Januar 4, 2026

Anhang A 8.23 Webfilterung

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Der Zugriff auf Webinhalte stellt ein erhebliches Risiko für die Informationssicherheit dar, da über Webseiten Schadsoftware, Phishing oder unerwünschte Inhalte verbreitet werden können. Unkontrollierter Internetzugang kann zu Sicherheitsvorfällen, Datenverlust oder Produktivitätsbeeinträchtigungen führen. Dieses Control stellt sicher, dass der Zugriff auf Webinhalte kontrolliert, überwacht und auf sichere Inhalte beschränkt wird.

Zweck des Controls

A 8.23 soll gewährleisten, dass Webzugriffe so gesteuert werden, dass Risiken durch schädliche oder unangemessene Inhalte minimiert werden. Ziel ist es, Schadsoftware, Phishing und Datenabfluss zu verhindern sowie die sichere Nutzung des Internets innerhalb der Organisation zu unterstützen.

Anforderungen und Maßnahmen

1. Festlegung von Webzugriffsrichtlinien

Organisationen müssen Richtlinien für den Webzugriff definieren, insbesondere:

  • erlaubte und verbotene Webinhalte
  • Nutzung dienstlicher Internetzugänge
  • Umgang mit privaten Webnutzungen
  • Verantwortlichkeiten für Kontrolle und Überwachung

Die Richtlinien müssen dokumentiert und bekannt sein.

2. Einsatz geeigneter Webfilterlösungen

Geeignete technische Maßnahmen zur Webfilterung müssen eingesetzt werden:

  • URL- oder kategoriebasierte Filter
  • Echtzeitprüfung von Webinhalten
  • Blockierung bekannter Schadseiten
  • zentrale Verwaltung der Filterregeln

So wird ein wirksamer Schutz erreicht.

3. Schutz vor Schadsoftware und Phishing

Webfilter müssen Sicherheitsrisiken reduzieren:

  • Erkennung von Phishing-Webseiten
  • Blockierung von Schadsoftware-Downloads
  • Schutz vor Drive-by-Downloads
  • Integration mit anderen Sicherheitslösungen

Dies schützt Endgeräte und Informationen.

4. Differenzierte Regelungen nach Benutzergruppen

Webfilterung muss differenziert erfolgen:

  • unterschiedliche Regelungen für Rollen oder Abteilungen
  • Berücksichtigung des Arbeitskontextes
  • Ausnahme- oder Freigabeverfahren
  • zeitlich begrenzte Freigaben

So wird ein ausgewogenes Sicherheitsniveau erreicht.

5. Protokollierung und Überwachung von Webzugriffen

Webzugriffe müssen protokolliert und überwacht werden:

  • Protokollierung sicherheitsrelevanter Zugriffe
  • Erkennung ungewöhnlicher Aktivitäten
  • Auswertung von Blockierungen
  • Integration in Incident-Management-Prozesse

Dies ermöglicht schnelle Reaktion.

6. Datenschutz und Transparenz

Webfilterung muss datenschutzkonform erfolgen:

  • Beachtung rechtlicher Vorgaben
  • Verhältnismäßigkeit der Überwachung
  • Transparenz gegenüber Mitarbeitenden
  • Schutz personenbezogener Daten

So wird Compliance sichergestellt.

7. Sensibilisierung der Mitarbeitenden

Mitarbeitende müssen über Webrisiken informiert werden:

  • Schulungen zu Phishing und unsicheren Webseiten
  • Hinweise zu sicherem Surfverhalten
  • klare Meldewege bei Auffälligkeiten
  • regelmäßige Awareness-Maßnahmen

Der Mensch bleibt ein zentraler Faktor.

8. Dokumentation und kontinuierliche Verbesserung

Webfiltermaßnahmen müssen dokumentiert und überprüft werden:

  • Richtlinien und Filterregeln
  • Verantwortlichkeiten
  • Auswertungen und Vorfälle
  • regelmäßige Anpassung der Maßnahmen

Die Dokumentation unterstützt Audits und Wirksamkeit.

Zusammenfassung

A 8.23 fordert, dass Organisationen den Zugriff auf Webinhalte systematisch kontrollieren. Durch klare Webzugriffsrichtlinien, Einsatz geeigneter Webfilterlösungen, Schutz vor Schadsoftware und Phishing, differenzierte Regelungen, datenschutzkonforme Umsetzung sowie Sensibilisierung der Mitarbeitenden wird sichergestellt, dass Webzugriffe nicht zur Schwachstelle der Informationssicherheit werden. Das Control ist ein wichtiger Bestandteil der technischen Sicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 8.23 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 8.23 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Wie schränken Sie den Zugriff auf Webseiten ein?“
Das Control ist 2022 neu. Gefragt ist eine bewusste Entscheidung, welche Kategorien gesperrt sind.
„Wer legt die Sperrkategorien fest?“
Die Entscheidung ist mitbestimmungspflichtig und braucht mehr als eine technische Voreinstellung.
„Wie werden Ausnahmen behandelt?“
Ein Freigabeprozess mit Begründung verhindert, dass die Filterung aus Bequemlichkeit abgeschaltet wird.
„Gilt die Filterung auch außerhalb des Büros?“
Im Homeoffice und unterwegs greift die zentrale Filterung oft nicht – das gehört benannt.
Das Dokument dazu

A 8.23-1 Richtlinie zur Webfilterung

Kategorien und Umfang der Webfilterung mit Entscheidungsweg · Ausnahmen mit Begründung · Wirksamkeit außerhalb des Firmennetzes. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick