Das erwartete Ergebnis festlegen, bevor Unterlagen gesammelt werden
Der erste Schritt besteht darin, die Entscheidung zu präzisieren, die das Audit erleichtern soll: ein allgemeines Schutzniveau prüfen, auf eine Kundenanfrage antworten, eine Vertragserneuerung vorbereiten, eine Cloud-Umgebung bewerten oder Investitionen priorisieren. Ohne klares Ziel kann der Umfang zu breit werden und der Bericht schwer nutzbar sein.
Das Unternehmen kann eine einseitige Notiz mit kritischen Tätigkeiten, wichtigsten Sorgen, Fristen und bekannten Ausschlüssen verfassen. Diese Notiz ersetzt nicht die Eingrenzung durch den Dienstleister; sie erleichtert die Auftaktbesprechung und erlaubt es, Angebote auf gemeinsamer Grundlage zu vergleichen.
Eine ausreichend verlässliche Bestandsaufnahme erstellen
Der Auditor muss die Komponenten verstehen, die die Tätigkeit tragen: Arbeitsplätze, Server, Anwendungen, Cloud-Dienste, Netzwerkgeräte, Backups, Standorte, Fernverbindungen und Dienstleister. Eine unvollständige, aber datierte und erklärte Bestandsaufnahme ist besser als eine nie aktualisierte theoretische Liste.
Es ist hilfreich, fachlich Verantwortliche jedes Dienstes, Anbieter, Hosting-Art und Kritikalitätsniveau anzugeben. Fluss- und Verbindungsdiagramme helfen, Abhängigkeiten zu erkennen, insbesondere zwischen Mailbox, Fachwerkzeugen, Freigabebereichen und Backup-Systemen.
Richtlinien, Verträge und nützliche Nachweise sammeln
Häufig angeforderte Dokumente umfassen IT-Nutzungsregeln, Ein- und Austrittsverfahren, Listen der Administratorkonten, IT-Betriebsverträge, Backup-Verfahren, Vorfallberichte und Ergebnisse früherer Kontrollen. Nicht alle werden benötigt: Ihre Relevanz hängt vom vereinbarten Umfang ab.
Ein Nachweis sollte eine tatsächliche Praxis belegen. Ein datierter Screenshot, ein Konfigurationsexport, ein Wiederherstellungstest-Protokoll oder ein abgeschlossenes Ticket kann nützlicher sein als ein allgemeines Verfahren. Personenbezogene Daten oder Geheimnisse in diesen Unterlagen müssen vor der Übermittlung minimiert werden.
Die richtigen Ansprechpartner benennen
Ein Audit erfordert in der Regel eine entscheidungsbefugte Person, eine IT-Ansprechperson, Fachverantwortliche und je nach Thema die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten, den IT-Dienstleister oder den Hosting-Anbieter. Jede Person muss wissen, welche Informationen sie liefern darf und wer sensible Anfragen validiert.
Kurze Termine mit den tatsächlich betroffenen Personen zu planen verhindert, dass sich das Audit allein auf die Aussage einer einzigen Ansprechperson stützt. Alltägliche Praktiken, Ausnahmen und fachliche Einschränkungen zeigen sich oft in diesen Gesprächen.
Temporäre Zugänge und Tests regeln
Dem Auditor gewährte Zugänge müssen personalisiert, auf den Umfang begrenzt, wenn möglich durch starke Authentifizierung geschützt und am Auftragsende gelöscht sein. Dauerhafte Passwörter dürfen nicht per E-Mail versendet oder in einem Arbeitsdokument geteilt werden.
Vertrag oder Auditplan müssen Zeiten, ausgeschlossene Systeme, verbotene Handlungen, Backup-Modalitäten vor einem Test und das Abbruchverfahren bei unerwarteter Wirkung festlegen. Ein Penetrationstest erfordert präzisere Autorisierungen als ein Gespräch oder eine Dokumentenprüfung.
Die Auftaktbesprechung vorbereiten
Die Auftaktbesprechung validiert Umfang, Zeitplan, Kontakte, Kommunikationskanäle, Nachweisformat und Vertraulichkeitsregeln. Sie sollte auch für die Tätigkeit sensible Zeiträume, geplante technische Änderungen und mögliche laufende Vorfälle behandeln.
Eine einfache Verfolgungstabelle kann jede Anfrage, ihre verantwortliche Person, ihren Status und das Übergabedatum auflisten. Diese Organisation verringert Nachfragen und bewahrt eine Spur der tatsächlich geprüften Elemente.
Ergebnispräsentation und Aktionsplan vorausdenken
Schon vor Beginn der Kontrollen kann das Unternehmen fragen, wie Feststellungen eingestuft werden, welche Nachweise die Schlussfolgerungen begleiten und wie Empfehlungen priorisiert werden. Die Ergebnispräsentation sollte Risiko, geschäftliche Auswirkung, Korrekturschwierigkeit und Abhängigkeiten unterscheiden.
Der Bericht wird nützlich, wenn jede Maßnahme zugewiesen, geplant und überprüft werden kann. Der Ratgeber zum Behebungsplan nach einem Audit stellt diesen nächsten Schritt vor.
Ihre Situation sachlich darstellen
Beschreiben Sie Ihre Umgebung, Prioritäten und Schwierigkeiten, ohne Passwörter oder sensible Daten zu übermitteln. Mit Ihrer Zustimmung können Ihre Kontaktdaten an einen unabhängigen Partner weitergegeben werden, der allein für seine Analyse, seine Preise und seine Leistungen verantwortlich bleibt.
Zum FormularHäufige Fragen
Müssen vor dem Audit alle Dokumente übermittelt werden?
Nein. Zuerst müssen Umfang und Liste der nötigen Nachweise validiert werden. Sensible Dokumente müssen minimiert und über einen geeigneten Kanal übermittelt werden.
Muss der Auditor ein Administratorkonto besitzen?
Nicht systematisch. Das Zugangsniveau hängt von den vorgesehenen Prüfungen ab. Jeder Zugang muss temporär, personalisiert, begrenzt und am Auftragsende entzogen sein.
Wer sollte an der Auftaktbesprechung teilnehmen?
Mindestens eine entscheidungsbefugte Person, die IT-Ansprechperson und die Verantwortlichen der im Umfang enthaltenen Tätigkeiten. Dienstleister und Datenschutzbeauftragte können je nach Thema einbezogen werden.
Kann ein Audit ohne vollständige Bestandsaufnahme vorbereitet werden?
Ja, aber die Grenzen der Bestandsaufnahme müssen mitgeteilt werden. Das Audit kann gerade helfen, nicht korrekt erfasste Werte und Abhängigkeiten zu identifizieren.
Konsultierte offizielle Quellen
- BfDI — Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
- BSI — Qualifizierte APT-Response-Dienstleister
Quellen geprüft am 24. August 2026. Genannte Organisationen und Spezifikationen können aktualisiert werden.
Verwandte Ratgeber
Diese Seite ersetzt weder ein Audit noch eine technische Analyse noch eine Rechtsberatung. Etwaige Entscheidungen und Eingriffe obliegen kompetenten Fachpersonen.