StartseiteRatgeber › Cybersicherheitsaudit im KMU vorbereiten: Dokumente, Ansprechpartner und Zugänge
Cybersicherheitsaudit KMU

Cybersicherheitsaudit im KMU vorbereiten: Dokumente, Ansprechpartner und Zugänge

Eine strukturierte Vorbereitung verringert Verzögerungen, Missverständnisse und improvisierte Zugangsanfragen. Dieser Ratgeber stellt vor, was vor dem Start eines Audits zusammengetragen werden sollte, ohne unnötige Geheimnisse zu übermitteln.

Redaktion: Cybersécurité Solution.

Dokumentarische Zusammenfassung auf Grundlage institutioneller Quellen und offizieller Spezifikationen, die im Artikel zitiert werden. Unsere redaktionelle Methodik einsehen.

Redaktionelle Überprüfung: 24. August 2026. Dieser Inhalt dient der Information und stellt keine individuelle technische Beratung dar.

Positionierung der Website: Diese Seite liefert allgemeine Informationen. Die tatsächliche Umsetzung muss von einer kompetenten Fachperson entsprechend Umgebung und Verträgen des Unternehmens durchgeführt oder geprüft werden.

Das erwartete Ergebnis festlegen, bevor Unterlagen gesammelt werden

Der erste Schritt besteht darin, die Entscheidung zu präzisieren, die das Audit erleichtern soll: ein allgemeines Schutzniveau prüfen, auf eine Kundenanfrage antworten, eine Vertragserneuerung vorbereiten, eine Cloud-Umgebung bewerten oder Investitionen priorisieren. Ohne klares Ziel kann der Umfang zu breit werden und der Bericht schwer nutzbar sein.

Das Unternehmen kann eine einseitige Notiz mit kritischen Tätigkeiten, wichtigsten Sorgen, Fristen und bekannten Ausschlüssen verfassen. Diese Notiz ersetzt nicht die Eingrenzung durch den Dienstleister; sie erleichtert die Auftaktbesprechung und erlaubt es, Angebote auf gemeinsamer Grundlage zu vergleichen.

Eine ausreichend verlässliche Bestandsaufnahme erstellen

Der Auditor muss die Komponenten verstehen, die die Tätigkeit tragen: Arbeitsplätze, Server, Anwendungen, Cloud-Dienste, Netzwerkgeräte, Backups, Standorte, Fernverbindungen und Dienstleister. Eine unvollständige, aber datierte und erklärte Bestandsaufnahme ist besser als eine nie aktualisierte theoretische Liste.

Es ist hilfreich, fachlich Verantwortliche jedes Dienstes, Anbieter, Hosting-Art und Kritikalitätsniveau anzugeben. Fluss- und Verbindungsdiagramme helfen, Abhängigkeiten zu erkennen, insbesondere zwischen Mailbox, Fachwerkzeugen, Freigabebereichen und Backup-Systemen.

Richtlinien, Verträge und nützliche Nachweise sammeln

Häufig angeforderte Dokumente umfassen IT-Nutzungsregeln, Ein- und Austrittsverfahren, Listen der Administratorkonten, IT-Betriebsverträge, Backup-Verfahren, Vorfallberichte und Ergebnisse früherer Kontrollen. Nicht alle werden benötigt: Ihre Relevanz hängt vom vereinbarten Umfang ab.

Ein Nachweis sollte eine tatsächliche Praxis belegen. Ein datierter Screenshot, ein Konfigurationsexport, ein Wiederherstellungstest-Protokoll oder ein abgeschlossenes Ticket kann nützlicher sein als ein allgemeines Verfahren. Personenbezogene Daten oder Geheimnisse in diesen Unterlagen müssen vor der Übermittlung minimiert werden.

Die richtigen Ansprechpartner benennen

Ein Audit erfordert in der Regel eine entscheidungsbefugte Person, eine IT-Ansprechperson, Fachverantwortliche und je nach Thema die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten, den IT-Dienstleister oder den Hosting-Anbieter. Jede Person muss wissen, welche Informationen sie liefern darf und wer sensible Anfragen validiert.

Kurze Termine mit den tatsächlich betroffenen Personen zu planen verhindert, dass sich das Audit allein auf die Aussage einer einzigen Ansprechperson stützt. Alltägliche Praktiken, Ausnahmen und fachliche Einschränkungen zeigen sich oft in diesen Gesprächen.

Temporäre Zugänge und Tests regeln

Dem Auditor gewährte Zugänge müssen personalisiert, auf den Umfang begrenzt, wenn möglich durch starke Authentifizierung geschützt und am Auftragsende gelöscht sein. Dauerhafte Passwörter dürfen nicht per E-Mail versendet oder in einem Arbeitsdokument geteilt werden.

Vertrag oder Auditplan müssen Zeiten, ausgeschlossene Systeme, verbotene Handlungen, Backup-Modalitäten vor einem Test und das Abbruchverfahren bei unerwarteter Wirkung festlegen. Ein Penetrationstest erfordert präzisere Autorisierungen als ein Gespräch oder eine Dokumentenprüfung.

Die Auftaktbesprechung vorbereiten

Die Auftaktbesprechung validiert Umfang, Zeitplan, Kontakte, Kommunikationskanäle, Nachweisformat und Vertraulichkeitsregeln. Sie sollte auch für die Tätigkeit sensible Zeiträume, geplante technische Änderungen und mögliche laufende Vorfälle behandeln.

Eine einfache Verfolgungstabelle kann jede Anfrage, ihre verantwortliche Person, ihren Status und das Übergabedatum auflisten. Diese Organisation verringert Nachfragen und bewahrt eine Spur der tatsächlich geprüften Elemente.

Ergebnispräsentation und Aktionsplan vorausdenken

Schon vor Beginn der Kontrollen kann das Unternehmen fragen, wie Feststellungen eingestuft werden, welche Nachweise die Schlussfolgerungen begleiten und wie Empfehlungen priorisiert werden. Die Ergebnispräsentation sollte Risiko, geschäftliche Auswirkung, Korrekturschwierigkeit und Abhängigkeiten unterscheiden.

Der Bericht wird nützlich, wenn jede Maßnahme zugewiesen, geplant und überprüft werden kann. Der Ratgeber zum Behebungsplan nach einem Audit stellt diesen nächsten Schritt vor.

Ihre Situation sachlich darstellen

Beschreiben Sie Ihre Umgebung, Prioritäten und Schwierigkeiten, ohne Passwörter oder sensible Daten zu übermitteln. Mit Ihrer Zustimmung können Ihre Kontaktdaten an einen unabhängigen Partner weitergegeben werden, der allein für seine Analyse, seine Preise und seine Leistungen verantwortlich bleibt.

Zum Formular

Häufige Fragen

Müssen vor dem Audit alle Dokumente übermittelt werden?

Nein. Zuerst müssen Umfang und Liste der nötigen Nachweise validiert werden. Sensible Dokumente müssen minimiert und über einen geeigneten Kanal übermittelt werden.

Muss der Auditor ein Administratorkonto besitzen?

Nicht systematisch. Das Zugangsniveau hängt von den vorgesehenen Prüfungen ab. Jeder Zugang muss temporär, personalisiert, begrenzt und am Auftragsende entzogen sein.

Wer sollte an der Auftaktbesprechung teilnehmen?

Mindestens eine entscheidungsbefugte Person, die IT-Ansprechperson und die Verantwortlichen der im Umfang enthaltenen Tätigkeiten. Dienstleister und Datenschutzbeauftragte können je nach Thema einbezogen werden.

Kann ein Audit ohne vollständige Bestandsaufnahme vorbereitet werden?

Ja, aber die Grenzen der Bestandsaufnahme müssen mitgeteilt werden. Das Audit kann gerade helfen, nicht korrekt erfasste Werte und Abhängigkeiten zu identifizieren.

Konsultierte offizielle Quellen

Quellen geprüft am 24. August 2026. Genannte Organisationen und Spezifikationen können aktualisiert werden.

Verwandte Ratgeber

Cybersicherheitsaudit für KMU →Behebungsplan nach einem Audit →Kosten eines Cybersicherheitsaudits →