ISO 27001 und Cookie-Management: Ist Ihr Cookie-Banner Teil des ISMS?

Unternehmen, die nach ISO/IEC 27001 zertifiziert sind, verfügen in der Regel über umfassende Verfahren in den Bereichen Informationssicherheit, Lieferantenmanagement, Änderungsmanagement und regelmäßige Audits.

Doch wer behält in der Zwischenzeit im Auge, was auf der Website vor sich geht?

Websites unterliegen ständigen Veränderungen. Das Marketingteam fügt ein Tag hinzu, die Digitalagentur veröffentlicht ein neues Update oder ein Plugin stellt eine Verbindung zu einem externen Anbieter her. Dies kann dazu führen, dass neue Cookies und Tracker erstellt werden, ohne dass der Sicherheits- oder Datenschutzbeauftragte davon Kenntnis hat.

Es kann daher vorkommen, dass eine Organisation ihre Maßnahmen zur Informationssicherheit zwar sorgfältig umgesetzt hat, personenbezogene Daten jedoch dennoch über ihre Website verarbeitet oder weitergegeben werden, ohne dass dies jemand bemerkt.

Bedeutet das, dass das Cookie-Management Teil der Norm ISO 27001 ist?

Die kurze Antwort: Die Norm ISO 27001 enthält keine spezifischen Anforderungen an Cookies oder Cookie-Banner. Wenn jedoch Websites, personenbezogene Daten und Drittanbieter in den Geltungsbereich des Informationssicherheits-Managementsystems fallen, ist das Cookie-Management durchaus relevant.

Was ist ISO/IEC 27001?

ISO/IEC 27001 ist die internationale Norm für die Einrichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems, das üblicherweise mit ISMS abgekürzt wird.

Die Norm schreibt nicht vor, welche technische Lösung eine Organisation anwenden muss. Organisationen müssen ihre Informationsrisiken eigenständig ermitteln, bewerten und angehen. Anschließend müssen sie nachweisen können, dass geeignete Kontrollmaßnahmen ausgewählt, umgesetzt und überwacht wurden.

Damit ist die Norm ISO 27001 risikobasiert.

Wenn eine Website personenbezogene Daten verarbeitet, externe Skripte verwendet oder Daten an Dritte weitergibt, können diese Aktivitäten daher Bestandteil der Risikoanalyse und des ISMS sein.

Ein ISO 27001-Zertifikat bedeutet daher nicht automatisch, dass das Cookie-Banner oder die Einwilligungsabfrage ordnungsgemäß funktioniert. Es bedeutet vielmehr, dass die Organisation ein Managementsystem eingerichtet hat, um relevante Informationsrisiken systematisch zu steuern.

ISO 27001 im Vergleich zu ISO 27002

ISO/IEC 27001 beschreibt die Anforderungen, die ein Informationssicherheits-Managementsystem (ISMS) erfüllen muss. ISO/IEC 27002:2022 enthält praktische Leitlinien für die Auswahl und Umsetzung von Maßnahmen zur Informationssicherheit.

Nur die Norm ISO 27001 ist zertifizierbar. Die Norm ISO 27002 kann als praktische Checkliste im Rahmen des ISMS verwendet werden.

Die Verwaltung von Cookies kann unter anderem folgende Themen aus der Norm ISO 27002 betreffen:

• Bestandsaufnahme von Informationen und sonstigen Vermögenswerten;
• Lieferantenmanagement und -überwachung;
• gesetzliche und vertragliche Verpflichtungen;
• Datenschutz und Schutz personenbezogener Daten;
• Konfigurationsmanagement;
• Überwachungsmaßnahmen;
• Veränderungsmanagement.

Welche Maßnahmen eine Organisation tatsächlich umsetzt, hängt von ihrer Risikoanalyse, dem Geltungsbereich des ISMS und der Geltungserklärung ab.

Warum Cookies ein Informationsrisiko darstellen können

Cookies an sich stellen nicht immer personenbezogene Daten dar. Cookies und ähnliche Technologien können jedoch dazu verwendet werden, Besucher zu erkennen, deren Verhalten zu verfolgen, Profile zu erstellen oder Informationen an Dritte weiterzugeben.

Aus diesem Grund umfasst ein effektives Cookie-Management mehr als nur die Sichtbarkeit eines Cookie-Banners.

Eine Website kann beispielsweise:

• das Setzen von Marketing-Cookies, bevor die Einwilligung erteilt wurde;
• die Übermittlung von Daten an einen nicht registrierten Drittanbieter;
• Aktivieren Sie das neue Tracking, nachdem Sie eine Änderung im Google Tag Manager vorgenommen haben;
• Cookies verwenden, die nicht in der Cookie-Richtlinie aufgeführt sind;
• externe Inhalte laden, ohne die Folgen abzuwägen;
• eine veraltete Datenschutzerklärung anzeigen;
• die Einwilligung auf eine andere Weise zu verarbeiten, als es dem Besucher im Banner mitgeteilt wird.

Dies betrifft nicht nur die Datenschutzgesetze. Es wirkt sich auch auf die Verwaltung von Vermögenswerten, Lieferanten, Konfigurationen, Änderungen und Informationsrisiken aus.

Die Website als Bestandteil des Lieferantenmanagements

Moderne Websites nutzen eine Vielzahl externer Dienste. Dazu gehören Google, Meta, LinkedIn, YouTube, Chat-Software, A/B-Test-Tools, eingebettete Inhalte und Marketingplattformen.

Jeder externe Anbieter kann Teil der digitalen Lieferkette sein.

Eine herkömmliche Lieferantenüberprüfung gibt jedoch nicht immer Aufschluss darüber, welche Lieferanten derzeit über die Website genutzt werden. Zudem kann sich dies ändern, ohne dass ein formelles Lieferantenauswahlverfahren eingeleitet wird.

Eine Bestandsaufnahme der Cookies und Anbieter kann daher dazu beitragen, Fragen wie die folgenden zu beantworten:

• Welche externen Parteien sind derzeit aktiv?
• Wozu werden sie verwendet?
• Werden personenbezogene Daten übermittelt?
• Ist hierfür eine Genehmigung erforderlich?
• Ist der Anbieter in den Datenschutzunterlagen aufgeführt?
• Wer hat den Anbieter hinzugefügt?
• Wann wurde die Konfiguration zuletzt überprüft?

Dadurch wird die Verwaltung von Cookies zu einer praktischen Erweiterung der Steuerung von Drittanbietern.

Ein Cookie-Banner stellt keine dauerhafte Maßnahme zur Einhaltung der Vorschriften dar

Die Implementierung einer Einwilligungsmanagement-Plattform wie beispielsweise Cookiebot CMP ist ein wichtiger Schritt. Der Einsatz einer CMP garantiert jedoch nicht automatisch, dass die gesamte Einwilligungsschicht auch weiterhin ordnungsgemäß funktioniert.

Das CMP verwaltet die Einwilligungseinstellungen der Besucher. Sein tatsächliches Verhalten hängt unter anderem auch von folgenden Faktoren ab:

• die Umsetzung des CMP;
• Google Tag Manager und andere Tag-Management-Systeme;
• Änderungen an der Website;
• Plugins und externe Skripte;
• die Einteilung von Cookies;
• Einstellungen für regionale Banner;
• die Integration mit dem Einwilligungsmodus;
• das Handeln von Marketingfachleuten, Entwicklern und Agenturen.

Infolgedessen kann es vorkommen, dass eine ordnungsgemäß konfigurierte Website nach einer Änderung erneut Abweichungen aufweist. Wir bezeichnen dies auch als „Consent Drift“: Das tatsächliche Verhalten der Einwilligungsschicht weicht allmählich von der beabsichtigten Konfiguration ab.

Eine einmalige Umsetzung oder ein jährliches Audit reicht daher nicht immer aus.

Von jährlichen Prüfungen bis hin zur kontinuierlichen Überwachung der Kontrollmechanismen

Die Norm ISO 27001 legt besonderen Wert auf Überwachung, Bewertung und kontinuierliche Verbesserung. Dieser Grundsatz lässt sich auch auf die Einwilligungsfunktion der Website anwenden.

Anstatt Überprüfungen ausschließlich im Rahmen eines Audits durchzuführen, kann eine Organisation in regelmäßigen Abständen Folgendes ermitteln:

• welche Cookies und Tracker aktiv sind;
• welche Dritten Daten erhalten;
• ob Cookies gesetzt werden, bevor die Einwilligung erteilt wird;
• Welche Änderungen haben sich seit der letzten Prüfung ergeben?;
• ob die Cookie- und Datenschutzrichtlinie noch der aktuellen Situation entsprechen;
• Welche Probleme wurden bereits gelöst und welche sind noch offen?

Dies wird auch als kontinuierliche Überwachung der Kontrollmaßnahmen bezeichnet: die regelmäßige Überprüfung, ob die vereinbarten Kontrollmaßnahmen weiterhin wie vorgesehen funktionieren.

Dies liefert Wirtschaftsprüfern, Sicherheitsbeauftragten und Datenschutzexperten nachprüfbare Belege. Für Web- und Marketingteams bietet es einen praktischen Überblick über die zu lösenden Probleme.

Ebenfalls relevant für ISO/IEC 27701

Die Norm ISO/IEC 27701:2025 ist auch für Organisationen relevant, die den Datenschutz systematisch verwalten möchten. Diese Norm legt die Anforderungen an ein Datenschutz-Informationsmanagementsystem (Privacy Information Management System, PIMS) fest.

Die Norm ISO 27701 befasst sich unter anderem mit der Rechenschaftspflicht, Datenschutzrisiken und der nachweisbaren Kontrolle der Verarbeitung personenbezogener Daten.

Die Verwaltung von Cookies kann dazu beitragen, indem sie:

• um die Online-Datenverarbeitung transparent zu gestalten;
• externe Anbieter ermitteln;
• um Berechtigungen und die Nachverfolgung zu überprüfen;
• um Änderungen und Abweichungen zu dokumentieren;
• die Datenschutzunterlagen mit der technischen Realität abgleichen;
• Berichte für interne Kontrollen und Prüfungen bereitzustellen.

Die Norm ISO/IEC 29184:2020 befasst sich noch gezielter mit Online-Datenschutzerklärungen und dem Verfahren, mit dem die Online-Einwilligung zur Verarbeitung personenbezogener Daten eingeholt wird.

Keine dieser Richtlinien schreibt die Verwendung eines bestimmten Cookie-Tools vor. Sie betonen jedoch, dass die Online-Einwilligung, die Transparenz und die Verarbeitung personenbezogener Daten auf kontrollierte und nachprüfbare Weise erfolgen müssen.

Wer ist für die Verwaltung von Cookies zuständig?

Die Verwaltung von Cookies fällt selten vollständig in den Zuständigkeitsbereich einer einzigen Abteilung.

Die Marketingabteilung wählt Tracking-Technologien aus und setzt diese ein. Entwickler und Online-Agenturen implementieren Skripte und nehmen Anpassungen vor. Die Abteilung für Datenschutz und Rechtsangelegenheiten prüft die Rechtsgrundlagen und die Offenlegungspflichten. Die Abteilung für Informationssicherheit überwacht Risiken, Kontrollmaßnahmen und Anbieter.

Gerade an der Schnittstelle dieser Zuständigkeiten können Probleme auftreten.

Aus diesem Grund ist es wichtig, Folgendes zu beachten:

• Wem gehört die Einwilligungsschicht?;
• wer befugt ist, Änderungen vorzunehmen;
• wer Abweichungen bewertet;
• wie oft Inspektionen durchgeführt werden;
• wie Vorfälle weiterverfolgt werden;
• welche Beweismittel aufbewahrt werden;
• wie darüber berichtet wird.

Die Verwaltung von Cookies wird daher kein eigenständiges Projekt sein, das von der Marketing- oder der Rechtsabteilung betreut wird, sondern vielmehr ein gemeinsamer Steuerungsprozess.

Inwiefern kann CookieMeister Ihnen dabei helfen?

CookieMeister wurde als Governance- und Überwachungsebene für Unternehmen entwickelt, die Cookiebot einsetzen.

Die Plattform ersetzt Cookiebot CMP nicht. Sie zeigt an, ob die Einwilligungsumgebung über mehrere Websites hinweg weiterhin wie vorgesehen funktioniert.

CookieMeister kann Ihnen unter anderem bei folgenden Aufgaben helfen:

• zentralisierte Überwachung der Cookiebot-Domains;
• Erkennung von Problemen im Zusammenhang mit der vorherigen Einwilligung;
• Erkennung von Änderungen und Abweichungen bei der Einwilligung;
• Liste der Cookies und Drittanbieter;
• Vergleich mit den Datenschutzunterlagen;
• Meldung von Unstimmigkeiten und Problembereichen;
• Zusammenarbeit zwischen den Bereichen Web, Marketing, Datenschutz und externen Agenturen.

Auf diese Weise kann CookieMeister Sie bei der Überwachung und Dokumentation von Maßnahmen unterstützen, die für die Normen ISO/IEC 27001, ISO/IEC 27002 und ISO/IEC 27701 relevant sein könnten.

CookieMeister bietet keine ISO-Zertifizierung an und übernimmt keine Gewähr dafür, dass eine Organisation diese Standards einhält. Das Unternehmen liefert jedoch praktische Einblicke und Belege zu einem Aspekt, der in vielen ISMS- und PIMS-Umgebungen weitgehend übersehen wird: die tatsächliche Funktionsweise von Cookies, Trackern, Einwilligungen und Drittanbietern auf öffentlichen Websites.

Schlussfolgerung

Die Norm ISO 27001 enthält keine gesonderte Anforderung für Cookie-Banner. Das Cookie-Management kann jedoch nicht automatisch aus dem Informationssicherheits-Managementsystem (ISMS) ausgeschlossen werden.

Sobald eine Website personenbezogene Daten verarbeitet, Drittanbieter nutzt oder entsprechende Informationsrisiken mit sich bringt, berührt dies die Bereiche Datenschutz, Lieferantenmanagement, Konfigurationsmanagement, Änderungsmanagement und Überwachung.

Die entscheidende Frage lautet daher nicht:

Verfügen wir über ein Cookie-Banner?

Allerdings:

Können wir nachweisen, dass unsere Maßnahmen zur Einwilligungserlangung nach wie vor wie vorgesehen funktionieren?