Ein schlankes, aber durchgängig umgesetztes Informationssicherheits‑Managementsystem (ISMS) mit BookStack ist eine der wichtigsten Voraussetzungen, um Audits nach ISO 27001 oder vergleichbaren Standards erfolgreich zu bestehen.
BookStack wird als moderne, selbst gehostete Wissensmanagementplattform genutzt, um eine vollständige ISMS‑Dokumentation samt Prozessen, Richtlinien und Nachweisen mit genau der dafür passenden Struktur und Flexibilität abzubilden.
Warum BookStack sich als ISMS eignet
BookStack ist ein webbasiertes, quelloffenes Dokumentationssystem, das Inhalte in Regalen, Büchern, Kapiteln und Seiten organisiert und sich dadurch sehr gut auf ISMS‑Domänen, Prozesse und Richtlinien abbilden lässt.
Die Software ist unter MIT‑Lizenz frei verfügbar, kann vollständig selbst gehostet werden und wird auf Basis des PHP‑Frameworks Laravel mit einer relationalen Datenbank wie MySQL oder MariaDB betrieben, sodass sich BookStack problemlos in bestehende Linux‑Infrastrukturen integrieren lässt.
Für den Einsatz als ISMS‑Plattform sind vor allem folgende Funktionen relevant:
- Klare Hierarchie aus Regalen, Büchern, Kapiteln und Seiten zur Abbildung von Sicherheitsleitlinien, Prozessen und Nachweisen.
- Leistungsfähige Tags mit Suchsyntax, um Metadaten wie Klassifizierung, Verantwortliche oder Revisionsintervalle zu modellieren.
- Templating‑System für wiederverwendbare Seitenlayouts – ideal für standardisierte Richtlinien‑ und Protokollvorlagen.
ISMS‑Anforderungen: Was in der Dokumentation ankommt
Unabhängig davon, ob Sie auf ISO 27001, branchenspezifische Kataloge oder Kundenvorgaben zielen, ähneln sich die Erwartungen an das ISMS:
Gefordert wird eine vollständige, nachvollziehbare Dokumentation aller relevanten Richtlinien, Prozesse, Risiken und Nachweise.
Dazu gehören klar gekennzeichnete Dokumente mit Freigabestatus, Gültigkeit, Verantwortlichkeiten, Klassifizierung und einer nachvollziehbaren Versions‑ und Änderungshistorie.
Für BookStack als ISMS‑Plattform leiten sich daraus vor allem drei Erwartungen ab:
- Vollständige, konsistente Dokumentation aller sicherheitsrelevanten Themen an einem zentralen Ort.
- Sichtbare Metadaten zu Freigabe, Geltungsbereich, Gültigkeit und Verantwortlichkeiten pro Dokument.
- Versionierung, Änderungshistorie und Revisionsnachweise, die Auditoren schnell nachvollziehen können.
Beispiel‑Struktur: ISMS in BookStack
BookStack ist ein webbasiertes, quelloffenes Dokumentationssystem, das Inhalte in Regalen, Büchern, Kapiteln und Seiten organisiert und sich dadurch sehr gut auf ISMS‑Domänen, Prozesse und Richtlinien abbilden lässt.
Eine mögliche Struktur, in der ein Sicherheits‑Regal die komplette ISMS‑Dokumentation bündelt – von der Sicherheitsleitlinie über Notfallplanung bis hin zum Risiko‑Management – sehen Sie in folgendem Beispiel, denn diese Hierarchie folgt der Erwartung vieler Auditoren, eine vollständige „Gesamt‑Dokumentation“ mit klarer Zuordnung der Dokumentarten (Policies, Prozesse, Records) vorzufinden.
Eine typische Struktur in BookStack könnte etwa so aussehen:
- Buch: Informationssicherheit / ISMS
- Seite: Aufbau der Gesamtdokumentation
- Seite: Sicherheitsleitlinie
- Seite: IT-Notfallplan
- Kapitel: Richtlinien
- Seite: Allgemeiner Server
- Seite: Archivierung
- Seite: Management Review
- Kapitel: Risiko-Management
- Kapitel: Asset Management / Risikoanalyse
- Kapitel: Audit-Protokolle
- Kapitel: Rollenbeschreibungen
- Kapitel: Vorlagen
Mit dieser Struktur können Sie Controls und Nachweise logisch gruppieren, ohne die Auditoren mit technischen Details der Plattform zu belasten.
Dokumenteninformationen mit Tags abbilden
Dieses Konzept lässt sich perfekt für die „Dokumenteninformationen“ nutzen: Beispielsweise können Tags für Freigabe, Klassifizierung, Gültigkeit, Überarbeitungsintervall, Verantwortlichen und nächste Überarbeitung definiert werden, sodass alle Metadaten konsistent und maschinen‑lesbar gepflegt sind.
Die Richtlinienübersicht nutzt dieselben Tags und zeigt damit in den Listenansichten sofort, welche Dokumente freigegeben sind, welche intern klassifiziert wurden und wann welche Dokumente erneut geprüft werden müssen.
Praxisempfehlung für Ihr ISMS:
- Definieren Sie ein Tag‑Namensschema, z. B.
Freigabe,Klassifizierung,Gültigkeit,Überarbeitungsintervall,VerantwortlicherundÜberarbeitungszeit. - Hinterlegen Sie für jede Richtlinie und jedes zentrale Dokument diese Tags verpflichtend im Erstellungsprozess.
- Nutzen Sie Tag‑Filter, um offene To‑dos (z. B. bevorstehende Revisionen) für das ISMS‑Team auszuwerten.
Visual Theme System: BookStack für das ISMS „zurechtbiegen“
Mit dem Visual Theme System erlaubt BookStack, Views, Übersetzungen und Icons in einem eigenen Theme‑Ordner zu überschreiben.
Dazu legen Sie unterhalb des themes‑Verzeichnisses einen eigenen Ordner an (z. B. custom) und aktivieren ihn über die Umgebungsvariable APP_THEME in der .env‑Datei.
APP_THEME=customSobald das Theme aktiv ist, können Sie einzelne Blade‑Templates aus resources/views in den Theme‑Ordner kopieren und dort anpassen, ohne den Kern von BookStack zu verändern.
Tags in Buch‑ und Richtlinien‑Übersichten anzeigen
Standardmäßig zeigt BookStack Tags vor allem auf der Detailseite von Büchern und Seiten an.
Über das Visual Theme System können Sie die Tag‑Ausgabe in den Listenansichten nachrüsten, indem Sie z. B. die Datei pages/parts/list-item.blade.php im Theme überschreiben.
Praktisches Vorgehen:
- Die Datei
resources/views/pages/parts/list-item.blade.phpaus der BookStack‑Installation in den Theme‑Ordner (themes/custom/pages/parts) kopieren. - Unterhalb des Titels die Ausgabe der Tags ergänzen, z. B. beschränkt auf bestimmte Metadaten‑Tags, um die Dokumenteninformationen kompakt sichtbar zu machen.
Damit entsteht genau die Ansicht, wie sie im Screenshot zu sehen ist: Titel, Beschreibung und darunter die relevanten Metadaten als Tag‑Badges.
Numerierung der Überschriften per CSS
Für Audits und Management‑Reviews ist eine durchgängige Nummerierung der Richtlinien und Unterkapitel oft hilfreich, insbesondere wenn Sie Kontrollnummern abbilden möchten.
BookStack erlaubt CSS‑Anpassungen entweder direkt über „Custom HTML Head Content“ in den Einstellungen oder über das Theme.
Ein einfaches Beispiel für automatische Nummerierung von Überschriften innerhalb einer Seite:
<style>
.page-content {
counter-reset: h2counter;
}
.page-content h2 {
counter-reset: h3counter;
}
.page-content h2::before {
counter-increment: h2counter;
content: counter(h2counter) ". ";
}
.page-content h3::before {
counter-increment: h3counter;
content: counter(h2counter) "." counter(h3counter) " ";
}
</style>Dieses Snippet können Sie über „Custom HTML Head Content“ oder ein Theme‑Layout global einbinden, sodass alle Richtlinien automatisch nummeriert werden.
PDF‑Export mit Tags, Historie und Inhaltsverzeichnis
BookStack generiert PDF‑Exports standardmäßig über dompdf, kann aber auch externe Renderer wie wkhtmltopdf oder weasyprint nutzen, die per EXPORT_PDF_COMMAND im .env gesetzt werden.
Über das Visual Theme System lassen sich PDF‑Layouts anpassen, etwa indem eigene Header‑ und Footer‑Templates für Exporte definiert werden.
Für ein ISMS sind vor allem drei Aspekte interessant:
- Anzeige ausgewählter Tags (z. B. Klassifizierung, Verantwortlicher, Gültigkeit) im PDF‑Header oder ‑Titelblatt.
- Automatisches Inhaltsverzeichnis, das die strukturierten Überschriften aus BookStack nutzt – insbesondere in Verbindung mit der CSS‑Nummerierung.
- Darstellung der Änderungshistorie (z. B. letzte drei Revisionen mit Datum und Bearbeiter) im Anhang des PDFs, über zusätzliche Template‑Logik.
Die Template‑Dateien für den Export können im Theme‑Ordner abgelegt werden und greifen auf dieselben Daten zu wie die HTML‑Ansichten, was eine konsistente Umsetzung Ihrer ISMS‑Metadaten ermöglicht.
Changelog als Pflichtfeld etablieren
BookStack bringt eine Versionierung der Seiten mit, inklusive Änderungsprotokoll im Hintergrund.
Für ein revisionssicheres ISMS empfiehlt es sich, den Changelog für das Buch verpflichtend zu machen, so dass eine Seite nur gespeichert werden kann wenn der Changelog hinterlegt wurde.
Dies lässt sich ebenfalls über den „Custom HTML Head Content“ realisieren und einem Tag (changelog=required) auf dem Buch das betroffen ist.
Damit haben Auditoren an einer Stelle sowohl die aktuelle Fassung als auch die Change‑Historie im Blick.
Informationen für Gäste und Auditoren filtern
Gerade in Vorbereitung auf Remote‑Audits ist es hilfreich, Auditoren einen Lesezugang zu geben, ohne interne Informationen wie interne Notizen oder Arbeitshilfen zu zeigen.
Mit dem Visual Theme System können Sie Ausgaben gezielt von der Authentifizierung abhängig machen, etwa indem bestimmte Blöcke nur für angemeldete Benutzer gerendert werden.
Beispiele:
- Ausblenden interner Tags wie „Entwurf“ oder „Internes Kommentar“ in Gast‑Sitzungen.
- Separate Startseite für Auditoren mit direkten Links auf ISMS‑relevante Bücher und eine kurze Erläuterung des Dokumentationsaufbaus.
Die technische Grundlage bilden Blade‑Konditionen und angepasste Views im Theme‑Ordner, die auf die Benutzerrolle reagieren.
Organisatorische Einbettung: Rollen, Prozesse, Nachweise
Standards wie ISO 27001 erwarten klar definierte Rollen, Verantwortlichkeiten und regelmäßige Reviews des ISMS.
Mit BookStack lässt sich dies elegant kombinieren: Tags wie Verantwortlicher, Überarbeitungsintervall und Überarbeitungszeit weisen jede Richtlinie einer Rolle zu und zeigen, wann ein Management‑Review fällig ist.
Empfehlungen aus der Praxis:
- Legen Sie im Buch „Rollenbeschreibungen“ die sicherheitsrelevanten Rollen (Geschäftsführung, Informationssicherheitsbeauftragter, IT‑Leitung, Fachverantwortliche) fest und verlinken Sie diese aus den Richtlinien.
- Nutzen Sie ein Buch „Management Review“, in dem Protokolle, Maßnahmenlisten und Freigaben dokumentiert werden – jeweils mit Tags für Geltungsbereich und Gültigkeit.
- Verknüpfen Sie BookStack bei Bedarf mit Nextcloud oder anderen Systemen, um technische Nachweise (Log‑Exports, Reports, Ticket‑Screenshots) zentral abzulegen und zu teilen.
Betrieb, Updates und Backup
Damit Ihr ISMS nicht beim ersten Sicherheitsupdate ins Wanken gerät, sollte auch der Betrieb von BookStack sauber geregelt sein.
Vor jeder Aktualisierung von BookStack sollten Sie sowohl die Datenbank als auch die Uploads sichern und das Update anschließend zunächst in einer Test‑Instanz validieren.
In produktiven Umgebungen hat sich außerdem ein Wartungsprozess bewährt, bei dem Updates, Datenbank‑Backups und Theme‑Anpassungen versioniert sowie dokumentiert werden, damit alle Änderungen nachvollziehbar bleiben – idealerweise direkt im eigenen ISMS‑Buch „Systembetrieb BookStack“.
Praxis‑Tipps und nächste Schritte
Wenn Sie bereits mit BookStack arbeiten, ist der Weg zum ISMS meist kürzer, als viele denken – die fehlenden Bausteine sind in erster Linie Tag‑Konventionen, ein klares Regal‑/Buch‑Design und einige gezielte Theme‑Anpassungen.
Über Templates, Tag‑Suche und PDF‑Exports können Sie Auditoren eine strukturierte, nachvollziehbare und revisionssichere Dokumentation präsentieren, ohne ein zusätzliches GRC‑Tool einzuführen.
Weitere vertiefende Artikel zu BookStack, Installationsvarianten und Funktionen finden Sie im ADMIN‑INTELLIGENCE‑Blog, unter anderem:
- „BookStack – Übersicht über Funktionen“ – Grundlagen, Rechtekonzept und Einsatzmöglichkeiten.
- „Anleitung zur Installation von BookStack über Docker“ – praxiserprobtes Setup für den produktiven Betrieb.
- „BookStack Poweruser: So arbeitest du schneller in BookStack“ – lernen Sie alles über die Tastaturnavigation und Tricks mit der Suche.
Auf unserer Homepage finden Sie ebenfalls weitere Informationen zum Thema BookStack. Schauen Sie sich gerne dort einmal um.
Wenn Sie Unterstützung bei der Konzeption oder Umsetzung Ihres BookStack‑basierten ISMS benötigen, begleiten wir Sie gerne von der ersten Regalstruktur bis zur Auditvorbereitung. Kontaktieren Sie uns unverbindlich für ein erstes Gespräch.
schnelle Problemlösung durch langjährige Erfahrung