Leitfaden für ein IT-Audit

1. Prolog: Warum IT Audit heute eine Führungsaufgabe ist

IT Audit ist heute keine reine Kontrollübung der IT Abteilung mehr. Die Abhängigkeit von digitalen Systemen ist so gross geworden, dass IT Risiken unmittelbar zu Geschäftsrisiken, Haftungsrisiken und Reputationsrisiken werden. Wenn Identitäten kompromittiert werden, wenn Backups nicht funktionieren, wenn Lieferanten ausfallen oder wenn ein Cloud Dienst falsch konfiguriert ist, betrifft das nicht nur Technik. Es betrifft die Fähigkeit eines Unternehmens, seine Leistungen zuverlässig zu erbringen.

Ein modernes IT Audit prüft deshalb nicht nur Server, Firewalls und Benutzerkonten. Es prüft, ob die Organisation ihre IT Risiken kennt, ob Kontrollen wirksam sind, ob Nachweise belastbar sind und ob die Geschäftsleitung eine fundierte Entscheidungsgrundlage hat. IT Governance ist damit ein zentraler Teil der Unternehmensführung.

Ein Unternehmen kann technisch modern wirken und trotzdem schwach kontrolliert sein. Cloud Dienste, moderne Endgeräte, Kollaborationsplattformen und Sicherheitslösungen erzeugen noch keine belastbare Governance. Entscheidend ist, ob Verantwortlichkeiten, Kontrollen, Nachweise und Risikoentscheidungen sauber funktionieren.

Kernaussage:
Ein IT Audit beantwortet nicht nur die Frage, ob Technik funktioniert. Es beantwortet die Frage, ob digitale Risiken beherrscht werden. Genau deshalb gehört IT Audit auf die Agenda von Geschäftsleitung, Verwaltungsrat, Revision und Risikomanagement.

2. Was ist ein IT Audit?

Ein IT Audit ist eine unabhängige, systematische und dokumentierte Prüfung von IT Systemen, IT Prozessen, Kontrollen, Risiken und Nachweisen. Es untersucht, ob die Informationstechnologie einer Organisation sicher, wirksam, nachvollziehbar und regelkonform betrieben wird.

Ein IT Audit kann verschiedene Ziele haben. Es kann eine interne Kontrolle unterstützen, eine ISO 27001 Vorbereitung begleiten, Datenschutzanforderungen prüfen, Cloud Risiken bewerten, die Wirksamkeit von Berechtigungen kontrollieren oder die Reife der IT Governance beurteilen.

Die drei Grundziele eines IT Audits

• Vertraulichkeit: Sensible Daten dürfen nur berechtigten Personen zugänglich sein.
• Integrität: Daten, Systeme und Prozesse müssen korrekt, vollständig und nachvollziehbar sein.
• Verfügbarkeit: Kritische Systeme müssen zuverlässig funktionieren und im Notfall wiederhergestellt werden können.

Abgrenzung zu verwandten Prüfungen

• IT Audit: Prüft IT Governance, Prozesse, Kontrollen, technische Umsetzung und Nachweise.
• ISO 27001 Audit: Prüft ein Informationssicherheitsmanagementsystem gegen die Anforderungen der Norm.
• Penetrationstest: Prüft technische Systeme aus Sicht eines Angreifers.
• Security Check: Prüft ausgewählte technische oder organisatorische Sicherheitsbereiche mit begrenztem Scope.
• Gap Analyse: Vergleicht den Ist Zustand mit einem Zielstandard.
• IKS Prüfung: Prüft interne Kontrollen, insbesondere im Zusammenhang mit Finanzprozessen.
• Cloud Audit: Prüft Cloud Konfigurationen, Verantwortlichkeiten, Verträge, Datenstandorte, Identitäten und Protokollierung.
• KI Audit: Prüft Governance, Risiken, Datenqualität, Transparenz, Sicherheit und Kontrolle von KI Systemen.

Was ein IT Audit nicht sein sollte

Ein IT Audit sollte keine reine Formalprüfung sein. Es reicht nicht, Dokumente einzusammeln und festzustellen, dass Richtlinien existieren. Es reicht auch nicht, eine technische Checkliste abzuarbeiten, ohne den geschäftlichen Kontext zu verstehen. Ein gutes IT Audit verbindet Dokumentenprüfung, Interviews, technische Stichproben, Nachweise, Risikoanalyse und Managementverständnis.

3. Ziele und Nutzen eines IT Audits

Ein IT Audit schafft Transparenz über digitale Risiken. Es hilft Unternehmen, Sicherheitslücken, Kontrollschwächen, unklare Verantwortlichkeiten und fehlende Nachweise zu erkennen. Gleichzeitig unterstützt es Management, Revision und IT dabei, Prioritäten zu setzen.

• Risiken sichtbar machen: Technische, organisatorische und regulatorische Schwächen werden nachvollziehbar dokumentiert.
• Kontrollen prüfen: Bestehende Massnahmen werden nicht nur beschrieben, sondern auf Umsetzung und Wirksamkeit geprüft.
• Compliance unterstützen: Anforderungen aus Datenschutz, ISO 27001, FINMA Umfeld, NIS2, DORA oder interner Revision können besser nachgewiesen werden.
• Managemententscheidungen ermöglichen: Die Geschäftsleitung erhält eine verständliche Grundlage für Risikoakzeptanz, Investitionen und Priorisierung.
• Notfallfähigkeit verbessern: Backup, Recovery, Business Continuity und Incident Response werden überprüft.
• Lieferantenrisiken kontrollieren: Dienstleister, Cloud Anbieter und Outsourcing Partner werden in die Risikobetrachtung einbezogen.
• Vertrauen schaffen: Kunden, Aufsicht, Revision und Partner erhalten nachvollziehbare Nachweise über Sicherheitskontrollen.

4. IT Governance, Verantwortung und Haftung

IT Risiken sind Führungsrisiken. Geschäftsleitung und Verwaltungsrat müssen sicherstellen, dass wesentliche Risiken erkannt, bewertet, gesteuert und überwacht werden. Ein IT Audit liefert dafür eine objektive Grundlage.

Die Verantwortung kann nicht vollständig an die IT delegiert werden. Die IT kann Massnahmen umsetzen, Systeme betreiben und technische Empfehlungen geben. Die Entscheidung über Risikoakzeptanz, Budget, Prioritäten und Kontrollniveau liegt jedoch beim Management.

Typische Managementfragen im IT Audit

• Welche Systeme sind geschäftskritisch?
• Welche Daten haben den höchsten Schutzbedarf?
• Welche Risiken wurden formell akzeptiert?
• Welche Kontrollen sind wirklich wirksam?
• Wann wurde die Wiederherstellung aus Backups zuletzt getestet?
• Welche Dienstleister haben Zugriff auf kritische Daten?
• Wie schnell erkennt die Organisation einen Sicherheitsvorfall?
• Welche Risiken bestehen durch Cloud, Outsourcing und Lieferketten?
• Welche Nachweise liegen für Revision, Kunden oder Aufsicht vor?
• Welche Cyber Risiken wurden der Geschäftsleitung zuletzt berichtet?
• Welche Risiken sind akzeptiert, aber nicht ausreichend dokumentiert?
• Welche Kontrollen sind kritisch für Finanzdaten, Kundendaten oder Betriebsfähigkeit?

Organverantwortung

In der Schweiz ist der Verwaltungsrat für Oberleitung, Organisation und Oberaufsicht verantwortlich. In Deutschland und Österreich bestehen vergleichbare Sorgfaltspflichten für Geschäftsführung und Vorstand. Ein fehlendes oder schwaches IT Audit kann im Schadenfall problematisch werden, weil nicht nachgewiesen werden kann, dass Risiken angemessen überwacht wurden.

IT Governance als Steuerungssystem

IT Governance bedeutet, dass IT nicht zufällig betrieben wird, sondern entlang klarer Ziele, Rollen, Risiken und Kontrollen gesteuert wird. Dazu gehören Entscheidungswege, Richtlinien, Verantwortlichkeiten, Kennzahlen, Budgetierung, Dienstleistersteuerung und regelmässige Berichterstattung an die Leitungsebene.

Die Rolle des Verwaltungsrates und der Geschäftsleitung

Die oberste Leitung muss nicht jedes technische Detail verstehen. Sie muss jedoch sicherstellen, dass Risiken berichtet, Massnahmen priorisiert und kritische Abhängigkeiten bekannt sind. Ein IT Audit übersetzt technische Befunde in Managementsicht. Genau dadurch wird IT Sicherheit zu einer steuerbaren Führungsaufgabe.

5. IT Audit in der Schweiz

Für Schweizer Unternehmen ist IT Audit besonders wichtig, weil Datenschutz, interne Kontrolle, Finanzmarktregulierung, Outsourcing, Cloud Nutzung und Cyber Resilienz immer stärker zusammenwachsen. Die Schweiz verfolgt häufig einen prinzipienbasierten Ansatz. Genau deshalb ist die Nachweisbarkeit der getroffenen Massnahmen entscheidend.

nDSG und technische sowie organisatorische Massnahmen

Das revidierte Datenschutzgesetz verlangt angemessene technische und organisatorische Massnahmen zum Schutz von Personendaten. Ein IT Audit prüft, ob diese Massnahmen nicht nur beschrieben, sondern auch umgesetzt und nachweisbar betrieben werden.

• Gibt es eine Übersicht über Personendaten und Systeme?
• Sind Zugriffe auf Personendaten beschränkt und dokumentiert?
• Werden Verschlüsselung, Authentisierung und Berechtigungskonzepte angemessen eingesetzt?
• Gibt es Prozesse für Auskunft, Löschung, Korrektur und Datenherausgabe?
• Wurden Risiken für betroffene Personen bewertet?
• Sind Auftragsbearbeiter und Dienstleister vertraglich und technisch kontrolliert?
• Gibt es ein Verfahren für Datenschutzverletzungen?
• Sind Datenschutz und Informationssicherheit in Projekten verankert?
• Werden Löschfristen und Datenminimierung technisch unterstützt?

FINMA und operationelle Resilienz

Für Banken und finanznahe Organisationen ist die Steuerung operationeller Risiken zentral. Das FINMA Rundschreiben 2023/1 zu operationellen Risiken und Resilienz ist ein wichtiger Bezugspunkt. Es betrifft unter anderem ICT Risiken, kritische Daten, Cyber Risiken, Business Continuity und Resilienz.

• Wurden kritische Funktionen und kritische Daten identifiziert?
• Gibt es eine klare Steuerung von ICT Risiken?
• Sind Cyber Risiken in das Risikomanagement integriert?
• Wurden Szenarien für Ausfälle und Angriffe getestet?
• Sind Outsourcing Risiken kontrolliert?
• Gibt es belastbare Wiederanlauf und Notfallprozesse?
• Werden kritische Dienstleister regelmässig bewertet?
• Werden Sicherheitsvorfälle an die richtigen Stellen eskaliert?

Internes Kontrollsystem nach Obligationenrecht

Bei ordentlich revidierten Unternehmen ist die Existenz des internen Kontrollsystems relevant. Da Finanzprozesse fast vollständig IT gestützt sind, haben IT General Controls eine hohe Bedeutung. Ohne verlässliche Zugriffskontrollen, Change Management und Betriebskontrollen kann die Verlässlichkeit von Finanzdaten beeinträchtigt sein.

Schweizer Praxisfokus

In der Praxis scheitern Schweizer Organisationen selten an fehlendem guten Willen. Häufig fehlen Nachweise, klare Verantwortlichkeiten, regelmässige Kontrollen und technische Umsetzungstiefe. Ein IT Audit muss daher pragmatisch sein und nicht nur regulatorische Anforderungen wiederholen.

Typische Schweizer Audit Themen

• nDSG und technische sowie organisatorische Massnahmen
• FINMA Umfeld und operationelle Resilienz
• Cloud Nutzung mit Datenstandort Schweiz oder EU
• Outsourcing und Dienstleistersteuerung
• IKS und IT General Controls
• Schulen und Bildungsinstitutionen mit besonders schützenswerten Personendaten
• Gesundheitswesen und Medizintechnik
• Industrie mit IT und OT Systemen
• KMU mit begrenzten Ressourcen und hoher digitaler Abhängigkeit

6. IT Audit in Deutschland

Deutschland ist stark durch Handelsrecht, Steuerrecht, Datenschutz, KRITIS Anforderungen und branchenspezifische Vorgaben geprägt. Für Unternehmen mit Geschäftstätigkeit in Deutschland oder deutschen Kunden kann dies auch aus der Schweiz heraus relevant werden.

GoBD und steuerliche Nachvollziehbarkeit

Die GoBD verlangt Nachvollziehbarkeit, Nachprüfbarkeit, Vollständigkeit, Richtigkeit, zeitgerechte Buchung und Unveränderbarkeit steuerlich relevanter Daten. Ein IT Audit prüft deshalb auch, ob ERP Systeme, Archivierung, Berechtigungen, Protokolle und Verfahrensdokumentation angemessen umgesetzt sind.

• Gibt es eine aktuelle Verfahrensdokumentation?
• Sind Buchungen und Belege nachvollziehbar?
• Sind Änderungen protokolliert?
• Ist die Archivierung unveränderbar und vollständig?
• Sind Zugriffe auf Finanzsysteme angemessen beschränkt?
• Sind Schnittstellen zu Buchhaltung und ERP nachvollziehbar dokumentiert?
• Werden Systemänderungen kontrolliert freigegeben?

KRITIS und BSI Anforderungen

Betreiber kritischer Infrastrukturen müssen besondere Sicherheitsanforderungen erfüllen. Prüfungen orientieren sich unter anderem am Stand der Technik, an branchenspezifischen Sicherheitsstandards und an Nachweisen gegenüber dem BSI.

Lieferketten und Drittparteien

IT Risiken entstehen zunehmend in Lieferketten. Dienstleister, Cloud Anbieter, Software Lieferanten und externe Administratoren können erhebliche Risiken erzeugen. IT Audits müssen deshalb Third Party Risk Management systematisch berücksichtigen.

Deutschland als Prüfungsumfeld

Deutsche IT Audits sind oft stark formalisiert. Dokumentation, Nachvollziehbarkeit und revisionssichere Abläufe spielen eine grosse Rolle. Gleichzeitig darf die technische Realität nicht verloren gehen. Ein formal vollständiges Dokument schützt nicht, wenn Systeme ungepatcht, Berechtigungen falsch vergeben oder Backups nicht wiederherstellbar sind.

7. IT Audit in Österreich

Österreich ist stark in EU Vorgaben eingebunden und hat gleichzeitig nationale Besonderheiten. Für IT Audits sind Datenschutz, NIS Umsetzung, steuerliche Anforderungen, E Government und branchenspezifische Regulierungen relevant.

Netz und Informationssystemsicherheit

Die österreichische Umsetzung der europäischen Netz und Informationssicherheitsanforderungen betrifft Betreiber wesentlicher Dienste und digitale Dienste. Mit NIS2 wird der Kreis betroffener Organisationen deutlich grösser.

Registrierkassen und steuerliche IT

Bei Unternehmen mit Kassensystemen können Integrität, Signaturen, Protokollierung und Datenexporte prüfungsrelevant sein. Ein IT Audit muss sicherstellen, dass Systeme nicht nur funktionieren, sondern auch nachvollziehbar und regelkonform betrieben werden.

Österreichische Audit Praxis

Für österreichische Unternehmen sind neben EU Anforderungen vor allem saubere Nachweise, Datenschutz, technische Kontrollen und Dienstleistersteuerung wichtig. Besonders bei KMU besteht häufig die Herausforderung, regulatorische Anforderungen pragmatisch und bezahlbar umzusetzen.

8. Europäische Regulierung: NIS2, DORA und AI Act

Europäische Regulierung wirkt auch auf Unternehmen im DACH Raum, selbst wenn sie nicht direkt in der EU sitzen. Lieferketten, Kundenanforderungen, Marktteilnahme, Outsourcing und Konzernstrukturen führen dazu, dass EU Anforderungen auch für Schweizer Organisationen relevant werden können.

NIS2

NIS2 schafft einen europäischen Rahmen für Cybersicherheit in zahlreichen kritischen und wichtigen Sektoren. Für IT Audits bedeutet das, dass Risikomanagement, Incident Handling, Business Continuity, Lieferkettensicherheit, Verschlüsselung, Zugriffskontrollen und Managementverantwortung stärker geprüft werden müssen.

• Gibt es ein formelles Cyber Risikomanagement?
• Sind Sicherheitsvorfälle definiert, bewertet und meldefähig?
• Wurde Lieferkettensicherheit geprüft?
• Ist die Geschäftsleitung eingebunden?
• Gibt es technische und organisatorische Mindestmassnahmen?
• Gibt es dokumentierte Verfahren für Incident Response?
• Gibt es Vorgaben für Kryptografie, Zugriffskontrolle und Schwachstellenmanagement?

DORA

DORA betrifft die digitale operationelle Resilienz im Finanzsektor. Die Anforderungen umfassen ICT Risikomanagement, Vorfallmanagement, Resilienztests, Drittparteienrisiken und Informationsaustausch. Für IT Audits im Finanzumfeld ist DORA deshalb ein zentraler Bezugspunkt.

• ICT Risiken müssen systematisch identifiziert und gesteuert werden.
• ICT Vorfälle müssen klassifiziert, behandelt und gemeldet werden.
• Resilienztests müssen geplant und nachvollziehbar durchgeführt werden.
• Drittparteienrisiken müssen vertraglich und operativ kontrolliert werden.
• Kritische Dienstleister müssen besonders überwacht werden.

AI Act

Der AI Act schafft einen rechtlichen Rahmen für künstliche Intelligenz. Für IT Audits entstehen neue Prüfbereiche: Datenqualität, Transparenz, menschliche Aufsicht, Modellrisiken, Protokollierung, Robustheit, Sicherheit und Governance von KI Systemen.

Audit Implikation:
KI Systeme werden künftig nicht nur technisch geprüft. Sie müssen auch organisatorisch, rechtlich und risikobasiert bewertet werden. Ein KI Audit verbindet Datenschutz, Informationssicherheit, Modell Governance, Bias Kontrolle, Nachvollziehbarkeit und Betriebssicherheit.

9. Frameworks für IT Audits

Ein IT Audit ohne Referenzrahmen ist nur eine Meinung. Frameworks schaffen Vergleichbarkeit, Nachvollziehbarkeit und objektive Bewertungskriterien.

COBIT

COBIT ist ein Governance Framework für Information und Technologie. Es hilft dabei, Unternehmensziele mit IT Zielen, Prozessen und Kontrollen zu verbinden. Besonders wertvoll ist COBIT für Audits auf Management und Governance Ebene.

ISO/IEC 27001

ISO 27001 ist der zentrale Standard für Informationssicherheitsmanagementsysteme. Für IT Audits ist die Norm wichtig, weil sie Risikoanalyse, Kontrollen, kontinuierliche Verbesserung und Managementverantwortung verbindet.

ISO 19011

ISO 19011 beschreibt Leitlinien für Audits von Managementsystemen. Besonders wichtig sind Integrität, faire Darstellung, berufliche Sorgfalt, Vertraulichkeit, Unabhängigkeit, evidenzbasierter Ansatz und risikobasierter Ansatz.

NIST Cybersecurity Framework

Das NIST Cybersecurity Framework strukturiert Cybersicherheit entlang von Funktionen wie Identify, Protect, Detect, Respond und Recover. Es eignet sich sehr gut für Reifegradbewertungen und Management Kommunikation.

NIST SP 800 53

NIST SP 800 53 bietet einen umfassenden Katalog von Sicherheits und Datenschutzkontrollen. Für detaillierte technische und organisatorische Audits ist dieser Katalog sehr hilfreich.

NIST SP 800 115

NIST SP 800 115 beschreibt technische Sicherheitstests und Assessments. Der Standard ist besonders hilfreich, wenn IT Audit und technische Sicherheitsprüfung kombiniert werden.

ITIL

ITIL unterstützt die Prüfung von IT Service Management. Besonders relevant sind Incident Management, Change Management, Problem Management, Service Level Management und Configuration Management.

MITRE ATT&CK

MITRE ATT&CK unterstützt die Bewertung realer Angriffstechniken. Für IT Audits ist es hilfreich, wenn technische Kontrollen nicht nur formal geprüft, sondern gegen realistische Angriffsmuster bewertet werden.

10. Prüfungsstandards, ITGC und Assurance

In der Revision und Wirtschaftsprüfung spielen IT General Controls und Assurance Berichte eine zentrale Rolle. IT Systeme sind oft Grundlage für Finanzdaten, Reports, ERP Prozesse und Kontrollen. Wenn IT Kontrollen schwach sind, verlieren auch fachliche Kontrollen an Aussagekraft.

IT General Controls

• Zugriffskontrollen: Benutzeranlage, Änderung, Löschung, Rollen, Rechte und Rezertifizierung.
• Change Management: Freigabe, Test, Dokumentation und Nachvollziehbarkeit von Änderungen.
• IT Betrieb: Job Kontrolle, Monitoring, Backup, Wiederherstellung und Störungsbearbeitung.
• Programmentwicklung: Trennung von Entwicklung, Test und Produktion.
• Sicherheitsmanagement: Schwachstellen, Patches, Protokollierung und Incident Handling.

Application Controls

Anwendungskontrollen prüfen, ob Fachanwendungen selbst korrekt funktionieren. Dazu gehören Eingabeprüfungen, Plausibilitätskontrollen, Berechnungen, Freigaben, Schnittstellen, Buchungslogik und automatisierte Prüfregeln.

ISAE 3402 und SOC Berichte

Bei ausgelagerten IT Leistungen, Rechenzentren oder SaaS Diensten können Assurance Berichte relevant sein. Ein Typ 1 Bericht beurteilt Design und Existenz von Kontrollen zu einem Stichtag. Ein Typ 2 Bericht beurteilt die Wirksamkeit über einen Zeitraum. Für Kunden ist Typ 2 meist deutlich aussagekräftiger.

Prüfungslogik

Gute Audits unterscheiden zwischen Kontroll Design, Kontroll Implementierung und Kontroll Wirksamkeit. Eine Richtlinie allein ist kein Nachweis für wirksame Kontrolle. Erst durch Stichproben, Systemnachweise, Interviews und technische Verifikation entsteht belastbare Evidenz.

11. Der Audit Lebenszyklus

Ein professionelles IT Audit folgt einem strukturierten Lebenszyklus. Dadurch werden Scope, Erwartungen, Nachweise, Bewertung und Bericht nachvollziehbar.

Auftragsklärung

Zu Beginn werden Ziel, Scope, Prüffelder, Ansprechpartner, Zeitplan, Ausschlüsse, Berichtstiefe und Bewertungsgrundlagen festgelegt.

Risikoanalyse

Der Auditor priorisiert Systeme, Prozesse und Daten nach Risiko. Kritische Systeme, sensible Daten, regulatorische Anforderungen und bekannte Schwachstellen erhalten höhere Priorität.

Dokumentenprüfung

Geprüft werden Richtlinien, Konzepte, Risikoanalysen, Berechtigungskonzepte, Netzwerkpläne, Backup Konzepte, Notfallpläne, Verträge, Protokolle, Reports und frühere Auditberichte.

Interviews

Interviews zeigen, ob Prozesse verstanden und gelebt werden. Befragt werden Geschäftsleitung, IT Leitung, Datenschutz, Informationssicherheit, Fachbereiche, Systemadministration und externe Dienstleister.

Technische Stichproben

Technische Stichproben prüfen, ob Kontrollen tatsächlich umgesetzt sind. Dazu gehören Benutzerlisten, Gruppenmitgliedschaften, Patchstände, Firewall Regeln, Backup Jobs, Log Quellen, Cloud Konfigurationen und Administratorrechte.

Bewertung

Befunde werden nach Risiko, Auswirkung, Eintrittswahrscheinlichkeit, Kontrollschwäche und Umsetzungsdringlichkeit bewertet.

Bericht

Der Bericht muss Management und Technik erreichen. Er braucht eine klare Management Summary, konkrete Befunde, Nachweise, Risikobewertung, Massnahmen und Prioritäten.

Follow up

Ein Audit ohne Follow up bleibt oft wirkungslos. Nach einer definierten Frist sollte geprüft werden, ob Massnahmen umgesetzt und wirksam sind.

12. Technische Prüfbereiche

Technische Prüfungen sind ein wesentlicher Bestandteil eines modernen IT Audits. Sie zeigen, ob Sicherheitskonzepte in der Realität funktionieren.

• Identity und Access Management: Benutzer, Rollen, Rechte, MFA, privilegierte Konten und Rezertifizierung.
• Active Directory: Gruppen, Delegationen, schwache Konfigurationen, Kerberos Risiken und Admin Rechte.
• Patch Management: Betriebssysteme, Anwendungen, Netzwerkgeräte, Firmware und Sicherheitsupdates.
• Endpoint Security: Virenschutz, EDR, Härtung, lokale Administratorrechte und Verschlüsselung.
• Netzwerk: Segmentierung, Firewall Regeln, VPN, WLAN, Remote Zugriff und Administrationswege.
• Logging: Log Quellen, Aufbewahrung, Korrelation, Alarmierung und Reaktion.
• Backup: Sicherung, Wiederherstellung, Offline Schutz, Immutable Backup und Testnachweise.
• Vulnerability Management: Schwachstellenscans, Bewertung, Priorisierung, Behebung und Retest.
• Cloud Security: Identitäten, Rollen, Speicherfreigaben, Schlüssel, Netzwerke und Audit Logs.
• Applikationen: Berechtigungen, Schnittstellen, Change Prozesse, Testnachweise und Protokollierung.
• Remote Access: VPN, Zero Trust, MFA, Gerätebindung und Zugriff von externen Standorten.
• Administrationsprozesse: Verwendung privilegierter Konten, Protokollierung, Vier Augen Prinzip und Notfallzugänge.

Praxisbeobachtung:
Viele Organisationen haben gute Richtlinien, aber schwache technische Nachweise. Ein IT Audit muss deshalb Dokumentation und Realität zusammenführen. Entscheidend ist nicht, was im Konzept steht, sondern was im System tatsächlich konfiguriert und nachweisbar betrieben wird.

13. Cloud und Outsourcing Audits

Cloud Audits unterscheiden sich von klassischen Infrastrukturprüfungen. Der Auditor kann kein Rechenzentrum betreten und keine physischen Server prüfen. Stattdessen müssen Verantwortlichkeiten, Konfigurationen, Protokolle, Verträge, Datenstandorte, Verschlüsselung und Exit Strategien bewertet werden.

Shared Responsibility Model

Cloud Anbieter sichern die Cloud Infrastruktur. Kunden bleiben verantwortlich für Konfiguration, Identitäten, Daten, Zugriffe, Anwendungen und viele Sicherheitsentscheidungen. Ein Audit muss diese Verantwortungsgrenze klar prüfen.

Typische Cloud Befunde

• Zu breite Rollen und Berechtigungen.
• Fehlende Mehrfaktor Authentisierung für Administratoren.
• Öffentlich erreichbare Speicherbereiche.
• Fehlende oder unzureichende Protokollierung.
• Unklare Datenstandorte.
• Keine Exit Strategie.
• Unzureichende Schlüsselverwaltung.
• Keine regelmässige Überprüfung externer Dienstleister.
• Fehlende Trennung von produktiven und nicht produktiven Umgebungen.
• Unklare Verantwortung zwischen Kunde, Integrator und Cloud Anbieter.

Outsourcing Prüfung

Ein Outsourcing Audit prüft, ob ausgelagerte Leistungen kontrolliert werden. Dazu gehören Verträge, SLAs, Sicherheitsanforderungen, Subunternehmer, Audit Rechte, Meldepflichten, Exit Szenarien und Nachweise über Kontrollen beim Dienstleister.

14. KI Audit und Algorithmic Governance

Künstliche Intelligenz verändert IT Audits. Organisationen nutzen KI für Kundenservice, Dokumentenverarbeitung, Risikoanalysen, Automatisierung, Code Erstellung, Entscheidungsunterstützung und Sicherheitsanalysen. Dadurch entstehen neue Risiken.

Prüffelder bei KI Systemen

• Datenqualität: Sind Trainingsdaten, Eingabedaten und Referenzdaten geeignet?
• Transparenz: Ist nachvollziehbar, wofür das System genutzt wird?
• Menschliche Aufsicht: Gibt es klare Verantwortlichkeiten und Kontrollpunkte?
• Bias und Fairness: Können Entscheidungen bestimmte Gruppen benachteiligen?
• Security: Ist das System gegen Prompt Injection, Datenabfluss und Manipulation geschützt?
• Protokollierung: Werden Eingaben, Ausgaben und Entscheidungen angemessen dokumentiert?
• Datenschutz: Werden Personendaten geschützt und minimiert?
• Modell Governance: Gibt es Freigaben, Versionierung, Tests und Risikoakzeptanz?
• Lieferantenkontrolle: Ist klar, welche Daten an externe KI Anbieter fliessen?
• Nachvollziehbarkeit: Können Ergebnisse erklärt, geprüft und korrigiert werden?

KI im Audit selbst

KI kann Audits unterstützen, etwa bei Dokumentenanalyse, Log Auswertung, Risiko Clustering, Kontrollmapping und Berichtsentwürfen. Die Verantwortung bleibt jedoch beim Auditor. KI Ergebnisse müssen geprüft, nachvollzogen und fachlich validiert werden.

15. GRC, Process Mining und Continuous Auditing

Moderne IT Audits werden zunehmend datengetrieben. Klassische Stichproben bleiben wichtig, reichen aber oft nicht mehr aus. GRC Systeme, SIEM, EDR, IAM Reports, Cloud Logs und Process Mining ermöglichen deutlich bessere Prüfungen.

GRC Systeme

GRC Plattformen unterstützen Risikoerfassung, Kontrollmanagement, Massnahmenverfolgung, Richtlinienverwaltung, Lieferantenbewertung und Reporting.

Process Mining

Process Mining analysiert tatsächliche Prozessdaten aus Systemen wie ERP oder CRM. Dadurch können Abweichungen sichtbar werden, die in Interviews nicht auffallen.

Continuous Auditing

Continuous Auditing überwacht Kontrollen regelmässig oder nahezu in Echtzeit. Beispiele sind inaktive Benutzer, fehlende MFA, neue Administratoren, fehlerhafte Backups, ungepatchte Systeme oder öffentliche Cloud Speicher.

Typische Datenquellen für moderne Audits

• Identity Provider und IAM Systeme
• Active Directory und Entra ID
• SIEM und Log Management
• Endpoint Detection and Response
• Cloud Audit Logs
• Backup Reports
• Vulnerability Scanner
• Firewall Regelwerke
• Ticketing Systeme
• ERP und Finanzsysteme
• GRC Plattformen

16. Auditbericht, Risikobewertung und Massnahmen

Ein guter IT Audit Bericht ist verständlich, belastbar und umsetzbar. Er darf weder reine Technikliste noch unklare Management Prosa sein. Er muss zeigen, was gefunden wurde, warum es relevant ist, welche Risiken bestehen und was konkret zu tun ist.

Aufbau eines guten Findings

• Kriterium: Welche Anforderung gilt?
• Feststellung: Was wurde konkret gefunden?
• Nachweis: Welche Evidenz belegt die Feststellung?
• Risiko: Welche Auswirkung kann entstehen?
• Ursache: Warum besteht die Abweichung?
• Empfehlung: Welche Massnahme ist sinnvoll?
• Priorität: Wie dringend ist die Umsetzung?
• Verantwortung: Wer sollte die Massnahme bearbeiten?
• Frist: Bis wann sollte die Massnahme umgesetzt werden?
• Nachprüfung: Wie wird die Wirksamkeit später geprüft?

Reifegrad statt nur Mängelliste

Bei komplexeren Audits ist eine Reifegradbewertung hilfreich. Sie zeigt, ob Kontrollen ad hoc, definiert, umgesetzt, gemessen oder kontinuierlich verbessert sind. Dadurch erkennt das Management nicht nur einzelne Schwächen, sondern den Entwicklungsstand der Organisation.

Management Summary

Die Management Summary muss für Geschäftsleitung und Verwaltungsrat verständlich sein. Sie sollte nicht in technischen Details untergehen, sondern die wesentlichen Risiken, Auswirkungen, Prioritäten und Entscheidungen klar darstellen.

17. Häufige Schwachstellen aus IT Audits

• Benutzerkonten ehemaliger Mitarbeitender sind weiterhin aktiv.
• Privilegierte Rechte sind zu breit vergeben.
• Administratorzugriffe werden nicht ausreichend protokolliert.
• Mehrfaktor Authentisierung fehlt bei kritischen Systemen.
• Firewall Regeln sind historisch gewachsen und nicht dokumentiert.
• Backups existieren, aber Wiederherstellungen wurden nie getestet.
• Patch Management ist nicht vollständig nachweisbar.
• Notfallpläne sind veraltet oder wurden nie geübt.
• Cloud Dienste werden genutzt, ohne klare Verantwortlichkeiten und Exit Strategie.
• Logs werden gespeichert, aber nicht aktiv ausgewertet.
• Risikoanalysen sind zu allgemein und nicht mit technischen Kontrollen verbunden.
• Lieferanten werden nicht regelmässig sicherheitsbezogen bewertet.
• Dokumentierte Prozesse stimmen nicht mit der gelebten Praxis überein.
• Management Reviews erzeugen keine konkreten Entscheidungen oder Massnahmen.
• Sicherheitsrichtlinien sind vorhanden, aber Mitarbeitende kennen sie nicht.
• Technische Kontrollen werden beschrieben, aber nicht gemessen.
• Cloud Speicher sind falsch freigegeben.
• Schwachstellen werden gefunden, aber nicht fristgerecht behoben.

18. Praxis Checkliste für ein IT Audit

Governance und Organisation

• Gibt es eine klare IT Strategie?
• Sind Rollen und Verantwortlichkeiten dokumentiert?
• Berichtet die IT regelmässig an Geschäftsleitung oder Verwaltungsrat?
• Gibt es ein aktuelles Risikoregister?
• Werden Risiken formell akzeptiert?
• Gibt es Richtlinien für Informationssicherheit, Zugriff, Backup, Cloud und Dienstleister?

Zugriff und Identitäten

• Sind Benutzerkonten aktuell?
• Werden Austritte zeitnah umgesetzt?
• Sind privilegierte Rechte begrenzt?
• Gibt es MFA für kritische Zugriffe?
• Werden Berechtigungen regelmässig überprüft?
• Sind Notfallkonten dokumentiert und kontrolliert?

Betrieb und Sicherheit

• Gibt es ein Patch Management?
• Werden Schwachstellen priorisiert?
• Sind Firewalls dokumentiert?
• Werden Logs ausgewertet?
• Gibt es EDR oder Endpoint Schutz?
• Sind Backups geschützt und getestet?

Notfall und Resilienz

• Gibt es einen Notfallplan?
• Wurde der Notfallplan getestet?
• Sind Wiederanlaufzeiten definiert?
• Gibt es eine Krisenorganisation?
• Sind Kontaktlisten aktuell?
• Gibt es Kommunikationsvorlagen für Vorfälle?

Cloud und Outsourcing

• Sind Cloud Verantwortlichkeiten geklärt?
• Gibt es Verträge mit Sicherheitsanforderungen?
• Werden Dienstleister bewertet?
• Sind Datenstandorte bekannt?
• Gibt es eine Exit Strategie?
• Sind Subdienstleister bekannt?

19. Häufige Fragen

Wie lange dauert ein IT Audit?

Die Dauer hängt von Scope, Unternehmensgrösse, Anzahl Systeme, Datenkritikalität und Prüftiefe ab. Ein kompaktes KMU Audit kann wenige Tage dauern. Ein umfassendes Audit in regulierten oder komplexen Umgebungen kann mehrere Wochen benötigen.

Was kostet ein IT Audit?

Die Kosten hängen vom Prüfumfang ab. Entscheidend sind Systeme, Standorte, Cloud Nutzung, regulatorische Anforderungen, technische Stichproben und Berichtstiefe. Eine belastbare Einschätzung ist erst nach Scope Definition möglich.

Ist ein IT Audit nur für grosse Unternehmen sinnvoll?

Nein. Gerade KMU profitieren von IT Audits, weil Risiken, fehlende Nachweise, veraltete Kontrollen und technische Schwächen früh sichtbar werden.

Was ist der Unterschied zwischen IT Audit und Penetrationstest?

Ein IT Audit prüft Governance, Prozesse, Kontrollen und Nachweise. Ein Penetrationstest prüft technische Systeme aus Sicht eines Angreifers. Beide Prüfungen ergänzen sich.

Was ist der Unterschied zwischen IT Audit und ISO 27001 Audit?

Ein ISO 27001 Audit prüft ein Informationssicherheitsmanagementsystem gegen eine Norm. Ein IT Audit kann breiter sein und zusätzlich IT Betrieb, Cloud, Change Management, IKS, Outsourcing und technische Kontrollen prüfen.

Welche Unterlagen werden für ein IT Audit benötigt?

Typisch sind Richtlinien, Risikoanalysen, Netzwerkpläne, Berechtigungskonzepte, Benutzerlisten, Backup Nachweise, Notfallpläne, Verträge, Cloud Reports, Change Nachweise, Log Auszüge und frühere Auditberichte.

Was passiert nach dem Audit?

Nach dem Audit erhält die Organisation einen Bericht mit Befunden, Risiken und Massnahmen. Danach sollten Verantwortlichkeiten, Termine und Follow up Prüfungen festgelegt werden.

Wie oft sollte ein IT Audit durchgeführt werden?

Viele Organisationen prüfen kritische Bereiche jährlich. Bei grossen Veränderungen, Cloud Migrationen, Sicherheitsvorfällen, neuen regulatorischen Anforderungen oder Outsourcing Projekten kann ein zusätzliches Audit sinnvoll sein.

Ist ein IT Audit auch ohne Zertifizierung sinnvoll?

Ja. Ein IT Audit ist auch ohne Zertifizierung sinnvoll, weil es Risiken, Kontrollschwächen und fehlende Nachweise sichtbar macht. Es ist ein Instrument zur Verbesserung und nicht nur zur Erfüllung formaler Anforderungen.

20. Offizielle Quellen und Standards

• ISACA COBIT
• ISO/IEC 27001 Informationssicherheitsmanagement
• ISO 19011 Leitlinien für Audits von Managementsystemen
• NIST SP 800 53 Security and Privacy Controls
• NIST SP 800 115 Technical Guide to Information Security Testing and Assessment
• NIST Cybersecurity Framework
• EDÖB Schweizer Datenschutzaufsicht
• Nationales Zentrum für Cybersicherheit der Schweiz
• FINMA Schweizer Finanzmarktaufsicht
• Europäische Kommission NIS2
• DORA Digital Operational Resilience Act
• Europäische Kommission AI Act
• MITRE ATT&CK
• OWASP Web Security Testing Guide