OpenISMS: Das ISMS, das ich mir als IT-Auditor immer gewünscht hätte

Wie es angefangen hat: Ein Problem, das ich täglich gesehen habe

Wer im IT-Audit arbeitet, kennt die Situation: Man kommt zu einem Kunden, stellt die ersten Fragen zum Informationssicherheits-Management und bekommt als Antwort eine Sammlung aus Excel-Tabellen, SharePoint-Dokumenten und — wenn man Glück hat — einem halb ausgefüllten Word-Template, das irgendwann mal als ISMS herhalten sollte. Der Asset-Stand ist veraltet, das Risikoregister wurde zuletzt vor anderthalb Jahren angefasst, und die Maßnahmen aus dem letzten Audit-Finding schweben irgendwo in einem gemeinsamen Laufwerk vor sich hin, ohne dass jemand weiß, ob sie überhaupt noch relevant sind.

Das ist kein Einzelfall. Das ist der Normalzustand in einem erschreckend großen Teil der Unternehmen, die ich über die Jahre begleitet habe — und zwar bei Unternehmen, die sich nominell bereits auf dem Weg zur ISO-27001-Zertifizierung befanden. Das Problem ist selten fehlendes Bewusstsein oder fehlender Wille. Das Problem ist fehlende Werkzeuge, die praxistauglich, erschwinglich und ohne monatelange Einführungsprojekte nutzbar sind.

Die kommerziellen ISMS-Tools auf dem Markt sind entweder astronomisch teuer, setzen ein ganzes Einführungsprojekt voraus oder sind so generisch gehalten, dass sie für operative IT-Security-Teams kaum Mehrwert bieten. Auf der anderen Seite gibt es Open-Source-Ansätze, die bestenfalls grundlegende Ticketsysteme sind und mit den regulatorischen Anforderungen von ISO 27001:2022, NIS-2 oder dem EU AI Act nichts anfangen können.

Irgendwann habe ich aufgehört, nach dem richtigen Tool zu suchen — und angefangen, es selbst zu bauen. OpenISMS ist das Ergebnis.

Was ist ein ISMS — und warum braucht man eine dedizierte Anwendung?

Ein Information Security Management System (ISMS) ist kein Produkt, das man kauft — es ist ein systematischer Rahmen, mit dem ein Unternehmen seine Informationssicherheit organisiert, überwacht und kontinuierlich verbessert. ISO 27001 ist der bekannteste internationale Standard dafür. Er definiert, was ein ISMS leisten muss: Asset-Management, Risikobeurteilung, Maßnahmenauswahl, Messung, Audit, Verbesserung.

Das klingt überschaubar. In der Praxis bedeutet es: hunderte von Assets kategorisieren und aktuell halten, für jedes Asset eine Risikobewertung durchführen, Maßnahmen zuordnen und deren Umsetzung nachverfolgen, Vorfälle dokumentieren, Richtlinien verwalten, Prüfnachweise für Auditoren bereithalten — und das alles unter verschiedenen regulatorischen Anforderungen gleichzeitig.

Seit 2023 hat sich die regulatorische Komplexität nochmals erheblich gesteigert: NIS-2 bringt neue Meldepflichten und Lieferketten-Anforderungen. Der EU AI Act verlangt ein KI-Inventar mit Risikoeinstufungen. DORA gilt für Finanzunternehmen mit spezifischen IKT-Anforderungen. BSI C5:2026 ist für Cloud-Anbieter relevant. TISAX für die Automobilindustrie. Wer all das mit Excel-Listen und manuellen Prozessen steuern will, hat strukturell verloren — spätestens beim nächsten Audit.

Eine dedizierte Anwendung schafft genau das, was manuelle Prozesse nicht können: Konsistenz, Nachvollziehbarkeit, automatisierte Fristberechnung, lückenlose Audit-Trails und die Möglichkeit, verschiedene Compliance-Anforderungen in einem System zusammenzuführen — ohne Doppelarbeit.

Für wen ist OpenISMS geeignet?

OpenISMS ist nicht für jeden gleich nützlich — und das ist auch gut so. Ich habe beim Bauen bewusst bestimmte Zielgruppen im Kopf gehabt und nicht versucht, ein Universalwerkzeug für alle zu schaffen, das am Ende für niemanden wirklich passt.

Praxiserfahrung als Blaupause: Was in OpenISMS steckt

Jede einzelne Funktion in OpenISMS hat einen konkreten Ursprung in der Praxis. Das sind keine Annahmen darüber, was nützlich sein könnte — das sind Lösungen für Probleme, denen ich persönlich begegnet bin.

Warum nicht einfach ein bestehendes Tool nutzen?

Das ist eine berechtigte Frage — und sie verdient eine ehrliche Antwort. Natürlich gibt es bereits ISMS-Tools. Ich habe viele davon im Einsatz gesehen oder selbst ausprobiert. Hier ist meine nüchterne Einschätzung:

Das bedeutet nicht, dass kommerzielle Tools keine Daseinsberechtigung haben. Für Konzerne mit komplexen Governance-Strukturen, die ein Tool mit professionellem Support, SLA und Integrations-Ökosystem brauchen, sind Enterprise-GRC-Lösungen die richtige Wahl. OpenISMS schließt eine andere Lücke: die unterhalb dieser Anforderungen — und diese Lücke ist erheblich größer, als der Markt bisher wahrnimmt.

Features im Überblick

OpenISMS ist in Version 2.2.1 eine vollständige ISMS-Anwendung — kein MVP, kein Proof of Concept. Hier sind die wichtigsten Bereiche:

Der MCP-Server: ISMS trifft KI-Assistent

Das vielleicht ungewöhnlichste Feature von OpenISMS ist sein integrierter MCP-Server — ein Model Context Protocol Server, über den KI-Assistenten wie Claude direkt mit dem ISMS interagieren können. Das ist kein Gimmick: Es ist der konsequente nächste Schritt, wenn man ein ISMS wirklich in den Arbeitsalltag integrieren will.

Die Idee dahinter: Die meisten ISMS-Tools sind Erfassungssysteme — man trägt Daten ein und liest sie irgendwann wieder aus. Der operative Wert entsteht aber dann, wenn diese Daten aktiv in Entscheidungen einfließen. Wenn ein IT-Mitarbeiter einen Vorfall meldet, sollte das so reibungslos sein, dass er es tatsächlich tut — und nicht erst einen Browser öffnen, sich einloggen und durch drei Menüebenen klicken muss.

Mit dem MCP-Server kann Claude Desktop oder Claude Code direkt auf das ISMS zugreifen: Assets abfragen, Risiken anlegen, Incidents melden, den ISMS Health Score abrufen — per natürlichsprachlicher Anfrage, ohne die Oberfläche zu öffnen.

{
  "mcpServers": {
    "isms": {
      "type": "http",
      "url": "https://isms.example.com/mcp",
      "headers": {
        "Authorization": "Bearer isms_api_<dein-token>"
      }
    }
  }
}

18 MCP-Tools stehen bereit — von isms_list_assets über isms_create_incident bis hin zu isms_get_management_report. Der vollständige Katalog ist in der GitHub-README dokumentiert.

Sicherheit im eigenen Tool: Was unter der Haube steckt

Ein ISMS-Tool, das selbst schlechte Sicherheitspraktiken umsetzt, ist ein Widerspruch in sich — und eines der Dinge, die mich an einigen bestehenden Lösungen gestört haben. Bei OpenISMS war die Sicherheitsarchitektur keine nachträgliche Überlegung, sondern von Anfang an eine Anforderung.

Was als nächstes kommt

OpenISMS ist in aktiver Entwicklung. Version 2.2.1 ist stabil — und es gibt bereits eine klare Vorstellung davon, wohin die Reise geht. Ich veröffentliche keine festen Release-Daten, weil ich ein Soloprojekt ehrlicher als ein Unternehmen führen will: Dinge kommen dann, wenn sie fertig und gut sind.

Tech Stack

OpenISMS setzt auf einen modernen, wartbaren Stack — bewusst ohne exotische Abhängigkeiten, damit der Betrieb auch für kleinere Teams selbst beherrschbar bleibt.

Installation: In fünf Minuten einsatzbereit

OpenISMS lässt sich auf mehrere Arten betreiben — für Homelab-Nutzer, Unraid-Installationen und Produktivumgebungen gleichermassen.

git clone https://github.com/grcforge/openisms.git
cd openisms
sudo bash install.sh

cp .env.example .env
# DATABASE_URL, JWT_SECRET, ENCRYPTION_KEY, APP_URL setzen

export ISMS_VERSION=latest
docker compose -f docker-compose.ghcr.single.yml up -d

docker run -d --name isms --restart unless-stopped \
  -p 8080:3001 \
  -e DATABASE_URL="mysql://user:PASS@db-host:3306/isms" \
  -e JWT_SECRET="" \
  -e ENCRYPTION_KEY="" \
  -e APP_URL="http://192.168.1.50:8080" \
  -v /mnt/user/appdata/isms/uploads:/app/uploads \
  ghcr.io/grcforge/openisms-app:latest

Mitmachen, Feedback geben, unterstützen

OpenISMS ist ein Projekt, das aus der Praxis entstanden ist — und es soll aus der Praxis heraus wachsen. Das bedeutet: Ich bin auf Feedback, Erfahrungsberichte und Beiträge von Menschen angewiesen, die das Tool tatsächlich einsetzen. Nicht auf Wunschlisten in einem Vakuum.

Wenn du OpenISMS in deinem Homelab oder in deiner Organisation einsetzt, interessiert mich dein Feedback — egal ob positiv oder kritisch. Wenn etwas nicht so funktioniert, wie es sollte: ein Issue auf GitHub ist die direkteste Möglichkeit, das zu kommunizieren. Wenn du eine Funktion vermisst, die du für deine Praxis brauchst: Discussions sind der richtige Ort dafür. Wenn du selbst entwickelst und etwas beitragen möchtest: Pull Requests sind willkommen.

Fazit

OpenISMS ist kein fertiges Produkt im Sinne eines abgeschlossenen Projekts — es ist eine lebende Anwendung, die mit den Anforderungen der Praxis wächst. Version 2.2.1 deckt heute bereits ein breites Spektrum ab: von der einfachen Asset-Verwaltung bis hin zu NIS-2-konformer Incident-Dokumentation, vollständigem VVT-Register und einem MCP-Server für die Integration mit KI-Assistenten.

Was mich bei diesem Projekt antreibt, ist die Überzeugung, dass gute Werkzeuge einen echten Unterschied machen — nicht nur für große Organisationen mit siebenstelligen GRC-Tool-Budgets, sondern auch für mittelständische Unternehmen, IT-Abteilungen ohne eigenes Security-Team und alle, die ihr ISMS endlich in den Griff bekommen wollen, ohne dafür einen Beratungsvertrag unterschreiben zu müssen. Wenn OpenISMS dabei hilft, freut mich das. Wenn du etwas vermisst oder etwas nicht funktioniert: Ich bin gespannt auf dein Feedback.