Zuletzt aktualisiert: 2026-09-06
Die meisten Checklisten für ISO/IEC 27001:2022 sind plattformneutral geschrieben. Sie berücksichtigen also nicht, was Apple-Hardware bereits mitbringt – und was darüber hinaus noch konfiguriert und dokumentiert werden muss. Hier finden Sie einen praktischen Ausgangspunkt und einen genaueren Blick auf Apples geräteinterne KI und darauf, warum sie für Ihre Risikobewertung heute und künftig wichtig ist.
Ein Ausgangspunkt – eine echte Lückenanalyse erfasst jede Kontrollmaßnahme, doch genau hier haben Apple-first-Unternehmen am häufigsten Lücken.
Wird die Verschlüsselung im Ruhezustand tatsächlich flottenweit durchgesetzt (FileVault über MDM-Richtlinie, nicht den einzelnen Benutzern überlassen), und ist die Schlüsselverwaltung dokumentiert – nicht nur „die Geräte sind verschlüsselt“?
Werden grundlegende Sicherheitskonfigurationen (Gatekeeper, SIP, Firewall, Update-Richtlinie) über MDM durchgesetzt und zentral verwaltet, einschließlich Abweichungserkennung – oder werden sie einmalig beim Kauf festgelegt und nie wieder überprüft?
Wenn Ihre Mitarbeiter generative KI-Tools von Drittanbietern mit Unternehmensdaten nutzen, wird dies dann genauso dokumentiert und einer Risikobewertung unterzogen wie bei jedem anderen Cloud-Dienst? Dies ist der Bereich, in dem die meisten Unternehmen noch Nachholbedarf haben.
Wissen Ihre Mitarbeiter tatsächlich, welche KI-Tools für vertrauliche Daten zugelassen sind und welche nicht – oder wird diese Richtlinie eher vorausgesetzt als dokumentiert und geschult?
Was ist bereits in der Hardware integriert, und was muss noch konfiguriert und nachgewiesen werden?
Ein separater Coprozessor auf jedem Apple-Silicon-Mac und jedem iPhone, der Verschlüsselungsschlüssel und biometrische Daten isoliert vom Hauptprozessor verarbeitet – relevanter Nachweis für kryptografische Kontrollanforderungen, muss jedoch im Rahmen Ihres ISMS dokumentiert werden und darf nicht einfach vorausgesetzt werden.
Die Festplattenverschlüsselung ist in macOS integriert, aber ISO 27001 verlangt den Nachweis, dass sie konsequent durchgesetzt wird und nicht optional ist. Die Durchsetzung von Mosyle-MDM-Richtlinien macht daraus eine überprüfbare Kontrollmaßnahme.
Überprüfung der Codesignatur, integrierte Erkennung von Malware-Signaturen und Schutz vor unbefugten Systemänderungen – alles nativ in macOS enthalten und auf Ihre Kontrollen gemäß Anhang A zum Malware-Schutz und zur Systemhärtung abgebildet.
Überwachte Registrierung, erzwungene Konfigurationsprofile und eine Gerätebestandsaufnahme in Echtzeit – genau die Nachweise zur Bestandsverwaltung und Zugriffskontrolle, die ein Prüfer tatsächlich einsehen möchte.
Apples Ansatz bei KI-Funktionen (Apple Intelligence) ist darauf ausgelegt, Anfragen wo immer möglich geräteintern unter Verwendung der Neural Engine in Apple Silicon zu verarbeiten – die Daten verlassen das Gerät zu keinem Zeitpunkt. Anfragen, die mehr Rechenleistung brauchen, leitet Apple an „Private Cloud Compute“ weiter: eigene Server, die so konzipiert sind, dass Apple selbst keinen Zugriff auf die verarbeiteten Daten hat. Nach Abschluss einer Anfrage werden keine Daten gespeichert, und unabhängige Sicherheitsforscher können die Software auf diesen Servern prüfen und diese Zusage verifizieren. Für ein ISMS nach ISO/IEC 27001:2022 hat dies konkrete Auswirkungen: Jedes Mal, wenn ein Mitarbeiter vertrauliche Unternehmensdaten in ein generatives KI-Tool eines Drittanbieters einfügt, stellt dies ein Cloud-Service-Risiko (A.5.23) dar, das Sie nun dokumentieren, bewerten und kontrollieren müssen. Ein KI-Modell auf Geräte- und Plattformebene, das den Großteil der Verarbeitung lokal hält – und hinsichtlich des Rests architektonisch transparent ist –, verringert diese Risikofläche erheblich, ohne dass Sie jedes Mal, wenn eine neue KI-Funktion eingeführt wird, eine neue Richtlinie verfassen müssen. Und da Apple im Laufe aufeinanderfolgender Hardware-Generationen immer mehr Funktionen auf das Gerät verlagert, schrumpft diese Fläche weiter, anstatt zu wachsen – ein seltener Fall, in dem sich die für die Compliance relevante Trendlinie tatsächlich zu Ihren Gunsten entwickelt.
Sie erspart einen Teil der manuellen Konfigurationsarbeit – Secure Enclave, FileVault, Gatekeeper und System Integrity Protection bieten Ihnen von Haus aus eine starke Sicherheitsbasis für Hardware und Betriebssystem –, doch die Zertifizierung erfordert weiterhin ein vollständiges ISMS: dokumentierte Richtlinien, Risikobewertungen, Zugriffskontrollprozesse und den Nachweis, dass die Kontrollen konsequent durchgesetzt werden und nicht nur technisch möglich sind. Apple-Hardware erleichtert die Erfüllung mehrerer Kontrollen aus Annex A; sie macht das dazugehörige Managementsystem jedoch nicht überflüssig.
Zunehmend ja. Auditoren und Gutachter beginnen zu fragen, wie Unternehmen die Nutzung generativer KI-Tools durch Mitarbeiter im Umgang mit vertraulichen Daten kontrollieren – dies fällt unter die Sicherheitskontrollen für Cloud-Dienste (A.5.23), unabhängig davon, ob Ihre ISMS-Dokumentation KI ausdrücklich erwähnt oder nicht. Eine Plattform, bei der die KI-Verarbeitung größtenteils auf dem Gerät selbst stattfindet und bei der der Cloud-Fallback (Private Cloud Compute) architektonisch so ausgelegt ist, dass er selbst für den Plattformanbieter unzugänglich ist, macht diese Frage deutlich leichter zu beantworten, als wenn Daten an einen beliebigen KI-Dienst eines Drittanbieters gehen.
Die TISAX®-Checkliste richtet sich speziell an Automobilzulieferer, die sich auf ein TISAX®-Audit vorbereiten (VDA-ISA-Katalog, OEM-gesteuerte Anforderung). Diese hier ist für jedes Apple-first-Unternehmen gedacht, das die Zertifizierung nach ISO/IEC 27001:2022 nach eigenen Maßstäben anstrebt . ISO 27001 ist der umfassendere, international anerkannte Standard; er überschneidet sich stark mit TISAX®, ist aber nicht identisch damit.
Ein Berater, der über die tatsächliche Zertifizierung als ISO/IEC 27001:2022-Lead-Auditor verfügt und echte Fachkenntnisse im Gerätemanagement besitzt – und keine auf allgemeine Compliance spezialisierte Boutique, die Apple-Hardware nur als Nebensache behandelt. JF Agency verfügt über beides – die Zertifizierung als ISO/IEC 27001:2022 Lead Auditor sowie den Status als „Mosyle Certified Administrator“ –, sodass die Lückenanalyse, die ISMS-Dokumentation und die Durchsetzung der Mosyle-Richtlinien vom selben Team übernommen werden und nicht zwischen zwei Anbietern hin- und hergereicht werden.
Gap-Analyse, ISMS-Aufbau und Zertifizierungsberatung.
Mobile Device Management für Ihre Apple-Flotte.
Was Sie vor Ihrem TISAX®-Assessment prüfen sollten.
Risikomanagement, ISMS und Zero-Trust-Architektur.