ISMS-Software wechseln: Wie bleibt die Nachweishistorie erhalten?
Eine Datei ist umgezogen. Aber ist noch erkennbar, wann sie galt und wer sie freigegeben hat? So prüfst du historische Belege beim ISMS-Wechsel.
Du kannst deine ISMS-Software wechseln und historische Nachweise weiterhin nachvollziehbar halten. Dafür brauchst du mehr als die aktuelle Datei: Sichere ihren Bezugszeitraum, den verwendeten Versionsstand, zugehörige Freigaben und die Verbindung zur ursprünglichen Quelle. Prüfe anschließend an einem alten Vorgang, ob jemand diese Geschichte tatsächlich rekonstruieren kann.
Ein typischer Stolperstein: Ein Prüfprotokoll wurde im Juni erstellt und im Juli freigegeben. Nach der Migration zeigt das neue System als einziges Datum den Upload im Oktober. Der Inhalt ist vorhanden, seine zeitliche Einordnung fehlt. Eine Rückfrage zum zweiten Quartal lässt sich damit noch nicht verlässlich beantworten.
Dieser dritte Teil der Reihe „Dein ISMS umziehen“ behandelt genau diese zeitliche Belegkette. Den allgemeinen Übernahmeplan findest du in Teil 1 zur ISMS-Datenmigration. Für Dokumentbibliotheken und Berechtigungen gibt es Teil 2 zum Wechsel aus SharePoint.
Das Wichtigste
- Alte und neue Ereignisse unterscheiden: Der Import ist ein neuer Vorgang. Er ersetzt weder die frühere Prüfung noch deren Freigabe.
- Historie gezielt sichern: Entscheide, welche Versionen, Entscheidungen und Protokolle für eure späteren Fragen benötigt werden.
- Originale erreichbar halten: Was im Ziel nicht abgebildet wird, braucht eine eindeutig zugeordnete und zugängliche Referenz.
- Einen alten Fall nachgehen: Der aussagekräftige Test beginnt mit einer Frage zum damaligen Stand, nicht mit der Zahl hochgeladener Dateien.
Welche Historie brauchst du nach dem Wechsel?
Trenne zunächst drei Dinge, die im Alltag oft gemeinsam als „Historie“ bezeichnet werden:
| Bestandteil | Welche Frage er beantwortet | Was allein nicht reicht |
|---|---|---|
| Dokumentversion | Welche Fassung galt zu einem bestimmten Zeitpunkt? | Die heute neueste Datei |
| Entscheidung oder Freigabe | Wer hat welchen Stand wann bestätigt? | Ein Status ohne Bezug zu Fassung und Person |
| Ereignisprotokoll, auch Audit-Trail | Welche erfassten Aktionen fanden im System statt? | Ein neuer Import-Eintrag ohne die früheren Ereignisse |
Diese Informationen können an unterschiedlichen Stellen liegen: in der Datei, in einer Versionsverwaltung, in einem Freigabeprozess oder in einem separaten Protokoll. Ein Dokumentexport muss nicht alle diese Quellen umfassen.
Lege den benötigten Umfang anhand konkreter Fragen fest. Welcher Standort wurde geprüft? Welche Maßnahme war damals umgesetzt? Wer durfte den Abschluss freigeben? Welche spätere Änderung erklärt, warum der aktuelle Stand davon abweicht? Daraus ergibt sich, welche Historie erhalten bleiben muss und welche ergänzenden Quellen du brauchst.
Ein alter Beleg wird durch den Umzug nicht automatisch aktuell. Sein bisheriger Zeitraum und Geltungsbereich bleiben maßgeblich. Eine neue Prüfung kann einen neuen Nachweis erzeugen; sie sollte den früheren Beleg nicht unbemerkt überschreiben.
Vom alten Prüfzeitraum bis zum Original: ein Arbeitsbeispiel
Ein fiktiver Bestand enthält den Nachweis E-042 zur Überprüfung administrativer Zugänge für das zweite Quartal. Das Protokoll wurde am 30. Juni erstellt und am 2. Juli durch die zuständige Rolle freigegeben. Am 20. Oktober wird es in die neue ISMS-Software übernommen.
Nach dem Wechsel fragt eine prüfende Person: „Welche Zugänge habt ihr für das zweite Quartal geprüft, und auf welcher Grundlage wurde das Ergebnis bestätigt?“ Dafür muss sie vom Vorgang zur damaligen Protokollfassung und zur zugehörigen Freigabe gelangen können. Ein heutiger Screenshot der aktuellen Zugänge beantwortet diese historische Frage nicht.
Prüfe diesen Weg mit einer vorgesehenen Rolle:
- Finde E-042 über die passende Maßnahme und den Bezugszeitraum.
- Öffne die übernommene Fassung und vergleiche Inhalt, Version und Geltungsbereich mit der gesicherten Quelle.
- Finde die Freigabe mit Bezug auf genau diese Fassung. Kläre auch, wer hinter einer alten Benutzerkennung stand.
- Erkenne, welche Angaben aus dem Altsystem stammen und welches Ereignis der Import selbst erzeugt hat.
- Öffne eine benötigte ergänzende Originalreferenz mit den dafür vorgesehenen Zugriffsrechten.
Das Ergebnis kann aus mehreren verbundenen Quellen bestehen. Entscheidend ist, dass die Zuordnung eindeutig und für berechtigte Personen nachvollziehbar ist.
Der Belegketten-Check für deine Migration
Ergänze das Dateninventar aus Teil 1 um die historische Sicht. Für jeden ausgewählten Vorgang sollte sich diese Tabelle beantworten lassen:
| Prüffeld | Was du festhältst | Woran du die Übernahme prüfst |
|---|---|---|
| Version | Eindeutiger Stand des Dokuments oder Datensatzes | Die gemeinte Fassung lässt sich von anderen Ständen unterscheiden |
| Zeitbezug | Prüfzeitraum, Erstellungsdatum und relevante Ereigniszeitpunkte | Ein Upload-Datum wird nicht als Datum der ursprünglichen Prüfung ausgegeben |
| Verantwortung | Zuständige Rolle und Bedeutung alter Kennungen | Frühere Entscheidungen werden nachvollziehbar zugeordnet |
| Anforderungsbezug | Maßnahme oder Vorgabe mit damaligem Geltungsbereich | Der Beleg wird nicht ungeprüft auf einen anderen Standort übertragen |
| Originalquelle | Quellsystem, Referenz und gesicherter Export | Der Ursprung ist auffindbar und mit der übernommenen Fassung verbunden |
| Einschränkung | Fehlende Ereignisse, Felder oder Darstellungen | Lücken sind ausdrücklich dokumentiert und fachlich bewertet |
Die Tabelle ist eine Arbeitshilfe, keine allgemeine Aufbewahrungsregel. Welche Unterlagen ihr wie lange benötigt, hängt von ihrem Zweck und den anwendbaren Anforderungen ab. Entscheide darüber, bevor ein Altsystemzugang oder Vertrag endet.
Was ein Export belegt – und was du zusätzlich prüfen musst
Halte beim Export fest, wer ihn wann aus welchem System erstellt hat, welche Auswahl verwendet wurde und welchen Zeitraum er umfasst. Bewahre die ursprünglichen Exportdateien getrennt von nachbearbeiteten Arbeitskopien auf. So bleibt erkennbar, was aus der Quelle kam und was ihr später zugeordnet oder umformatiert habt.
Ein technisches Beispiel liefert Microsoft Purview: Die Dokumentation beschreibt zusätzliche Ereignisinformationen in einem JSON-Feld innerhalb des CSV-Exports. Außerdem können Suchumfang und Exportgrenzen die Vollständigkeit beeinflussen. Die Aussage betrifft den beschriebenen Purview-Export und zeigt, warum eine lesbare Tabelle allein noch keine geprüfte vollständige Ereignishistorie ist. Siehe Microsofts Anleitung zum Export von Audit-Datensätzen.
Für euren Export prüfst du deshalb die verfügbaren Inhalte statt nur die Dateiendung. Enthält er Kommentare, Freigabeereignisse und Versionen oder nur aktuelle Feldwerte? Sind Anhänge enthalten oder lediglich ihre Pfade? Lassen sich relevante Ereignisse tatsächlich lesen und zuordnen?
Für wichtige unverändert übertragene Dateien kann ein Prüfsummenvergleich ergänzend helfen. Die NIST-Veröffentlichung zur Erhaltung digitaler Beweise behandelt Herkunftsdokumentation, Integrität und den geschützten Umgang mit Hashwerten im forensischen Kontext. Für die ISMS-Migration lässt sich daraus die technische Trennung ableiten: Eine Prüfsumme unterstützt den Vergleich von Dateien; sie ersetzt keine inhaltliche Prüfung oder Freigabezuordnung. Der Bericht ist kein ISMS-Zertifizierungsmaßstab.
Wenn sich die Historie nicht vollständig importieren lässt
Entscheide je Datenart über den passenden Weg. Eine technische Einschränkung muss nicht den ganzen Wechsel verhindern, sollte aber auch nicht hinter einem neuen „erledigt“-Status verschwinden.
Im Ziel abbilden: Wenn der vereinbarte Übernahmeweg die benötigten Informationen unterstützt, prüft ihr Bedeutung, Darstellung und Verbindung zum Vorgang. Ein alter Status darf dabei nicht als neu erteilte Freigabe erscheinen.
Original als Referenz erhalten: Wenn sich die frühere Ereigniskette nicht gleichwertig darstellen lässt, kann ein gesicherter Export oder ein geeigneter Referenzbestand die historische Quelle bleiben. Klärt Format, Zugriff, Verantwortlichkeit und die Verbindung zum neuen Eintrag. Ein Archiv, das niemand öffnen oder zuordnen kann, löst die Aufgabe nicht.
Lücke entscheiden: Fehlt eine benötigte Information bereits in der Quelle, dokumentiere genau das. Eine heutige Bestätigung kann eine heutige Entscheidung festhalten; sie erzeugt keine damals nicht dokumentierte Freigabe. Benenne Auswirkung, zuständige Rolle und die vereinbarte Behandlung der Abweichung.
Kannst du trotzdem kurz vor dem Audit wechseln?
Ja. Riege und CSN Solutions sind kurz vor ihrem Audit zu Kopexa gewechselt; bei Riege dauerte der Wechsel weniger als acht Wochen. Diese Praxiserfahrung beantwortet die grundsätzliche Machbarkeit. Für euren konkreten Termin braucht es einen abgestimmten Umfang und eine Prüfung der benötigten Belegketten.
Geht die voraussichtlich relevanten Vorgänge vor der Umstellung gemeinsam durch. Klärt, wo historische Originale liegen, wer auf sie zugreifen kann und welche Abweichungen noch offen sind. Die technische und fachliche Übergabe organisiert ihr nach dem Migrationsplan aus Teil 1; hier ergänzt ihr den Test einer vergangenen Entscheidung.
Wie Kopexa dich beim Wechsel unterstützt
Kopexa unterstützt dich bei der Migration. Für strukturierte Daten stehen CSV-Importwege und eine GraphQL-API zur Verfügung. Bring für die Planung einen anonymisierten Beispielvorgang mit: eine Maßnahme, ihren historischen Nachweis und die zugehörige Freigabeinformation.
Gemeinsam klärt ihr, welche Angaben im Ziel abgebildet werden und wie ergänzende Originalquellen erreichbar bleiben. Welche Historienfelder und Ereignisse über welchen Weg übernommen werden können, wird am konkreten Bestand geprüft. Die bloße Verfügbarkeit eines CSV-Imports bedeutet keine identische Übernahme des Audit-Trails eines anderen Produkts.
Dein nächster Schritt
Wähle eine bereits abgeschlossene Prüfung aus einem früheren Zeitraum. Lass eine Person, die nicht am Export beteiligt war, anhand eurer Übernahmeliste Fassung, Freigabe und Original finden. Was dabei fehlt, gehört vor dem vollständigen Wechsel auf die Liste der offenen Entscheidungen.
Kurz beantwortet
Häufige Fragen
Noch eine Frage offen? Hier findest du die Antworten zum Nachlesen.
Verliere ich beim Wechsel der ISMS-Software meine alten Nachweise?
Ein Wechsel muss nicht zum Verlust führen. Lege vorab fest, welche Dateien, Versionen, Freigaben und Beziehungen benötigt werden. Prüfe den vereinbarten Übernahmeweg an einem alten Vorgang und sichere benötigte Originale mit einer eindeutigen Referenz, wenn sie nicht gleichwertig im Ziel abgebildet werden.
Ist ein CSV-Export bereits ein vollständiger Audit-Trail?
Das hängt vom tatsächlichen Exportinhalt ab. Eine CSV mit aktuellen Feldwerten enthält nicht automatisch frühere Änderungen, Kommentare oder Freigabeereignisse. Prüfe Datenumfang, Auswahlzeitraum und mögliche Exportgrenzen sowie die Zuordnung zu Dateien und Vorgängen.
Beweist eine gleiche Prüfsumme, dass ein Nachweis fachlich korrekt ist?
Nein. Eine passende kryptografische Prüfsumme unterstützt den Vergleich des Dateiinhalts mit einem vertrauenswürdig gesicherten Referenzwert. Sie bestätigt für sich allein weder den behaupteten Prüfzeitraum noch die Richtigkeit des Inhalts oder die Berechtigung einer Freigabe.
Muss jede alte Dokumentversion ins neue ISMS importiert werden?
Nicht jede Version muss technisch im Zielsystem liegen. Entscheide, welche Stände für eure Anforderungen und späteren Rückfragen benötigt werden und wie sie zugänglich bleiben. Ein zugeordnetes Originalarchiv kann Teil der Lösung sein; seine Nutzbarkeit und Berechtigungen müssen geprüft werden.
Darf ich eine fehlende alte Freigabe nachträglich eintragen?
Dokumentiere eine heutige Entscheidung mit ihrem tatsächlichen Datum und kennzeichne die historische Lücke. Stelle sie nicht als damals dokumentiertes Ereignis dar. Wenn es eine ursprüngliche Freigabequelle gibt, sichere ihren Bezug zur betreffenden Fassung und unterscheide sie von der späteren Übernahme.
Kann ein neuer Nachweis den alten beim Systemwechsel ersetzen?
Ein neuer Nachweis kann den aktuellen Stand belegen, beantwortet aber nicht automatisch eine Frage zu einem früheren Zeitraum. Halte die Zeiträume und Geltungsbereiche auseinander und kläre, welche historischen Originale weiter benötigt werden.
Kann Kopexa bei der Übernahme meiner historischen Daten helfen?
Ja, Kopexa unterstützt bei der Migration und bietet CSV-Importwege sowie eine GraphQL-API für strukturierte Daten. Anhand deines Bestands wird geklärt, welche Informationen übernommen und wie ergänzende Originale zugeordnet werden. Eine vollständige identische Übernahme fremder Audit-Trails folgt daraus nicht automatisch.
Quellen
- NIST IR 8387: Digital Evidence Preservation – Considerations for Evidence Handlers — NIST () [Abgerufen am ]
- Microsoft Learn: Export, configure, and view audit log records — Microsoft [Abgerufen am ]