Die ISO-27001-Zertifizierung ist der eindeutigste Weg, um zu bestätigen, dass eine Plattform für Ferndolmetschen tatsächlich sensible, gesprochene Gespräche schützt und dies nicht nur behauptet. Für jede Organisation, die Dolmetschdienste für vertrauliche oder regulierte Inhalte in Anspruch nimmt, sollte dies ganz oben auf der Checkliste zur Anbieterauswahl stehen und nicht erst im Nachhinein berücksichtigt werden.
Dieser Beitrag erklärt, was die Zertifizierung umfasst, warum sie für die Interpretation wichtiger ist als für die meisten anderen Softwarekategorien, was Interprefy getan hat, um sie zu erhalten, und was man überprüfen sollte, bevor man die Konformitätsbehauptung eines Anbieters für bare Münze nimmt.
ISO 27001, offiziell ISO/IEC 27001, ist der internationale Standard für Informationssicherheitsmanagement. Er legt die Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) fest: ein strukturiertes, kontinuierlich überprüftes System von Richtlinien, Verfahren und Kontrollen, das die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen schützt.
Die aktuelle Version der Norm, ISO/IEC 27001:2022, gliedert ihre Anforderungen in 93 Kontrollpunkte, die vier Themenbereichen zugeordnet sind: Organisation, Personal, physische Sicherheit und Technologie. Diese Bandbreite ist wichtig, da eine Zertifizierung nicht allein für eine gute Verschlüsselung vergeben wird. Eine Organisation muss nachweisen, dass Zugangskontrolle, Mitarbeiterschulung, Lieferantenmanagement, Reaktion auf Sicherheitsvorfälle und physische Sicherheit mit der gleichen Strenge geregelt werden. Dies muss sie einer unabhängigen, akkreditierten Zertifizierungsstelle beweisen und darf es nicht einfach nur behaupten.
Die Überprüfung durch Dritte ist entscheidend, um echte Sicherheit von Marketingversprechen zu unterscheiden. Diese Unterscheidung hat bei Dolmetschdiensten ein höheres Gewicht als in den meisten anderen Softwarekategorien. Die meisten Sicherheitsdiskussionen konzentrieren sich auf ruhende Daten: Dateien, Datensätze und Datenbanken. Dolmetschplattformen hingegen verarbeiten etwas schwerer Kontrollierbares: ungefilterte, gesprochene Sprache, die oft die sensibelsten Inhalte eines Gesprächs enthält. Denn Dolmetscher sind häufig die einzigen Dritten, die bei Gesprächen anwesend sind, die sonst zwischen zwei Personen im selben Raum stattfinden würden. Um genauer zu verstehen, wie diese Risiken speziell für KI-gestütztes Dolmetschen gelten, lesen Sie unseren Leitfaden zu den Sicherheitsstandards für automatische Sprachübersetzung.
Eine Plattform für Ferndolmetschen muss die sichere Übertragung von Audio und Video in Echtzeit gewährleisten, den Zugriff für externe Dolmetscher verwalten und sicherstellen, dass Aufzeichnungen gemäß den Richtlinien gespeichert und gelöscht werden. Die Zertifizierung erfordert, dass dies in einen kontinuierlich überprüften Risikomanagementprozess eingebettet ist und nicht als einmalige Einrichtung erfolgt.
Die Bewertung erfolgt anhand von 93 Kontrollkriterien, die organisatorische, personelle, physische und technologische Sicherheitsvorkehrungen umfassen. Dadurch wird die Plattform auf denselben Maßstab gesetzt wie die Technologiebranche in den Bereichen Finanzen, Gesundheitswesen und Regierung, und nicht auf eine maßgeschneiderte oder selbstdefinierte Sicherheitsrichtlinie.
Die Zertifizierung erfolgt erst, wenn ein akkreditierter Auditor anhand direkter Nachweise – nicht durch einen Selbstbewertungsfragebogen – bestätigt, dass das Managementsystem die Anforderungen der Norm erfüllt. Gerichtsverfahren, Fusionsverhandlungen, Regierungssitzungen und klinische Beratungen hängen alle davon ab, dass diese Kette in jeder Phase – nicht nur auf der Datenbankebene – funktioniert.
Für eine Organisation, die Dolmetschdienstleistungen erwirbt, ergeben sich aus der Zertifizierung drei praktische Vorteile: ein besserer Schutz personenbezogener Daten, ein stärkerer Schutz des geistigen Eigentums und die Gewissheit, dass die Sicherheitsvorkehrungen einer Plattform auf dem neuesten Stand gehalten und nicht nach der Inbetriebnahme statisch belassen werden.
Teilnehmer- und Dolmetscherdaten, einschließlich der Inhalte von Live-Gesprächen, werden durch Verschlüsselung während der Übertragung und im Ruhezustand, rollenbasierte Zugriffskontrolle und Authentifizierungsmaßnahmen wie Single Sign-On, SAML 2.0 und Zwei-Faktor-Authentifizierung geschützt, die den Zugriff auf die Ereignisdaten einschränken.
Vertrauliche Gespräche, von Fusionsverhandlungen bis hin zu noch unveröffentlichten Produktdetails, erfordern, dass alle, die Zugriff auf den Livestream haben, klaren Verpflichtungen unterliegen. Das bedeutet, dass Dolmetscher und Supportmitarbeiter Geheimhaltungsvereinbarungen unterzeichnen müssen, bevor sie Zugriff auf einen Livestream erhalten – nicht aus reiner Höflichkeit, sondern als dokumentierte Kontrollmaßnahme.
Ein Managementsystem wird durch kontinuierliche Überwachung aufrechterhalten, nicht nur einmal jährlich überprüft. Zertifizierte Organisationen unterziehen sich jährlichen Überwachungsaudits und etwa alle drei Jahre einem vollständigen Rezertifizierungsaudit, unterstützt durch regelmäßige unabhängige Penetrationstests und die Aufsicht durch einen dedizierten Informationssicherheitsbeauftragten.
Die Erlangung der ISO 27001-Zertifizierung ist keine Selbstvergabe. Sie erfordert ein zweistufiges externes Audit: eine erste Überprüfung der dokumentierten Richtlinien und Risikobewertungen, gefolgt von einer detaillierten Bewertung ihrer praktischen Umsetzung. Die Zertifizierung wird erst erteilt, wenn ein akkreditierter Auditor bestätigt, dass das Informationssicherheitsmanagementsystem (ISMS) die Anforderungen der Norm erfüllt. Doch damit ist der Prozess nicht abgeschlossen. Zertifizierte Organisationen unterziehen sich jährlichen Überwachungsaudits und etwa alle drei Jahre einem vollständigen Rezertifizierungsaudit. Das Zertifikat spiegelt somit einen kontinuierlichen Status wider, nicht nur eine einmalige Leistung.
Interprefy durchlief diesen Prozess und ist seit November 2021 nach ISO 27001 zertifiziert. Die Auditoren stellten bei der gesamten Bewertung keine Abweichungen fest, wodurch Interprefy zu den ersten Unternehmen im Bereich Dolmetschtechnologie gehört, die diese Zertifizierung erhalten haben. Diese Audithistorie ist, mehr noch als das Zertifikat selbst, das aussagekräftigere Signal: Sie belegt, dass das Managementsystem von einer externen Stelle geprüft und für beständig befunden wurde.
In der Praxisbildet die Zertifizierung den Rahmen; die operative Umsetzung im Alltag erfolgt im Detail. Interprefy sichert Daten während der Übertragung mit TLS 1.2- und AES-256-GCM-Verschlüsselung, nutzt rollenbasierte Zugriffskontrolle, um den Zugriff auf Ereignisdaten einzuschränken, und bietet Single Sign-On, SAML 2.0 und Zwei-Faktor-Authentifizierung für Unternehmenskunden. Die Daten werden innerhalb der Europäischen Union gespeichert, Dolmetscher und Supportmitarbeiter unterliegen Geheimhaltungsvereinbarungen, bevor sie auf Ereignisdaten zugreifen können, und die Plattform wird regelmäßig unabhängigen Penetrationstests unterzogen. Ein dedizierter Informationssicherheitsbeauftragter überwacht kontinuierlich die Einhaltung des ISMS und sorgt so für die Aktualität der Zertifizierung.
Nichts davon beseitigt das Risiko vollständig. Aber es bietet Organisationen, die Dolmetscherdienstleister evaluieren, etwas Konkreteres als ein Versprechen: ein extern geprüftes System, das jährlich überprüft wird und speziell zum Schutz der Art von Live- und sensibler Kommunikation entwickelt wurde, für deren Übermittlung Dolmetschen da ist.
Nicht jede Behauptung der ISO 27001-Konformität ist gleichwertig. Es lohnt sich, die Details zu prüfen, anstatt sich nur auf das Gütesiegel in der Fußzeile einer Website zu verlassen. Drei Punkte sollten Sie direkt mit jedem Anbieter klären: den genauen Geltungsbereich des Zertifikats, da manche Organisationen nur einen kleinen Teil des Unternehmens und nicht die gesamte erworbene Plattform zertifizieren lassen; die Identität und Akkreditierung der Zertifizierungsstelle, da eine Zertifizierung nur dann Gewicht hat, wenn sie von einem anerkannten, unabhängigen Auditor stammt; und das Datum des letzten Überwachungsaudits, da ein Zertifikat, das mehrere Jahre alt ist und keine laufende Überprüfung nachweist, weniger aussagekräftig ist, als es scheint. Unser Leitfaden zur Bewertung von Kundensicherheit, Datenschutz und SLA-Zusagen behandelt die umfassenderen Fragen, die Sie jedem Dolmetsch- oder Übersetzungsanbieter über die Zertifizierung hinaus stellen sollten.