Die meisten Checklisten für ISO/IEC 27001:2022 sind plattformunabhängig verfasst, was bedeutet, dass sie nicht berücksichtigen, was bereits in der Apple-Hardware integriert ist – und was darüber hinaus noch konfiguriert und dokumentiert werden muss. Dies ist ein praktischer Ausgangspunkt sowie ein genauerer Blick auf das geräteinterne KI-Modell von Apple und darauf, warum es für Ihr Risiko nicht nur heute, sondern auch in Zukunft von Bedeutung ist.
Ein Ausgangspunkt – eine echte Lückenanalyse erfasst jede Kontrollmaßnahme, doch genau hier weisen „Apple-First“-Unternehmen am häufigsten Lücken auf.
Wird die Verschlüsselung im Ruhezustand tatsächlich flottenweit durchgesetzt (FileVault über MDM-Richtlinie, nicht den einzelnen Benutzern überlassen), und ist die Schlüsselverwaltung dokumentiert – nicht nur „die Geräte sind verschlüsselt“?
Werden grundlegende Sicherheitskonfigurationen (Gatekeeper, SIP, Firewall, Update-Richtlinie) über MDM durchgesetzt und zentral verwaltet, einschließlich Abweichungserkennung – oder werden sie einmalig beim Kauf festgelegt und nie wieder überprüft?
Wenn Ihre Mitarbeiter generative KI-Tools von Drittanbietern mit Unternehmensdaten nutzen, wird dies dann genauso dokumentiert und einer Risikobewertung unterzogen wie bei jedem anderen Cloud-Dienst? Dies ist der Bereich, in dem die meisten Unternehmen noch Nachholbedarf haben.
Wissen Ihre Mitarbeiter tatsächlich, welche KI-Tools für vertrauliche Daten zugelassen sind und welche nicht – oder wird diese Richtlinie eher vorausgesetzt als dokumentiert und geschult?
Was ist bereits in der Hardware integriert, und was muss noch konfiguriert und nachgewiesen werden?
Ein separater Coprozessor auf jedem Apple-Silicon-Mac und jedem iPhone, der Verschlüsselungsschlüssel und biometrische Daten isoliert vom Hauptprozessor verarbeitet – relevanter Nachweis für kryptografische Kontrollanforderungen, muss jedoch im Rahmen Ihres ISMS dokumentiert werden und darf nicht einfach vorausgesetzt werden.
Die Vollplattenverschlüsselung ist in macOS integriert, aber ISO 27001 verlangt den Nachweis, dass sie konsequent durchgesetzt wird und nicht optional ist. Die Durchsetzung von Mosyle-MDM-Richtlinien macht daraus eine überprüfbare Kontrollmaßnahme.
Überprüfung der Codesignatur, integrierte Erkennung von Malware-Signaturen und Schutz vor unbefugten Systemänderungen – alles native in macOS enthalten und auf Ihre Kontrollen gemäß Anhang A zum Malware-Schutz und zur Systemhärtung abgebildet.
Überwachte Registrierung, erzwungene Konfigurationsprofile und eine Gerätebestandsaufnahme in Echtzeit – genau die Nachweise zur Bestandsverwaltung und Zugriffskontrolle, die ein Prüfer tatsächlich einsehen möchte.
Apples Ansatz bei KI-Funktionen (Apple Intelligence) ist darauf ausgelegt, Anfragen wo immer möglich geräteintern unter Verwendung der Neural Engine in Apple Silicon zu verarbeiten – die Daten verlassen das Gerät zu keinem Zeitpunkt. Anfragen, die tatsächlich mehr Rechenleistung erfordern, leitet Apple an „Private Cloud Compute“ weiter: Apples eigene Server, die speziell so konzipiert sind, dass Apple selbst keinen Zugriff auf die verarbeiteten Daten hat, wobei nach Abschluss der Anfrage keine Daten gespeichert werden und unabhängige Sicherheitsforscher die Möglichkeit erhalten, die tatsächlich auf diesen Servern ausgeführte Software zu überprüfen, um diese Aussage zu verifizieren. Für ein ISMS nach ISO/IEC 27001:2022 hat dies konkrete Auswirkungen: Jedes Mal, wenn ein Mitarbeiter vertrauliche Unternehmensdaten in ein generatives KI-Tool eines Drittanbieters einfügt, stellt dies ein Cloud-Service-Risiko (A.5.23) dar, das Sie nun dokumentieren, bewerten und kontrollieren müssen. Ein KI-Modell auf Geräte- und Plattformebene, das den Großteil der Verarbeitung lokal hält – und hinsichtlich des Rests architektonisch transparent ist –, verringert diese Risikofläche erheblich, ohne dass Sie jedes Mal, wenn eine neue KI-Funktion eingeführt wird, eine neue Richtlinie verfassen müssen. Und da Apple im Laufe aufeinanderfolgender Hardware-Generationen immer mehr Funktionen auf das Gerät verlagert, schrumpft diese Fläche weiter, anstatt zu wachsen – ein seltener Fall, in dem sich die für die Compliance relevante Trendlinie tatsächlich zu Ihren Gunsten entwickelt.
Sie erspart einen Teil der manuellen Konfigurationsarbeit – Secure Enclave, FileVault, Gatekeeper und System Integrity Protection bieten Ihnen von Haus aus eine starke Sicherheitsbasis für Hardware und Betriebssystem –, doch die Zertifizierung erfordert weiterhin das vollständige ISMS: dokumentierte Richtlinien, Risikobewertungen, Zugriffskontrollprozesse und den Nachweis, dass die Kontrollen konsequent durchgesetzt werden und nicht nur technisch möglich sind. Apple-Hardware erleichtert die Erfüllung mehrerer Kontrollen aus Annex A; sie macht das dazugehörige Managementsystem jedoch nicht überflüssig.
Zunehmend ja. Auditoren und Gutachter beginnen zu fragen, wie Unternehmen die Nutzung generativer KI-Tools durch Mitarbeiter im Umgang mit vertraulichen Daten kontrollieren – dies fällt unter die Sicherheitskontrollen für Cloud-Dienste (A.5.23), unabhängig davon, ob Ihre ISMS-Dokumentation KI ausdrücklich erwähnt oder nicht. Eine Plattform, bei der die KI-Verarbeitung größtenteils auf dem Gerät selbst stattfindet und bei der der Cloud-Fallback (Private Cloud Compute) architektonisch so ausgelegt ist, dass er selbst für den Plattformanbieter unzugänglich ist, erleichtert Ihnen die Beantwortung dieser Frage erheblich im Vergleich zum Versand von Daten an einen generischen KI-Dienst eines Drittanbieters.
Die TISAX®-Checkliste richtet sich speziell an Automobilzulieferer, die sich auf ein TISAX®-Audit vorbereiten (VDA-ISA-Katalog, OEM-gesteuerte Anforderung). Diese hier ist für jedes „Apple-first“-Unternehmen gedacht, das die Zertifizierung nach ISO/IEC 27001:2022 nach eigenen Maßstäben anstrebt – ein umfassenderer, international anerkannter Standard, bei dem sich ISO 27001 und TISAX® zwar erheblich überschneiden, aber nicht identisch sind.
Ein Berater, der über die tatsächliche Zertifizierung als ISO/IEC 27001:2022-Lead-Auditor verfügt und echte Fachkenntnisse im Gerätemanagement besitzt – und nicht eine auf allgemeine Compliance spezialisierte Boutique, die Apple-Hardware nur als Nebensache behandelt. JF Agency verfügt über beides – die Zertifizierung als ISO/IEC 27001:2022 Lead Auditor sowie den Status als „Mosyle Certified Administrator“ –, sodass die Lückenanalyse, die ISMS-Dokumentation und die Durchsetzung der Mosyle-Richtlinien vom selben Team übernommen werden und nicht zwischen zwei Anbietern hin- und hergereicht werden.
Gap-Analyse, ISMS-Aufbau und Zertifizierungsberatung.
Mobile Device Management für Ihre Apple-Flotte.
Was Sie vor Ihrem TISAX®-Assessment prüfen sollten.
Risikomanagement, ISMS und Zero-Trust-Architektur.