Gap-Analyse — Sicherheitslücken systematisch identifizieren

Eine Gap-Analyse (Lückenanalyse) vergleicht den IST-Zustand der Informationssicherheit eines Unternehmens mit dem SOLL-Zustand eines Standards wie ISO 27001 oder BSI IT-Grundschutz. Ergebnis ist eine priorisierte Maßnahmenliste, die zeigt, welche Anforderungen für Compliance oder Zertifizierung noch fehlen.

Was ist eine Gap-Analyse?

Eine Gap-Analyse (auch: Lückenanalyse) im Bereich Informationssicherheit vergleicht den IST-Zustand Ihres Unternehmens mit dem SOLL-Zustand eines Sicherheitsstandards — typischerweise ISO 27001 oder BSI IT-Grundschutz. Das Ergebnis: eine priorisierte Liste von Maßnahmen, die für die Compliance oder Zertifizierung noch umgesetzt werden müssen.

Warum ist eine Gap-Analyse der erste Schritt?

Ohne Gap-Analyse investieren Unternehmen oft in die falschen Maßnahmen — genau hier setzt die Rolle des Informationssicherheitsbeauftragten an. Die Analyse schafft Transparenz: Was ist bereits vorhanden? Wo sind die größten Lücken? Welche Maßnahmen haben die höchste Priorität? Damit wird das ISMS-Projekt planbar — zeitlich und finanziell.

Gap-Analyse, Risikoanalyse und internes Audit — der Unterschied

Die drei Begriffe werden häufig verwechselt, erfüllen aber unterschiedliche Zwecke im ISMS:

• Gap-Analyse: Vergleicht den IST-Zustand gegen die Anforderungen eines Standards. Frage: „Was fehlt mir noch zur Konformität?“ — typischerweise vor dem ISMS-Aufbau.
• Risikoanalyse: Bewertet Bedrohungen und Schwachstellen für die eigenen Werte (Assets). Frage: „Was kann passieren und wie schlimm wäre es?“ — Pflichtbestandteil nach ISO 27001 Kapitel 6.
• Internes Audit: Prüft, ob das bereits eingeführte ISMS wirksam funktioniert. Frage: „Halten wir, was wir dokumentiert haben?“ — wiederkehrend nach der Einführung (ISO 27001 Kapitel 9.2).

Kurz: Die Gap-Analyse steht am Anfang, die Risikoanalyse begleitet den Aufbau, das interne Audit sichert den Betrieb.

Gap-Analyse Ablauf in 5 Schritten

1. Scope definieren

Gegen welchen Standard wird geprüft? Welche Unternehmensbereiche sind betroffen? Der Scope bestimmt den Umfang und die Dauer der Gap-Analyse.

2. Dokumentenreview

Vorhandene Richtlinien, Prozesse und technische Dokumentation werden gegen die Anforderungen des Zielstandards abgeglichen. Typisch: Sicherheitsleitlinie, Risikoanalyse, Statement of Applicability, Zugriffskonzepte.

3. Interviews und Begehungen

Gespräche mit Schlüsselpersonen (IT-Leitung, Geschäftsführung, Fachabteilungen) und Vor-Ort-Begehungen ergänzen den Dokumentenreview um die gelebte Praxis.

4. Bewertung und Priorisierung

Jede Anforderung wird bewertet: erfüllt, teilweise erfüllt, nicht erfüllt. Die Lücken werden nach Risiko und Aufwand priorisiert.

5. Maßnahmenplan erstellen

Der Abschlussbericht enthält einen konkreten Maßnahmenplan mit Verantwortlichkeiten, Zeitrahmen und geschätztem Aufwand — die Roadmap für Ihr ISMS-Projekt oder Ihre ISO 27001 Zertifizierung.

Bewertung mit Reifegraden statt nur „Ja/Nein“

Eine hochwertige Gap-Analyse bewertet jede Anforderung nicht nur binär (erfüllt/nicht erfüllt), sondern anhand eines Reifegradmodells. Das macht Fortschritt messbar und zeigt, wo Aufwand am meisten bewirkt:

Für eine ISO 27001 Zertifizierung sollten die relevanten Controls mindestens Reifegrad 3 erreichen.

Typische Lücken nach ISO 27001 Annex A

In der Praxis tauchen bei der Gap-Analyse immer wieder dieselben Schwachstellen auf — meist organisatorischer, nicht technischer Natur:

• A.5 Organisatorische Controls: fehlende oder veraltete Informationssicherheitsleitlinie, keine klare Rollenverteilung (z. B. kein benannter Informationssicherheitsbeauftragter).
• A.5.9 Asset-Inventar: keine vollständige Übersicht der Informationswerte und Verantwortlichkeiten.
• A.6 Personelle Controls: fehlende Security-Awareness-Schulungen und Geheimhaltungsvereinbarungen.
• A.5.24 Incident Management: kein definierter Prozess zur Behandlung von Sicherheitsvorfällen (Incident Response).
• A.8 Technische Controls: lückenhaftes Patch-Management, fehlende Protokollierung und Zugriffskontrolle.
• A.5.30 Business Continuity: kein getesteter Notfallplan (IT-Notfallplan / BCM).

Was steht im Gap-Analyse-Bericht?

Der Abschlussbericht ist das zentrale Arbeitsdokument für das weitere ISMS-Projekt. Ein vollständiger Bericht enthält:

• eine Management-Zusammenfassung mit dem Gesamt-Reifegrad,
• eine Bewertung jeder Anforderung/jedes Controls inkl. Nachweis,
• eine priorisierte Lückenliste nach Risiko und Aufwand,
• einen Maßnahmenplan mit Verantwortlichkeiten, Terminen und Aufwandsschätzung,
• eine Roadmap bis zur Zertifizierungsreife.

Gap-Analyse Kosten

• Kleine Unternehmen: 2.000–5.000 € (1-2 Tage)
• Mittelstand: 5.000–15.000 € (3-5 Tage)
• Große Unternehmen: 15.000–30.000 € (1-2 Wochen)

Bei DATUREX ist die Gap-Analyse oft im ISO 27001 Beratungspaket enthalten — ab 300 €/Monat als externer Informationssicherheitsbeauftragter.

Häufig gestellte Fragen zur Gap-Analyse

Wie lange dauert eine Gap-Analyse?

Für KMU typischerweise 1-2 Tage vor Ort plus 2-3 Tage Auswertung. Bei größeren Unternehmen 1-2 Wochen. Das Ergebnis liegt in der Regel 2 Wochen nach Abschluss der Interviews vor.

Ist eine Gap-Analyse Pflicht für ISO 27001?

Formal nein, aber in der Praxis unverzichtbar. Ohne Gap-Analyse riskieren Sie, wichtige Anforderungen zu übersehen oder Ressourcen falsch zu priorisieren.

Kann ich die Gap-Analyse selbst durchführen?

Grundsätzlich ja, aber ein externer Blick deckt blinde Flecken auf, die intern nicht wahrgenommen werden. Externe Berater bringen zudem Benchmark-Wissen aus anderen Unternehmen mit.

Was ist der Unterschied zwischen Gap-Analyse und internem Audit?

Die Gap-Analyse prüft vor dem ISMS-Aufbau gegen die Anforderungen eines Standards. Das interne Audit prüft nach der Einführung, ob das ISMS wirksam gelebt wird. Beides nutzt ähnliche Methoden, verfolgt aber unterschiedliche Ziele.

Mit welchen Tools wird eine Gap-Analyse durchgeführt?

Von strukturierten Excel-Checklisten bis zu ISMS-Tools wie verinice oder spezialisierten GRC-Plattformen. Entscheidend ist nicht das Tool, sondern eine vollständige, nachvollziehbare Abdeckung aller relevanten Controls.

Wie oft sollte eine Gap-Analyse wiederholt werden?

Vor der Erstzertifizierung einmalig, danach bei wesentlichen Änderungen (neue Standorte, Prozesse, Normrevisionen wie ISO 27001:2022) sowie zur Vorbereitung auf Re-Zertifizierungs-Audits.

Gap-Analyse mit DATUREX

Als externer Informationssicherheitsbeauftragter führen wir Ihre Gap-Analyse standardkonform durch — von der Scope-Definition bis zur priorisierten Roadmap. Sprechen Sie uns an für ein unverbindliches Erstgespräch.