Zertifizierungen

Zertifiziert.
Und gelebt.

Unser Managementsystem für Informationssicherheit und Qualität ist vom TÜV SÜD nach ISO/IEC 27001:2022 und DIN EN ISO 9001:2015 zertifiziert. Hier lesen Sie, was genau geprüft ist, wie wir damit arbeiten und was Sie davon haben.

Projekt besprechen Arbeiten ansehen

Was zertifiziert ist

Zertifiziert ist unser Managementsystem für den Geltungsbereich Beratung, Entwicklung und Vertrieb von Content-Management-Lösungen, Apps und Web-Applikationen. Das ist bewusst präzise: Ein Zertifikat bescheinigt, dass wir nach festgelegten Regeln arbeiten und das regelmäßig von außen prüfen lassen. Es ist kein Gütesiegel für ein einzelnes Projekt.

Beide Zertifikate stammen von der TÜV SÜD Management Service GmbH. ISO/IEC 27001:2022 für das Informationssicherheits-Managementsystem, Registriernummer 12 310 67230 TMS, gültig vom 29.02.2024 bis 27.02.2027. DIN EN ISO 9001:2015 für das Qualitätsmanagementsystem, Registriernummer 12 100 51760 TMS, gültig vom 06.04.2025 bis 05.04.2028. Beide lassen sich über die Zertifikatsprüfung des TÜV SÜD verifizieren.

Wie wir das Managementsystem leben

Ein ISMS besteht nicht aus einem Ordner, der einmal im Jahr für das Audit geöffnet wird. Bei uns läuft es als Arbeitsprozess: Risiken stehen in einem Register mit festen Kennungen, Maßnahmen sind Tickets in Azure DevOps mit Verantwortlichen und Nachweisen, Richtlinien haben eine Versionshistorie und genau eine gültige Quelle. Die Geschäftsführung bewertet das System jährlich im Management Review, mit Kennzahlen, offenen Maßnahmen und neuen Risiken. Interne Audits und die jährlichen Überwachungsaudits des TÜV SÜD prüfen, ob Anspruch und Alltag zusammenpassen.

Alle Mitarbeitenden durchlaufen jedes Jahr Pflichtschulungen zu Informationssicherheit, Rollen und Rechten sowie Incident Management, ergänzt um Awareness-Formate etwa zu Phishing. Neue Themen kommen ins Register, sobald sie relevant werden: 2026 sind das regulatorische Anforderungen in der Lieferkette, Data Governance und Meldepflichten.

Was wir dabei gelernt haben

Vier Regeln, die sich in mehreren Auditzyklen bewährt haben und die wir auch unseren Kunden empfehlen.

Eine Quelle der WahrheitJedes gesteuerte Dokument liegt an genau einem Ort mit Versionshistorie. Kopien in Postfächern, lokalen Ordnern oder Arbeitsverzeichnissen von KI-Agenten sind keine Nachweise.

Nachweise statt BehauptungenEine Maßnahme ist erledigt, wenn das Dokument verlinkt ist, das sie belegt. Ein Kommentar, dass etwas erledigt sei, reicht weder uns noch dem Auditor.

Risiken behalten ihre NummerKennungen im Risikoregister werden nie neu vergeben. Sonst zeigen Management Review, Maßnahmenplan und Tickets auf unterschiedliche Dinge.

Schulung ist Routine, kein EreignisJährliche Pflichtschulungen mit Teilnahmenachweis, dazu kurze Formate zu aktuellen Angriffsmustern. Sicherheit bleibt so Teil der täglichen Arbeit.

Exzellenz entsteht in der Pipeline, nicht im Audit

Ein Zertifikat sagt, dass wir Regeln haben. Ob wir sie leben, sieht man an dem, was jeden Tag ausgeliefert wird. Diese Website ist unser eigener Prüfstand: Jeder Release durchläuft ein Qualitätsgate in der CI/CD-Pipeline, bevor er live geht. Lighthouse misst jede veröffentlichte Seite dreimal kalt, der Median muss auf dem Desktop mindestens 98 und auf dem Handy mindestens 95 Performance erreichen; Barrierefreiheit, Best Practices und SEO müssen in jedem Lauf bei 100 liegen. Reißt ein Wert, wird nicht ausgeliefert.

Dabei bleiben wir ehrlich, was so ein Score bedeutet: Lighthouse ist ein Labormesswert, kein Beweis für das Erleben echter Besucher. Wie wir Sichtbarkeit in Suche und KI-Antworten, echte Ladezeiten und Messung ohne Cookie-Banner umsetzen, lesen Sie unter Sichtbarkeit in Suche und KI-Antworten, Web Performance und Server-Side Tracking.

Was in jedem Release steckt

Die Regeln, die diese Website und unsere Kundenprojekte im Alltag einhalten.

Sichtbar für Menschen und MaschinenStrukturierte Daten nach schema.org, saubere Landmarks, eine kuratierte llms.txt und jede Seite zusätzlich als Markdown, damit Suchmaschinen und KI-Assistenten zitieren können, was wir tatsächlich sagen.

An der Edge ausgeliefertDiese Website läuft als Next.js-Anwendung auf Cloudflare Workers, weltweit nah am Besucher, mit Bildoptimierung und Bot-Schutz an derselben Edge. Kein eigener Server, der nachts umfällt.

Messen ohne Cookie-BannerReichweite und Kampagnen messen wir serverseitig: Server-Side Tracking mit Google-Server-Containern oder Matomo, ausgeliefert über Azure Front Door oder Cloudflare Workers, Consent Mode statt Skripte, die vor der Einwilligung feuern. Diese Website kommt ganz ohne Cookie-Dialog aus.

Drittsysteme mit BudgetJedes externe Skript kostet Ladezeit und Vertrauen. Wir binden Drittsysteme asynchron, gecacht und mit Fallback ein und geben ihnen ein Performance-Budget, das im Gate geprüft wird.

Genedar: unser eigenes Produkt unter denselben Regeln

Mit Genedar entwickeln und betreiben wir unsere eigene Plattform für Kunden, Projekte, Angebote und Wissen. Sie entsteht unter demselben ISMS wie unsere Kundenprojekte, und das merkt man dem Produkt an: Zugriff nach Rollen und Geschäftsbereichen, eine Protokollierung jeder Änderung, definierte Aufbewahrungsfristen, revisionssichere Ablage von E-Mails und Dokumenten, Backups mit geprüfter Wiederherstellung. Sicherheitsanforderungen stehen bei uns in der Anforderung, nicht im Nachtrag. Das macht Genedar zu unserem besten Beleg dafür, dass ein ISMS Produkte besser macht statt sie zu bremsen.

Reifegrad messen statt schätzen

Für die Standortbestimmung nutzen wir unseren eigenen Reifegrad-Agenten: eine KI-gestützte Befragung nach der MITO-Methodik, die den Reifegrad von Prozessen, Informationssicherheit und Wissensmanagement in Stufen einordnet und daraus konkrete nächste Schritte ableitet. Wir setzen ihn intern ein, um unser ISMS über die Jahre zu vergleichen, und mit Kunden am Anfang einer Einführung oder eines KI-Vorhabens.

Einführung begleiten, regulierte Umgebungen bauen

Wir beraten Unternehmen bei der Einführung eines ISMS nach ISO/IEC 27001: Geltungsbereich, Risikoanalyse, Erklärung zur Anwendbarkeit, Richtlinien, Schulungen und die Vorbereitung auf das Zertifizierungsaudit. Nicht als Theorie, sondern mit den Vorlagen, Prozessen und Fehlern, die wir selbst durchlaufen haben.

Aus derselben Erfahrung entwickeln wir Software für regulierte Umgebungen, etwa Anwendungen mit sensiblen Gesundheitsdaten für Kunden aus Pharma und Medizintechnik: Zugriffskontrolle nach BSI IT-Grundschutz, Schnittstellen nach ISO/IEC 27001 und § 203 StGB, Penetrationstests vor dem Go-live. Ein Beispiel ist die LISA-App für Linde.