CIW - Folge 180 - 20.05.2026 - Epyy ISMS
Wir begrüssen alle, denen Sicherheit wichtig ist, zur Folge 180 von "Captain it's Wednesday", dem Podcast über Freie Software und Freie Gesellschaft von GNU/Linux.ch, aufgenommen am 19. Mai von Tomas Jakobs und Ralf Hersel. In dieser Folge reden wir über das freie Information-Security-Management-Werkzeug Epyy.
Hausmitteilungen
Am vergangenen Freitag haben wir 6 Jahre GNU/Linux.ch gefeiert. Aus diesem Anlass möchte ich mich bei allen Lesern, Hörerinnen und Mitschaffenden bedanken, die euer Projekt zu dem gemacht haben, was es heute ist: Community für die Community. Herzlichen Dank für eure Mitarbeit und eure Unterstützung.
Thema: Epyy ISMS
Begrüssung und Vorstellung von Tomas (Geschäftsführer der ЈАKOВS UG, Dortmund)
Tomas, wer bist Du und was machst Du?
Grüß Dich, Vorstellungsrunden oh je. Ich bin der Tomas, 50 Jahre jung, mach’ was mit IT und das im Grunde schon seit der Schulzeit, tief in den 80ern. Ich hatte das Glück, aus einem Hobby einen Beruf machen zu können, zu einem Zeitpunkt, als es noch kaum Berufs- oder Ausbildungswege in diesem Bereich gab.
In den ersten Dekaden meines Schaffens habe ich unzählige Software in den verschiedensten Programmiersprachen erstellt und als Externer in mittelständischen Unternehmen die typischen AD Netzwerkstrukturen aufgebaut.
Nur um alles so ab ca. 2014 wieder einzureißen. Sprich: Netze zu segmentieren, Software auf Schwachstellen zu untersuchen und «auseinanderzunehmen», Admins und Mitarbeiter mit Regeln, Checklisten und Managementsystemen von der Arbeit abzuhalten.
In meinem Leben gab es so ein paar harte, technologische Wechsel. So bin ich die ganzen 80er, 90er und frühen 2000er Jahre mit Microsoft “groß” geworden. Ab 2007 wechselte ich dann aus Frust in das Apple-Lager, um dann 10 Jahre später endlich mit GNU/Linux auch als Daily Driver am Desktop zu arbeiten. Wobei GNU/Linux mich bereits seit den 90ern auf Servern schon immer begleitet hat. Die ersten Anfänge damals waren fli4l und Suse 6.4
Die Webseite bzw. das Projekt heisst epyy.de. Wer oder was ist das?
Nun, der Reponame lautet “isms-document-workflow” und macht auch genau das: Es erstellt, verwaltet und erinnert an Dokumente in einem ISMS. Nun ist der Begriff doch recht sperrig und schreit geradezu nach einem besseren, kürzeren Namen. Und immer wenn ich neue Namen suche, schaue ich gerne in die Antike und fand das griechische Wort episkopeîn, was übersetzt "inspizieren" oder "überwachen" heißt. “Epyy” als Kurzform davon klingt positiv, die Domain war frei und so kam es zum Namen und Icon des Projektes. Das macht es alles greifbarer.
Bevor wir zu Deinem Open-Source-Projekt kommen: Was ist ein ISMS und für wen ist das von Interesse?
Ein Informationssicherheitsmanagementsystem (ISMS) läst sich ganz gut als Betriebssystem eines Unternehmens verstehen. Es wirkt - wenn richtig betrieben - in fast alle Unternehmensprozesse hinein. Also vom Onboarding, über Projekte und Produktion bis zum Offboarding und Vernichtung von Informationsträgern, digitale wie analoge. Nimmt man das Lieferantenmanagement hinzu, wirkt Informationssicherheit sogar über Unternehmensgrenzen hinaus.
Technisch betrachtet werden Informationen klassifiziert - was ist öffentlich, was vertraulich, was streng vertraulich? Assets ermittelt, was nicht nur bloße IT-Inventarlisten sind sondern auch sowas wie Wissen oder Menschen oder Strom - ein häufig unterschlagenes Asset.
Und dann kommt der Kern: Alles wird mit Risiken versehen und bewertet. Stichwort CIA-Triade: Vertraulichkeit, Integrität und Verfügbarkeit. Wie wichtig oder unwichtig ist etwas. Worum muss man sich sofort kümmern, was geht auch später und was wird als Risiko einfach akzeptiert.
Wie bei einem Betriebssystem wird reguliert, laufend überwacht und idealerweise optimiert, damit am Ende des Tages Organisationen sicherer als zuvor betrieben werden - oder im Auditsprech: Einen höheren Reifegrad erreichen.
Wie sieht der aktuelle ISMS-Markt aus? Gibt es dominante Player?
Was ich aus meiner Sicht sagen kann, gibt es die eine Lösung oder den einen dominanten Player nicht.
Auf Konzernebene werden eher integrierbare, anpassbare Governance-Lösungen gewählt. Ein häufig gehörter Name ist der deutsche Anbieter HiScout. Das ist die Software-Tochter des Anbieters HiSolutions, Arbeitgeber von Manuel “HonkHase” Atug mit seiner AG KRITIS, in der CCC-Bubble vielleicht ein Begriff.
Für KMU gibt es mehrere SaaS-Anbieter mit fertigen, aber oftmals isolierten Lösungen. Intervalid aus Österreich ist zum Beispiel ein von mir häufig gehörter Name.
Von anderen Dienstleistern weiß ich, dass diese gerne auf Wikis wie dem freien Bookstack setzen.
Und letztendlich wird quer durch alle Unternehmensgrössen erschreckend oft noch mit losen Office-Dokumenten und den typischen Ordnerstrukturen auf irgendwelchen Sharepoint-, Teams- oder SMB-Shares gearbeitet. Vielleicht ist das der “dominante Player” im Raum.
Warum hast Du dich entschlossen, Epyy als freie ISMS-Lösung zu entwickeln?
Naja, zuerst möchte ich betonen, dass ich da gar nicht so viel entwickelt habe. Epyy ist kein Stück Software. Es ist ein Workflow, ein Framework bestehend aus bewährten und lange existierenden Einzelprodukten wie git, pandoc awk. Ich habe lediglich mit Bash alles orchestriert und in ein Git-Repo gepackt.
Zwei Faktoren spielten bei der Entwicklung eine große Rolle:
So verlockend einfach viele SaaS-Anwendungen für KMU sind - gerade wenn sie frisch sich mit 27001, TISAX oder VdS 10000 beschäftigen - so hart ist im späteren Betrieb der Vendor-Lock-In. Preise, Anpassbarkeit oder Datenexporte spielen alle eine Rolle. Das Erstaunen setzt aber oft mit Blick in die AGBs und den vertraglich garantierten oder eben nicht garantierten Verfügbarkeiten.
Ein praktisches Beispiel: Wie kann ein Geschäftsführer seinen 24h-NIS2-Meldepflichten nachkommen wenn das genutzte SaaS Produkt ohne jegliche SLA daherkommt? Es gibt Anbieter, die schliessen alles, was Verfügbarkeit betrifft, explizit aus oder versuchen es auf unbekannte Dritte, meist die Hoster, auszulagern.
Wenn alles um einen wegbricht und sich eine Ransomware durch das Netzwerk frisst, braucht man ein ISMS am meisten mit seinen Notfallmaßnahmen, Meldewegen, Telefonnummern - das was mit Business Continuity Management (BCM) bezeichnet wird.
Als externer ISB und Dienstleister habe ich das Problem, dass jeder mit seinem eigenen System ankommt, in das ich mich nicht nur einarbeiten, sondern es auch zugleich leben und pflegen muss. Das skaliert furchtbar schlecht und Du verlierst da unnötig viel an Zeit und Effektivität.
Also brauchte ich eine einfache, hochflexible und zugleich für mehrere Mandanten anpassbare Lösung als mein führendes System, wo ich Inhalte in andere Systeme exportiere.
Gibt es andere offene Lösungen im ISMS-Bereich?
Ja, ich kenne beispielsweise Fours als quelloffene Lösung. Diese lässt sich selbst hosten und vermeidet die genannten harten SaaS Vendor-Lock-In Effekte. Für mich persönlich nachteilhaft war hier der Techstack, der alles andere als minimal ist und aus OCI-Containern, Datenbank, FastAPI-Backend sowie React-Frontend besteht. Das sind mir persönlich zu viele bewegliche und kurzlebige Teile im System mit zu vielen inhärent technischen Schulden.
Was sind die Hauptargumente für die Nutzung von Epyy?
Mit Epyy lässt sich ein ISMS - das Betriebssystem des Unternehmens - wie eine Software aufbauen. “ISMS as Code” oder “Compliance as Code” bestehend aus freien und robusten Werkzeugen und Technologien. Git als Audit-Trail, Textdokumente als “Source of Truth” und Markdown für die Formatierung. Die Abhängigkeitsliste ist bewusst minimal gehalten. Kein Container-Overhead, keine Bloatware. Dieser Workflow soll auch in 15-20 Jahren genauso funktionieren.
Weitere werbliche Aspekte habe ich auf der Website https://epyy.de zusammengetragen, die technischen Dinge finden sich in der README des Repos auf Codeberg.
Erzähle uns bitte etwas über die technischen Hintergründe von Epyy.
Gerne, Kern ist der Dokumenten-Workflow: Markdown → pandoc → PDF.
Um diesen Kern herum kommen zahlreiche weitere Funktionen wie zum Beispiel das Anhängen von PDFs, die in einem gleichnamigen Unterordner abgelegt sind. Oder das Erstellen von ausfüllbaren PDF-Formularen. Oder das Erstellen von CalDAV Kalenderdateien für den Review- und Wiedervorlage-Prozess.
Orchestriert wird das alles mit make und bash, wobei die kritischen Teile wie z.B. das Parsing des YAML in den Frontmatterm nach pandoc oder alles mit String- und Textmanipulationen nach awk ausgegliedert ist.
Am wichtigsten sind die Snippets. Das sind im Grunde Platzhalter, die im Präprozessor als Programme ausgeführt werden und Dinge machen. Zum Beispiel das Bearbeitungsdatum aus Git ermitteln und einfügen. Oder in andere Markdown Dokumente schauen, ob bestimmte [x] Checkboxen ausgefüllt sind. Ich habe sogar Snippets, die Pie- und Radarcharts in die Dokumente bringen.
Wie kann man Epyy installieren?
Die Abhängigkeitsliste ist bewusst kurz und dürfte bei den meisten bereits vorinstalliert sein. Einzig bei pdfcpu ist etwas Hand anzulegen. Die Single-File-Go-Binary muss händisch geladen und installiert werden. Wenn alles steht kann das Projekt einfach geklont und mit make gebaut werden. Prinzipiell kann mit jedem beliebigen Texteditor im Repo gearbeitet werden. Ich empfehle da aber eine IDE, selbst nutze ich den Gnome Builder.
Welche Weiterentwicklungen planst Du?
Aktuell ist die VdS 10000, eine weitere Zertifizierungsnorm, bei mir in Bearbeitung. Diese möchte ich gerne noch dieses Jahr mit als Vorlage ins Projekt aufnehmen.
Wie vernetzt bist Du mit der Community, wenn es um die Entwicklung von Epyy geht?
Ich hoffe und wünsche mir, dass dieses Projekt ein wenig aus der Nische kommt und mehr Sichtbarkeit bekommt. Für dieses Jahr habe ich zwei Vorträge für Open Source und Linux Tage in Darmstadt und Kiel eingereicht. Vielleicht ergibt sich da ja was.
Wie kann sich die Community bei Epyy beteiligen?
Mit Feedback, Mitarbeit, Weiterentwicklung im Codeberg Repo. Wenn am Ende des Tages mehr Funktionen, mehr Snippets, bessere Doku oder Code für die Gemeinschaft herauskommen, sehr gerne.
Verabschiedung
Outro
Euer Feedback zählt! Kommentiert zur Podcast-Folge oder schreibt uns einfach über Matrix, Mastodon oder per E‑Mail. Nehmt aktiv an der Community teil. Ihr könnt Artikel schreiben, Themen diskutieren oder selbst beim Podcast mitmachen. Bei GNU/Linux.ch wird Eure Stimme nicht nur gelesen, sondern auch gehört.
Quellen
https://de.wikipedia.org/wiki/Information_Security_Management_System
https://hiscout.com/
https://intervalid.com/
https://bookstackapp.com/
https://de.wikipedia.org/wiki/Lock-in-Effekt
https://gitlab.com/dss-it-security/fours
https://epyy.de/
https://codeberg.org/tomas-jakobs/isms-document-workflow
