1. Der unterschätzte Risikofaktor in Projekten
Sie investieren Monate in ein wichtiges Projekt – neues ERP-System, Produktentwicklung, Prozessdigitalisierung.
Alles läuft nach Plan, bis ein Sicherheitsproblem auftaucht:
- Ein Lieferant liefert Software ohne Sicherheitsfreigabe
- Interne Zugriffsrechte sind falsch gesetzt
- Kundendaten liegen auf einem unsicheren Server
Die Folge: Projektstopp. Jeder Tag kostet Geld. Kunden warten. Das Team ist frustriert.
Und am Ende zahlen Sie nicht nur mit Budget, sondern auch mit Reputation.
Gerade in KMU passiert das häufiger, als viele denken:
- Sicherheitslücken werden zu spät entdeckt – kurz vor dem Go-live oder erst danach
- Prozesse sind unsicher – unklare Rollen, fehlende Freigaben, kein Vier-Augen-Prinzip
- Produkte sind nicht „security ready“ – Zertifizierungen verzögern sich, Kunden verlieren Vertrauen
- Zeitpläne platzen – Sicherheitsnachbesserungen kosten Wochen
- Kosten explodieren – ein Sicherheitsvorfall kostet oft das 5–10-Fache der Prävention
Klartext: Informationssicherheit entscheidet, ob ein Projekt pünktlich und erfolgreich abschliesst – oder im Krisenmodus endet.
2. Warum Informationssicherheit in Projekten für KMU entscheidend ist
ISO 27001 und TISAX fordern, dass Informationssicherheit nicht nur „nebenher“ läuft, sondern fest in die Projektorganisation integriert ist.
Risiken müssen identifiziert, bewertet, behandelt und dokumentiert werden – vom Kick-off bis zum Projektabschluss.
Für KMU bringt das drei handfeste Vorteile:
- Planungssicherheit – keine bösen Überraschungen kurz vor dem Go-live
- Wettbewerbsvorteil – Kunden vertrauen Projekten mit klarer Sicherheitsstrategie
- Kostenkontrolle – Prävention ist günstiger als Notfallreaktionen
3. Vorgehen in drei Schritten
Schritt 1: Risiken identifizieren – der erste und wichtigste Schritt
Bevor Risiken reduziert werden können, müssen sie sichtbar gemacht und dokumentiert werden.
ISO 27001 (Kap. 6.1.2) fordert die systematische Risikoidentifikation – nicht nur für IT-Systeme, sondern für alle projektbezogenen Informationswerte.
Die wirksamste Risikoanalyse entsteht, wenn Personen mit tiefem Projekt- und Fachwissen aktiv einbezogen werden – z. B. Projektleiter, Entwickler, Key-User oder Prozessowner.
Diese Mitarbeiter kennen die geplanten Inhalte, Schnittstellen, Abhängigkeiten und potenziellen Stolpersteine.
Dabei ist auch die Sicherheitskompetenz der Beteiligten selbst zu prüfen:
- Haben sie ein Grundverständnis für Informationssicherheit?
- Wurden sie in den relevanten Sicherheitsprozessen geschult?
- Haben sie ein aktuelles Sicherheitszertifikat oder Awareness-Training absolviert?
- Sind sie zur Informationssicherheit verpflichtet?
Praxis-Tipp: Halten Sie gefundene Risiken in einer einfachen Risikoliste fest – mit Datum, Verantwortlichem, Bewertung und aktuellem Status. So lassen sich Fortschritte nachverfolgen und bei Bedarf auch im Audit belegen.
So identifizieren KMU Risiken in Projekten:
- Projektkontext analysieren
- Welche Systeme, Daten, Prozesse sind betroffen?
- Wer hat Zugriff – intern und extern?
- Welche externen Partner oder Lieferanten sind eingebunden?
- Mögliche Bedrohungen erfassen
- Technisch: Datenverlust, Hacking, Fehlkonfigurationen
- Organisatorisch: unklare Zuständigkeiten, fehlende Freigaben
- Extern: unsichere Lieferanten, Compliance-Verstösse
- Schwachstellen erkennen
- Veraltete oder unsichere Technik
- Keine Zugriffsbeschränkungen
- Fehlende Schulung oder Awareness im Projektteam
- Ersteinschätzung vornehmen
- Grob bewerten: Welche Risiken sind kritisch, welche weniger relevant?
Praxisbeispiel:
Ein IT-Dienstleister führte beim Projektstart einen zweistündigen Risiko-Workshop durch – mit Entwicklern, Key-Usern, Projektleitung und ISB.
Ergebnis: Drei potenzielle Risiken wurden sofort erkannt – eines davon hätte den Go-live um Wochen verzögert.
Pro-Tipp: Risikoidentifikation ist keine einmalige Übung. Wiederholen Sie sie bei jedem grossen Projektmeilenstein, um neue Risiken früh zu erkennen.
Schritt 2: Risiken reduzieren – aus Erkenntnissen Verbesserungen machen
Risiken aufzulisten reicht nicht – der Nutzen entsteht erst, wenn sie gezielt gesenkt werden.
ISO 27001 (6.1.3) fordert, dass Risiken vermieden, reduziert, übertragen oder akzeptiert werden – mit dokumentierten Entscheidungen.
Praxis-Tipp: Legen Sie vorab eine feste Skala für Auswirkung und Eintrittswahrscheinlichkeit fest – so bleiben Prioritäten objektiv und vergleichbar.
So gehen KMU vor:
- Priorisieren – nach Wahrscheinlichkeit & Auswirkung
- Massnahmen planen – technisch (z. B. Verschlüsselung) & organisatorisch (z. B. Vier-Augen-Prinzip)
- Umsetzen & im Projektplan verankern – Verantwortliche, Fristen, Fortschritt
- Wirksamkeit prüfen – durch KPIs oder Tests
Nutzen:
- Planungssicherheit durch weniger Störungen
- Kostensenkung um bis zu 70 % gegenüber Notfallmassnahmen
- Bessere Audit-Ergebnisse
- Kundenvertrauen steigt
Praxisbeispiel:
Ein KMU erkannte hohes Risiko durch unsichere Schnittstellen.
→ API-Authentifizierung, Zugriffskontrolle, Verschlüsselung eingeführt.
→ Risiko-Score sank von „hoch“ auf „niedrig“ – dokumentiert im ISMS.
Schritt 3: Risiken überwachen – kontinuierliche Sicherheit
Risiken ändern sich im Projektverlauf. Neue Lieferanten, zusätzliche Funktionen oder geänderte Anforderungen können neue Schwachstellen schaffen.
Best Practices:
- Sicherheits-Checkpoints in jedem Meilenstein
- Regelmässige Reviews der Risikoliste
- Change-Management immer mit Sicherheitsprüfung koppeln
- Nachweise wie Checklisten, Freigabeprotokolle oder Testergebnisse aufbewahren – sie belegen gelebte Sicherheit und sparen Erklärungsaufwand im Audit.
4. Zusatzaufwand – Investition mit hoher Rendite
ISO 27001 und TISAX fordern, dass Informationssicherheit nicht nur „nebenher“ läuft, sondern fest in die Projektorganisation integriert ist.
Risiken müssen identifiziert, bewertet, behandelt und dokumentiert werden – vom Kick-off bis zum Projektabschluss.
Für KMU bringt das drei handfeste Vorteile:
- Planungssicherheit – keine bösen Überraschungen kurz vor dem Go-live
- Wettbewerbsvorteil – Kunden vertrauen Projekten mit klarer Sicherheitsstrategie
- Kostenkontrolle – Prävention ist günstiger als Notfallreaktionen
5. KPIs – Sicherheit messbar machen
- Anteil geprüfter Meilensteine in %
- Anzahl dokumentierter Projektrisiken
- Ø Zeit bis Risikobehandlung
- Anteil geschulter Projektmitglieder in %
6. Awareness – das Team befähigen
- Sicherheitstraining im Kick-off
- Rollenspezifische Schulungen
- Wiederholung bei langen Projekten
7. Checkliste: Schritte zur sicheren Projektumsetzung
- Risikoanalyse im Kick-off
- Sicherheitsrollen festlegen
- Checklisten in jedem Meilenstein nutzen
- Lieferantenprüfung vor Vertragsstart – fordern Sie Sicherheitsnachweise wie Zertifikate oder Testberichte
- Abschlusstest & Dokumentation vor Projektende – bei Projektänderungen prüfen, ob neue Risiken entstehen, und dies im Change-Prozess verankern
8. FAQ – häufige Praxisfragen
1. Wie viel Mehraufwand entsteht durch Sicherheit im Projekt?
5–15 %, dafür sinkt das Risiko teurer Verzögerungen massiv.
2. Muss jedes KMU ISO 27001 erfüllen?
Nein, aber viele Kunden fordern es inzwischen indirekt.
3. Was prüft ein Auditor in Projekten?
Ob Risiken dokumentiert, Massnahmen wirksam und Verantwortlichkeiten klar sind.
4. Wie kann ich klein anfangen?
Mit einer Risiko-Checkliste und festen Sicherheits-Checkpoints.
9. Fazit – Sicherheit als Erfolgsfaktor
Informationssicherheit ist kein Bremsklotz, sondern ein Erfolgsbeschleuniger:
Frühe Risikoidentifikation (inkl. Prüfung der beteiligten Personen), gezielte Reduzierung und kontinuierliche Überwachung führen zu pünktlichen Abschlüssen, geringeren Kosten und höherem Kundenvertrauen.
Standortbestimmung Informationssicherheit – klare Sicht auf Ihren aktuellen Sicherheitsstatus.
Projektsicherheit ist kein isoliertes Thema – sie ist Teil Ihrer gesamten Informationssicherheitsstrategie. Wir prüfen Ihre Projekte, Prozesse und IT-Systeme – praxisnah, effizient und ohne unnötige Bürokratie. Das Ergebnis ist eine Sicherheits-Landkarte mit Ihren Stärken, bestehenden Lücken und priorisierten Handlungsfeldern – unabhängig davon, ob Sie neu starten oder bereits zertifiziert sind.
So schaffen Sie die Grundlage für gezielte Verbesserungen, geringere Risiken und nachhaltig starke Informationssicherheit. Jetzt unverbindlich anfragen – und in wenigen Tagen genau wissen, wo Ihr Unternehmen steht und wie Sie es zukunftssicher aufstellen können.
