English
Français
TürkçeEvidence by Design
Zu jeder vereinbarten Kontrolle gehört eine nachvollziehbare Prüfung, etwa ein Protokoll, Bericht oder dokumentiertes Review. So lässt sich später beurteilen, ob die Maßnahme wie vorgesehen arbeitet.
Enterprise Trust
Sicherheit muss sich im Betrieb beweisen.
Eine Richtlinie allein schützt kein System. Wir verbinden technische Kontrollen mit Verantwortlichen, regelmäßigen Prüfungen und den Nachweisen, die im Alltag tatsächlich entstehen.
Wichtig: Die Matrix zeigt, welche technischen Maßnahmen und Betriebsaufgaben zu einem Rahmenwerk beitragen und welche Belege dafür vorgesehen sind. Sie ersetzt weder ein formales Audit noch eine rechtliche Bewertung oder Zertifizierung.
Die Zuordnung beschreibt mögliche Prüffelder, keinen Erfüllungsgrad und keine Zertifizierung. Datenstandort allein entscheidet nicht über die Zulässigkeit einer Verarbeitung.
| Kontrollbereich | ISO 27001 | DSGVO | BSI-Grundschutz | DE/EU | Endurion Umsetzung |
|---|---|---|---|---|---|
| Identitäten und Zugriffe | Im Prüfbereich | Im Prüfbereich | Im Prüfbereich | Je nach Anwendung | MFA, Conditional Access, privilegierte Rollen, Joiner/Mover/Leaver. |
| Endgeräte und Arbeitsplatz | Im Prüfbereich | Im Prüfbereich | Im Prüfbereich | Je nach Anwendung | MDM, Hardening, Patch-Stand, Gerätestatus und Compliance Policies. |
| Netzwerk und Grenzen | Im Prüfbereich | Je nach Anwendung | Im Prüfbereich | Je nach Anwendung | Segmentierung, Firewall-Regeln, VPN, Logging und Netzwerkfreigaben. |
| Sicherung und Wiederherstellung | Im Prüfbereich | Im Prüfbereich | Im Prüfbereich | Im Prüfbereich | Immutable Copies, Restore Tests, RPO/RTO und Disaster-Recovery-Prozesse. |
| Protokolle und Nachweise | Im Prüfbereich | Im Prüfbereich | Im Prüfbereich | Je nach Anwendung | SIEM, Audit Logs, Nachweisführung und dokumentierte Reviews. |
| Datenstandorte | Je nach Anwendung | Im Prüfbereich | Je nach Anwendung | Im Prüfbereich | Regionenwahl, Datenflüsse, Backup-Standorte und Provider-Abhängigkeiten. |
Region Awareness
Cloud-Regionen, Backups und Datenflüsse werden bewusst auf DE/EU-Anforderungen geprüft.
Operational Ownership
Jeder Kontrollbereich braucht einen Owner, einen Review-Rhythmus und einen Eskalationsweg.
Technische Nachweise müssen zu konkreten Anforderungen passen.
Richtlinien werden handhabbar, wenn sie in überprüfbare Aufgaben übersetzt sind. Welche Anforderungen gelten, wird für das jeweilige Unternehmen gesondert geklärt.
Der Zugriff eines ausgeschiedenen Mitarbeiters wird geprüft.
Eine Austrittsmeldung löst mehrere Aufgaben aus: Konto sperren, aktive Sitzungen beenden, Geräte behandeln und geschäftliche Daten übergeben. Ein Haken in einer Personalübersicht belegt noch nicht, dass alle technischen Zugänge geschlossen sind. Im Beispiel wird die Ausführung je System dokumentiert; verbleibende Ausnahmen erhalten einen Verantwortlichen und eine Frist.
Anforderung und Kontrolle verbinden
Jede relevante Vorgabe erhält eine passende technische oder organisatorische Kontrolle. Produktnamen allein beschreiben keine wirksame Maßnahme.
Nachweise aktuell halten
Eine einmalige Prüfung verliert durch neue Systeme, Rollen und Prozesse an Aussagekraft. Verantwortliche und wiederkehrende Prüfung gehören deshalb zum Verfahren.
Nächster Schritt
Compliance betreiben statt nur abhaken?
Aus einer Anforderung muss eine ausführbare Aufgabe werden: Kontrolle festlegen, Verantwortung zuweisen, Nachweis bestimmen und die regelmäßige Überprüfung in den Betrieb aufnehmen.