Audit

Wie läuft ein IT-Sicherheitsaudit ab?

Ein Audit prüft systematisch, ob festgelegte Vorgaben, Normen oder interne Richtlinien tatsächlich eingehalten werden. Es folgt einem klaren Ablauf statt einer zufälligen Stichprobe.

Zunächst wird der Prüfumfang festgelegt, danach werden Dokumente, Prozesse und technische Einstellungen gegen die Sollvorgaben abgeglichen. Abweichungen werden dokumentiert und bewertet. Am Ende steht ein Bericht mit Befunden und Empfehlungen. Dieser Bericht ist die Grundlage für gezielte Verbesserungen, nicht nur eine Bestandsaufnahme.

Welche Arten von Audits gibt es?

Audits unterscheiden sich danach, wer prüft und mit welchem Ziel. Die Einordnung hilft, das passende Format zu wählen.

• Internes Audit: durch eigene Stellen, zur Selbstkontrolle und Vorbereitung
• Externes Audit: durch unabhängige Prüfer, etwa für eine ISO 27001-Zertifizierung
• Lieferanten-Audit: zur Prüfung von Dienstleistern und Partnern

Während ein Penetrationstest technische Schwachstellen aktiv ausnutzt, betrachtet ein Audit Prozesse, Nachweise und die Einhaltung von Vorgaben.

Worauf sollte man bei einem Audit achten?

Ein Audit ist nur so wertvoll wie die anschließende Umsetzung. Befunde, die niemand bearbeitet, verbessern nichts.

Definieren Sie vorab einen klaren Prüfumfang und sorgen Sie für vollständige, aktuelle Dokumentation — das beschleunigt die Prüfung erheblich. Behandeln Sie Abweichungen nach Priorität und legen Sie Verantwortliche und Termine fest. Wiederkehrende Audits machen Fortschritte messbar und halten das Sicherheitsniveau dauerhaft hoch, statt es nur einmalig zu bestätigen.