Bei dem Wort „Audit“ denken viele Führungskräfte ans Finanzamt und an unangenehmes Warten. Ein IT-Sicherheitsaudit ist anders: Sie beauftragen es selbst, es ist für Sie gedacht, und sein Ergebnis ist keine Strafe, sondern eine Liste von Punkten, die Sie beheben sollten, bevor ein anderer sie findet.
Dennoch bleibt Unsicherheit. Wer kommt, was wird gefragt, steht die Arbeit still, geben wir zu viel preis, was bekommen wir am Ende, und können wir etwas damit anfangen? Genau diese Fragen schieben ein Audit meist um ein Jahr auf.
In diesem Artikel beschreiben wir Schritt für Schritt, wie ein Audit aussieht, vom ersten Gespräch bis zur Vorstellung des Berichts, damit Sie ruhig entscheiden können statt aus Angst.
Wie der Umfang festgelegt wird
Ein Audit beginnt nicht mit dem Scannen, sondern mit einem Gespräch. Im ersten Termin klären wir, wozu das Audit nötig ist: eine Kundenanforderung, die Vorbereitung auf NIS2 oder DORA, ein Verdacht auf einen Vorfall oder eine neue Führungskraft, die wissen will, was sie übernommen hat. Der Anlass bestimmt, worauf wir besonders genau schauen.
Dann wird der Umfang festgelegt: welche Standorte, Server, Cloud-Dienste, Netzwerke, Anwendungen und Prozesse einbezogen werden. Bei einem kleinen Unternehmen ist das meist die gesamte IT-Umgebung. Bei einem größeren ist es ein ausgewählter Teil, zum Beispiel nur der Microsoft-365-Tenant und der Fernzugriff. Der Umfang wird schriftlich festgehalten, damit beide Seiten wissen, was geprüft wird und was nicht.
Wir vereinbaren außerdem Zugänge, Ansprechpartner, Zeitplan und das, was das Audit nicht tut: Es stört nicht den laufenden Betrieb, testet ohne gesonderte Vereinbarung keine Angriffe gegen Mitarbeitende und ändert keine Konfigurationen.
Interviews: Warum der Auditor mit Menschen spricht
Manche Führungskräfte wundern sich, dass ein Audit mit Gesprächen statt mit Werkzeugen beginnt. Der Grund: Die meisten Sicherheitsprobleme liegen nicht in der Technik, sondern darin, wie sie genutzt wird.
Interviews führen wir üblicherweise mit der Geschäftsführung, der für die IT verantwortlichen Person (intern oder externer Dienstleister), der Leitung von Finanzen oder Buchhaltung und einigen normalen Mitarbeitenden. Die Fragen sind praktisch: wie einem neuen Mitarbeiter Zugriff gegeben wird und was beim Ausscheiden passiert, wo Passwörter gespeichert werden, wie Zahlungen freigegeben werden, wer entscheiden würde, wenn die Server morgen ausfallen, und wann zuletzt ein Backup wiederhergestellt wurde.
Ein Interview dauert eine halbe bis eine Stunde und soll niemanden bloßstellen. Es zeigt, wo Dokumente von der Wirklichkeit abweichen. Ein häufiges Beispiel: Die Richtlinie schreibt vor, Passwörter alle drei Monate zu ändern, während die Buchhaltung ein gemeinsames Konto für das Online-Banking hat, dessen Passwort auf einem Haftzettel steht. Das zeigt kein Scan.
Technische Prüfung: Was wir untersuchen
Das ist der Teil, den sich Kunden meist vorstellen. Er hat drei Bereiche.
Schwachstellen
Gescannt werden Server, Arbeitsplätze, Netzwerkgeräte und öffentlich erreichbare Systeme: Webseiten, VPN-Gateways, Portale für Remote-Arbeit. Wir suchen nach Software ohne aktuelle Patches, bekannten Schwachstellen und offenen Diensten, die aus dem Internet nicht sichtbar sein sollten. Der Scan wird vorab abgestimmt und läuft so, dass er die Arbeit nicht behindert.
Konfigurationen
Die Systemeinstellungen werden mit bewährten Verfahren verglichen: Sicherheitseinstellungen in Microsoft 365 und Entra ID, Multi-Faktor-Authentifizierung, E-Mail-Schutz gegen Spoofing, Firewall-Regeln, Netzwerksegmentierung, Richtlinien für den Endpunktschutz sowie Backup-Konfiguration und Trennung vom Netzwerk. Hier finden sich meist die meisten schnellen Verbesserungen.
Zugriffe
Wir prüfen, wer worauf Zugriff hat und ob das begründet ist: Administratorkonten und ihre Anzahl, Konten ehemaliger Mitarbeitender, gemeinsam genutzte Konten, Zugänge externer Lieferanten und privilegierte Rechte in der Buchhaltung und in anderen Systemen. In unserer Praxis findet fast jedes Audit mindestens ein aktives Konto einer Person, die nicht mehr im Unternehmen arbeitet.
Dokumentenprüfung
Der Auditor fordert vorhandene Dokumente an: Sicherheitsrichtlinien, das Verfahren bei Vorfällen, den Backup- und Wiederherstellungsplan, Lieferantenverträge und Schulungsnachweise. Fehlen Dokumente, ist das kein Versagen, sondern schlicht ein Punkt im Bericht. Sind sie vorhanden, prüfen wir, ob sie mit der Wirklichkeit übereinstimmen, die sich aus den Interviews und der technischen Prüfung ergibt.
Der Dokumententeil ist besonders wichtig für Unternehmen, die sich auf NIS2-Compliance oder Kundenaudits vorbereiten, denn genau diese Dokumente werden dort verlangt.
Wie Risiken bewertet werden
Alle Feststellungen werden gesammelt, und jeder wird ein Risiko nach zwei Kriterien zugeordnet: der Wahrscheinlichkeit, dass die Schwachstelle ausgenutzt wird, und der Auswirkung auf das Geschäft, wenn das geschieht. Bewertet wird die Auswirkung auf Ihren Betrieb, nicht eine abstrakte technische Schwere. Ein offen erreichbarer Testserver ohne Daten und ein aus dem Internet erreichbares Buchhaltungssystem können technisch ähnliche Schwachstellen haben, das Geschäftsrisiko ist jedoch völlig verschieden.
Die Feststellungen werden in vier Stufen eingeordnet:
| Stufe | Bedeutung | Empfohlene Frist |
|---|---|---|
| Kritisch | Die Schwachstelle kann jederzeit ausgenutzt werden und den Betrieb stoppen oder Daten abfließen lassen | Sofort, innerhalb weniger Tage |
| Hoch | Erhebliche Auswirkung, Ausnutzung wahrscheinlich | Innerhalb eines Monats |
| Mittel | Begrenzte Auswirkung oder zusätzliche Voraussetzungen nötig | Innerhalb eines Quartals |
| Niedrig | Abweichung von bewährten Verfahren ohne direkte Bedrohung | Im Rahmen geplanter Arbeiten |
Mit dieser Bewertung kann eine Führungskraft entscheiden, wo sie anfängt, ohne in technische Details einzusteigen.
Was im Bericht steht
Der Bericht ist für zwei Leserkreise geschrieben. Der erste Teil richtet sich an die Geschäftsleitung: eine Zusammenfassung von ein bis zwei Seiten, eine Gesamteinschätzung der Sicherheitslage, die fünf oder zehn wichtigsten Feststellungen und ihre Auswirkungen auf das Geschäft in verständlicher Sprache. Der zweite Teil richtet sich an das IT-Team oder den Dienstleister: jede Feststellung mit Beschreibung, Nachweis (ein Screenshot, ein Auszug aus dem Scan), Risikostufe und einer konkreten Empfehlung zur Behebung.
Den Abschluss bildet ein Maßnahmenplan: Feststellungen nach Priorität gruppiert, ein ungefährer Arbeitsaufwand (Stunden oder Tage, nicht Wochen), die verantwortliche Stelle (das Unternehmen, der IT-Dienstleister, ein Dritter) und eine empfohlene Reihenfolge. Der Plan ist so geschrieben, dass Sie ihn direkt als Aufgabenliste an einen IT-Dienstleister weitergeben können.
Den Bericht stellen wir in einem Termin vor, statt ihn nur per E-Mail zu schicken. Führungskräfte haben Fragen, und uns ist wichtig, dass aus dem Bericht Arbeit wird und nicht ein weiteres Dokument in einem Ordner.
Wie oft Sie es wiederholen sollten
Wir empfehlen, ein vollständiges Audit jährlich zu wiederholen oder nach wesentlichen Änderungen: einer Migration in die Cloud, einem Wechsel des IT-Dienstleisters, einer Fusion mit einem anderen Unternehmen, einem schwerwiegenden Vorfall. Zwischen den vollständigen Audits sind engere Prüfungen sinnvoll: ein Schwachstellenscan jedes Quartal, eine Überprüfung der Zugriffe alle sechs Monate und ein Test der Backup-Wiederherstellung mindestens zweimal im Jahr.
Bei regulierten Unternehmen bestimmen die Anforderungen die Häufigkeit: NIS2 und DORA erwarten regelmäßige Tests, und Kunden verlangen oft einen Bericht, der nicht älter als ein Jahr ist.
Wer das Audit durchführt
Der Wert eines Audits hängt davon ab, wer es durchführt. Unsere Auditoren verfügen über gültige ISACA-Zertifizierungen: CISA (Certified Information Systems Auditor), CISM (Certified Information Security Manager), CRISC (Certified in Risk and Information Systems Control) und weitere. Das bedeutet, dass das Audit einer anerkannten Methodik folgt und der Bericht von Kunden, Zertifizierungsstellen und Aufsichtsbehörden akzeptiert wird. Alle Zertifikate des Teams finden Sie auf der Seite mit den Zertifikaten.
Wo Sie anfangen
- Legen Sie fest, wozu Sie das Audit brauchen und für wen der Bericht gedacht ist. Das bestimmt Umfang und Tiefe.
- Sammeln Sie, was Sie haben: eine Liste der Systeme, vorhandene Dokumente, Kontakte der Lieferanten. Sie müssen vor dem Audit nichts beheben, denn sein Zweck ist, die tatsächliche Lage zu sehen.
- Benennen Sie eine Ansprechperson, die Zugänge freigeben und die Interviews organisieren kann.
- Vereinbaren Sie vorab mit Ihrem IT-Dienstleister, dass er teilnimmt und den Maßnahmenplan umsetzt.
- Beauftragen Sie ein IT-Sicherheitsaudit. Im ersten Gespräch vereinbaren wir Umfang, Dauer und die Verwendung des Berichts.
