Keine Zeit für
die falschen Fixes
Wie ein von Y Combinator unterstütztes KI-Startup seine ISO-27001-Vorbereitung auf das konzentriert hat, was sein Produkt braucht.
Madeleine MalmstenCTO & Co-founder„Das Team kam mit sehr konkreten Empfehlungen.“
Early-Stage-Startup mit Voice-KI für Mitarbeitendeninterviews. San Francisco, USA.
für DAkkS- und UKAS-akkreditierte Zertifizierungsstellen
Die Ausgangslage
Für ein Startup ist Sicherheitsarbeit, die das Unternehmen gar nicht betrifft, verlorene Zeit.
Sona8 entwickelt eine Voice-KI, die die Mitarbeitenden eines Unternehmens zu ihrer Arbeit interviewt und aus den Antworten Prozesslandkarten und eine priorisierte Liste von Problemen erstellt. Die Kunden sind große Unternehmen, und deren Security-Teams verlangen ISO 27001, bevor sie unterschreiben.
Bis zum internen Audit hatte das Team die Grundlagen geschaffen: Das ISMSISMSInformationssicherheits-Managementsystem. Die Regeln, Prozesse und Maßnahmen, mit denen ein Unternehmen seine Informationen schützt. stand, aufgebaut auf Vanta, die Nachweise waren in Ordnung und die Checkliste der Plattform abgedeckt. Für das Audit selbst wollte das Team erfahrene Auditoren, die alles mit Blick auf das Produkt prüfen. Was diese Checkliste nicht tief genug zeigt, musste jetzt auf den Tisch, denn erst im ZertifizierungsauditZertifizierungsauditDas Audit durch eine akkreditierte Zertifizierungsstelle, das entscheidet, ob das Unternehmen das ISO-27001-Zertifikat erhält. entdeckt, hätte es das Zertifikat verzögern können. Gleichzeitig sollte der Aufwand des Teams nur in das fließen, was für Sona8 zählte; was nicht zutraf, blieb außen vor.
Der Ablauf
- 14. Oktober
Unterlagen eingereicht
Sona8 hat Richtlinien und Nachweise vorab geschickt, sodass beide Auditoren das Setup vor dem Auftaktcall kannten.
- 21. Oktober · 9:00
Auftaktcall
Beide Auditoren haben die Gründer und das Team in einem Call getroffen, um den Umfang des Audits, die Zuständigkeiten und den Plan für den Vormittag abzustimmen.
- 21. Oktober · 9:30
Auditcalls
Track 1 · OrganisationEin Auditor ist mit den Verantwortlichen die organisatorische Seite durchgegangen: Richtlinien, On- und Offboarding und die Verträge hinter Kundendeals.
Track 2 · ProduktDer andere Auditor hat mit den Engineers das Produkt geprüft: wie Interviewdaten anonymisiert werden, wo Transkripte gespeichert sind, wie Datensätze gelöscht werden und wie Codeänderungen in Produktion gehen. So ging es bei jeder Frage um Sona8s echtes Setup.
21. Oktober · 9:30 · Zwei Tracks parallelAuditcalls
Track 1 · OrganisationEin Auditor ist mit den Verantwortlichen die organisatorische Seite durchgegangen: Richtlinien, On- und Offboarding und die Verträge hinter Kundendeals.
Track 2 · ProduktDer andere Auditor hat mit den Engineers das Produkt geprüft: wie Interviewdaten anonymisiert werden, wo Transkripte gespeichert sind, wie Datensätze gelöscht werden und wie Codeänderungen in Produktion gehen. So ging es bei jeder Frage um Sona8s echtes Setup.
- 21. Oktober · 12:00
Abschlusscall
Wir haben jede Feststellung dem ganzen Team erklärt, solange der Kontext noch frisch war, jeweils mit einem Fix, der zum Risiko passt.
- 28. Oktober
Bericht in 5 Werktagen
Der Bericht hat jede Feststellung mit Ursache und den Schritten zur Behebung bewertet und enthielt den Auditplan und die Qualifikationsnachweise der Auditoren, die die Zertifizierungsstelle verlangt.
- Jetzt
Feststellungen schließen
Sona8 arbeitet eine kurze Liste ab, mit einem Check-in von uns vor dem Zertifizierungsaudit.
- Als Nächstes
Zertifizierungsaudit
Stage 1: Der Zertifizierungsauditor liest die Dokumentation, einschließlich des Berichts zum internen Audit, und entscheidet, ob Sona8 bereit ist. Stage 2: Der Auditor prüft, ob das ISMS in der Praxis läuft.
- Danach
Das Zertifikat
Mit dem Zertifikat können die Deals, die darauf warten, weitergehen.
Feststellungen und Fixes
Das interne Audit hat eine solide Basis bestätigt. Sona8 hat Datenschutz von Anfang an ins Produkt eingebaut: Interviewdaten werden vor der Analyse anonymisiert, und das Produkt erhebt nur die personenbezogenen Daten, die es braucht.
Die Liste, die zurückkam, war kurz und spezifisch für Sona8. Hier sind drei Punkte, die für das Startup zählten.
- 01
Code-Reviews nach Risiko
Zwei Engineers schreiben den Großteil von Sona8s Code, unterstützt von KI-Coding-Agents. Ein menschliches Review bei jeder Änderung würde das Team bremsen, ohne es sicherer zu machen. Wir haben gezeigt, wie sich jede Änderung nach Art und Risiko einordnen lässt. Jetzt decken automatisierte Tests die Routineänderungen ab, und riskante Änderungen gibt ein zweiter Engineer frei.
- 02
Lizenzprüfung bei Abhängigkeiten
Sona8 hat bereits jede Änderung auf Schwachstellen im Open-Source-Code geprüft, auf dem das Produkt aufbaut. Wir haben darauf hingewiesen, dass eine Abhängigkeit auch ihre Lizenz ändern kann, nachdem sie im Einsatz ist. Das Team prüft jetzt auch das, damit die Kunden kein rechtliches Risiko übernehmen, dem sie nie zugestimmt haben.
- 03
Klare Rollen von Anfang an
Einige Verantwortlichkeiten im Sicherheitssetup waren auf mehrere Personen verteilt, ohne klare Zuständigkeit. Jetzt hat das Team klare Rollen: Alle wissen, wofür sie verantwortlich sind, und können ihren Teil des Audits vorbereiten.
Code-Reviews nach Risiko
Zwei Engineers schreiben den Großteil von Sona8s Code, unterstützt von KI-Coding-Agents. Ein menschliches Review bei jeder Änderung würde das Team bremsen, ohne es sicherer zu machen. Wir haben gezeigt, wie sich jede Änderung nach Art und Risiko einordnen lässt. Jetzt decken automatisierte Tests die Routineänderungen ab, und riskante Änderungen gibt ein zweiter Engineer frei.
„Wir sind ein Startup, wir bewegen uns schnell, und unsere Kunden vertrauen uns an, was ihre Mitarbeitenden in Interviews erzählen. Deshalb war uns eine gründliche interne Prüfung unserer Datensicherheit so wichtig. Louis und sein Team kamen mit sehr konkreten Empfehlungen. Sie haben uns geholfen, alle Compliance-Anforderungen zu erfüllen und darüber hinauszugehen, damit unser Datenschutz auch mit unserem Wachstum Schritt hält.“
Madeleine MalmstenCTO & Co-founderCTO & Co-founder · Sona8Das Fazit
Mit Deals, die auf ISO 27001 warteten, konnte sich Sona8 keine Verzögerung leisten. Jedes Problem, das erst im Zertifizierungsaudit auftaucht, kann das Zertifikat aufhalten. Deshalb hat das Team das interne Audit genutzt, um Lücken früh zu finden und zu schließen.
Zeit und Ressourcen zählten genauso. Ein schnelles Team kann keine Wochen in Arbeit stecken, die es dem Zertifikat nicht näherbringt. Das interne Audit hat den Aufwand fokussiert: Jeder Punkt auf der Liste war für Sona8s Produkt relevant. Jede Stunde bis zum Zertifizierungsaudit fließt jetzt in die Fixes, die zählen.
Ein internes Audit sollte
Sie auf das fokussieren,
was Ihr Produkt braucht.
Auch lesenswert
Das interne Audit ist die einzige Prüfung, die Sie selbst steuern, und der günstigste Ort für eine Feststellung. Was Auditoren prüfen und was Sie davon haben.
ISO 27001 · 15. Oktober 2026
ISO 27001 Klauseln 4–10: die ersten Schritte beim Aufbau Ihres ISMSSie streben erstmals die ISO-27001-Zertifizierung an? Das verlangen die Klauseln 4–10 an Dokumentation und Nachweisen, mit einem Plan für die ersten 90 Tage.
ISO 27001 · 20. Mai 2026
ISO 27001 Klausel 10.2: Nichtkonformität und KorrekturmaßnahmenIn jedem ISMS treten Probleme auf. Klausel 10.2 entscheidet, ob Sie daraus lernen: So finden Sie die Ursache und schließen Feststellungen mit Nachweisen ab.
ISO 27001 · 30. Juni 2026
Mehr Artikel im Knowledge HubInternes Audit mit Blick auf Ihr Produkt
Kostenloses Erstgespräch buchenNein. Plattformen wie Vanta, Drata oder Scytale sind hervorragend darin, Nachweise zu sammeln und Ihr Sicherheits-Setup zu überwachen, aber Abschnitt 9.2 verlangt ein unabhängiges Audit durch einen qualifizierten Auditor, keinen Dashboard-Check.
Ja, wenn der Auditor objektiv und unparteiisch ist, wie es Abschnitt 9.2 verlangt. Er darf die Sicherheitsmaßnahmen, die er prüft, nicht selbst entworfen, umgesetzt oder betrieben haben. Größere Organisationen mit eigener Compliance- oder Auditfunktion können das intern abdecken. Kleinere können es selten, und wenn dasselbe Team das Sicherheits-Setup aufbaut und auditiert, sind wohlwollende Feststellungen, vertraute blinde Flecken und Bestätigungsfehler das Ergebnis.
Das interne Audit ist Ihr eigener Test, ob Ihr Sicherheits-Setup funktioniert, in Ihrem Zeitplan, mit Feststellungen, die Sie selbst beheben. Das externe Audit ist die Entscheidung Ihrer Zertifizierungsstelle, ob Sie den Standard erfüllen, in deren Zeitplan, mit Feststellungen in dem Bericht, der über Ihr Zertifikat entscheidet.