IT-Sicherheitsaudit: Wann dein Unternehmen eines braucht und was es kostet

"Brauchen wir jetzt einen Penetrationstest oder ein Audit?" Diese Frage hören IT-Dienstleister erstaunlich oft von Geschäftsführungen österreichischer KMU. Meist steckt ein konkreter Auslöser dahinter: eine Kundenanforderung, eine anstehende Zertifizierung oder schlicht ein ungutes Gefühl gegenüber der eigenen IT-Sicherheit. Dabei ist ein IT-Sicherheitsaudit etwas anderes als ein Pentest, auch wenn beide Begriffe im Alltag gern durcheinandergeworfen werden. Dieser Beitrag erklärt, was ein IT-Sicherheitsaudit konkret leistet, wann es sinnvoll oder sogar notwendig wird und mit welchen Kosten du realistisch rechnen solltest.

Was ein IT-Sicherheitsaudit konkret ist

Ein IT-Sicherheitsaudit ist die systematische Überprüfung von Richtlinien, technischen Konfigurationen und organisatorischen Prozessen anhand eines definierten Referenzrahmens. Typische Grundlagen sind ISO 27001, das BSI-IT-Grundschutz-Kompendium, das NIST Cybersecurity Framework oder branchenspezifische Vorgaben. Im Kern geht es immer um eine Frage: Entsprechen die vorhandenen Strukturen und Dokumentationen dem, was ein anerkannter Standard fordert? Geprüft werden dabei unter anderem Zugriffs- und Berechtigungskonzepte, Backup- und Notfallpläne, Passwortrichtlinien, Netzwerkdokumentation, Patch-Prozesse und die Awareness der Belegschaft.

Der Unterschied zwischen Audit und Penetrationstest

Diese beiden Begriffe werden häufig vermischt, meinen aber unterschiedliche Dinge:

• Ein Audit prüft, ob angemessene Regeln, Prozesse und Konfigurationen vorhanden sind. Es ist primär eine Bestandsaufnahme gegen einen Sollzustand.
• Ein Penetrationstest prüft aktiv, ob sich vorhandene Schwachstellen tatsächlich ausnutzen lassen, und zwar unabhängig davon, ob formal alle Richtlinien korrekt dokumentiert sind.

Beide Ansätze ergänzen sich. Ein Unternehmen kann auf dem Papier alle Richtlinien vorbildlich dokumentiert haben und trotzdem verwundbar sein, weil die Umsetzung in der Praxis hinterherhinkt. Umgekehrt liefert ein Pentest kein vollständiges Bild der organisatorischen Reife eines Unternehmens. Für ein realistisches Gesamtbild braucht es in der Regel beides.

Wann ein IT-Sicherheitsaudit sinnvoll oder notwendig wird

In der Praxis sind es meist konkrete Anlässe, die ein Audit auslösen:

• Geplante ISO-27001-Zertifizierung: Ein Audit deckt Lücken auf, bevor der eigentliche Zertifizierungsprozess beginnt.
• NIS2-Betroffenheit: Betroffene Unternehmen müssen angemessene Risikomanagementmaßnahmen nachweisen. Ein Audit liefert die Grundlage dafür.
• Anforderungen von Kund:innen oder Auftraggeber:innen: Gerade größere Auftraggeber verlangen zunehmend Sicherheitsnachweise von ihren Lieferanten und Dienstleistern.
• Voraussetzung für eine Cyberversicherung: Versicherer fragen immer konkreter nach Sicherheitsmaßnahmen, bevor sie eine Police ausstellen oder Schäden regulieren.
• Nach einem Sicherheitsvorfall: Ein Audit hilft, systematisch zu klären, wo strukturelle Lücken bestanden, und nicht nur, was die unmittelbare technische Ursache war.
• Regelmäßiger Turnus: Auch ohne konkreten Anlass empfiehlt sich eine wiederkehrende Überprüfung, etwa jährlich oder bei größeren Veränderungen der IT-Landschaft.

Wie ein IT-Sicherheitsaudit typischerweise abläuft

Ein Audit gliedert sich üblicherweise in mehrere Schritte:

1. Vorbereitung und Scoping: Festlegung, welche Standorte, Systeme und Prozesse einbezogen werden.
2. Dokumentenprüfung: Sichtung vorhandener Richtlinien, Konzepte und Nachweise.
3. Interviews: Gespräche mit IT-Verantwortlichen, Geschäftsführung und ausgewählten Fachbereichen, um zu verstehen, wie die Umsetzung im Alltag tatsächlich aussieht.
4. Technische Stichproben: Punktuelle Überprüfung von Konfigurationen, etwa bei Firewalls, Servern oder Berechtigungssystemen.
5. Bericht mit priorisierten Maßnahmen: Die Ergebnisse werden nicht als reine Fehlerliste, sondern nach Risiko und Umsetzungsaufwand geordnet dargestellt.

Für ein mittelständisches Unternehmen dauert die eigentliche Vor-Ort- oder Remote-Prüfung häufig einige Tage. Dazu kommen Vor- und Nachbereitung für die Dokumentenanalyse und die Berichterstellung.

Was kostet ein IT-Sicherheitsaudit?

Die Kosten hängen stark von Unternehmensgröße, Anzahl der Standorte, Komplexität der IT-Landschaft und gewähltem Referenzrahmen ab. Als grobe Orientierung für ein typisches KMU-Umfeld: Ein fokussiertes Audit bewegt sich häufig im niedrigen bis mittleren vierstelligen Bereich. Umfangreichere Prüfungen mit mehreren Standorten oder als Vorbereitung auf eine ISO-27001-Zertifizierung liegen entsprechend höher. Wichtige Kostentreiber sind:

• die Anzahl der einbezogenen Systeme, Standorte und Prozesse,
• die Tiefe der technischen Stichproben,
• ob es sich um eine reine Bestandsaufnahme oder eine formale Zertifizierungsvorbereitung handelt,
• und der Umfang der Begleitung bei der anschließenden Umsetzung der empfohlenen Maßnahmen.

Ein seriöser Anbieter kalkuliert erst nach einem kurzen Erstgespräch über Umfang und Ziele. Pauschale Festpreise ohne Kenntnis der individuellen Ausgangslage sind bei einem Audit ebenso wenig aussagekräftig wie bei einem Penetrationstest. Günstiger wird es in der Regel, wenn bereits eine Grundstruktur an Dokumentation vorhanden ist und sich das Audit auf eine gezielte Überprüfung konzentrieren kann statt auf einen kompletten Neuaufbau der Sicherheitsdokumentation.

Typische Lücken, die ein Audit zutage fördert

In der Praxis zeigen sich bei mittelständischen Unternehmen immer wieder dieselben Muster: Zugriffsrechte, die über Jahre gewachsen sind und nie bereinigt wurden. Notfallpläne, die zwar existieren, aber nie getestet wurden. Fehlende oder veraltete Dokumentation der Netzwerkinfrastruktur. Und eine unklare Verantwortlichkeit für IT-Sicherheit zwischen Geschäftsführung, interner IT und externen Dienstleistern. Keiner dieser Punkte lässt sich mit einem einzelnen Tool lösen. Sie erfordern organisatorische Klarheit, die ein Audit systematisch sichtbar macht, bevor sie im Ernstfall zum Problem werden.

Zusammenspiel mit ISO 27001 und Awareness

Ein Audit ist auch dann sinnvoll, wenn keine formale Zertifizierung angestrebt wird. Die Struktur von ISO 27001 eignet sich als Referenzrahmen unabhängig davon, ob am Ende ein Zertifikat steht, denn sie liefert ein bewährtes, international anerkanntes Gerüst für Informationssicherheit. Wichtig ist dabei, den Faktor Mensch nicht zu vernachlässigen. Selbst ein technisch einwandfreies Setup nützt wenig, wenn Mitarbeitende Zugangsdaten unbedacht weitergeben oder Phishing-Mails nicht erkennen. Ein gutes Audit bewertet deshalb nicht nur Technik und Dokumentation, sondern auch, wie gut Awareness-Maßnahmen im Unternehmen bereits verankert sind.

Vom Audit zur echten Sicherheit: die nächsten Schritte

Ein Audit allein verändert noch keine Sicherheit. Entscheidend ist, was danach passiert. Typischerweise folgen auf ein Audit die Umsetzung priorisierter Maßnahmen, eine anschließende technische Verifizierung durch einen Penetrationstest sowie begleitende Awareness-Trainings für die Belegschaft. Erst dieses Zusammenspiel aus organisatorischer Prüfung, technischer Verifizierung und geschulten Mitarbeitenden ergibt ein belastbares Sicherheitsniveau.

Wenn du unsicher bist, ob für dein Unternehmen aktuell eher ein Audit, ein Penetrationstest oder eine Kombination aus beidem sinnvoll ist, lohnt sich ein unverbindliches Gespräch. Gemeinsam mit Roland Lindorfer lässt sich rasch klären, welcher Ansatz für deine konkrete Situation den größten Nutzen bringt.