Salesforce Certified Administrator with ISO27001 Lead Auditor

Dieses Bündelprogramm verbindet zwei Kompetenzfelder, die in der Praxis oft zusammenfallen: die administrative Verwaltung einer Salesforce-Organisation und die Fähigkeit, Informationssicherheits-Managementsysteme nach ISO/IEC 27001 zu auditieren. Wer beides beherrscht, versteht nicht nur, wie man Zugriffsrechte in einem CRM-System konfiguriert, sondern auch, wie man ein Sicherheitssystem systematisch auf Konformität prüft. Der Salesforce-Teil bereitet auf die Salesforce Certified Administrator-Prüfung vor, die bei einem akkreditierten Salesforce-Testcenter abgelegt wird. Der ISO27001-Teil vermittelt die Grundlagen der Lead-Auditor-Rolle nach dem internationalen Sicherheitsstandard; eine externe Zertifizierung als Lead Auditor erfordert in der Regel eine gesonderte, akkreditierte Prüfung bei einer Zertifizierungsstelle, auf die der Kurs inhaltlich vorbereitet.

Modul 1 — Salesforce-Organisation und Zugriffsverwaltung Der Salesforce-Teil beginnt dort, wo Administration und Sicherheit sich berühren: bei der Frage, wer in einer CRM-Organisation worauf zugreifen darf. Dieser Block vermittelt die strukturellen Grundlagen, bevor im nächsten Modul das Freigabemodell im Detail folgt.

• Aufbau und Navigation der Salesforce-Setup-Oberfläche
• Benutzer anlegen, Lizenzen zuweisen, Konten deaktivieren
• Profile und Berechtigungssätze für rollenbasierten Zugriff konfigurieren
• Rollenhierarchie planen und auf die Organisationsstruktur abbilden
• Login-Richtlinien, IP-Einschränkungen und Multi-Faktor-Authentifizierung einrichten
• Auditierbarkeit von Benutzeraktivitäten über Setup-Audit-Trail nachvollziehen

Modul 2 — Salesforce-Sicherheitsmodell und Automatisierung Das mehrschichtige Sicherheitsmodell von Salesforce ist zugleich Prüfungsschwerpunkt der Administrator-Zertifizierung und ein praktisches Beispiel dafür, wie Zugriffskontrolle in einem realen System umgesetzt wird — ein direkter Anknüpfungspunkt zum späteren ISO27001-Teil.

• Organisationsweite Standardeinstellungen (OWD) und ihre Wirkung auf Datensichtbarkeit
• Sharing Rules: kriterien- und eigentümerbasierte Freigabe außerhalb der Hierarchie
• Objekt- und feldbasierte Berechtigungen mit Permission Sets steuern
• Flow Builder: Screen Flows und Record-triggered Flows für Prozessautomatisierung
• Validierungsregeln zur Sicherstellung von Datenintegrität
• Reports und Dashboards für Zugriffs- und Nutzungsauswertungen

Modul 3 — Grundlagen der ISO/IEC 27001 und ISMS-Aufbau Der zweite Kursteil wechselt die Perspektive: von der Konfiguration eines Systems zur systematischen Bewertung von Sicherheitsmanagementsystemen. Dieser Block legt das begriffliche und strukturelle Fundament der Norm.

• Aufbau und Struktur der ISO/IEC 27001: normative Anforderungen und Anhang A
• Grundprinzipien der Informationssicherheit: Vertraulichkeit, Integrität, Verfügbarkeit
• Geltungsbereich (Scope) eines ISMS definieren und abgrenzen
• Risikobewertung: Bedrohungen, Schwachstellen und Eintrittswahrscheinlichkeiten einordnen
• Sicherheitsvorkehrungen (Controls) nach Anhang A auswählen und dokumentieren
• der PDCA-Zyklus als durchgängiges Steuerungsprinzip im ISMS

Modul 4 — Lead-Auditor-Rolle: Planung und Durchführung von Audits Wer als Lead Auditor arbeitet, plant nicht nur Prüfungen, sondern führt sie auch durch und bewertet die Ergebnisse. Dieser Block vermittelt das methodische Handwerkszeug für interne und externe Audits nach ISO 27001.

• Audittypen unterscheiden: internes Audit, Zertifizierungsaudit, Überwachungsaudit
• Auditprogramm und Auditplan erstellen
• Auditkriterien und Auditumfang festlegen
• Interviewtechniken und Dokumentenprüfung im Audit anwenden
• Feststellungen klassifizieren: Nichtkonformität, Verbesserungspotenzial, Beobachtung
• Auditbericht strukturieren und Korrekturen nachverfolgen

Praxisblock — Von der Systemkonfiguration zur Auditbewertung Der Praxisteil verknüpft beide Kursstränge in realitätsnahen Übungen: Teilnehmende konfigurieren zunächst sicherheitsrelevante Einstellungen in einer Salesforce-Sandbox und bewerten anschließend vergleichbare Konfigurationen aus der Perspektive eines ISO27001-Auditors.

• Salesforce-Sandbox mit rollenbasiertem Zugriffskonzept aufbauen
• Sharing-Rule-Szenario für eine mehrstufige Vertriebsorganisation entwerfen
• Flow Builder: automatisierte Benachrichtigung bei kritischen Datenänderungen einrichten
• fiktiven Geltungsbereich für ein ISMS in einem mittelständischen Unternehmen abgrenzen
• Risikoregister mit priorisierten Bedrohungen und Handlungsschritte erstellen
• Auditplan für ein internes Audit der Zugriffskontrollen entwerfen
• Interviewleitfaden für ein Audit-Gespräch mit einer IT-Abteilung ausarbeiten
• Salesforce-Zugriffskonfiguration als Auditobjekt bewerten und Feststellungen formulieren
• Nichtkonformitäten anhand eines Beispielszenarios klassifizieren
• Auditbericht mit Feststellungen und Empfehlungen verfassen
• Korrekturenplan für identifizierte Abweichungen erstellen
• Abschlussszenario: vollständigen Audit-Zyklus von Planung bis Bericht durchspielen

Die Verbindung beider Themenfelder ist kein Zufall: Wer Zugriffsrechte in einem CRM-System korrekt konfigurieren kann, versteht die technische Seite der Informationssicherheit aus erster Hand — ein Vorteil, wenn später Systeme Dritter auf ISO-27001-Konformität geprüft werden. Umgekehrt schärft die Auditor-Perspektive den Blick für Sicherheitslücken in der eigenen Systemadministration. Für Unternehmen, die sowohl operative CRM-Administration als auch Sicherheitsaudits intern abdecken möchten, liefert dieses Bündel zwei komplementäre Rollenprofile in einem Programm — statt zwei getrennte Weiterbildungen mit unterschiedlichen Anbietern zu koordinieren.

Diese Weiterbildung richtet sich an IT- und Sicherheitsfachkräfte, die administrative Systemkompetenz mit Auditierungsfähigkeiten verbinden möchten.

• IT-Administratoren, die zusätzlich Verantwortung für Informationssicherheit übernehmen sollen
• Qualitäts- oder Risikomanagement-Fachkräfte mit Interesse an IT-nahen Managementsystemen
• Personen, die sich auf die Salesforce Certified Administrator-Prüfung vorbereiten möchten
• angehende interne oder externe Auditor/innen für Informationssicherheits-Managementsysteme
• Quereinsteiger mit IT-Affinität, die eine Doppelqualifikation in CRM und Compliance anstreben

Der Unterricht findet im virtuellen Klassenzimmer statt und kombiniert Theorie-Einheiten mit praktischen Übungsphasen. Für den Salesforce-Teil arbeiten Teilnehmende in einer Sandbox-Umgebung; der ISO27001-Teil wird anhand von Fallstudien und simulierten Auditszenarien vermittelt, in denen Teilnehmende die Auditorrolle selbst einnehmen.

Die Module sind individuell kombinierbar, sodass sich die Gesamtdauer nach der gewählten Zusammenstellung richtet und typischerweise mehrere Wochen in Teilzeit umfasst. Vollzeit- und individuelle Startvarianten sind je nach Angebot möglich.

Für den Salesforce-Teil bereitet der Kurs auf die Salesforce Certified Administrator-Prüfung vor, die extern bei einem akkreditierten Testcenter abgelegt wird. Der ISO27001-Teil schließt mit einem trägerinternen Zertifikat über die absolvierte Lead-Auditor-Vorbereitung ab; eine offizielle Zertifizierung als ISO 27001 Lead Auditor setzt eine gesonderte, akkreditierte Prüfung bei einer externen Zertifizierungsstelle voraus, auf die der Kurs inhaltlich vorbereitet.

Informationssicherheit wird in Unternehmen zunehmend nicht als reines IT-Thema, sondern als Managementaufgabe behandelt — und genau an dieser Schnittstelle setzt dieses Bündel an. Wer sowohl ein CRM-System administrieren als auch ein Sicherheitsmanagementsystem auditieren kann, deckt einen Kompetenzbereich ab, der in vielen Organisationen auf zwei verschiedene Personen verteilt ist. Die Kombination aus technischer Systemkompetenz und methodischer Audit-Fähigkeit ist besonders für Fachkräfte relevant, die perspektivisch in Richtung Informationssicherheitsbeauftragte/r oder interne/r Auditor/in wechseln möchten, ohne ihre bisherige IT-Administrationserfahrung aufzugeben. Salesforce-Kenntnisse bleiben dabei ein eigenständiger, breit nachgefragter Marktwert. Für Organisationen, die eine ISO-27001-Zertifizierung anstreben oder aufrechterhalten müssen, sind Mitarbeitende mit einem Verständnis für beide Seiten — Systemkonfiguration und Auditbewertung — ein Gewinn: Sie erkennen Sicherheitslücken in der eigenen Administration frühzeitig, bevor ein externer Auditor sie findet.