Ein IT Sicherheitsaudit ist die systematische Prüfung Ihrer Technik, Ihrer Netzwerke und Ihrer Abläufe auf Schwachstellen. Am Ende steht ein Bericht, der zwei Dinge sagt: wo Ihre IT heute steht, und was zuerst zu tun ist. Für Unternehmen mit 20 bis 100 Mitarbeitern ist ein Sicherheitsaudit kein Zertifizierungsprojekt, sondern eine Standortbestimmung von wenigen Tagen — der Betrieb läuft dabei weiter.
Inhalt
Der Anlass kommt heute oft von außen. NIS2 zieht Anforderungen an die IT Sicherheit in Lieferketten hinein, und auch Unternehmen, die selbst nicht unter die Richtlinie fallen, werden von Auftraggebern nach einem Nachweis gefragt. Wer dann nicht weiß, wie es um seine IT Sicherheit steht, verhandelt im Blindflug. Einen Überblick gibt unser Ratgeber IT Sicherheit.
Was ein IT Security Audit ist — kurz und ohne Umweg
Ein IT Security Audit prüft drei Ebenen: die Technik, die Organisation und die Einhaltung rechtlicher Vorgaben. Auf der technischen Ebene geht es um Firewall, Backup, Updates, Berechtigungen und die Konfiguration Ihrer IT Systeme. Auf der organisatorischen Ebene um Richtlinien, Zuständigkeiten und darum, was Ihre Mitarbeiter im Alltag tatsächlich tun. Auf der rechtlichen Ebene um Nachweispflichten: Was verlangt die DSGVO von Ihrer Dokumentation, was fordert ein Auftraggeber mit Verweis auf NIS2?
Der Unterschied zu einem Bauchgefühl ist die Methode. Ein IT Security Audit folgt einer festen Reihenfolge, dokumentiert jeden Befund und macht ihn nachvollziehbar. Deshalb hält das Ergebnis einer Rückfrage stand — vom Versicherer, vom Auftraggeber oder vom Beirat.
Der Begriff wandert im Sprachgebrauch. IT Sicherheitsaudit, Sicherheitsaudit und das englische IT Security Audit meinen in der Praxis dasselbe. Auch verkürzt als Security Audit oder im Plural als IT Security Audits begegnet Ihnen dieselbe Sache.
Audit, Penetrationstest oder Scan? Die Unterschiede
Vier Begriffe werden regelmäßig verwechselt. Sie beschreiben völlig verschiedene Tiefen und Zwecke.
| Verfahren | Was geprüft wird | Tiefe vs. Breite | Wann sinnvoll |
|---|---|---|---|
| IT Security Audit | Technik, Organisation und Prozesse der gesamten IT Infrastruktur | Breite | Standortbestimmung: Sie wissen nicht, wo Ihre IT steht |
| Penetrationstest | Ein realer Angriffsweg durch Ihr Netzwerk, aktiv durchgespielt | Tiefe | Sie kennen Ihr Risiko und wollen eine konkrete Abwehr belastbar testen |
| Vulnerability Scan | Automatisierte Suche nach bekannten Schwachstellen | Nur Technik, nur Bekanntes | Als Bestandteil eines Audits — allein zu wenig |
| Schwachstellenmanagement | Laufender Prozess: finden, bewerten, beheben, nachhalten | Dauerbetrieb | Nach dem Audit, als Regelbetrieb |
Ein Vulnerability Scan ist das, was ein Programm automatisch findet — er gleicht Ihre IT Systeme gegen Datenbanken bekannter Sicherheitslücken ab. Ein Vulnerability Scan ist schnell, sieht aber nur Bekanntes. Organisatorische Schwachstellen findet kein Scan.
Beides haben wir separat erklärt: Penetrationstest und Schwachstellenmanagement.
Wann ein Sicherheitsaudit sinnvoll ist
Vier Anlässe sehen wir in der Praxis immer wieder. Der erste ist der Wechsel des IT-Dienstleisters — wer übernimmt, will wissen, was er übernimmt. Der zweite ist eine Anforderung aus der Lieferkette, häufig mit Verweis auf NIS2.
Der dritte Anlass ist ein Vorfall, der die IT Sicherheit real getestet hat und glimpflich ausging: eine Phishing-Welle, ein verschlüsselter Rechner, ein Beinahe-Schaden. Der vierte ist Zeitablauf. Liegt die letzte strukturierte Prüfung Ihrer IT Systeme mehr als drei Jahre zurück, ist der Befund von damals heute Fiktion.
Was ein Ausfall Unternehmen kostet, rechnet in diesen Situationen niemand gern nach. Genau deshalb lohnt der Blick vorher.
So läuft ein IT Sicherheitsaudit ab — die fünf Schritte
Die folgenden Schritte sind die Reihenfolge, in der wir arbeiten. Andere Auditoren gehen ähnlich vor — die Unterschiede liegen in der Tiefe, nicht in der Abfolge.
Schritt 1 — Umfang festlegen
Zuerst wird geklärt, was geprüft wird und was nicht. Alle Standorte oder einer? Welche Systeme gehören dazu? Cloud-Dienste wie Microsoft 365 mit? Ohne diese Abgrenzung werden IT Security Audits entweder zu aufwendig oder zu oberflächlich.
Hier fällt auch die Entscheidung, gegen welchen Maßstab geprüft wird: gegen den BSI IT-Grundschutz, gegen ISO 27001 oder gegen den Stand der Technik ohne Zertifizierungsanspruch. Für die meisten Unternehmen im Mittelstand ist Letzteres der richtige Weg — eine Frage für die IT-Beratung vorab.
Schritt 2 — Bestandsaufnahme der IT Infrastruktur
Jetzt wird erfasst, was überhaupt da ist: Server, Clients, Komponenten im Netzwerk, mobile Geräte, Systeme, Anwendungen, Datenbestände, Zugänge. Diese Aufnahme Ihrer IT Infrastruktur ist der langweiligste und der wichtigste Bestandteil des Audits.
Sie ist auch der Punkt, an dem die meisten Unternehmen straucheln. Wer keine gepflegte IT-Dokumentation hat, verbringt hier den ersten Tag. Eine saubere Grundlage verkürzt jedes spätere IT Security Audit spürbar. Wie das im Detail aussieht, zeigt unsere IT-Infrastrukturanalyse.
Schritt 3 — Technische Prüfung
Dann wird gemessen statt gefragt. Scans laufen gegen Ihr Netzwerk, Konfigurationen Ihrer Systeme werden gegen den Stand der Technik gehalten, Berechtigungen ausgelesen, Patch-Stände geprüft.
Typische Schwachstellen: Firewall-Regeln, die vor Jahren „nur mal kurz“ geöffnet wurden. Administrator-Rechte auf Konten, die sie längst nicht mehr brauchen. Systeme, die seit Monaten kein Update gesehen haben. Ein Sicherungslauf, der grün meldet, aber Teilbestände auslässt. Ein liegengebliebenes Patch-Management.
Schritt 4 — Organisatorische Prüfung
Technik ist die eine Hälfte der IT Sicherheit. Die andere sind Ihre Abläufe: Wer darf was freigeben? Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt? Gibt es Richtlinien für Passwörter und mobile Geräte — und kennt sie jemand?
Hier zeigt sich regelmäßig die größte Lücke zwischen Papier und Praxis. Richtlinien existieren, aber niemand hat sie je erklärt. Deshalb gehört ein Security Awareness Training in fast jeden Maßnahmenkatalog, der aus einem Audit hervorgeht.
Schritt 5 — Bericht und Maßnahmenkatalog
Am Ende steht das eigentliche Produkt: ein Bericht mit priorisierten Befunden und ein Katalog, der den Maßnahmen eine Reihenfolge gibt. Ohne sie ist ein Audit-Bericht nur eine Liste von Sorgen.
Wer aus Ihrem Unternehmen mitarbeiten muss
Diese Frage beantwortet kaum jemand, dabei entscheidet sie die Machbarkeit. Die Geschäftsführung wird für etwa eine Stunde gebraucht — für Ziele, Umfang und die Freigabe. Ihr IT-Verantwortlicher oder Ihr Dienstleister sollte einen halben bis ganzen Tag einplanen.
Alle anderen im Unternehmen merken vom Audit nichts. Ihre IT Systeme laufen weiter: nichts wird abgeschaltet, nichts neu gestartet, kein Arbeitsplatz blockiert. Genau das ist der Unterschied zu einem Penetrationstest, der den Betrieb durchaus stören kann.
Woran Sie einen brauchbaren Audit-Bericht erkennen
Nicht jeder Bericht ist sein Papier wert. Vier Merkmale trennen die brauchbaren von den anderen.
Er priorisiert die Schwachstellen und ordnet jeden Befund einer Ebene der IT Sicherheit zu. Eine nach Kritikalität sortierte Liste ist etwas anderes als 200 Zeilen Scanner-Ausgabe. Er benennt Restrisiken offen — auch die, die Ihr Unternehmen bewusst tragen will. Er ist für die Geschäftsführung lesbar, nicht nur für Techniker. Und er stellt die Maßnahmen in eine Reihenfolge mit Verantwortlichen.
Was ein guter Bericht nicht tut: pauschal zum Produktkauf raten. Wenn die Empfehlung aus jedem zweiten Befund eine Anschaffung macht, prüfen Sie, wer da eigentlich prüft.
ISO 27001 und BSI IT-Grundschutz — brauchen Sie das?
Für die meisten Unternehmen: nein. ISO 27001 und der BSI IT-Grundschutz sind Zertifizierungspfade mit erheblichem Dokumentationsaufwand. Sie lohnen sich, wenn Kunden oder Regulierung sie von Ihrem Unternehmen verlangen.
IT Security Audits ohne Zertifizierungsziel nutzen dieselben Prüfinhalte, sparen aber den Zertifizierungsapparat. Sie bekommen das Wissen, nicht das Siegel — Ihre IT Sicherheit verbessert das erste, nicht das zweite. Für den Nachweis gegenüber einem Auftraggeber reicht der Bericht in aller Regel aus.
Nach dem Audit: aus Befunden werden Maßnahmen
Hier der ehrliche Satz, den Sie in Hochglanzbroschüren selten lesen: Ein Audit findet Probleme. Es löst keines. Wer nach dem Bericht nichts tut, hat nur ein teureres Bauchgefühl als vorher.
Die Umsetzung läuft typischerweise in drei Wellen. Zuerst die Sofortmaßnahmen — offene Zugänge, fehlende Updates, kaputte Sicherungen. Dann die strukturellen Sicherheitsmaßnahmen: Berechtigungskonzept, Segmentierung im Netzwerk, IT-Notfallplan. Zuletzt die organisatorischen Maßnahmen wie Richtlinien und Schulungen. Diese Sicherheitsmaßnahmen wirken erst zusammen — das Feld unserer Leistung IT Sicherheit.
Aus dem Maßnahmenkatalog wird dann das IT-Sicherheitskonzept — das Dokument, das den Zielzustand Ihrer IT Sicherheit beschreibt. Und damit die Schwachstellen nicht in zwei Jahren dieselben sind, geht der Betrieb anschließend in laufende Managed Services über.
Häufige Fragen zum IT Sicherheitsaudit
Was ist ein IT Sicherheitsaudit?
Die systematische Prüfung Ihrer IT Infrastruktur, Ihrer Netzwerke und Ihrer Abläufe auf Schwachstellen, mit dokumentiertem Ergebnis und priorisierten Maßnahmen.
Was macht man in einem IT Audit?
Umfang festlegen, Bestand im Netzwerk aufnehmen, technisch prüfen, organisatorisch prüfen, Bericht schreiben. Diese fünf Schritte sind der Kern jedes Audits.
Was sind die Schutzziele, die geprüft werden?
Vertraulichkeit, Integrität und Verfügbarkeit sind die klassischen drei Schutzziele der IT Sicherheit. In der Praxis kommen Authentizität und Nachvollziehbarkeit dazu — gerade dort, wo Nachweispflichten gegenüber Dritten bestehen.
Wie lange dauert ein IT Security Audit im Mittelstand?
Bei 20 bis 100 Arbeitsplätzen sind wenige Tage realistisch, verteilt über zwei bis drei Wochen. Der Aufwand in Ihrem Unternehmen bleibt bei rund einem Personentag.
Braucht mein Unternehmen ISO 27001 für ein Security Audit?
Nein. Die Zertifizierung ist ein eigener Weg mit eigenem Aufwand. Ein Security Audit gegen den Stand der Technik liefert die Erkenntnisse auch ohne Siegel.
Wie oft sollten man IT Security Audits wiederholen?
Alle zwei bis drei Jahre. Früher bei Standortwechsel, Cloud-Migration oder Zukauf — sie verändern die Angriffsfläche, der Befund veraltet.
Ihre IT prüfen lassen
Wir betreuen seit über 30 Jahren Unternehmen im Raum Köln/Bonn — vom Handwerksbetrieb bis zum Notariat. Ein IT Security Audit gehört vor Ort gemacht, nicht als Fragebogen aus der Ferne — wir sehen uns Ihre IT an. Auch für Betriebe im Raum Bonn und Umgebung ist das eine Frage der kurzen Wege.
Wenn Sie wissen wollen, wo Ihre IT Sicherheit heute steht: Jetzt unverbindliches Beratungsgespräch vereinbaren. Wir klären im Erstgespräch, welcher Umfang zu Ihrem Unternehmen passt — und ob ein volles IT Sicherheitsaudit für Ihr Unternehmen überhaupt der richtige erste Schritt ist.