Der Nachweis zählt, nicht die Auskunft
Eine Aussage im Gespräch ist ein Hinweis, erst das Protokoll, der Screenshot oder die Stichprobe macht daraus eine Feststellung, die im Bericht Bestand hat.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer prüft und zugleich umsetzt, liefert kein belastbares Ergebnis
In vielen Häusern prüft die Person, die das Berechtigungskonzept geschrieben hat, ein Jahr später dessen Umsetzung. Das Ergebnis ist wertlos, nicht weil jemand unehrlich wäre, sondern weil niemand die eigenen Annahmen infrage stellt. Aus demselben Grund verlangen Prüfungsstandards, dass die prüfende Stelle nicht dieselbe ist, die die geprüfte Leistung erbringt oder verantwortet.
Der zweite Bruch entsteht beim Nachweis. Ein Gespräch liefert eine Aussage, kein Beleg. Wenn im Bericht steht, dass Zugänge nach dem Austritt entzogen werden, muss dahinter eine Stichprobe stehen: eine Liste von Austritten aus dem Berichtszeitraum, dazu der Zeitpunkt der Sperrung im System. Ohne diese Verknüpfung ist die Feststellung eine Meinung, und sie fällt im nächsten Überwachungsaudit auseinander.
Am teuersten ist die dritte Verwechslung: Prüfung wird mit Beratung verwechselt. Wer während des Audits erklärt, wie ein Nachweis zu erbringen wäre, hat anschließend seine eigene Empfehlung geprüft. Der Ausweg ist nicht Schweigen, sondern Trennung: Feststellungen benennen, die Ursache beschreiben, die Maßnahme aber der geprüften Seite überlassen und im Bericht festhalten, wer sie verantwortet.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet, wer setzt um, und wo die Rolle in Schieflage gerät
Die Zuordnung folgt dem, was Prüfungsstandards für interne Revision und für Zertifizierungsaudits vorsehen. Die Stolperfallen stammen aus Fällen, in denen die Trennung zwischen Prüfen und Umsetzen aufgeweicht wurde, meist aus guter Absicht.
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Was in diesem Jahr geprüft wird | Die Leitung, auf Vorschlag der Prüfung und auf Basis der Risikolage | Die Prüfung selbst, entlang eines abgestimmten Prüfplans | Der Prüfplan wird jedes Jahr fortgeschrieben, ohne dass sich die Risikolage darin abbildet, und geprüft wird, was leicht zugänglich ist. |
| Ob eine Feststellung im Bericht bleibt | Die Prüfung, nach Abgleich der Sachrichtigkeit mit der geprüften Seite | Die Prüfung, die Formulierung und Einstufung verantwortet | Aus dem Abgleich der Fakten wird eine Verhandlung über die Einstufung, und am Ende steht im Bericht das, was am wenigsten Ärger macht. |
| Wie eine Lücke geschlossen wird | Die verantwortliche Fachseite, die die Maßnahme später trägt | Die Fachseite mit dem Betrieb, die Prüfung schaut nur nach | Der Auditor schlägt die Lösung vor, und ein Jahr später prüft er seine eigene Empfehlung, was das Ergebnis wertlos macht. |
| Ein Risiko bewusst zu akzeptieren | Die Leitung, schriftlich und mit Begründung | Die Fachseite, die den Zustand dokumentiert weiterführt | Die Akzeptanz wird mündlich erteilt und taucht nirgends auf, sodass beim nächsten Vorfall niemand die Entscheidung getroffen haben will. |
| Erteilung und Aufrechterhaltung eines Zertifikats | Die akkreditierte Zertifizierungsstelle, nicht das Auditteam | Die Organisation, begleitet durch Überwachungsaudits | Das Auditteam wird um eine Zusage zum Ergebnis gebeten, die es gar nicht geben darf, weil die Entscheidung bei der Zertifizierungsstelle liegt. |
Was in diesem Jahr geprüft wird
- Wer entscheidet
- Die Leitung, auf Vorschlag der Prüfung und auf Basis der Risikolage
- Wer setzt um
- Die Prüfung selbst, entlang eines abgestimmten Prüfplans
- Stolperfalle
- Der Prüfplan wird jedes Jahr fortgeschrieben, ohne dass sich die Risikolage darin abbildet, und geprüft wird, was leicht zugänglich ist.
Ob eine Feststellung im Bericht bleibt
- Wer entscheidet
- Die Prüfung, nach Abgleich der Sachrichtigkeit mit der geprüften Seite
- Wer setzt um
- Die Prüfung, die Formulierung und Einstufung verantwortet
- Stolperfalle
- Aus dem Abgleich der Fakten wird eine Verhandlung über die Einstufung, und am Ende steht im Bericht das, was am wenigsten Ärger macht.
Wie eine Lücke geschlossen wird
- Wer entscheidet
- Die verantwortliche Fachseite, die die Maßnahme später trägt
- Wer setzt um
- Die Fachseite mit dem Betrieb, die Prüfung schaut nur nach
- Stolperfalle
- Der Auditor schlägt die Lösung vor, und ein Jahr später prüft er seine eigene Empfehlung, was das Ergebnis wertlos macht.
Ein Risiko bewusst zu akzeptieren
- Wer entscheidet
- Die Leitung, schriftlich und mit Begründung
- Wer setzt um
- Die Fachseite, die den Zustand dokumentiert weiterführt
- Stolperfalle
- Die Akzeptanz wird mündlich erteilt und taucht nirgends auf, sodass beim nächsten Vorfall niemand die Entscheidung getroffen haben will.
Erteilung und Aufrechterhaltung eines Zertifikats
- Wer entscheidet
- Die akkreditierte Zertifizierungsstelle, nicht das Auditteam
- Wer setzt um
- Die Organisation, begleitet durch Überwachungsaudits
- Stolperfalle
- Das Auditteam wird um eine Zusage zum Ergebnis gebeten, die es gar nicht geben darf, weil die Entscheidung bei der Zertifizierungsstelle liegt.
Sechs Schritte, die jede Prüfung durchläuft
- 01 Auftrag und Umfang werden schriftlich abgegrenzt, samt geprüftem Zeitraum.
- 02 Für jeden Prüfpunkt wird das Kriterium benannt, gegen das geprüft wird.
- 03 Unterlagen werden vorab gesichtet, damit vor Ort Zeit für Nachweise bleibt.
- 04 Vor Ort werden Stichproben gezogen und Nachweise gesichert.
- 05 Feststellungen werden mit der geprüften Seite auf Sachrichtigkeit abgeglichen.
- 06 Maßnahmen bekommen Verantwortliche und Termine, danach folgt die Nachschau.
Was eine Prüfung brauchbar macht
Der Unterschied zwischen einem Audit, das etwas verändert, und einem, das abgeheftet wird, liegt selten am Fachwissen. Er liegt an der Vorbereitung, an der Art der Fragen und daran, ob eine Feststellung eine Wirkung beschreibt, die die Leitung interessiert.
Kriterium vor Beginn festlegen
Prüf nie gegen ein Gefühl. Notiere für jeden Prüfpunkt, woher die Anforderung stammt, also aus welchem Abschnitt der Norm, welchem Baustein, welcher Richtlinie oder welchem Vertrag. Ohne benanntes Kriterium ist jede Diskussion über eine Feststellung eine Geschmacksfrage.
Stichproben ziehen, die etwas aussagen
Wähle die Fälle vorher und nachvollziehbar aus, statt dir zeigen zu lassen, was gut aussieht. Halte fest, aus welcher Grundgesamtheit du gezogen hast und wie viele Fälle du gesehen hast, denn genau das fragt die nächste Prüfung.
Feststellungen in vier Teilen schreiben
Kriterium, festgestellter Zustand, Nachweis und Wirkung. Erst der vierte Teil erzeugt Bewegung: Nicht die Abweichung von einem Normabschnitt bewegt die Leitung, sondern die Aussage, welches Risiko daraus entsteht und wen es trifft.
Zwischen wesentlich und geringfügig unterscheiden
Wenn jede Beobachtung gleich schwer wiegt, wird nichts umgesetzt. Trenne den Ausfall eines ganzen Verfahrens von der einzelnen Abweichung im Einzelfall, und begründe die Einstufung, statt sie zu behaupten.
Ursache statt Symptom benennen
Zehn nicht gesperrte Zugänge sind kein Problem der Administration, sondern meist ein fehlender Auslöser aus der Personalabteilung. Eine Maßnahme, die am Symptom ansetzt, taucht im nächsten Audit unverändert wieder auf.
Nachverfolgung einplanen, bevor der Bericht rausgeht
Zu jeder Feststellung gehören eine verantwortliche Person, ein Termin und die Frage, woran die Umsetzung erkennbar sein wird. Ohne diese drei Angaben ist der Bericht eine Sammlung von Beobachtungen und kein Auslöser für Veränderung.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Drei Prüfarten, die im Alltag ständig verwechselt werden
Die interne Revision prüft im Auftrag der eigenen Leitung, berichtet an sie und darf ihren Prüfplan aus der Risikolage ableiten. Ihr Nutzen entsteht daraus, dass sie unbequeme Themen aufgreifen kann, ohne dass ein Kunde oder eine Zertifizierungsstelle danach fragt. Die Kehrseite ist die Nähe zum Haus: Wer denselben Leuten jedes Jahr begegnet, muss sich die Unabhängigkeit organisatorisch sichern lassen, üblicherweise über eine direkte Anbindung an die Leitung und ein Vetorecht bei der Prüfplanung.
Das Zertifizierungsaudit prüft gegen eine Norm, meist ISO/IEC 27001, und folgt einem festen Ablauf. In der ersten Stufe wird geprüft, ob Dokumentation, Anwendungsbereich und Erklärung zur Anwendbarkeit stimmig sind, in der zweiten die tatsächliche Umsetzung im Betrieb. Über das Zertifikat entscheidet nicht das Auditteam, sondern die Zertifizierungsstelle, und diese wiederum wird von der Deutschen Akkreditierungsstelle überwacht. Nach der Erteilung folgen Überwachungsaudits in den Zwischenjahren und nach drei Jahren die Rezertifizierung. Bei einer Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz kommt hinzu, dass die Auditoren beim BSI zertifiziert sein müssen und der Auditbericht dort eingereicht wird.
Die dritte Art ist die Prüfung für Dritte, und sie wird am häufigsten unterschätzt. Wenn ihr eine Leistung für andere Unternehmen erbringt, verlangen deren Prüfer irgendwann einen Bericht über euer internes Kontrollsystem, in Deutschland typischerweise nach dem Prüfungsstandard des Instituts der Wirtschaftsprüfer, international nach ISAE 3402. Wichtig ist dort der Unterschied zwischen der Beurteilung der Angemessenheit zu einem Stichtag und der Beurteilung der Wirksamkeit über einen Zeitraum. Wer das verwechselt, verspricht dem Kunden einen Bericht, den er nicht bekommt, weil die Nachweise für den zurückliegenden Zeitraum fehlen.
Wie eine Prüfung tatsächlich abläuft und woran sie scheitert
Der Großteil der Arbeit liegt vor dem Termin. Du grenzt den Umfang ab, legst den geprüften Zeitraum fest, forderst Unterlagen an und baust daraus einen Prüfplan mit benannten Kriterien. Vor Ort geht es dann nicht um Vorträge, sondern um Nachweise: Zeig mir die letzten fünf Änderungen an dieser Firewall mit der zugehörigen Freigabe. Zeig mir für diese drei Austritte, wann die Konten gesperrt wurden. Zeig mir den letzten Wiederherstellungstest und das Protokoll dazu. Antworten, die mit dem Satz beginnen, dass man das eigentlich so mache, sind keine.
Danach kommt der Teil, den viele unterschätzen: der Abgleich der Sachrichtigkeit. Bevor eine Feststellung in den Bericht geht, sieht die geprüfte Seite sie und kann Fakten richtigstellen. Der Zweck ist, sachliche Fehler zu finden, nicht die Einstufung zu verhandeln. Wenn dieser Unterschied verwischt, verlierst du entweder den Bericht oder die Zusammenarbeit, und beides ist schwer zurückzuholen.
Scheitern tut eine Prüfung fast nie an der Technik. Sie scheitert daran, dass der Umfang unklar war und mitten im Audit wächst, dass Nachweise für den Zeitraum nicht existieren, weil niemand sie aufbewahrt hat, oder daran, dass die Feststellungen ohne Wirkung formuliert sind. Ein Bericht mit dreißig gleichrangigen Punkten erzeugt keine Priorität, sondern Ermüdung, und im nächsten Jahr stehen dieselben dreißig Punkte darin.
Die Grenze zum Sicherheitsbeauftragten, und warum sie hart ist
Der Informationssicherheitsbeauftragte baut das Managementsystem auf, führt die Risikobeurteilung, schreibt Richtlinien und sorgt dafür, dass Maßnahmen umgesetzt werden. Der Auditor prüft, ob das, was dort beschrieben ist, im Alltag stattfindet, und ob es zu den Anforderungen passt. Beides in einer Person ist in kleinen Häusern verlockend und im Ergebnis wertlos, weil niemand die eigene Arbeit ernsthaft prüft. Der übliche Ausweg in kleinen Organisationen ist, die interne Prüfung an eine andere Abteilung oder an externe Auditoren zu geben.
Die zweite Grenze verläuft zur Beratung. Wer eine Organisation auf die Zertifizierung vorbereitet hat, darf sie in aller Regel nicht auch zertifizieren, und viele Häuser übertragen diese Regel sinnvollerweise auch auf interne Verhältnisse. Praktisch heißt das: Du darfst sagen, dass ein Nachweis fehlt, und du darfst erklären, welche Art von Nachweis üblich ist. Zu entscheiden, welches Werkzeug beschafft wird oder wie der Prozess künftig aussieht, gehört nicht mehr zu deiner Rolle.
Die dritte Grenze ist die zur Leitung. Ein Auditor kann kein Risiko akzeptieren, das ist eine Entscheidung mit Folgen, und sie gehört dorthin, wo die Verantwortung sitzt. Deine Aufgabe endet damit, die Entscheidung so vorzubereiten, dass sie bewusst und schriftlich getroffen werden kann. Genau daran misst sich die Qualität der Rolle, und nicht an der Zahl der gefundenen Abweichungen.
Der Weg hinein und was die Nachweise wirklich belegen
Es gibt drei übliche Herkünfte. Aus dem IT-Betrieb, also aus Administration, Netz oder Identitätsverwaltung, kommst du mit dem Vorteil, dass du erkennst, ob eine Antwort plausibel ist, und mit der Aufgabe, dir Prüfungsmethodik und Berichtssprache anzueignen. Aus der Wirtschaftsprüfung kommst du mit Methodik und Berichtssicherheit und musst dir die Technik erarbeiten. Der dritte Weg führt aus der internen Revision anderer Fachgebiete in die IT-Prüfung hinein, und dort ist die Fachlücke am größten.
Bei den Nachweisen lohnt der genaue Blick, weil sie Unterschiedliches belegen. Der CISA der ISACA verlangt neben der bestandenen Prüfung mehrere Jahre nachgewiesene Berufserfahrung in der Prüfung, Steuerung oder Sicherheit von Informationssystemen und danach den regelmäßigen Nachweis von Fortbildung, sonst verfällt er. Eine Lead-Auditor-Qualifikation für ISO/IEC 27001 belegt, dass du ein Auditteam nach den Regeln für die Auditierung von Managementsystemen führen kannst. Die Auditorenzertifizierung des BSI ist Voraussetzung, um Zertifizierungsaudits auf Basis von IT-Grundschutz überhaupt durchführen zu dürfen. Erst zusammen ergeben sie ein Bild, einzeln belegt keiner davon, dass jemand einen Bericht schreiben kann, der etwas bewegt.
Was im Bewerbungsgespräch trägt, ist eine konkrete Prüfung: Welches Kriterium, welche Grundgesamtheit, welche Stichprobe, welche Feststellung, und was ist danach passiert. Wer erzählen kann, wie aus einer Feststellung eine Maßnahme wurde, die im Folgejahr nachweislich stand, hat mehr vorzuweisen als jemand mit drei Zertifikaten und ohne eigene Berichte.
Woran du wächst, und wohin die Rolle führt
Zwei Auditoren mit gleicher Berufsdauer unterscheiden sich an zwei Stellen. Die erste ist die Fähigkeit, in einem Gespräch die richtige nächste Frage zu stellen, statt die Liste abzuarbeiten. Wer hört, dass Freigaben per Mail erteilt werden, fragt nach dem Postfach, nach der Aufbewahrung und nach dem Fall, in dem jemand im Urlaub war. Die zweite ist die Wirkung des Berichts: Ob eine Feststellung umgesetzt wird, entscheidet sich daran, ob die Leitung erkennt, was auf dem Spiel steht.
Der dritte Unterschied ist Haltung. Prüfung erzeugt Widerstand, und wer ihn vermeidet, verwässert Feststellungen. Wer ihn sucht, bekommt keine Nachweise mehr freiwillig zu sehen. Die tragfähige Mitte ist, hart in der Sache und ruhig im Ton zu bleiben, jede Feststellung mit einem Beleg zu unterlegen und nie über Personen zu schreiben, sondern über Verfahren.
Weiter geht es in mehrere Richtungen. Innerhalb der Prüfung zur Leitung eines Auditteams oder der internen Revision, fachlich in Spezialisierungen wie Cloud-Prüfungen, Prüfung von Auslagerungen oder Prüfung von Systemen mit maschinellem Lernen. Ein Wechsel auf die andere Seite ist ebenfalls üblich, also in die Rolle des Informationssicherheitsbeauftragten oder in die Compliance, und er ist ein echter Rollenwechsel: Du entscheidest dann mit und darfst genau deshalb nicht mehr prüfen, was du verantwortest.
Dazu passende Kurse
Wie ein Auditplan entsteht, welche Nachweise zählen und wie eine Feststellung formuliert sein muss, üben Kurse, in denen du eine Prüfung nach Grundschutz von der Planung bis zum Bericht führst .
Wer wissen will, wie sich die Anforderungen der einzelnen Normen unterscheiden, findet in die Trainings rund um Normen und Zertifizierungsverfahren den Überblick dazu.
Warum es zu dieser Rolle keine amtliche Zahl gibt
Für Prüfungsrollen in der IT führt die amtliche Verdiensterhebung keine eigene Berufsgattung, weil dieselbe Tätigkeit in ganz unterschiedlichen Zusammenhängen ausgeübt wird: in der internen Revision eines Unternehmens, in einer Wirtschaftsprüfungsgesellschaft, bei einer Zertifizierungsstelle oder in einer Behörde. Je nachdem erscheinen diese Personen in der Statistik unter Revision und Rechnungswesen, unter Informatik oder unter IT-Organisation, und eine Zahl über alle vier hinweg würde nichts Gemeinsames beschreiben. Was den Verdienst hier tatsächlich prägt, ist das Prüfumfeld: Ein Auditor, der externe Zertifizierungen fährt oder Berichte für Kunden verantwortet, verhandelt anders als jemand, der im eigenen Haus ein festes Prüfprogramm abarbeitet. Dazu kommen anerkannte Nachweise wie der CISA, die in dieser Nische stärker wiegen als in anderen IT-Rollen, weil manche Aufträge sie voraussetzen.
Wo du genau das übst
Ein sehr gutes, praxisorientiertes und nachhaltiges Seminar. So sollte es immer sein. Vielen Dank.
Ein sehr guter und verständlicher Überblick über die Grundlagen im Umgang mit BricsCAD.
Alle meine Erwartungen wurden erfüllt und ich habe mich sehr gut aufgenommen gefühlt, jede Frage wurden Probleme direkt beseitigt.
Häufige Fragen
Muss ein IT-Auditor selbst administrieren können?
Worin unterscheidet sich der IT-Auditor vom Informationssicherheitsbeauftragten?
Welches Zertifikat lohnt sich zuerst?
Was mache ich, wenn die geprüfte Seite eine Feststellung nicht akzeptiert?
Passt thematisch dazu
Weil die Trennung zwischen Aufbau und Prüfung über die Belastbarkeit jedes Ergebnisses entscheidet, lohnt der Blick darauf, was auf der anderen Seite des Tisches tatsächlich verantwortet wird .
Vor dem ersten Prüfplan solltest du sicher wissen, welches der beiden Dokumente Anforderungen enthält und welches die Umsetzung erklärt .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem IT-Berufe-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Eine Prüfung einmal vollständig durchgehen, von der Planung bis zum Bericht
Kriterium, Stichprobe, Feststellung und Nachschau lassen sich schwer nachlesen und gut an einem durchgespielten Prüffall lernen, und bei cmt sitzen dabei Leute aus geprüften und aus prüfenden Häusern nebeneinander.