IT-Sicherheitsaudit

IT-Sicherheitsaudit — Systematische Prüfung Ihrer Informationssicherheit

Ein IT-Sicherheitsaudit ist die strukturierte und unabhängige Überprüfung Ihrer Informationssicherheitsmaßnahmen gegen definierte Standards und Anforderungen. Es deckt Schwachstellen in Prozessen, Technik und Organisation auf und schafft die Grundlage für gezielte Verbesserungen. Die DATUREX GmbH aus Dresden führt IT-Sicherheitsaudits für Unternehmen in Sachsen und außerdem durch — nach ISO 27001, BSI IT-Grundschutz oder individuellen Anforderungen.

Ob zur Vorbereitung einer ISO-27001-Zertifizierung, zur Erfüllung von NIS2-Anforderungen oder als regelmäßige Überprüfung Ihres Sicherheitsniveaus — ein professionelles IT-Sicherheitsaudit gibt Ihnen Klarheit über den tatsächlichen Stand Ihrer Informationssicherheit.

Was ist ein IT-Sicherheitsaudit?

Ein IT-Sicherheitsaudit ist ein systematischer, unabhängiger Prüfprozess, bei dem die Informationssicherheitsmaßnahmen eines Unternehmens gegen definierte Kriterien (Standards, Richtlinien, gesetzliche Anforderungen) geprüft werden. Im Unterschied zu einer reinen Schwachstellenanalyse, die primär technische Lücken identifiziert, betrachtet ein Audit das Gesamtbild der Informationssicherheit:

• Organisatorische Maßnahmen — Richtlinien, Prozesse, Verantwortlichkeiten, Schulungen
• Technische Maßnahmen — IT-Infrastruktur, Netzwerksicherheit, Zugriffskontrollen, Verschlüsselung
• Physische Maßnahmen — Zutrittskontrollen, Serverraumschutz, Umgebungssicherheit
• Compliance — Einhaltung gesetzlicher Vorgaben (DSGVO, NIS2) und vertraglicher Anforderungen
• Dokumentation — Vollständigkeit, Aktualität und Angemessenheit der Sicherheitsdokumentation

Das Ergebnis ist ein fundierter Auditbericht mit konkreten Feststellungen (Findings), Risikobewertungen und priorisierten Handlungsempfehlungen.

Internes vs. Externes Audit

Beide Auditformen haben ihre Berechtigung und ergänzen sich in einem wirksamen Sicherheitsmanagement:

Kriterium	Internes Audit	Externes Audit
Durchführung	Eigene Mitarbeiter oder beauftragte externe Auditoren	Unabhängige Zertifizierungsstelle oder Prüforganisation
Zweck	Kontinuierliche Verbesserung, Vorbereitung auf externes Audit	Zertifizierung, behördliche Prüfung, Kundenanforderung
Unabhängigkeit	Eingeschränkt (auch wenn Auditoren nicht in auditierten Bereichen arbeiten)	Vollständige Unabhängigkeit
Ergebnis	Interner Auditbericht, Maßnahmenplan	Zertifikat, Prüfbericht, Konformitätsbescheinigung
Häufigkeit	Mindestens jährlich, oft halbjährlich	Typischerweise jährlich (Überwachungsaudit) oder alle 3 Jahre (Rezertifizierung)
Tiefe	Flexibel — Fokus auf Risikobereiche und Verbesserungspotenziale	Standardbezogen — systematische Prüfung aller relevanten Controls

Die DATUREX GmbH unterstützt Sie sowohl bei der Durchführung interner Audits als auch bei der Vorbereitung auf externe Zertifizierungsaudits. Besonders für kleine und mittlere Unternehmen, die keinen eigenen Auditor beschäftigen, ist die Beauftragung eines externen Dienstleisters für interne Audits eine bewährte Lösung.

Audit nach ISO 27001

Ein IT-Sicherheitsaudit nach ISO 27001 ist der international anerkannte Goldstandard. Es prüft, ob Ihr Informationssicherheits-Managementsystem (ISMS) die Anforderungen der Norm vollständig und wirksam erfüllt:

Prüfungsbereiche ISO 27001

• ISMS-Kontext und Geltungsbereich — Ist der Scope angemessen definiert? Sind relevante interessierte Parteien und deren Anforderungen berücksichtigt?
• Führung und Verpflichtung — Unterstützt die Geschäftsführung das ISMS aktiv? Sind Rollen und Verantwortlichkeiten definiert?
• Risikomanagement — Ist der Risikomanagementprozess dokumentiert, wirksam und aktuell? Werden Risiken systematisch identifiziert, bewertet und behandelt?
• Controls (Anhang A) — Sind die 93 Controls der ISO 27001:2022 angemessen implementiert und wirksam? Ist das Statement of Applicability (SoA) aktuell?
• Dokumentation — Sind alle erforderlichen Dokumente und Aufzeichnungen vorhanden, aktuell und zugänglich?
• Überwachung und Messung — Werden die Wirksamkeit der Maßnahmen und die Erreichung der Sicherheitsziele gemessen?
• Kontinuierliche Verbesserung — Gibt es einen funktionierenden Verbesserungsprozess? Werden Auditergebnisse und Vorfälle systematisch ausgewertet?

Typische Nichtkonformitäten bei ISO-27001-Audits

Aus unserer Erfahrung treten bei ISO-27001-Audits häufig folgende Nichtkonformitäten auf:

• Unvollständige oder veraltete Risikoanalyse
• Fehlende Nachweise für die Wirksamkeit implementierter Controls
• Unzureichende Dokumentation von Sicherheitsvorfällen und deren Behandlung
• Lücken im Asset-Inventar (insbesondere bei Cloud-Diensten und Shadow-IT)
• Fehlende oder veraltete Awareness-Schulungsnachweise
• Unzureichendes Lieferantenmanagement bezüglich Informationssicherheit

Audit nach BSI IT-Grundschutz

Das BSI IT-Grundschutz-Kompendium bietet einen vollständigen Rahmen für die Informationssicherheit, der besonders in der öffentlichen Verwaltung und bei KRITIS-Betreibern zum Einsatz kommt. Ein Audit nach BSI IT-Grundschutz prüft die Umsetzung der relevanten Bausteine aus folgenden Schichten:

• ISMS — Sicherheitsmanagement, Organisation und Personal
• ORP — Organisation und Personal (Awareness, Compliance)
• CON — Konzepte und Vorgehensweisen (Kryptographie, Datenschutz, Datensicherung)
• OPS — Betrieb (Patch-Management, Schwachstellenmanagement, Protokollierung)
• DER — Detektion und Reaktion (Incident Management, IT-Forensik)
• APP — Anwendungen (Webserver, E-Mail, Verzeichnisdienste, Datenbanken)
• SYS — IT-Systeme (Server, Clients, mobile Geräte, IoT)
• NET — Netze und Kommunikation (Netzwerkmanagement, Firewall, VPN, WLAN)
• INF — Infrastruktur (Gebäude, Rechenzentrum, Verkabelung)

Der BSI IT-Grundschutz bietet mit seinen detaillierten Maßnahmenempfehlungen eine besonders praxisnahe Grundlage für die Umsetzung und das Audit der Informationssicherheit.

Audit nach TISAX

TISAX (Trusted Information Security Assessment Exchange) ist der branchenspezifische Standard für die Automobilindustrie. Ein TISAX-Audit wird von akkreditierten Prüfdienstleistern durchgeführt und prüft die Informationssicherheit anhand des VDA ISA-Fragenkatalogs. Besondere Prüfbereiche umfassen:

• Informationssicherheit — Basierend auf ISO 27001 mit branchenspezifischen Ergänzungen
• Prototypenschutz — Spezielle Anforderungen zum Schutz von Prototypen und Entwicklungsprojekten
• Datenschutz — DSGVO-konforme Verarbeitung personenbezogener Daten

Die DATUREX GmbH bereitet Unternehmen in der Automobilzuliefererkette auf das TISAX-Assessment vor und begleitet den gesamten Prozess von der Gap-Analyse bis zur erfolgreichen Bewertung.

Der Audit-Prozess im Detail

Ein professionelles IT-Sicherheitsaudit folgt einem strukturierten fünfstufigen Prozess:

Phase 1: Vorbereitung und Planung

In der Vorbereitungsphase werden Scope, Ziele und Zeitplan des Audits definiert:

• Festlegung des Auditumfangs (Standorte, Systeme, Prozesse)
• Auswahl des Audit-Rahmenwerks (ISO 27001, BSI, TISAX oder individuell)
• Erstellung des Auditplans mit Zeitplan und Ansprechpartnern
• Bereitstellung der Audit-Checklisten und Anforderungskataloge
• Information der betroffenen Mitarbeiter und Abteilungen

Phase 2: Dokumentenprüfung (Stage 1)

Die Dokumentenprüfung (auch Desktop-Review oder Stage-1-Audit) prüft die Vollständigkeit und Angemessenheit der vorhandenen Dokumentation:

• Informationssicherheitspolitik und -strategie
• Risikoanalyse und Risikobehandlungsplan
• Statement of Applicability (SoA) bei ISO 27001
• Sicherheitsrichtlinien und Verfahrensanweisungen
• Notfallpläne und Business-Continuity-Dokumentation
• Schulungsnachweise und Awareness-Programme
• Ergebnisse früherer Audits und deren Nachverfolgung

Ergebnis: Ein Bericht mit identifizierten Lücken und Empfehlungen, die vor dem Vor-Ort-Audit adressiert werden sollten.

Phase 3: Vor-Ort-Audit (Stage 2)

Das Vor-Ort-Audit überprüft, ob die dokumentierten Maßnahmen in der Praxis tatsächlich gelebt werden:

• Interviews mit Mitarbeitern auf verschiedenen Ebenen (Geschäftsführung, IT, Fachabteilungen)
• Begehungen der Räumlichkeiten (Serverraum, Arbeitsplätze, Zutrittskontrollen)
• Stichproben an IT-Systemen (Konfigurationen, Zugriffsrechte, Protokolle)
• Prozesstests (z. B. Incident-Response-Ablauf, Backup-Wiederherstellung)
• Nachweisführung (Logs, Berichte, Genehmigungen, Schulungsprotokolle)

Phase 4: Auditbericht und Findings

Der Auditbericht dokumentiert alle Feststellungen systematisch:

Kategorie	Beschreibung	Auswirkung
Major Nichtkonformität	Schwerwiegender Verstoß gegen den Standard oder fehlende Kernprozesse	Muss vor Zertifizierung behoben werden
Minor Nichtkonformität	Geringfügiger Verstoß oder Lücke in der Umsetzung	Maßnahmenplan erforderlich, Nachprüfung
Beobachtung	Verbesserungspotenzial ohne formalen Verstoß	Empfehlung, keine Pflicht zur Umsetzung
Positive Feststellung	Besonders gut umgesetzte Maßnahmen oder Best Practices	Bestätigung und Anerkennung

Phase 5: Maßnahmenumsetzung und Follow-up

Nach dem Audit beginnt die wichtigste Phase: die Umsetzung der identifizierten Maßnahmen:

• Erstellung eines Maßnahmenplans mit Verantwortlichkeiten und Fristen
• Priorisierung nach Risiko und Umsetzungsaufwand
• Regelmäßiges Tracking der Maßnahmenumsetzung
• Nachprüfung (Follow-up-Audit) zur Verifizierung der Behebung

Typische Audit-Findings

Aus unserer langjährigen Auditpraxis kennen wir die häufigsten Schwachstellen, die bei IT-Sicherheitsaudits in mittelständischen Unternehmen aufgedeckt werden:

Organisatorische Findings

• Fehlende oder veraltete Sicherheitsrichtlinien — Richtlinien existieren nur auf dem Papier oder wurden seit Jahren nicht aktualisiert
• Unklare Verantwortlichkeiten — Keine definierte Rolle für Informationssicherheit oder unzureichende Ressourcen
• Lücken im Schulungsprogramm — Keine regelmäßigen Awareness-Schulungen oder fehlende Nachweise
• Unzureichendes Lieferantenmanagement — Keine Sicherheitsanforderungen in Verträgen mit IT-Dienstleistern
• Fehlendes Asset-Inventar — Keine vollständige Übersicht über IT-Assets, insbesondere Cloud-Dienste und Shadow-IT

Technische Findings

• Veraltete Software und fehlende Patches — End-of-Life-Systeme im Einsatz, unregelmäßiges Patch-Management
• Schwache Zugriffskontrollen — Geteilte Accounts, fehlende MFA, übermäßige Administratorrechte
• Unzureichende Netzwerksegmentierung — Flache Netzwerkstruktur ohne Segmentierung kritischer Systeme
• Lücken in der Protokollierung — Keine zentrale Logauswertung, zu kurze Aufbewahrungszeiten, fehlende Alarmierung
• Backup-Defizite — Keine regelmäßigen Wiederherstellungstests, fehlende Offline-Backups, keine Ransomware-Resilienz

Compliance-Findings

• DSGVO-Lücken — Fehlende Verarbeitungsverzeichnisse, unvollständige Auftragsverarbeitungsverträge
• Fehlende Notfallplanung — Kein dokumentierter Incident-Response-Plan oder Business-Continuity-Plan
• Unvollständige Dokumentation — Sicherheitsmaßnahmen sind implementiert, aber nicht nachvollziehbar dokumentiert

Audit-Häufigkeit und -Planung

Die optimale Audit-Häufigkeit hängt von Ihrem Sicherheitsreifegrad, regulatorischen Anforderungen und Ihrer Risikolage ab:

Auditart	Empfohlene Häufigkeit	Anlass
Internes ISMS-Audit	Mindestens jährlich	ISO 27001 Anforderung, kontinuierliche Verbesserung
Externes Zertifizierungsaudit	Alle 3 Jahre (Rezertifizierung)	ISO 27001, TISAX
Überwachungsaudit	Jährlich (zwischen Rezertifizierungen)	Aufrechterhaltung der Zertifizierung
Anlassbezogenes Audit	Bei Bedarf	Nach Sicherheitsvorfällen, M&A, Systemwechsel
Lieferantenaudit	Jährlich oder risikobasiert	Prüfung kritischer IT-Dienstleister und Zulieferer

Audit-Jahresplanung: Wir empfehlen, zu Jahresbeginn einen Auditplan zu erstellen, der alle geplanten internen und externen Audits, die zu prüfenden Bereiche und die verantwortlichen Auditoren festlegt. So stellen Sie sicher, dass über einen Zertifizierungszyklus hinweg alle relevanten Bereiche auditiert werden.

Unterschied: Audit vs. Assessment vs. Pentest

In der Praxis werden diese Begriffe häufig vermischt. Die folgende Übersicht klärt die wesentlichen Unterschiede:

Kriterium	IT-Sicherheitsaudit	Security Assessment	Penetrationstest
Fokus	Konformität mit Standard/Norm	Gesamtrisikolage des Unternehmens	Ausnutzbare technische Schwachstellen
Methode	Dokumentenprüfung, Interviews, Stichproben	Analyse, Interviews, technische Prüfungen	Aktive Angriffssimulation
Ergebnis	Konformitätsbericht, Findings	Risikobericht, Reifegradermittlung	Bericht über erfolgreiche Angriffswege
Norm-Bezug	Immer (ISO, BSI, TISAX)	Optional (Rahmenwerk als Orientierung)	Selten (OWASP, PTES als Methodik)
Zertifizierungsrelevanz	Direkt (führt zu Zertifikat)	Indirekt (Vorbereitung)	Keine (aber häufig gefordert)

Für eine vollständige Sicherheitsstrategie empfehlen wir die Kombination aller drei Instrumente: Regelmäßige Audits zur Sicherstellung der Compliance, Assessments zur strategischen Steuerung und Penetrationstests zur technischen Validierung.

Kosten und Zeitrahmen eines IT-Sicherheitsaudits

Die Kosten variieren je nach Auditumfang, Unternehmensgröße und gewähltem Standard:

Leistung	Kleine Unternehmen (bis 50 MA)	Mittelstand (50–250 MA)
Internes Audit (durch DATUREX)	3.000 – 8.000 €	8.000 – 20.000 €
Audit-Vorbereitung (Pre-Audit)	2.000 – 5.000 €	5.000 – 15.000 €
Gap-Analyse vor Zertifizierung	3.000 – 7.000 €	7.000 – 18.000 €
Begleitung Zertifizierungsaudit	2.000 – 5.000 €	5.000 – 12.000 €
Maßnahmenbegleitung nach Audit	3.000 – 8.000 €	8.000 – 25.000 €
Gesamtpaket (geschätzt)	10.000 – 25.000 €	25.000 – 70.000 €

Der Zeitrahmen für ein internes Audit beträgt typischerweise 2–5 Tage vor Ort plus Vor- und Nachbereitung. Für die vollständige Vorbereitung auf ein Zertifizierungsaudit sollten Sie je nach Reifegrad 3–12 Monate einplanen.

Hinweis: Die Kosten für das eigentliche Zertifizierungsaudit durch eine akkreditierte Zertifizierungsstelle kommen zu den oben genannten Beratungskosten hinzu und hängen vom Scope und der Anzahl der Audittage ab.

Warum DATUREX für Ihr IT-Sicherheitsaudit?

Die DATUREX GmbH bietet Ihnen erfahrene Auditoren und einen umfassenden Beratungsansatz:

• Zertifizierte Auditoren für ISO 27001, BSI IT-Grundschutz und TISAX-Vorbereitung
• Langjährige Auditerfahrung in verschiedenen Branchen und Unternehmensgrößen
• Pragmatischer Ansatz — Wir suchen keine Fehler, sondern Verbesserungspotenziale
• Integrierte Beratung — Datenschutz und Informationssicherheit aus einer Hand
• Regionale Präsenz — Vor-Ort-Audits in Dresden und ganz Sachsen
• Technische Kompetenz — Wir verstehen nicht nur Standards, sondern auch IT-Infrastrukturen
• Nachhaltige Begleitung — Wir unterstützen Sie auch nach dem Audit bei der Maßnahmenumsetzung

Häufig gestellte Fragen zum IT-Sicherheitsaudit

Wann brauche ich ein IT-Sicherheitsaudit?

Ein IT-Sicherheitsaudit ist empfehlenswert, wenn Sie eine ISO-27001- oder TISAX-Zertifizierung anstreben, regulatorische Anforderungen wie NIS2 erfüllen müssen, Ihr aktuelles Sicherheitsniveau unabhängig bewerten lassen möchten oder Kunden bzw. Geschäftspartner einen Sicherheitsnachweis verlangen. Auch nach Sicherheitsvorfällen oder wesentlichen Änderungen an der IT-Infrastruktur ist ein Audit sinnvoll.

Wie bereite ich mich auf ein IT-Sicherheitsaudit vor?

Stellen Sie sicher, dass Ihre Sicherheitsdokumentation aktuell und vollständig ist. Prüfen Sie, ob alle definierten Prozesse auch tatsächlich gelebt werden. Führen Sie vorab ein Pre-Audit oder eine Gap-Analyse durch, um Schwachstellen vor dem eigentlichen Audit zu identifizieren und zu beheben. Informieren Sie betroffene Mitarbeiter und stellen Sie die erforderlichen Nachweise bereit.

Was passiert, wenn das Audit Nichtkonformitäten aufdeckt?

Bei internen Audits erstellen Sie einen Maßnahmenplan und setzen die Korrekturen um. Bei externen Zertifizierungsaudits müssen Major-Nichtkonformitäten vor der Zertifikatserteilung behoben und durch ein Nachaudit bestätigt werden. Minor-Nichtkonformitäten erfordern einen Maßnahmenplan, der beim nächsten Überwachungsaudit überprüft wird.

Wie unterscheidet sich ein IT-Sicherheitsaudit von einer IT-Revision?

Ein IT-Sicherheitsaudit fokussiert auf die Informationssicherheit und prüft gegen definierte Standards (ISO 27001, BSI). Eine IT-Revision hat einen breiteren Scope und prüft zusätzlich IT-Governance, IT-Prozesse, Lizenz-Compliance und die Wirtschaftlichkeit des IT-Einsatzes. Beide Instrumente ergänzen sich.

Kann ein internes Audit durch eigene Mitarbeiter durchgeführt werden?

Ja, sofern die Auditoren über die erforderliche Qualifikation verfügen und nicht den auditierten Bereich verantworten (Unabhängigkeitsanforderung). Viele Unternehmen beauftragen externe Auditoren für interne Audits, um Objektivität zu gewährleisten und von der Erfahrung aus anderen Organisationen zu profitieren.

Welche Qualifikation sollte ein IT-Sicherheitsauditor haben?

Ein qualifizierter IT-Sicherheitsauditor verfügt idealerweise über eine Auditorenausbildung (z. B. ISO 27001 Berater), fundierte Kenntnisse in Informationssicherheit und IT-Infrastruktur, Erfahrung in der Durchführung von Audits sowie Kenntnisse der relevanten regulatorischen Anforderungen. Die DATUREX GmbH setzt ausschließlich TÜV-zertifizierte Auditoren ein.