ISO 27001 und KI-Telefonlösungen: Standards für höchste Sicherheit

Einleitung: Warum dieses kryptische Kürzel wichtig ist

ISO/IEC 27001. Für die einen ist es nur eine Nummer, für IT-Sicherheitsverantwortliche ist es der Heilige Gral. Es ist die weltweit führende Norm für Informationssicherheits-Managementsysteme (ISMS).

Warum sollte das einen Zahnarzt oder Handwerker interessieren, der einen KI-Rezeptionisten sucht? Weil Sie Ihre Daten aus der Hand geben. Sie lagern Ihre „Telefonzentrale“ in die Cloud aus. ISO 27001 ist das einzige global anerkannte Siegel, das Ihnen garantiert: „Hier wird nicht gepfuscht. Hier gibt es Prozesse, Kontrollen und Audits.“

Lesen Sie, wie diese Norm sicherstellt, dass Ihr KI-Assistent keine Plaudertasche ist.

ISO 27001 ist kein Technik-Test, sondern ein Management-System

Räumen wir ein Missverständnis aus: ISO 27001 besagt nicht nur „Die Firewall ist gut eingestellt“. Es besagt: „Das Unternehmen hat das Thema Sicherheit im Griff – von der Chefetage bis zum Pförtner.“

Es basiert auf dem PDCA-Zyklus:

Konkrete Controls (Maßnahmen) für KI-Telefonie

Der Standard umfasst den „Annex A“ mit konkreten Kontrollen. Hier einige Beispiele, wie wir sie bei kirezeptionist.de leben:

A.12.3 Kryptographie (Verschlüsselung)

Die Norm fordert Richtlinien für den Einsatz von Krypto-Verfahren.

Bei uns: Wir nutzen keine veralteten Standards (kein SSL, kein MD5), sondern nur TLS 1.2+ und SHA-256. Schlüssel werden regelmäßig rotiert („Key Rotation“).

Bei uns: Wir prüfen unsere Hosting-Partner (AWS, Hetzner, Telekom) rigoros. Fordert ISO 27001, dass wir nur mit zertifizierten Partnern arbeiten? Ja. Wenn OpenAI Daten verarbeitet, prüfen wir deren SOC2/ISO-Zertifikate.

A.9 Zugriffssteuerung

Wer hat den Generalschlüssel?

Bei uns: Es gilt das „Need-to-Know“-Prinzip. Ein Entwickler hat keinen Zugriff auf die Live-Datenbanken der Kunden, es sei denn, es gibt einen dokumentierten Notfall-Ticket-Prozess („Break Glass Procedure“).

Bei uns: Wir haben Notfallpläne. Fällt das Rechenzentrum Frankfurt aus, schwenkt der Traffic automatisch nach Berlin oder Paris. Ihre Erreichbarkeit bleibt bestehen.

Warum „ISO-konformes Rechenzentrum“ NICHT reicht

Viele Anbieter tricksen: „Unsere Server stehen in einem ISO 27001 Rechenzentrum.“

Das ist Augenwischerei. Wenn das Rechenzentrum sicher ist, aber der Anbieter das Passwort „123456“ für seine Admin-Konsole nutzt, sind Ihre Daten trotzdem weg.

Wichtig: Der Dienstleister selbst (also kirezeptionist.de) muss sicher arbeiten. Fragen Sie: „Sind Ihre eigenen Prozesse sicher, nicht nur die des Hosters?“

Vertrauen ist gut, Audit ist besser

Ein ISO-Zertifikat bekommt man nicht geschenkt. Es muss alle 3 Jahre erneuert werden, mit jährlichen Überwachungsaudits durch externe Prüfer (TÜV, DEKRA etc.). Das zwingt Unternehmen dazu, das Sicherheitsniveau permanent hochzuhalten.

Fazit

Wenn Sie Preise vergleichen, schauen Sie auf das ISO-Logo. Ein zertifizierter Anbieter mag 5% teurer sein, aber er erspart Ihnen das Risiko, dass Ihre Kundendaten morgen im Darknet landen – ein Schaden, der in Euro gar nicht zu beziffern wäre.