Compliance ist nicht gleich Sicherheit, aber Crosswalks helfen bei beidem

Es ist eine der ältesten Beobachtungen in diesem Berufsfeld: Compliance ist nicht Sicherheit. Berichte über Sicherheitsvorfälle nennen regelmäßig Organisationen, die die richtigen Zertifikate besaßen und ihre Audits bestanden hatten. Die Beobachtung stimmt, doch die übliche Schlussfolgerung, Compliance sei Theater, ist falsch. Compliance und Sicherheit überschneiden sich stark. Das Problem liegt an den Rändern und darin, wie viel Zeit Compliance verschlingt.

Wo sie sich decken

Frameworks sind sich in den Grundlagen einig, weil die Grundlagen funktionieren. Jedes der elf Frameworks, die wir abbilden, verlangt Asset-Management, Schwachstellenmanagement, Backup und Wiederherstellung, Incident Response und Incident-Meldung (der gemeinsame Kern). Die meisten fordern MFA, Protokollierung, Zugriffsprüfungen und Lieferantensicherheit. Eine Organisation, die diese Dinge tatsächlich umsetzt, ist deutlich schwerer zu knacken als eine, die das nicht tut, mit oder ohne Zertifikat.

Wo sie auseinanderlaufen

• Geltungsbereich. Ein Audit deckt ein definiertes System ab. Angreifer respektieren keinen Geltungsbereich: Der Einbruch erfolgt über den Firmenlaptop, den vergessenen Testserver oder den Dienstleister außerhalb der Grenze.
• Zeitpunkt. Kontrollen, die bei der Audit-Stichprobe funktionieren, funktionieren möglicherweise nicht überall und jeden Tag.
• Design versus Wirksamkeit. Eine Kontrolle kann vorhanden, dokumentiert und getestet sein und den Angriff trotzdem nicht stoppen, für den sie gedacht war: MFA, die sich phishen lässt, ein Scanner, der die Hälfte des Bestands nicht sieht.
• Was Frameworks auslassen. Mehrere der meistgenutzten Angriffswege (APIs, Webanwendungen, DNS) verlangen nur wenige Frameworks, wie unsere Analyse von den Themen, die Frameworks übersehen zeigt.

Die eigentlichen Kosten: Zeit

Das größere Problem ist nicht, dass Compliance falsch wäre, sondern dass sie teuer ist. Eine Organisation mit drei oder vier Frameworks kann den größten Teil ihres Sicherheitsaufwands in Mapping, Nachweise und Audits stecken, vieles davon doppelt. Jede Stunde, die man damit verbringt, dieselbe Zugriffsprüfung in drei Formaten zu erstellen, ist eine Stunde, die nicht für Threat Hunting, Härtung oder die Angriffsfläche verwendet wird, die kein Auditor ansieht.

Wie Crosswalks beiden helfen

Hier zahlt sich Mapping aus. Wenn du weißt, dass eine Kontrolle gleichzeitig ISO 27001, SOC 2, PCI DSS und NIS2 erfüllt, implementierst du sie einmal, belegst sie einmal und hörst auf, die Compliance-Steuer dreimal zu zahlen. Die gesparte Zeit ist die Zeit, die die Sicherheit braucht. Ein guter Crosswalk zeigt außerdem, wo Frameworks schweigen, und genau dort muss deine eigene Risikobewertung ansetzen.

Richtung	Zugeordnet	Lose verwandt	Keine Zuordnung
Haben ISO 27001 → benötigen SOC 2	41 von 61 (67%)	0	20	Bericht →
Haben SOC 2 → benötigen ISO 27001	98 von 123 (80%)	21	4	Bericht →

Anzeichen dafür, dass ein Programm nur noch auf Compliance ausgerichtet ist

• Sicherheitsarbeit richtet sich nach Audit-Terminen, nicht nach Bedrohungen.
• Kontrollen existieren nur innerhalb des Audit-Geltungsbereichs; der Rest des Bestands bleibt unberührt.
• Metriken messen Dokumente und Abschlussquoten, nicht Ergebnisse wie Zeit bis zum Patchen oder Zeit bis zur Erkennung.
• Das Team kann sagen, welche Framework-Anforderung eine Kontrolle erfüllt, aber nicht, welchen Angriff sie stoppt.
• Befunde werden geschlossen, indem man Dokumente ändert statt Systeme.

Wenn sich einige davon vertraut anhören, lautet die Lösung nicht, Compliance aufzugeben, sondern sie zu automatisieren und die gesparte Zeit umzulenken.

Wichtigste Erkenntnisse

• Compliance und Sicherheit teilen die Grundlagen, laufen aber an den Rändern auseinander.
• Die größten Kosten der Compliance sind doppelter Aufwand.
• Einmal abbilden, Nachweise automatisieren und die gesparte Zeit in Sicherheit investieren.

Was zu tun ist

1. Einen Kontrollsatz aufbauen, der auf jedes Framework abgebildet ist, das du bedienen musst, statt ein Programm pro Framework.
2. Nachweise automatisieren, wo das System sie selbst erzeugen kann.
3. Die gesparte Zeit dort einsetzen, wo Audits nicht hinsehen: Attack-Surface-Management, Detection Engineering, Tests.
4. Sicherheit getrennt von Compliance messen: Vorfälle, Zeit bis zum Patchen, Phishing-Resilienz, Wiederherstellungszeit.

Compliance ist der Boden, nicht die Decke. Nutze Crosswalks, um den Boden so günstig wie möglich zu erreichen, und baue dann darauf auf. Die Lückenanalyse und die Abdeckungsmatrix sind der richtige Startpunkt.

Fragen

Ist eine konforme Organisation sicher?

Nicht unbedingt. Compliance zeigt, dass bestimmte Kontrollen existieren und innerhalb eines definierten Geltungsbereichs funktionieren; Angreifer zielen auf das jeweils schwächste Glied, innerhalb des Geltungsbereichs oder nicht.

Verbessert Compliance die Sicherheit überhaupt?

Ja: Frameworks erzwingen Grundlagen, die viele Organisationen sonst auslassen würden, etwa Asset-Inventare, Patching, Zugriffsprüfungen und Incident-Pläne. Problematisch wird es, wenn Compliance das gesamte Programm wird.