ISMS · Steuerung und Kennzahlen
ISMS-Kennzahlen: Die wichtigsten KPIs für die Geschäftsführung
Lesezeit etwa 6 Minuten · Stand September 2026
ISMS-Kennzahlen machen Informationssicherheit für die Geschäftsführung messbar und steuerbar. ISO 27001 verlangt in Abschnitt 9.1, dass ein Unternehmen festlegt, was es misst und wie es die Ergebnisse bewertet. Sinnvoll sind 5 bis 8 aussagekräftige KPIs aus Risiko, Vorfällen, Compliance und Technik statt einer Zahlenflut ohne Entscheidungswert.
Die Geschäftsführung braucht keine 40 Metriken.
Sie braucht 5 bis 8 Zahlen, die eine Entscheidung auslösen.
Warum braucht ein ISMS überhaupt Kennzahlen?
Kennzahlen verwandeln ein ISMS von einem Papierwerk in ein Steuerungsinstrument. ISO 27001 fordert in Abschnitt 9.1 ausdrücklich, dass eine Organisation festlegt, was sie überwacht und misst, mit welchen Methoden und wann sie bewertet (iso.org). Ohne belastbare Zahlen bleibt Sicherheit ein Bauchgefühl.
Kennzahlen sind zugleich die Grundlage jeder Managementbewertung. Die Geschäftsführung kann nur steuern, was sie sieht. Sie haftet für Entscheidungen, die sie trifft oder unterlässt. Auch der BSI-Standard 200-1 versteht das ISMS als geführten Regelkreis, der auf Messung und Bewertung aufbaut.
Ein weiterer Grund ist Haftung und Nachweis. Wer im Ernstfall belegen will, dass die Organisation ihre Risiken im Griff hatte, braucht dokumentierte Kennzahlen über die Zeit. Kennzahlen sind damit nicht Selbstzweck, sondern die Sprache, in der Informationssicherheit mit der Führungsebene spricht.
Welche KPI-Kategorien gibt es im ISMS?
ISMS-Kennzahlen lassen sich in vier Kategorien ordnen, die zusammen ein vollständiges Bild ergeben. Erst die Mischung aus Risiko, Vorfällen, Compliance und Technik zeigt, ob Informationssicherheit wirklich wirkt oder nur auf dem Papier existiert. Diese vier Kategorien decken die 3 Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit ab und ergänzen sie um die organisatorische Sicht.
| Kategorie | Beispiel-Kennzahlen | Frage an die Führung |
|---|---|---|
| Risiko | offene hohe Risiken, Anteil behandelter Risiken | Wo stehen wir beim Risiko? |
| Vorfälle | Zahl der Vorfälle, MTTD, MTTR | Wie schnell erkennen und reagieren wir? |
| Compliance | Patchgrad, Schulungsquote, offene Auditfindings | Halten wir unsere eigenen Regeln ein? |
| Technik | kritische offene Schwachstellen, Backup-Erfolgsquote | Funktioniert die Technik verlässlich? |
Viele dieser Werte entstehen ohnehin im Betrieb, etwa der Patchgrad aus dem Schwachstellenmanagement oder die Melderate aus einer Phishing-Simulation.
Was sind die wichtigsten ISMS-KPIs für die Geschäftsführung?
Für die Geschäftsführung zählen wenige Kennzahlen, die eine Entscheidung oder Investition auslösen. Die folgenden KPIs haben sich als vorstandstauglich bewährt, weil sie einen klaren Bezug zu Risiko und Geschäft haben.
| Kennzahl | Was sie zeigt | Warum sie zählt |
|---|---|---|
| Anteil behandelter Top-Risiken | Fortschritt der Risikobehandlung | zeigt, ob das Restrisiko sinkt |
| MTTD und MTTR | Zeit bis Erkennung und Reaktion | misst die reale Reaktionsfähigkeit |
| Patchgrad kritischer Systeme | zeitnah geschlossene Schwachstellen | zeigt die technische Hygiene |
| Schulungsquote und Melderate | Awareness der Belegschaft | stärkt die menschliche Schutzschicht |
| Offene Auditfindings | Rückstand aus internen Audits | zeigt die Verlässlichkeit des Systems |
| Verfügbarkeit kritischer Dienste | Erreichbarkeit wichtiger Systeme | direkter Bezug zum Geschäft |
Wichtig ist, jede Kennzahl mit einem Zielwert und einer Verantwortung zu versehen. Eine Zahl ohne Ziel ist nur Dekoration. Erst der Vergleich zwischen Ist und Soll macht sichtbar, ob Handlungsbedarf besteht und wer ihn adressiert.
Kennzahlen ohne Excel-Wüste?
Die meiste Arbeit an Kennzahlen ist Datensammeln. VANTARIS zieht Risiken, Maßnahmen, Schwachstellen und Schulungsstände automatisch in Dashboards zusammen, die vorstandstauglich sind.
Was ist der Unterschied zwischen Leading und Lagging Indicators?
Lagging Indicators (Nachlaufende Indikatoren) messen Ergebnisse der Vergangenheit, etwa die Zahl der Vorfälle im letzten Quartal. Leading Indicators (Frühindikatoren) sind vorlaufend und zeigen, ob Sicherheit künftig gelingt, etwa die Schulungsquote oder der Patchgrad. Die einen sind der Blick in den Rückspiegel, die anderen der Blick durch die Windschutzscheibe.
Eine gute Steuerung nutzt beide Arten gemeinsam. Wer nur nachlaufende Werte betrachtet, erkennt Probleme erst, wenn sie eingetreten sind. Wer nur vorlaufende Werte betrachtet, verwechselt Aktivität mit Wirkung. Für die Führung ist die Kombination entscheidend, weil sie Ursache und Ergebnis verbindet. Ein Beispiel: Eine sinkende Zahl an Vorfällen sagt allein wenig aus. Erst zusammen mit einer steigenden Melderate wird klar, ob wirklich weniger passiert oder nur weniger gemeldet wird.
Wie viele Kennzahlen gehören auf ein Geschäftsführungs-Dashboard?
Weniger ist mehr. Ein Dashboard für die Geschäftsführung kommt mit 5 bis 8 Kennzahlen aus, die jeweils eine klare Frage beantworten. Zu viele KPIs führen dazu, dass niemand mehr hinschaut. Sie verwässern die wenigen Werte, auf die es ankommt.
Bewährt hat sich eine Ampel-Logik mit Trend statt einer nackten Momentaufnahme, denn die Richtung ist oft wichtiger als der absolute Wert. Detaillierte technische Kennzahlen bleiben auf der Fachebene. In VANTARIS laufen die Werte aus Risiken, Maßnahmen und Nachweisen automatisch in ein Dashboard zusammen, das die Führung ohne Excel-Wüste lesen kann.
Hilfreich ist es, die Kennzahlen an den strategischen Zielen auszurichten. Wer gerade eine Zertifizierung anstrebt, rückt Auditfindings und Reifegrad nach vorn. Wer stark von Lieferanten abhängt, ergänzt Kennzahlen zur Lieferkette. Das Dashboard folgt der Frage, nicht der technischen Verfügbarkeit der Daten.
Wie oft sollten ISMS-Kennzahlen berichtet werden?
Operativ werden Kennzahlen laufend erfasst, der Führung berichtet man sie verdichtet. In der Praxis bewährt sich ein monatliches oder quartalsweises Reporting, ergänzt um die mindestens jährliche Managementbewertung nach ISO 27001. So bleibt die Sicherheitslage präsent, ohne die Führung mit Detailzahlen zu überfrachten.
Wichtiger als die Frequenz ist der erkennbare Trend über die Zeit. Ein einzelner Messwert sagt wenig, eine Kurve über mehrere Quartale zeigt, ob Maßnahmen wirken. Die Ergebnisse aus internen Audits gehören dabei ebenso ins Reporting wie offene Risiken und Vorfälle. Für die erste Einordnung des eigenen Stands eignet sich ein Reifegrad-Check, der die wichtigsten Kennzahlen bündelt.
Wo steht Ihre Informationssicherheit heute?
Bevor Sie Kennzahlen definieren, lohnt der Blick auf den Ausgangspunkt. Der kostenlose Reifegrad-Check ordnet Ihren aktuellen Stand ein und zeigt, welche Kennzahlen für Sie zuerst zählen.
Häufige Fragen zu ISMS-Kennzahlen
Was ist ein ISMS-KPI?
Ein ISMS-KPI ist eine Kennzahl, die einen wichtigen Aspekt der Informationssicherheit messbar macht, etwa die Zahl offener kritischer Schwachstellen oder die Reaktionszeit auf Vorfälle. Ein guter KPI ist eindeutig definiert, wiederholbar erhebbar und mit einer klaren Führungsfrage verknüpft.
Welche KPIs verlangt ISO 27001?
ISO 27001 schreibt keine festen Kennzahlen vor. Abschnitt 9.1 verlangt aber, dass die Organisation selbst festlegt, was sie überwacht und misst, mit welchen Methoden und wann sie die Ergebnisse bewertet. Die Auswahl der KPIs richtet sich nach den eigenen Risiken und Zielen.
Wie viele Kennzahlen braucht ein Geschäftsführungs-Dashboard?
Für die Führungsebene reichen 5 bis 8 verdichtete Kennzahlen. Mehr überfordern und werden nicht mehr gelesen. Wichtig ist, dass jede Zahl eine Entscheidung oder Nachfrage auslösen kann. Detaillierte technische Kennzahlen gehören auf die Fachebene, nicht ins Vorstandsdashboard.
Was ist der Unterschied zwischen MTTD und MTTR?
MTTD steht für die mittlere Zeit bis zur Erkennung eines Vorfalls, MTTR für die mittlere Zeit bis zur Reaktion oder Behebung. Beide messen die tatsächliche Reaktionsfähigkeit. Sinkende Werte zeigen, dass Erkennung und Vorfallbearbeitung wirksam funktionieren.
Was sind Leading und Lagging Indicators?
Lagging Indicators (Nachlaufende Indikatoren) messen bereits eingetretene Ergebnisse, etwa die Zahl der Vorfälle im Quartal. Leading Indicators (Frühindikatoren) sind vorlaufend und zeigen, ob Sicherheit künftig gelingt, etwa Schulungsquote oder Patchgrad. Eine gute Steuerung nutzt beide Arten gemeinsam.
Wie oft sollten Kennzahlen an die Geschäftsführung berichtet werden?
Operativ werden Kennzahlen laufend erhoben. Der Geschäftsführung berichtet man sie verdichtet, in der Praxis monatlich oder quartalsweise und mindestens einmal jährlich in der Managementbewertung nach ISO 27001. Wichtiger als die Frequenz ist der erkennbare Trend über die Zeit.
Fakten und Quellen auf einen Blick
| Fakt | Beleg |
|---|---|
| Überwachung, Messung, Analyse, Bewertung | ISO/IEC 27001:2022, Abschnitt 9.1 (iso.org) |
| ISMS-Steuerung über Kennzahlen | BSI-Standard 200-1 (bsi.bund.de) |
| Vorfall-Kennzahlen | MTTD (Erkennung), MTTR (Reaktion) |
| Dashboard-Faustregel für die Führung | 5 bis 8 verdichtete KPIs |
| Zwei KPI-Arten | Leading (vorlaufend), Lagging (nachlaufend) |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.