ISO 27001 vs. SOC 2: Was ist der Unterschied?

Was ist ISO 27001?

ISO 27001 ist der international anerkannte Standard für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheitsmanagementsystems (ISMS). Sie wurde gemeinsam von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) entwickelt und definiert einen strukturierten, risikobasierten Ansatz für das Management der Informationssicherheit.

Der Zweck von ISO 27001 ist es, Organisationen dabei zu helfen, Risiken zu identifizieren, die die Vertraulichkeit, Integrität und Verfügbarkeit von Informationswerten bedrohen, und dann geeignete Kontrollen anzuwenden, um diese Risiken zu verringern. Es bietet einen konsistenten Rahmen, der branchen- und länderübergreifend angewandt werden kann und gewährleistet, dass das Sicherheitsmanagement systematisch und nicht reaktiv erfolgt.

Im Kern ist ISO 27001 keine einmalige Konformitätsübung, sondern ein kontinuierlicher Zyklus der Verbesserung. Das Framework basiert auf dem Plan-Do-Check-Act (PDCA)-Modell, das sicherstellt, dass die Richtlinien und Verfahren für die Informationssicherheit im Laufe der Zeit effektiv bleiben. Dieses Modell veranlasst Unternehmen dazu, Schwachstellen regelmäßig zu bewerten, den Erfolg der implementierten Kontrollen zu messen und diese auf der Grundlage der sich entwickelnden Risiken zu verfeinern.

Der Zertifizierungsprozess

Die Zertifizierung nach ISO 27001 umfasst einen mehrstufigen Prozess, der von einem akkreditierten externen Prüfer verifiziert wird. Zu den wichtigsten Schritten gehören die Definition des ISMS-Bereichs, die Durchführung von Risikobewertungen, die Implementierung von Sicherheitskontrollen und die Dokumentation von Prozessen. Sobald diese Elemente vorhanden sind, wird die Organisation zwei externen Audits unterzogen.

Stufe 1 ist eine Bereitschaftsbewertung, bei der Dokumentation und Umfang überprüft werden. Stufe 2 ist eine umfassendere Überprüfung, bei der getestet wird, ob die implementierten Kontrollen in der Praxis wirksam sind. Sobald die Organisation zertifiziert ist, muss sie jährliche Überwachungsaudits und alle drei Jahre ein Rezertifizierungsaudit durchführen.

Der Prozess gewährleistet nicht nur die Einhaltung der Anforderungen von ISO 27001, sondern auch ein nachhaltiges Engagement für das Management und die Minderung von Informationssicherheitsrisiken auf Unternehmensebene.

Was ist SOC 2?

SOC 2, die Abkürzung für "System and Organization Controls 2", ist ein Prüfungsrahmen, der vom American Institute of Certified Public Accountants (AICPA) entwickelt wurde. Er bewertet, wie Dienstleistungsunternehmen Kundendaten verwalten und schützen, und zwar anhand von fünf Trust Services-Kriterien:

• Sicherheit
• Verfügbarkeit
• Integrität der Verarbeitung
• Vertraulichkeit
• Datenschutz

SOC 2 gilt in der Regel für SaaS-Anbieter, Cloud-Service-Unternehmen und andere Technologieunternehmen, die mit sensiblen Kundendaten umgehen.

Während ISO 27001 die Anforderungen an ein ISMS festlegt, konzentriert sich SOC 2 darauf, ob die bestehenden Kontrollen einer Organisation eines oder mehrere der Trust Services-Kriterien effektiv erfüllen.

Anstelle einer Zertifizierung erhalten die Organisationen einen Bescheinigungsbericht, der von einem unabhängigen Prüfer verfasst wurde. Dieser Bericht gibt Kunden und Geschäftspartnern die Gewissheit, dass die Kontrollen des Unternehmens angemessen konzipiert sind und effektiv funktionieren.

SOC 2 Typ I und Typ II

Es gibt zwei Arten von SOC 2-Berichten. Ein Bericht vom Typ I bewertet die Gestaltung der Kontrollen zu einem bestimmten Zeitpunkt. In einem Bericht vom Typ II wird bewertet, wie effektiv diese Kontrollen über einen bestimmten Zeitraum, in der Regel sechs bis zwölf Monate, funktionieren. Der Typ-II-Bericht hat mehr Gewicht, weil er die kontinuierliche Einhaltung der Vorschriften nachweist und nicht nur einen einzigen Moment der Konformität.

Organisationen, die die SOC 2-Konformität anstreben, müssen mit einer lizenzierten Wirtschaftsprüfungsgesellschaft zusammenarbeiten, die eine Prüfung auf der Grundlage der ausgewählten Trust Services-Kriterien durchführt. Die Stellungnahme des Wirtschaftsprüfers ist im Abschlussbericht enthalten, den Kunden und Partner im Rahmen ihres Risikomanagementprozesses für Anbieter überprüfen können.

Zweck und Marktbekanntheit

SOC 2 hat sich zum De-facto-Standard für US-Unternehmen entwickelt, die ihre Sicherheitslage gegenüber ihren Kunden nachweisen wollen. Besonders wichtig ist dies in Business-to-Business-Umgebungen (B2B), in denen die Anbieter von Dienstleistungen die Zuverlässigkeit und Integrität ihres Betriebs nachweisen müssen.

Während ISO 27001 weltweit anerkannt ist, ist SOC 2 in Nordamerika bekannter und wird oft als das bevorzugte Compliance-Rahmenwerk für Technologieunternehmen angesehen, die Unternehmenskunden in der Region bedienen.

Die Lösungen von Mimecast unterstützen direkt die Ziele von SOC 2, indem sie die Kommunikationssysteme absichern, die Datenverfügbarkeit aufrechterhalten und transparente Berichte liefern, die Unternehmen als Teil ihrer Nachweise für Auditoren und Kunden verwenden können.

Hauptunterschiede zwischen ISO 27001 und SOC 2

Obwohl ISO 27001 und SOC 2 viele Gemeinsamkeiten aufweisen, einschließlich ihres Schwerpunkts auf dem Schutz von Daten und dem Risikomanagement, unterscheiden sie sich in Bezug auf Umfang, Methodik und Ergebnisse.

Umfang und Ansatz

Der erste große Unterschied zwischen ISO 27001 und SOC 2 ist der Umfang. ISO 27001 deckt die gesamte Organisation ab und konzentriert sich auf die Entwicklung und Pflege eines formellen Managementsystems für die Informationssicherheit. SOC 2 hingegen bewertet bestimmte Systeme oder Dienste und misst, wie gut deren Kontrollen die Trust Services Criteria erfüllen.

ISO 27001 ist präskriptiv und verlangt von Organisationen, klare Prozesse und Dokumentationen für das Sicherheitsmanagement zu erstellen. SOC 2 ist flexibler und ermöglicht es Unternehmen, ihre Kontrollumgebung auf der Grundlage der von ihnen gewählten Trust Services-Kriterien anzupassen. Diese Anpassungsfähigkeit macht SOC 2 besonders geeignet für dienstleistungsorientierte Unternehmen, die sich bei ihren Prüfungen auf bestimmte Produkte oder Kundenumgebungen konzentrieren möchten.

Globale vs. regionale Bekanntheit

ISO 27001 genießt weltweites Prestige. Sie ist in Europa, Asien und anderen internationalen Märkten weithin akzeptiert, wo Kunden häufig eine ISO-Zertifizierung als Teil ihrer vertraglichen Verpflichtungen verlangen. SOC 2 hingegen hat seine Wurzeln in den US-amerikanischen Rechnungslegungsstandards und ist vor allem in Nordamerika anerkannt. Viele internationale Organisationen entscheiden sich für ISO 27001, um globale Kunden anzusprechen, während US-amerikanische Unternehmen oft zuerst SOC 2 anstreben, um die inländischen Erwartungen zu erfüllen. 

Kontrollen und Berichterstattung

ISO 27001 schreibt vor, dass Organisationen die 93 in Anhang A der Version 2022 des Standards aufgeführten Kontrollen durchführen oder Ausnahmen in ihrer Anwendbarkeitserklärung begründen. Diese Kontrollen umfassen Bereiche wie Zugriffsverwaltung, Kryptographie, Sicherheit von Lieferanten und Reaktion auf Vorfälle. SOC 2-Kontrollen sind nicht vordefiniert, sondern werden von der Organisation in Übereinstimmung mit den relevanten Trust Services-Kriterien entwickelt und von einem Prüfer während der Prüfung validiert.

Ein weiterer Unterschied liegt im Ergebnis. ISO 27001 führt zu einem formellen Zertifikat, das von einer akkreditierten Registrierungsstelle ausgestellt wird, während SOC 2 zu einem Bescheinigungsbericht führt. Das Zertifikat weist die Einhaltung eines weltweit anerkannten Standards nach, während der Bericht detaillierte Stellungnahmen der Prüfer enthält, die den Kunden während der Due-Diligence-Prüfung zur Verfügung gestellt werden können.

Wann sollten Sie sich für ISO 27001 entscheiden?

Organisationen streben in der Regel ISO 27001 an, wenn sie ein umfassendes, organisationsweites Engagement für das Informationssicherheitsmanagement nachweisen wollen. Der Rahmen eignet sich für Unternehmen, die international tätig sind oder strengen Datenschutzbestimmungen wie der General Data Protection Regulation (GDPR) unterliegen.

Zu den Unternehmen, die am meisten von der ISO 27001-Zertifizierung profitieren, gehören Finanzinstitute, staatliche Auftragnehmer, Gesundheitsdienstleister und Unternehmen, die sensibles geistiges Eigentum verwalten. Die Zertifizierung dient als Nachweis der Sorgfaltspflicht und bietet Aufsichtsbehörden, Investoren und Kunden die Gewissheit, dass die Informationssicherheit systematisch verwaltet und kontinuierlich verbessert wird.

ISO 27001 ist auch für Organisationen von Nutzen, die mehrere Compliance-Anforderungen unter einem einheitlichen Managementsystem zusammenfassen möchten. Da ISO 27001 die Bereiche Governance, Risikomanagement und operative Kontrollen abdeckt, kann es als Grundlage für die Erfüllung anderer Rahmenwerke wie HIPAA, NIST CSF und PCI DSS dienen.

Die Funktionen von Mimecast unterstützen die Einhaltung von ISO 27001, indem sie das ISMS durch kontinuierliche Überwachung von Bedrohungen, automatisierte Datenschutzrichtlinien und auditfähige Berichte stärken. Die Technologie entspricht den Anforderungen von Anhang A, insbesondere in Bezug auf E-Mail-Sicherheit, Zugriffskontrolle und Informationsübertragung.

Wann Sie SOC 2 wählen sollten

SOC 2 ist oft die bessere Ausgangsbasis für Dienstleistungsunternehmen, insbesondere für solche im Software- und Technologiesektor, die Kundendaten über Cloud-Plattformen verarbeiten. Viele Beschaffungsteams in den Vereinigten Staaten verlangen einen SOC 2-Bericht als Teil ihres Lieferantenbewertungsprozesses, was ihn für die Wahrung der Glaubwürdigkeit im Wettbewerb unerlässlich macht.

Die SOC 2-Konformität zeigt, dass die internen Kontrollen einer Organisation die Kundendaten gemäß den ausgewählten Trust Services-Kriterien wirksam schützen. Diese Transparenz schafft Vertrauen bei den Kunden, erleichtert schnellere Verkaufszyklen und kann als Marketingunterscheidungsmerkmal in B2B-Branchen genutzt werden.

Mimecast spielt in diesem Prozess eine wichtige Rolle, indem es Unternehmen hilft, nachprüfbare Audit-Beweise zu sammeln. Mit zentraler Protokollierung, Verschlüsselung und Erkennung von Bedrohungen über alle Kommunikationssysteme hinweg bietet Mimecast die Betriebssicherheit und Transparenz, die Auditoren bei SOC 2-Prüfungen erwarten.

Wie Mimecast die Einhaltung von ISO 27001 und SOC 2 unterstützt

Die KI-gestützte, API-fähige Plattform von Mimecast bietet einen einheitlichen Einblick in Kommunikations- und Kollaborationsumgebungen, die zu den risikoreichsten Vektoren in jedem Unternehmen gehören. Die Plattform hilft Unternehmen, technische und administrative Kontrollen mit den Anforderungen von ISO 27001 und SOC 2 in Einklang zu bringen und gleichzeitig die Sammlung von Nachweisen und die Berichterstattung zu vereinfachen.

Unterstützende ISO 27001-Kontrollen

Für ISO 27001 unterstützt Mimecast die Kontrollen des Anhangs A durch eine Kombination aus fortschrittlicher E-Mail-Sicherheit, Data Governance und Funktionen zur Aufbewahrung von Informationen. Diese Tools helfen dabei, Zugriffsbeschränkungen durchzusetzen, sichere Datenübertragungskanäle aufrechtzuerhalten und potenzielle Bedrohungen zu erkennen, bevor sie das ISMS des Unternehmens gefährden. Die Echtzeit-Dashboards und Compliance-Berichtsfunktionen von Mimecast helfen auch bei der Erfüllung der Dokumentations- und Überwachungspflichten, die die Prüfer bei der Zertifizierung bewerten.

Unterstützende SOC 2 Trust Services-Kriterien

Im Rahmen von SOC 2 stärkt Mimecast jedes einzelne Trust Services Kriterium. Das mehrschichtige Sicherheitsmodell schützt vor unbefugtem Zugriff und gewährleistet die Integrität und Verfügbarkeit des Systems. Integrierte Verschlüsselung, Archivierung und Audit-Protokollierung helfen Unternehmen, die Anforderungen an Vertraulichkeit und Datenschutz zu erfüllen. Die kontinuierliche Überwachung von Mimecast bietet einen prüfbaren Nachweis der Kontrollleistung über einen längeren Zeitraum und vereinfacht sowohl die Typ-I- als auch die Typ-II-Berichterstattungsprozesse.

Der Wert von Mimecast geht über die Technologie hinaus. Ihr Ansatz zur Verringerung menschlicher Risiken unterstützt direkt die Absicht, die hinter beiden Rahmenwerken steht: die Schaffung einer Kultur der Verantwortlichkeit und des Bewusstseins für den Datenschutz. Durch die Verbindung von technischen Kontrollen mit der Analyse des Mitarbeiterverhaltens ermöglicht Mimecast Unternehmen nicht nur die Einhaltung von Vorschriften, sondern auch eine aktive Risikominderung.

Zusätzliche Überlegungen: Kosten, Zeitplan und Aufwand

Der Zeitaufwand und die Kosten, die mit der Einhaltung der Vorschriften verbunden sind, variieren je nach Umfang, Unternehmensgröße und vorhandener Sicherheitsreife. Die ISO 27001-Zertifizierung erfordert oft eine längere Vorbereitungszeit, in der Regel sechs bis zwölf Monate, da sie die gesamte Organisation umfasst. Die Kosten können von zehntausend bis fünfzigtausend Dollar oder mehr reichen, je nach Komplexität des ISMS und der gewählten Zertifizierungsstelle.

Die Plattform von Mimecast reduziert den manuellen Arbeitsaufwand, der häufig mit diesen Prozessen verbunden ist, indem sie die Überwachung automatisiert, Berichte konsolidiert und Nachweise für die Prüfer bereitstellt. Diese Effizienz hilft den Unternehmen, das ganze Jahr über auf die Einhaltung der Vorschriften vorbereitet zu sein, anstatt sich während der Auditsaison abzumühen.

Überschneidungen zwischen ISO 27001 und SOC 2

Obwohl ISO 27001 und SOC 2 von verschiedenen Institutionen stammen, sind ihre Ziele eng miteinander verbunden. Das AICPA hat eine geschätzte 80-prozentige Überschneidung zwischen den beiden Rahmenwerken kartiert. Beide betonen die Vertraulichkeit, Integrität, Verfügbarkeit und kontinuierliche Verbesserung von Daten.

Die Zertifizierung nach ISO 27001 und die SOC 2-Berichterstattung können auch strategische Vorteile bieten. Es signalisiert internationalen Kunden, dass das Unternehmen ein ausgereiftes, weltweit anerkanntes ISMS unterhält, und bietet gleichzeitig den nordamerikanischen Kunden die vom Wirtschaftsprüfer geprüfte Transparenz, die sie erwarten. Gemeinsam schaffen sie eine umfassende Sicherheitsdarstellung, die bei den verschiedenen Zielgruppen Vertrauen schafft.

Warum ISO 27001 und SOC 2 keine Konkurrenz sind

In Diskussionen über ISO 27001 und SOC 2 werden die beiden oft als Alternativen betrachtet, in Wirklichkeit ergänzen sie sich jedoch. ISO 27001 bietet die Grundlage für das Managementsystem, während SOC 2 eine externe Bestätigung durch eine Bescheinigung bietet. Wenn Sie beides anstreben, können Sie einen mehrschichtigen Ansatz für die Einhaltung der Vorschriften entwickeln, der die Bereiche Governance, Betrieb und Kundenbetreuung abdeckt.

Für viele Organisationen zeigt ein Vergleich zwischen ISO 27001 und SOC 2, dass die beiden Rahmenwerke nicht miteinander konkurrieren, sondern zusammenarbeiten können. In Kombination schaffen sie eine einheitliche Compliance-Strategie, die globale Erwartungen mit regionaler Sicherheit verbindet und Unternehmen eine solidere Grundlage für eine langfristige Cybersicherheits-Governance bietet.

Häufige Missverständnisse

Es gibt einige Missverständnisse im Zusammenhang mit ISO 27001 und SOC 2, insbesondere unter Organisationen, die sich zum ersten Mal der formalen Einhaltung von Vorschriften nähern. Das Verständnis dieser Missverständnisse ist entscheidend für die Auswahl des richtigen Rahmens, die Steuerung interner Erwartungen und die effektive Zuweisung von Ressourcen.

Für viele Organisationen zeigt ein Vergleich zwischen ISO 27001 und SOC 2, dass die beiden Rahmenwerke nicht miteinander konkurrieren, sondern zusammenarbeiten können. In Kombination schaffen sie eine einheitliche Compliance-Strategie, die globale Erwartungen mit regionaler Sicherheit verbindet und Unternehmen eine solidere Grundlage für eine langfristige Cybersicherheits-Governance bietet.

ISO 27001 und SOC 2 sind austauschbar

Eines der häufigsten Missverständnisse ist, dass ISO 27001 und SOC 2 funktional gleichwertig sind. Obwohl beide darauf abzielen, Vertrauen in die Informationssicherheit zu schaffen, unterscheiden sie sich in Bezug auf den Schwerpunkt und das Ergebnis. ISO 27001 bietet einen strukturierten Managementrahmen, der festlegt, wie eine Organisation Sicherheitsrisiken in allen Geschäftsbereichen identifiziert, verwaltet und verbessert. SOC 2 hingegen bewertet, ob bestimmte Systeme oder Dienste über angemessene Kontrollen verfügen, um Kundendaten gemäß den definierten Trust Services-Kriterien zu schützen.

In der Praxis beweist die ISO 27001-Zertifizierung die Fähigkeit einer Organisation, die Informationssicherheit ganzheitlich zu verwalten. Die SOC 2-Bescheinigung weist nach, dass ausgewählte Kontrollen für einen bestimmten Dienst im Laufe der Zeit effektiv funktionieren. Wenn Sie sie als austauschbar behandeln, kann dies zu Lücken, überflüssiger Arbeit oder falsch abgestimmten Erwartungen bei Kunden und Prüfern führen.

SOC 2 ist leichter zu erreichen

Ein weiterer Irrglaube ist, dass SOC 2 von Natur aus weniger anspruchsvoll ist. SOC 2 mag zwar einfacher erscheinen, weil es flexibler ist, aber ein Audit des Typs II kann mehrere Monate der Beweissammlung und der kontinuierlichen Kontrollvalidierung erfordern. Die Prüfer bewerten nicht nur, ob die Kontrollen ordnungsgemäß konzipiert sind, sondern auch, ob sie während des gesamten Prüfungszeitraums konsistent funktionieren.

Für kleinere Unternehmen ohne etablierte Governance-Strukturen kann es eine Herausforderung sein, die operative Konsistenz aufrechtzuerhalten. Die Flexibilität von SOC 2 bedeutet, dass Unternehmen ihre eigenen Kontrollen definieren und sie den Trust Services-Kriterien zuordnen müssen - ein Prozess, der genauso viel Aufwand wie die Implementierung von ISO 27001 erfordern kann. Mimecast trägt dazu bei, diesen Aufwand zu verringern, indem es automatisierte Tools zur Sammlung von Nachweisen und zur Erstellung von Berichten bereitstellt, die die Kontrollleistung über einen längeren Zeitraum hinweg verfolgen und so den Dokumentationsprozess für beide Rahmenwerke vereinfachen.

ISO 27001 ist zu starr für kleinere Unternehmen

ISO 27001 wird aufgrund seiner Dokumentationsanforderungen und seines organisatorischen Umfangs manchmal als nur für große Unternehmen geeignet angesehen. Der Rahmen wurde jedoch absichtlich so gestaltet, dass er skalierbar ist. Der Grundsatz der Verhältnismäßigkeit des Standards ermöglicht es kleineren Unternehmen, die Kontrollen an ihr Risikoprofil und ihre Betriebsgröße anzupassen. Kleine und mittelständische Unternehmen nutzen ISO 27001 häufig als Grundlage, um Sicherheitsrichtlinien zu formalisieren, die Risikotransparenz zu verbessern und sich auf zukünftige Zertifizierungen oder Audits vorzubereiten.

Sie brauchen nur ein Gerüst

Viele Unternehmen gehen davon aus, dass sie sich zwischen ISO 27001 und SOC 2 entscheiden müssen, aber die beiden Rahmenwerke schließen sich nicht gegenseitig aus. Jedes dieser Systeme befasst sich mit unterschiedlichen Aspekten der Einhaltung von Vorschriften und kann sich gegenseitig ergänzen. ISO 27001 ist bei internationalen Aufsichtsbehörden und Kunden weithin anerkannt, während SOC 2-Berichte häufig von Kunden und Geschäftspartnern in den USA angefordert werden.

Organisationen, die global operieren oder Unternehmenskunden in mehreren Regionen bedienen, verfolgen oft beide Rahmenwerke. Dies demonstriert operative Reife, stärkt das Vertrauen der Kunden und rationalisiert die Prozesse zur Aufnahme von Lieferanten.

Zertifizierung oder Attestierung garantiert Sicherheit

Ein häufiger, aber entscheidender Irrtum ist, dass eine Zertifizierung oder Bescheinigung automatisch mit Sicherheit gleichzusetzen ist. Compliance-Rahmenwerke bewerten, ob eine Organisation angemessene Kontrollen und Prozesse implementiert hat, aber sie können nicht garantieren, dass es in Zukunft keine Vorfälle mehr gibt. Bedrohungen entwickeln sich ständig weiter, und selbst zertifizierte Organisationen können von Verstößen betroffen sein, wenn die Kontrollen nicht aufrechterhalten oder im Laufe der Zeit angepasst werden.

Compliance allein verhindert menschliche Fehler

Rahmenwerke wie ISO 27001 und SOC 2 stärken zwar die Governance, beseitigen aber nicht das menschliche Risiko. Mitarbeiter sind die erste Verteidigungslinie und oft die häufigste Quelle für Sicherheitsvorfälle durch Phishing, Fehlkonfiguration oder den falschen Umgang mit sensiblen Daten. Menschliches Versagen kann nicht allein durch politische Maßnahmen bekämpft werden; es erfordert aktives Bewusstsein und Verstärkung.

Die Plattform von Mimecast erweitert die Compliance über die Dokumentation hinaus, indem sie das menschliche Risikomanagement in die täglichen Arbeitsabläufe einbettet. Es erkennt Verhaltensanomalien, bietet Sensibilisierungstraining und fördert verantwortungsvolle Kommunikationspraktiken. Diese Integration stellt sicher, dass die Compliance-Rahmenbedingungen durch eine informierte, sicherheitsbewusste Belegschaft unterstützt werden.

Schlussfolgerung

Sowohl ISO 27001 als auch SOC 2 sind bewährte Methoden, um starke Informationssicherheitspraktiken zu demonstrieren. ISO 27001 bietet ein strukturiertes, international anerkanntes Managementsystem für den Schutz von Informationen im gesamten Unternehmen, während SOC 2 eine unabhängige Bestätigung dafür bietet, wie effektiv die Kontrollen eines Unternehmens Daten im Laufe der Zeit schützen. Zusammen bilden sie die Grundlage für eine robuste Sicherheitslage und einen vertrauenswürdigen Ruf auf dem Markt.

Erfahren Sie, wie Mimecast Ihrem Unternehmen helfen kann, die Cybersecurity Governance zu verbessern, eine konsistente Kontrollleistung aufrechtzuerhalten und eine Kultur zu unterstützen, in der jeder Mitarbeiter geschützt arbeitet.