortung, Dokumentation und Zusammenarbeit umgeht.

Wenn Ihr also gerade in der ISMS Tool Auswahl steckt oder eine Einführung plant – stellt Euch zuerst diese drei Fragen. Nur mit klaren Anforderungen und einem strukturierten Informationssicherheitsprozess lässt sich ein Tool sinnvoll bewerten und integrieren:

  • Wisst Ihr, was Ihr wirklich abbilden wollt?
  • Welche Rollen sollen das Tool nutzen – und wie?
  • Gibt es schon Klarheit, was dokumentiert werden muss – und was nicht?

Je klarer Eure Antworten darauf sind, desto gezielter und nachhaltiger wird Eure Toolentscheidung.

Was Du jetzt tun kannst

Quick-Check:

  • Gibt es schon ein Rollen- und Prozessmodell für Euer ISMS?
  • Wisst Ihr, welche Inhalte wo gepflegt werden sollen?
  • Sind Eure Anforderungen an das Tool dokumentiert – schriftlich, abgestimmt und mit Blick auf Systemintegration und Bedarfsklärung?

Regelwerksbezug: Dieses Thema betrifft ISO 27001 Annex A.5 (Policies), A.6 (Organisation), A.7 (Human Resource Security), A.5.9 ff. (Risikomanagement) sowie Cl. 6 zur risikobasierten Planung. Zudem sind Anforderungen aus der NIS2-Richtlinie (Art. 21 und 30 zur Dokumentation, Zuständigkeit und Nachweispflicht) sowie Art. 32 DSGVO („Sicherheit der Verarbeitung“) relevant.

Mini-CTA: Wenn Ihr vor der Toolfrage steht – haltet kurz inne. Vielleicht ist genau jetzt der Moment, erst die Struktur zu klären.

Hinweis zur Einordnung

Dieser Erfahrungsartikel basiert auf realen Beobachtungen und typischen Praxismustern. Die beschriebenen Maßnahmen können Orientierung bieten – sie ersetzen jedoch keine vollständige Umsetzung regulatorischer Anforderungen (z. B. gemäß NIS2, ISO 27001 oder branchenspezifischer Standards).
Wenn Dein Unternehmen unter die NIS2-Richtlinie fällt, sind zusätzliche strukturierte Analysen, dokumentierte Verfahren und ein systematischer Aufbau der Sicherheitsorganisation erforderlich.

Ähnliche Beiträge