IT-Audit für Unternehmen

IT-Audit als Ent­schei­dungs­in­stru­ment, nicht als Formsache

Oftmals beauftragen Unternehmen ein Audit erst vor der Implementierung, Migration oder Kundenkontrolle. Mittlerweile ist ein Audit auch sinnvoll nach einem Lieferantenwechsel, nach einem Ausfall, nach schnellem Wachstum des Teams, vor dem IT-Budget und wenn die Dokumentation nicht mehr der Realität entspricht. Eine gute Prüfung sucht nicht nach Schuldigen. Sie ordnet den Sachverhalt, identifiziert Risiken und hilft Ihnen bei der Entscheidung, was Sie sofort beheben, was Sie als Projekt planen und was Sie bewusst in Kauf nehmen. Ein tragfähiges Modell unterscheidet Prozessverantwortliche, technische Verantwortliche, Sicherheitsverantwortliche und Entscheider für Ausnahmen.

• Das Audit identifiziert technische Lücken, geschäftliche Auswirkungen, zuständige Verantwortliche und Nachweise, die Entscheidungen unterstützen.
• Es umfasst Infrastruktur, Arbeitsplätze, Zugriffsrechte, Backup, Monitoring, Vorfallbereitschaft und Dokumentation.
• Das Ergebnis sollte ein nach Prioritäten geordneter Sanierungsplan und nicht ein allgemeiner Gerätebestand sein.
• Virtline nutzt Prüfungsergebnisse zur Planung von Implementierungs-, Modernisierungs-, Outsourcing-, Sicherheits- und Compliance-Arbeiten.

Was sollte ein praktisches IT-Audit abdecken?

Der Umfang der Prüfung muss auf den Zweck zugeschnitten sein, es gibt jedoch Bereiche, die fast immer Auswirkungen auf das operationelle Risiko haben. Anforderungen sollten aus Geschäftsprozessen, IT-Betrieb, Sicherheitsvorfällen, Audits, Kundenanforderungen und technischen Abhängigkeiten kommen. Virtline klärt, welche Systeme immer verfügbar sein müssen, welche Daten sensibel sind, welche Benutzergruppen betroffen sind, wer Risiken akzeptieren darf und welche Nachweise nach der Umsetzung benötigt werden.

• Ressourcen: Server, Arbeitsplätze, Netzwerke, Cloud-Dienste, Anwendungen, Lizenzen und Anbieter.
• Zugriffe: privilegierte Konten, MFA, inaktive Konten, Gruppen, Ausnahmen und Zugriffsverantwortliche.
• Ausfallsicherheit: Sicherung, Aufbewahrung, Wiederherstellungstests, Überwachung, Notfallverfahren und Systemabhängigkeiten.
• Dokumentation: Diagramme, Konfigurationen, Richtlinien, SLAs, Änderungsprotokolle und Überprüfungsnachweise.

Wann ist ein IT-Audit dringend?

Die Dringlichkeit eines Audits steigt, wenn ein Unternehmen eine Entscheidung treffen muss, ohne über ein verlässliches Bild der IT-Umgebung zu verfügen. Dies gilt insbesondere bei einem Lieferantenwechsel, einem Vorfall, einem Kundenaudit, einer Unternehmensübernahme, einer Migration in die Cloud oder einer Situation, in der die IT-Kosten steigen, sich die Stabilität der Dienste jedoch nicht verbessert. Besonders mittelständische Firmen profitieren, weil Risiken häufig aus gewachsenen Ausnahmen entstehen: alte Konten, fehlende Tests, breite Berechtigungen, unklare Eskalationen oder fehlende Dokumentation.

• Wenn Sie nach einem Fehler oder Vorfall die Ursache, den Umfang der Auswirkungen und fehlende Schutzmaßnahmen ermitteln müssen.
• Bevor Sie den IT-Anbieter wechseln, sollten Sie Vertragsfragen von technischen Fragen trennen.
• Vor dem Budget, wenn das Management Prioritäten anstelle einer Einkaufsliste mit Tools benötigt.
• Vor Kundenaudit, ISO 27001, NIS2 oder Geschäftskontinuitätsvertragsanforderungen.

Die häufigsten Fest­stel­lun­gen nach dem Audit

Die größten Risiken liegen meist nicht tief in der Technologie verborgen. Sie äußern sich häufig in fehlenden Verantwortlichen, veralteter Dokumentation und ungetesteten Verfahren.

Wie sollte ein Auditbericht aussehen?

Der Bericht muss technisch genug für Administratoren und klar genug für Entscheidungsträger sein. Das Wichtigste ist, den technischen Sachverhalt mit dem Risiko, der Priorität und dem nächsten Schritt zu verbinden. Wirksamkeit zeigt sich an geschlossenen Risiken, Reaktionszeiten, Testergebnissen, weniger Ausnahmen, vollständiger Dokumentation und regelmäßigen Prüfungen. Gut beschriebene Prioritäten tragen auch dazu bei, die Verantwortung zwischen Administratoren, Management und externen Lieferanten zu verteilen. Die Prüfpunkte nach 30, 60 und 90 Tagen sind ein Beispielplan. Dringende Risikominderung und Recovery-Prüfungen dürfen nicht bis dahin warten.

• Beschreibung des aktuellen Zustands mit Belegen: Konfigurationen, Dumps, Protokolle, Exporte und Beobachtungen.
• Liste der Risiken mit einer Bewertung der Auswirkungen auf Geschäftskontinuität, Daten und Compliance.
• Schnelle Korrekturen, konzeptionelle Aufgaben und Wartungsmaßnahmen priorisieren.
• Maßnahmenverantwortliche, Termine und Verfahren zum Nachweis der Umsetzung.
• Dringend nach Risiko: kritische Gefährdungen begrenzen, unnötige Konten sperren und Wiederherstellbarkeit prüfen.
• 30 Tage: Nachweise zur Behebung dringender Feststellungen prüfen, Dokumentation aktualisieren und weitere Arbeiten planen.
• 60 Tage: Netzwerk, Server, Monitoring, Zugriffsrichtlinien und Serviceverantwortung ordnen.
• 90 Tage: erneuter Wiederherstellungstest, Fortschrittsprüfung, Prioritätsanpassung und Bericht an Entscheidungsträger.
• Nach der Umsetzung: regelmäßige Prüfungen, nachvollziehbare Kontrollnachweise und Aktualisierung der Dokumentation nach jeder wesentlichen Änderung.

Welche Protokolle ein Audit prüft und wie Nachweise dokumentiert werden

Das Audit sollte ein Dokument hinterlassen, das den Umfang, die Ergebnisse und die Empfehlungen bestätigt. In lokalen Umgebungen sind dies häufig Active Directory, Server, Netzwerke und Arbeitsplätze, im Cloud-Modell auch Microsoft Entra ID, Microsoft 365 und SaaS-Dienste. Die Dokumentation muss nicht nur das Problem aufzeigen, sondern auch die Nachweisquelle und wie die Behebung später verifiziert werden kann.

• Erfolgreiche und fehlgeschlagene Anmeldungen, einschließlich privilegierter Konten und ungewöhnlicher Standorte.
• Administrative Aktivitäten, Konfigurationsänderungen, Updates, Ausnahmen und Zugriffe auf Verwaltungsoberflächen.
• Änderungen an Passwörtern, MFA, Gruppen, Rollen und Berechtigungen innerhalb des ausgewählten Zeitraums.
• Empfehlungsliste mit Priorität, Verantwortlichem, Termin und Umsetzungsnachweis.

Ein Audit prüft Ad­mi­nis­tra­tor­rech­te

Ein Audit prüft administrative Zugriffe auf Konten, Anwendungen, Backups, Server und Cloud-Dienste. Bewertet werden MFA, minimale Rechte, sichere Administrationskanäle und freigegebene Zugriffsprüfungen. SOC/SIEM/SOAR-Monitoring – Sicherheitsbetrieb, Ereignisanalyse und automatisierte Reaktion – ist ein gesondert vereinbarter Umfang.

Gerätesicherheits- und Funktionstests

Die Prüfung sollte auch Geräte und Dienste abdecken, die die Geschäftskontinuität gewährleisten: Arbeitsplätze, Server, Drucker, Router, Firewalls, Backups, Speichersysteme und Netzwerkgeräte. Die Prüfung dient der Bestätigung der Aktualität, Leistung, Konfiguration, Fehlerfestigkeit und Übereinstimmung des Betriebs mit den Herstellerparametern und Geschäftsanforderungen.

Was ein IT-Audit zur Sicherheit prüfen sollte

Prüfer sollten sowohl die technischen Sicherheitsvorkehrungen als auch deren Pflege im laufenden Betrieb bewerten. Dazu gehören Ereignisbeobachtung, Dateiintegrität, Backups und Anwendungsleistung sowie in der aktuellen Umgebung auch Cloud-Protokolle, privilegierte Konten, Aufbewahrung und Nachweise für die Reaktion auf Vorfälle.

• Überwachung relevanter Ereignisse auf Servern, Endpunkten, Firewalls, E-Mail- und Cloud-Systemen.
• Integrität von Dateien, Ordnern, Konfigurationen und Dokumentablagen prüfen.
• Beurteilung der Korrektheit von Backups, Aufbewahrungs-, Trennungs- und Wiederherstellungstests.
• Testen der Leistung und Wirksamkeit von Anwendungen, Diensten, Hardware und Notfallverfahren.

Nachweise, die den Prüfbericht untermauern

Ein Auditbericht sollte auf Fakten beruhen, die sich unabhängig überprüfen lassen. Damit ist er mehr als die Einschätzung eines Beraters: Er bildet eine belastbare Grundlage für die Steuerung von Abhilfemaßnahmen und Risiken. Das Audit sollte verlässliche Nachweise hinterlassen, darunter Feststellungen, gegebenenfalls Screenshots, Protokolle, Verantwortliche, Risikobewertungen, den Umsetzungsstatus und einen Entscheidungsweg. Dieses Material hilft dem Unternehmen, Fortschritte gegenüber Geschäftsleitung, Kunden, Versicherern und Prüfern nachzuweisen.

• Bestandsaufnahme der Ressourcen mit Datum, Umfang und Person, die die Vollständigkeit der Daten bestätigt
• Exporte von Konfigurationen, Gruppen, Konten, Richtlinien, Backup und Monitoring für von der Prüfung abgedeckte Systeme
• Maßnahmenliste mit Priorität, Verantwortlichem, Termin und Abschlussnachweis
• Protokoll der Berichtsbesprechung und Entscheidungen darüber, welche Risiken das Unternehmen übernimmt, begrenzt oder überträgt

Wie unterscheidet man ein Audit von einer regulären Inventur?

Das Inventar zeigt, welche Ressourcen ein Unternehmen hat. Das Audit klärt, ob diese Ressourcen dem Geschäftsrisiko angemessen konfiguriert, gewartet, überwacht und geschützt werden. Daher reicht eine bloße Auflistung von Computern, Servern und Lizenzen nicht aus. Sie müssen Ressourcen mit Diensten, Verantwortlichen, Daten, Sicherheit, Kosten und Folgen eines Ausfalls verknüpfen.

Virtline-bezogene Dienstleistungen

Ein IT-Audit kann ein Ausgangspunkt für die Organisation des Infrastruktur-, Sicherheits- und Wartungsmodells sein.

Wie soll ein IT-Audit Managementfragen beantworten?

Ein Praxisaudit übersetzt technische Erkenntnisse in Entscheidungen. Das Management muss wissen, was den Geschäftsbetrieb stoppen kann, welche Risiken sofortiges Handeln erfordern, welche Verbesserungen geplant werden können und welche Nachweise belegen, dass sich die Organisation verbessert. ISO 27001 hilft, Risiken, Kontrollen und Nachweise zu strukturieren. DORA betrifft insbesondere erfasste Finanzunternehmen und deren IKT-Dienstleister; die konkreten Pflichten hängen von Rolle und Geltungsbereich ab. NIS2 betont zudem Geschäftskontinuität, Vorfallreaktion und die Verantwortung der Geschäftsleitung. Die Anwendbarkeit von NIS2/KSC und DORA hängt von Branche, Status und Tätigkeit der Organisation ab. Technische Unterlagen können die Bewertung unterstützen, bestätigen allein aber weder Konformität noch Zertifizierung.

• Welche Systeme, Benutzer und Daten geschäftskritisch sind und was bei einem Ausfall passieren würde.
• Welche Zugriffsrechte, Administratorkonten und externen Anbieter verursachen die größte Gefährdung?
• Welche Backups, Wiederherstellungstests und Überwachungswarnungen beweisen, dass eine Wiederherstellung realistisch ist?
• Welche Sanierungsaufgaben gehören in die ersten 30, 60 und 90 Tage nach dem Audit?

Welche Fehler treten bei IT-Audit und Risikobewertung häufig auf?

Ein IT-Audit verfehlt seinen Zweck, wenn Findings weder System noch Geschäftsprozess, Eigentümer und Prüfnachweis benennen. Weitere Fehler sind Stichproben ohne Begründung, Screenshots ohne Datum, nicht getestete Backups und Risiken ohne Frist. Ein brauchbarer Bericht trennt Beobachtung, Auswirkung und Empfehlung und erlaubt später einen eindeutigen Re-Test.

Welche Fragen sollte ein Unternehmen an den Dienstleister stellen?

Sinnvolle Fragen betreffen Verantwortlichkeiten, Testmethoden, Ausfallszenarien, Dokumentation, Wissenstransfer, Reaktionszeiten und laufende Kosten. Ein guter Dienstleister spricht über Ergebnisse, Risiken und Nachweise, nicht nur über Funktionen. Die Zusammenarbeit sollte mit einem klaren Plan und messbaren Akzeptanzkriterien beginnen.