Von der Kundenanforderung zum ISO-27001-Sicherheitsstandard

Diese Customer Success Story zeigt, wie die Digitalagentur Sprintwerk mit heyData den Weg zur ISO-27001-Zertifizierung gegangen ist und wie aus einer Kundenanforderung ein fester Bestandteil der eigenen Arbeitsweise wurde. Erfahre, wie Sprintwerk gemeinsam mit heyData ein internationales Sicherheitsregelwerk auf ein junges, agiles Team zugeschnitten hat, ohne den regulären Geschäftsalltag aufzugeben.

Sprintwerk: digitale Lösungen für Unternehmen mit komplexen Anforderungen

Sprintwerk entwickelt maßgeschneiderte digitale Lösungen für Unternehmen, die mit Standardsoftware nicht mehr weiterkommen – von internen Tools über individuelle Anwendungen bis zu ganzen Plattformen. Das Team arbeitet vollständig remote und betreut Kunden aus dem Gesundheitswesen, dem öffentlichen Dienst und dem Mittelstand ebenso wie kleinere Start-ups.

Durch frühere Projekte in der Pflege- und Gesundheitsbranche war dem Team schon früh bewusst, welchen Stellenwert Informationssicherheit in regulierten Branchen hat.

Ein Konzern-Standard für ein kleines, remotes Team

Für Sprintwerk gab es zwei Beweggründe, sich ISO-27001-zertifizieren zu lassen. Der erste war ganz konkret: Kunden aus regulierten Branchen wie der Medizin sowie mehrere Mittelstandsunternehmen setzten die Zertifizierung als Voraussetzung für eine Zusammenarbeit voraus - darunter ein größerer, selbst zertifizierter Kunde, der das auch von all seinen Dienstleistern verlangt.

Der zweite Grund lag tiefer: Sprintwerk wollte Informationssicherheit nicht als reines Marketingversprechen einsetzen, sondern als etwas, das im Unternehmen wirklich verankert ist. Da Kunden der Agentur ihre Software und ihre Daten anvertrauen, sollte ein belastbarer Nachweis an die Stelle eines bloßen Versprechens treten.

Die eigentliche Schwierigkeit lag in der Übersetzung: ISO 27001 ist ursprünglich für große, klassisch strukturierte Organisationen mit eigener IT-Sicherheitsabteilung konzipiert – Sprintwerk dagegen ist ein kleines, agiles Team ohne diese Strukturen. Hinzu kam die Herausforderung, den Prozess neben dem laufenden Tagesgeschäft zu stemmen, ohne dass dafür eigenes Compliance-Personal zur Verfügung stand.

Lösung: heyData als Partner auf Augenhöhe

Sprintwerk war von Anfang an klar, dass sich die Zertifizierung nicht ohne externe Unterstützung umsetzen lässt und dass Expertise von außen dafür genau der richtige Weg ist.

“Wir wussten, dass wir die ISO-Zertifizierung nicht komplett alleine machen werden. Nach der Recherche haben wir heyData gefunden. Und das war für uns absolut ein Glücksgriff.”
- Julia Streichan, Co-Founder von Sprintwerk GmbH

Entscheidend war dabei nicht die reine Bereitstellung von Vorlagen, sondern die gemeinsame Anpassung an die tatsächliche Arbeitsweise von Sprintwerk. Statt starrer Muster ging es darum, gemeinsam mit heyData-Expert:innen herauszuarbeiten, was für ein kleines, remotes Team wirklich relevant ist.

Drei Aspekte der Zusammenarbeit waren für Sprintwerk besonders wertvoll:

• Eine zentrale Plattform für den gesamten Prozess. Vorlagen, Aufgaben und Nachweise liefen an einem Ort zusammen, sodass sich das Team auf die inhaltliche Arbeit konzentrieren konnte, statt Zeit mit der Organisation des Prozesses selbst zu verlieren.
• Ein persönlicher Ansprechpartner statt vieler Kontakte. Für das Team von Sprintwerk war klar, dass ein fester Ansprechpartner, der sich bei Bedarf zusätzliche Spezialist:innen dazuholt, effizienter ist als ein wechselndes Team - so bleibt der Informationsfluss klar und nachvollziehbar. 
• Fokus auf das, was wirklich zählt. Da Sprintwerk vollständig remote arbeitet, ließen sich viele physische Anforderungen aus dem klassischen ISO-Prozess von vornherein ausschließen. Im engen, interaktiven Austausch mit heyData zeigte sich schnell, an welchen Stellen tiefer eingestiegen werden musste.

“Die ISO 27001 ist eindeutig für große Konzerne entwickelt worden. Das heißt: Mehrere Abteilungen, wahrscheinlich auch ein eigenes IT-Sicherheitssystem. Wir mussten überlegen, wie wir das auf unsere Bedürfnisse anpassen können. In dieser Frage waren sowohl die ISO-Expert:innen hinter heyData als auch die Plattform für uns sehr hilfreich.”
- Julia Streichan, Co-Founder von Sprintwerk GmbH

Begleitend absolvierte das gesamte Team Compliance-Schulungen über die heyData-Plattform. Für ein Team ohne eigene Compliance-Abteilung - ein wichtiger Baustein, um die Zertifizierung dauerhaft zu leben statt nur einmalig zu erreichen.

Was sich bei Sprintwerk mit der ISO-Zertifizierung verändert hat

Sprintwerk ist heute ISO-27001-zertifiziert. Mindestens genauso wichtig wie das Zertifikat selbst: Der Prozess hat dem Team einen strukturierten Blick auf die eigene Arbeitsweise gegeben. Viele Abläufe, die bislang eher intuitiv gelebt wurden, sind jetzt klar dokumentiert, wiederholbar und mit eindeutigen Verantwortlichkeiten versehen. 

"Die ISO 27001 haben wir eigentlich schon gelebt, vieles war aus dem Bauch heraus gemacht. Aber genau diese Prozesse sind jetzt wiederholbar und klar zugeordnet: Wir wissen, wer es macht. Es ist nicht mehr 'frag mal jemanden', sondern eine Person, ein Prozess, ein Intervall."
- Julia Streichan, Co-Founder von Sprintwerk GmbH

Dieser feste Rahmen gibt Sprintwerk Sicherheit, ohne die für eine Digitalagentur typische Flexibilität einzuschränken: Innerhalb klarer Leitplanken bleibt weiterhin Raum für kreative und agile Arbeitsweisen.

Nach der Zertifizierung ist vor der Zertifizierung

Für Sprintwerk endet der Weg mit der ISO-27001-Zertifizierung nicht. Im Gegenteil, sie ist der Auftakt für ein umfassenderes Compliance-Fundament. Als nächsten Schritt plant das Team noch in diesem Jahr die Zertifizierung nach ISO 9001, um das Qualitätsmanagement zu schärfen und auch nach außen sichtbar zu machen, wofür die Agentur steht. Bereits im kommenden Jahr steht dann die Re-Zertifizierung nach ISO 27001 an.

Für dieses nächste Kapitel fühlt sich Sprintwerk deutlich besser vorbereitet: Das Team kennt inzwischen den Ablauf eines Audits, weiß, welche Richtlinien greifen, hat mit heyData einen vertrauensvollen Partner an ihrer Seite und geht mit mehr Selbstbewusstsein in kommende Zertifizierungsprozesse.

Fazit: Warum sich ISO 27001 auch für kleine Teams lohnt

Die Erfolgsgeschichte von Sprintwerk zeigt, dass ISO 27001 kein Standard ist, der ausschließlich großen, klassisch strukturierten Organisationen vorbehalten ist. Gerade für junge, agile Unternehmen ohne festgefahrene Prozesse lässt sich der Standard oft leichter integrieren als später, wenn Teamgröße, Tools und interne Strukturen komplexer werden.

Entscheidend ist dabei aus Sicht von Sprintwerk vor allem ein Partner an der Seite, der sich flexibel auf die eigene Arbeitsweise einlässt, gerade wenn Vollremote-Arbeit und fehlende eigene IT-Sicherheitsstrukturen nicht in den Standardprozess passen. Mit heyData als zentraler Plattform und einem persönlichen Ansprechpartner konnte sich Sprintwerk auf die eigene Dokumentation und Sicherheit konzentrieren, statt Zeit mit der Organisation des Prozesses selbst zu verlieren. Das Ergebnis: eine Zertifizierung, die neben dem laufenden Tagesgeschäft gestemmt wurde, und eine Partnerschaft, die weitergeht.

‍