ISO/IEC 27001-Zertifizierung für einen Healthcare-App-Anbieter: Informationssicherheit als Vertrauensfaktor im digitalen Gesundheitsmarkt

Ein Anbieter einer Healthcare-App stand vor der Aufgabe, sein Informationssicherheitsmanagement systematisch auszubauen und eine Zertifizierung nach ISO/IEC 27001 vorzubereiten. Die App verarbeitet besonders schützenswerte Gesundheitsdaten und wird von Patientinnen und Patienten, medizinischen Partnern sowie Organisationen im Gesundheitswesen genutzt.

Für den Anbieter war Informationssicherheit deshalb nicht nur eine regulatorische Anforderung, sondern ein zentraler Vertrauensfaktor. Kunden, Kooperationspartner und potenzielle Investoren erwarteten belastbare Nachweise darüber, dass sensible Daten angemessen geschützt, Sicherheitsrisiken aktiv gesteuert und Prozesse dauerhaft wirksam kontrolliert werden.

Ziel des Projekts war der Aufbau eines zertifizierungsfähigen Informationssicherheitsmanagementsystems nach ISO/IEC 27001:2022, das sowohl zu den Anforderungen eines dynamischen App-Anbieters als auch zu den besonderen Schutzbedarfen im Gesundheitswesen passt.

Ausgangssituation

Der Healthcare-App-Anbieter verfügte bereits über moderne technische Sicherheitsmaßnahmen, etablierte Entwicklungsprozesse und ein hohes Bewusstsein für Datenschutz und IT-Sicherheit. Viele Sicherheitsaktivitäten waren jedoch stark produkt- und entwicklungsgetrieben. Für eine ISO/IEC 27001-Zertifizierung fehlte eine durchgängige Managementsystem-Struktur.

Insbesondere waren Verantwortlichkeiten, Risikobewertungen, Sicherheitsrichtlinien, Lieferantensteuerung, Nachweise und Managementprozesse noch nicht ausreichend formalisiert. Auch die Verbindung zwischen Produktentwicklung, Cloud-Betrieb, Datenschutz, Support und Geschäftsführung musste klarer beschrieben werden.

Hinzu kam die typische Herausforderung eines wachsenden digitalen Gesundheitsunternehmens: Sicherheitsanforderungen sollten verbindlich umgesetzt werden, ohne die Geschwindigkeit in Produktentwicklung, Betrieb und Kundenprojekten unnötig zu bremsen.

Unser Vorgehen

Zu Beginn führten wir eine strukturierte ISO-Readiness-Analyse durch. Dabei betrachteten wir die vorhandenen Prozesse, technischen Maßnahmen, Dokumente und Verantwortlichkeiten im Vergleich zu den Anforderungen der ISO/IEC 27001:2022.

Im Fokus standen unter anderem Informationssicherheits-Governance, Risikomanagement, Asset Management, Zugriffsschutz, sichere Softwareentwicklung, Cloud-Sicherheit, Lieferantenmanagement, Incident Management, Business Continuity, Awareness und Nachweisführung.

Die Analyse wurde durch Interviews mit Geschäftsführung, Produktmanagement, Entwicklung, DevOps, Datenschutz, Support und ausgewählten Dienstleistern ergänzt. Dadurch entstand ein realistisches Bild des vorhandenen Reifegrads und der noch erforderlichen Maßnahmen für eine erfolgreiche Zertifizierung.

Auf Basis der Ergebnisse entwickelten wir gemeinsam mit dem Unternehmen eine pragmatische ISMS-Roadmap. Dabei wurde bewusst darauf geachtet, keine überdimensionierte Konzernstruktur einzuführen, sondern ein schlankes, wirksames und auditfähiges Managementsystem aufzubauen.

Zentrale Projektergebnisse

Im Projektverlauf wurden unter anderem folgende Elemente aufgebaut und eingeführt:

- ein klar definierter ISMS-Geltungsbereich für App, Plattform, Cloud-Infrastruktur und unterstützende Geschäftsprozesse
- eine Informationssicherheitsleitlinie mit Rollen, Verantwortlichkeiten und Berichtslinien
- ein risikobasierter Prozess zur Identifikation, Bewertung und Behandlung von Informationssicherheitsrisiken
- ein Statement of Applicability auf Basis der ISO/IEC 27001:2022
- Sicherheitsrichtlinien für Zugriffsschutz, Cloud-Betrieb, sichere Entwicklung, Incident Management, Lieferanten und mobiles Arbeiten
- ein strukturierter Prozess zur Bewertung und Steuerung externer Dienstleister
- Nachweise für technische und organisatorische Sicherheitsmaßnahmen
- ein Verfahren für Sicherheitsvorfälle und Schwachstellenmanagement
- Awareness-Maßnahmen für Mitarbeitende mit Bezug zu Gesundheitsdaten und App-Betrieb
- Management-Review, interne Audits und Maßnahmenverfolgung zur Zertifizierungsvorbereitung

Ein besonderer Schwerpunkt lag auf der sicheren Softwareentwicklung. Gemeinsam mit dem Anbieter wurden bestehende Entwicklungs- und Deployment-Prozesse analysiert und so dokumentiert, dass Sicherheitsanforderungen, Code-Reviews, Schwachstellenbehandlung, Berechtigungen und Freigaben nachvollziehbar in den Produktlebenszyklus eingebettet sind.

Auch der Cloud-Betrieb spielte eine zentrale Rolle. Bestehende Sicherheitsmaßnahmen wie Verschlüsselung, Protokollierung, Zugriffskontrollen, Backup, Monitoring und Mandantentrennung wurden in die ISMS-Struktur überführt und mit prüffähigen Nachweisen verbunden.

Wirkung für den Healthcare-App-Anbieter

Durch das Projekt erhielt der Anbieter eine klare Struktur für seine Informationssicherheit. Vorhandene technische Stärken wurden sichtbar gemacht, organisatorische Lücken geschlossen und relevante Nachweise für Kunden, Partner und Auditoren vorbereitet.

Die Geschäftsführung konnte Informationssicherheitsrisiken erstmals systematisch bewerten und priorisieren. Gleichzeitig entstand eine nachvollziehbare Verbindung zwischen strategischen Sicherheitszielen, operativen Maßnahmen und technischen Kontrollen.

Auch im Vertrieb und Partnermanagement zeigte sich ein direkter Nutzen. Sicherheits- und Compliance-Fragen von Kunden konnten schneller, konsistenter und belastbarer beantwortet werden. Die ISO/IEC 27001-Zertifizierung wurde damit nicht nur als internes Sicherheitsprojekt verstanden, sondern auch als wichtiger Baustein für Vertrauen, Marktzugang und professionelles Wachstum.

Warum das Projekt erfolgreich war

Der Erfolg lag vor allem darin, die Anforderungen der ISO/IEC 27001:2022 auf die Realität eines digitalen Healthcare-Unternehmens zu übertragen. Statt ein starres Managementsystem aufzubauen, wurde das ISMS eng mit bestehenden Arbeitsweisen verbunden: agile Entwicklung, Cloud-Betrieb, Datenschutzprozesse, Support und kontinuierliche Produktverbesserung.

So entstand ein System, das auditfähig ist, ohne den operativen Alltag unnötig zu verkomplizieren. Dokumentation, Verantwortlichkeiten und Nachweise wurden so gestaltet, dass sie im Unternehmen tatsächlich genutzt und gepflegt werden können.

Besonders wichtig war außerdem die risikoorientierte Betrachtung sensibler Gesundheitsdaten. Die Maßnahmen wurden nicht nur formal an Normanforderungen ausgerichtet, sondern an den tatsächlichen Schutzbedarfen der App, der Nutzerinnen und Nutzer sowie der angebundenen Partner.

Ergebnis

Der Healthcare-App-Anbieter konnte seine Organisation gezielt auf die ISO/IEC 27001-Zertifizierung vorbereiten. Das Unternehmen verfügt heute über ein strukturiertes, prüffähiges und weiterentwicklungsfähiges Informationssicherheitsmanagementsystem.

Risiken werden systematisch bewertet, Sicherheitsmaßnahmen nachvollziehbar gesteuert und relevante Nachweise zentral verfügbar gemacht. Gleichzeitig wurde Informationssicherheit als fester Bestandteil von Produktentwicklung, Cloud-Betrieb und Unternehmensführung etabliert.

Das Projekt zeigt: Eine ISO/IEC 27001-Zertifizierung im Healthcare-App-Umfeld ist mehr als ein Zertifikat. Sie schafft Vertrauen, verbessert interne Steuerung und macht Informationssicherheit zu einem messbaren Qualitätsmerkmal digitaler Gesundheitsangebote.

‍