Das Zertifikat wurde von GutCert unter der Nummer G-26-26502 ausgestellt, ist drei Jahre gültig und wird durch jährliche Überwachungsaudits bestätigt. Der Geltungsbereich umfasst die Entwicklung, das Hosting und den Betrieb der Teilnehmermanagement-Plattformen EM.EX und EM.EXchange sowie die vorgelagerten Prozesse in Vertrieb, Projektplanung, Beratung und Support.
Teilnehmerdaten erfordern ein belastbares Schutzniveau
In der Veranstaltungsanmeldung laufen Daten mit sehr unterschiedlichem Schutzbedarf zusammen: Stamm- und Buchungsdaten, Reise- und Hoteldispositionen, hochgeladene Dokumente, Zugangsberechtigungen und Abrechnungsdaten. Hinzu kommen Angaben, die nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten zählen können – etwa Ernährungsanforderungen oder Angaben zur Barrierefreiheit. Zahlungsvorgänge werden über spezialisierte Zahlungsdienstleister abgewickelt; vollständige Kartendaten werden in den Plattformen nicht gespeichert.
Agenturen und Veranstalter müssen in Ausschreibungen und Lieferantenbewertungen zunehmend belegen, wie ihre Dienstleister dieses Schutzniveau herstellen. Ein Zertifikat nach ISO/IEC 27001 ist dafür der etablierte Nachweis, weil es nicht einzelne Maßnahmen bestätigt, sondern ein wirksames Managementsystem: mit dokumentierter Risikobewertung, festgelegten Verantwortlichkeiten, internen Audits, Managementbewertung und einem verbindlichen Verbesserungsprozess. EMENDO hat den Geltungsbereich deshalb bewusst nicht auf Server und Software begrenzt – die Regelungen des ISMS gelten auch für Projektberatung, Angebotserstellung und Support.
Maßnahmen im Geltungsbereich
Berechtigungen werden rollenbasiert und nach dem Least-Privilege-Prinzip vergeben – für die internen Systeme von EMENDO ebenso wie für die Benutzerverwaltung in EM.EX, in der Lese-, Bearbeitungs- und Administrationsrechte auch innerhalb eines Kundenprojekts getrennt werden können. Privilegierte Zugänge sind zusätzlich durch Mehr-Faktor-Authentifizierung mit phishing-resistenten Verfahren (FIDO2) geschützt.
Die Plattformen werden von einem eigenen Entwicklungsteam weiterentwickelt. Codeänderungen durchlaufen einen Review durch eine zweite Person und eine kontrollierte Freigabe; Entwicklungs-, Test- und Produktivumgebungen sind voneinander getrennt. Personenbezogene Daten von Kunden und Teilnehmenden werden ausschließlich auf Servern in der Europäischen Union verarbeitet.
Sicherheitsrelevante Ereignisse werden zentral und schreibgeschützt protokolliert – darunter fehlgeschlagene Authentifizierungsversuche, administrative Serverzugriffe und Änderungen an Datenbeständen. Die Protokolle werden regelmäßig und anlassbezogen ausgewertet, die Aufbewahrungsfristen sind festgelegt.
Weil Veranstaltungstermine nicht verschiebbar sind, ist die Verfügbarkeit ein eigener Schwerpunkt des ISMS: redundant ausgelegte Infrastruktur, regelmäßige Datensicherungen mit turnusmäßig getesteten Wiederherstellungen und dokumentierte Wiederanlaufprozesse mit definierten Zielvorgaben für Wiederanlaufzeit und maximal tolerierbaren Datenverlust. Für sicherheitsrelevante Vorfälle besteht ein festgelegter Incident-Response-Prozess mit benanntem Team, Eskalationswegen und Meldefristen. Die Gesamtverantwortung für das ISMS liegt beim Informationssicherheitsbeauftragten Carsten Hartig, der als Mitglied der Geschäftsführung unmittelbar in der Leitungsebene verankert ist. Alle Mitarbeitenden werden regelmäßig geschult und auf die Regelungen des ISMS verpflichtet.
„Am Check-in-Counter sieht niemand, wie die Daten der Gäste geschützt werden. Darauf mussten unsere Kunden bisher vertrauen“, sagt Philipp Sautter, geschäftsführender Gesellschafter von EMENDO. „Mit der Zertifizierung ist unser Anspruch von unabhängiger Stelle geprüft und belegt.“
„Uns war wichtig, dass das ISMS im Projektalltag tragfähig ist und keine Parallelwelt neben der eigentlichen Arbeit entsteht“, ergänzt Carsten Hartig, Geschäftsführer und Informationssicherheitsbeauftragter. „Deshalb haben wir die Regelungen an den bestehenden Prozessen ausgerichtet und nicht umgekehrt. Das Ergebnis sind klare Zuständigkeiten, kürzere Reaktionszeiten bei Störungen und eine Dokumentation, die im Audit genauso belastbar ist wie in der täglichen Projektarbeit.“
Ein Nachweis statt Einzelabfragen
Für Ausschreibungen und Lieferantenbewertungen ist das Zertifikat der maßgebliche Nachweis: Es weist den geprüften Geltungsbereich aus und belegt, dass die Umsetzung von einer akkreditierten Stelle bewertet wurde. Individuelle Einzelabfragen zu Schutzmaßnahmen erübrigen sich damit. Was darüber hinausgeht, regelt EMENDO wie bisher vertraglich im jeweiligen Projekt – insbesondere in der Vereinbarung zur Auftragsverarbeitung. Das Zertifikat ist auf der EMENDO-Website abrufbar.
