16 Tipps für Audits ohne Schweißausbruch und Theaternebel

Ein Audit z. B. nach ISO 27001 ist kein Verhör, keine Schatzsuche und auch keine Folge von „Aktenzeichen XY“. Trotzdem sorgt der Besuch eines Auditors in manchen Unternehmen für eine Stimmung, als würde gerade unangekündigt die Steuerfahndung vor der Tür stehen.

Dabei lässt sich ein Audit deutlich entspannter gestalten – wenn einige einfache Regeln beachtet werden.

1. Informieren Sie alle Beteiligten rechtzeitig

Nichts ist unangenehmer als das Getuschel, wenn plötzlich ein fremder Mensch mit Notizblock durchs Unternehmen geführt wird und niemand weiß, wer er ist und warum er so interessiert auf die Bildschirme schaut. Wer weiß, dass ein Audit stattfindet, antwortet entspannter – und meistens auch ehrlicher. Die Beschäftigten sollten daher vorab zumindest wissen:

• wann das Audit stattfindet,

• worum es geht,

• welche Bereiche betrachtet werden,

• wer als Ansprechpartner zur Verfügung steht.

Die Information sollte allerdings nicht lauten:

„Am Dienstag kommt der Auditor. Bitte benehmen Sie sich unauffällig.“

Das weckt eher Fragen, als dass es Sicherheit schafft.

2. Antworten Sie nur auf die gestellte Frage

Ein Audit ist kein Quiz mit Extrapunkten. Wer gefragt wird, wie Zugriffsrechte vergeben werden, muss nicht zusätzlich die gesamte Geschichte der IT-Abteilung seit 2007 erzählen. Sätze wie

„Ach, wo Sie gerade fragen …“

oder

„Da fällt mir noch etwas ganz anderes ein …“

enden erstaunlich häufig mit einer neuen Nebenbaustelle. Antworten Sie präzise, verständlich und vollständig – aber nicht darüber hinaus. Ein Auditor stellt weitere Fragen, wenn er weitere Informationen benötigt. Er ist darin meistens recht geübt.

3. Spielen Sie kein Theater

Jedes Unternehmen hat Ecken, die noch nicht perfekt sind. Wenn der Auditor genau dort stehen bleibt, sagen Sie einfach:

„Ja, das ist uns bekannt. Wir haben das bewertet und arbeiten bereits an der Verbesserung.“

Das wirkt deutlich überzeugender als hektisches Schönreden, spontane Ausreden oder der Versuch, den Auditor möglichst schnell in einen anderen Raum zu führen.

Besonders verdächtig ist übrigens der Satz:

„Normalerweise machen wir das immer anders.“

Dieser Satz fällt in Audits erstaunlich oft – meistens genau dann, wenn niemand zeigen kann, wie es normalerweise gemacht wird.

4. Seien Sie ehrlich – vor allem, wenn Sie etwas nicht wissen

„Das weiß ich gerade nicht. Ich frage den zuständigen Kollegen.“

Das ist eine völlig legitime Antwort. Eine ausgedachte Erklärung wirkt vielleicht für einige Sekunden souverän. Spätestens bei der zweiten Nachfrage beginnt das Kartenhaus jedoch zu wackeln. Ein Auditor erwartet kein Unternehmen, in dem jeder Beschäftigte sämtliche Richtlinien, Risikobewertungen und Notfallpläne auswendig aufsagen kann. Er erwartet Ehrlichkeit, nachvollziehbare Prozesse und die Fähigkeit, die richtige Information zu beschaffen. Alles andere ist Theater. Und Theater erkennt ein Auditor meistens spätestens nach der dritten Frage.

5. Machen Sie den Auditor nicht zum Gegner

Der Auditor ist nicht da, um Ihnen persönlich etwas auszuwischen. Wer jede Frage als Angriff versteht, macht das Audit anstrengender als nötig. Defensive Antworten, verschränkte Arme und ein Tonfall wie vor Gericht helfen niemandem. Ein gutes Audit ist kein Boxkampf. Es ist ein Fachgespräch auf Augenhöhe – idealerweise mit Mehrwert für beide Seiten. Natürlich prüft der Auditor kritisch. Das ist schließlich seine Aufgabe. Aber Kritik an einem Prozess ist nicht automatisch Kritik an der Person, die gerade danebensteht.

6. Sorgen Sie dafür, dass Unterlagen auffindbar sind

Ein Dokument, das theoretisch existiert, aber niemand finden kann, hat im Audit nur einen begrenzten Nutzen. Sätze wie

„Das müsste irgendwo im SharePoint liegen“

oder

„Ich glaube, Petra hat damals eine Excel-Datei dazu gemacht“

sind kein belastbarer Nachweis. Prüfen Sie deshalb vor dem Audit, ob wichtige Unterlagen schnell verfügbar sind. Dazu gehören beispielsweise:

• Informationssicherheitsleitlinien,

• Risikobewertungen,

• Maßnahmenpläne,

• Berechtigungskonzepte,

• Schulungsnachweise,

• Protokolle,

• Notfall- und Wiederanlaufpläne,

• Ergebnisse interner Audits,

• Managementbewertungen.

Dabei gilt: Nicht möglichst viele Dokumente überzeugen den Auditor, sondern die richtigen Dokumente zur richtigen Frage. Ein 200-seitiges Handbuch, das niemand kennt, ist kein Informationssicherheitsmanagementsystem. Es ist ein sehr schwerer Türstopper. Und lieber hat man Zugriff auf eine – vielleicht noch nicht optimale – Dokumentation, als gar keine.

7. Prüfen Sie, ob die Praxis zur Dokumentation passt

Auditoren vergleichen gerne zwei Dinge: Was steht geschrieben? Und was passiert tatsächlich?

Wenn in der Richtlinie steht, dass Benutzerkonten innerhalb von 24 Stunden nach dem Austritt gesperrt werden, sollte die Praxis nicht lauten:

„Wir sammeln das immer bis zum Monatsende.“

Abweichungen zwischen Papier und Realität sind häufig kritischer als ein offen dokumentierter, aber verbesserungsbedürftiger Prozess. Deshalb sollten Sie vor dem Audit nicht nur die Dokumente lesen, sondern auch prüfen, ob die beschriebenen Abläufe wirklich gelebt werden. Papier ist geduldig. Auditoren sind es nur begrenzt.

8. Bereiten Sie die Ansprechpartner vor – aber lernen Sie keine Texte auswendig

Die Personen, die im Audit befragt werden, sollten wissen, welche Aufgaben sie im Informationssicherheitsmanagement haben. Sie müssen keine Normkapitel zitieren können. Ein Administrator muss nicht wissen, ob eine Anforderung in Kapitel 6.1.2 oder in Anhang A steht. Er sollte aber erklären können, wie Zugriffe vergeben, überprüft und entzogen werden.

Auswendig gelernte Antworten wirken meist genauso wie ein Werbespot für Waschmittel. Hilfreicher ist es, wenn die Beschäftigten ihre tatsächlichen Abläufe anhand konkreter Beispiele erläutern können.

9. Benennen Sie einen Auditkoordinator

Während des Audits sollte eine Person den Überblick behalten. Der Auditkoordinator sorgt dafür, dass

• Gesprächspartner erreichbar sind,

• Termine eingehalten werden,

• Unterlagen bereitgestellt werden,

• offene Punkte notiert werden,

• Nachweise nachgereicht werden,

• nicht fünf Personen gleichzeitig versuchen, dieselbe Frage unterschiedlich zu beantworten.

Ohne Koordination entwickelt sich ein Audit schnell zu einer betrieblichen Schnitzeljagd.

10. Verstecken Sie keine Altlasten – bewerten Sie sie

Veraltete Systeme, technische Schulden und historisch gewachsene Prozesse sind in vielen Unternehmen Realität. Der Auditor erwartet nicht zwingend, dass alles sofort ersetzt wird. Er erwartet aber, dass Risiken bekannt, bewertet und angemessen behandelt werden. Ein altes System ist nicht automatisch eine Abweichung.

Ein altes System, das niemand betreut, niemand bewertet hat und dessen Administratorpasswort auf einem gelben Zettel klebt, könnte dagegen Gesprächsbedarf auslösen. Entscheidend ist, dass das Unternehmen Risiken bewusst steuert und nicht darauf vertraut, dass schon nichts passieren wird. „Das läuft seit zehn Jahren problemlos“ ist keine Risikobehandlung. Es ist Hoffnung mit Betriebsdauer.

11. Räumen Sie auf – aber nicht nur für den Auditor

Ein wenig Ordnung vor dem Audit ist sinnvoll. Dazu gehören beispielsweise:

• keine offen herumliegenden Passwörter,

• keine unbeaufsichtigten vertraulichen Dokumente,

• gesperrte Bildschirme bei verlassenen Arbeitsplätzen,

• geschlossene Server- und Technikräume,

• nachvollziehbare Besucherregelungen,

• ordentlich geführte Zutrittslisten.

Es sollte jedoch nicht darum gehen, für einen Tag eine künstliche Sicherheitswelt aufzubauen. Wenn am Auditmorgen plötzlich alle Schreibtische leer, alle Türen abgeschlossen und alle Mitarbeitenden ungewöhnlich still sind, wirkt das nicht automatisch sicher. Es wirkt eher so, als hätte jemand vorher gewarnt.

12. Vermeiden Sie widersprüchliche Antworten

Wenn drei Personen denselben Prozess erklären, sollten nicht vier verschiedene Varianten herauskommen. Unterschiedliche Antworten deuten häufig darauf hin, dass Rollen, Verantwortlichkeiten oder Abläufe nicht eindeutig geregelt sind. Vor dem Audit sollte deshalb geklärt werden:

• Wer ist für welchen Prozess verantwortlich?

• Wer darf verbindliche Aussagen treffen?

• Wer stellt welche Nachweise bereit?

• Welche Eskalationswege gelten?

Das bedeutet nicht, dass alle dasselbe auswendig lernen sollen. Es bedeutet lediglich, dass ein Prozess im Unternehmen nicht je nach Gesprächspartner eine andere Realität haben sollte.

13. Diskutieren Sie nicht jede Feststellung sofort weg

Nicht jede kritische Rückmeldung muss unmittelbar widerlegt werden. Manchmal ist es klüger, zunächst zuzuhören, nachzufragen und die Feststellung zu verstehen. Wer bereits nach den ersten drei Worten mit

„Das sehen wir aber ganz anders!“

reagiert, erfährt möglicherweise nie, was der Auditor eigentlich sagen wollte. Fragen Sie stattdessen:

„Welche konkrete Anforderung sehen Sie hier als nicht ausreichend erfüllt?“

oder:

„Welcher Nachweis fehlt Ihnen für die Bewertung?“

Das macht die Diskussion sachlich und verhindert, dass aus einer fachlichen Frage eine Grundsatzdebatte wird.

14. Notieren Sie offene Punkte sofort

Während eines Audits entstehen regelmäßig Aufgaben:

• Ein Dokument muss nachgereicht werden.

• Ein Ansprechpartner soll eine Frage ergänzen.

• Ein Nachweis ist noch zu suchen.

• Eine Aussage muss verifiziert werden.

• Eine mögliche Verbesserung wird erkannt.

Diese Punkte sollten zentral dokumentiert und mit Verantwortlichen versehen werden. Die Formulierung „Das merken wir uns“ ist im Audit ähnlich verlässlich wie die Aussage: „Ich brauche dafür keinen Einkaufszettel.“

15. Nutzen Sie das Audit als Realitätscheck

Ein Audit sollte nicht nur bestanden werden. Es sollte Erkenntnisse liefern. Die entscheidende Frage lautet nicht allein:

„Haben wir eine Abweichung?“

Sondern auch:

„Wo sind unsere Prozesse unnötig kompliziert, unklar oder störanfällig?“

Gute Auditoren erkennen häufig Schwachstellen, die intern längst als normal angesehen werden. Diese Hinweise sind nicht immer angenehm, können aber sehr wertvoll sein. Das Audit ist damit keine jährliche Pflichtübung, sondern eine Gelegenheit, das Informationssicherheitsmanagement auf seine Alltagstauglichkeit zu prüfen.

16. Nach dem Audit ist vor dem Audit

Wenn das Audit beendet ist, sollten Feststellungen und Hinweise zeitnah ausgewertet werden. Dabei sind folgende Fragen hilfreich:

• Was wurde festgestellt?

• Was ist die Ursache?

• Welche Maßnahme ist erforderlich?

• Wer ist verantwortlich?

• Bis wann wird die Maßnahme umgesetzt?

• Wie wird die Wirksamkeit geprüft?

Eine schnelle Korrektur des sichtbaren Problems reicht nicht immer aus. Wenn beispielsweise eine Berechtigungsprüfung fehlt, ist die Lösung nicht nur, diese eine Prüfung nachzuholen. Es sollte auch geklärt werden, warum sie versäumt wurde und wie dies künftig verhindert wird. Sonst trifft man dieselbe Feststellung beim nächsten Audit wieder. Und Wiedersehen macht nicht in jedem Fall Freude.

Fazit

Ein ISO-27001-Audit wird vor allem dann unangenehm, wenn Unternehmen versuchen, Perfektion darzustellen, die im Alltag nicht existiert. Deutlich überzeugender sind:

• ehrliche Antworten,

• nachvollziehbare Prozesse,

• auffindbare Nachweise,

• bekannte Schwachstellen,

• klare Verantwortlichkeiten,

• ernst gemeinte Verbesserungsmaßnahmen.

in Auditor erwartet kein Unternehmen ohne Probleme. Er weiß, daß Fehler passieren können, Abhängigkeiten vorhanden sind, oft Zeitnot und Kostendenken herrschen, ganz zu schweigen vom „Menschlichen Faktor“. Er erwartet daher keine Perfektion, sondern ein Unternehmen, das seine Risiken kennt, Entscheidungen nachvollziehbar trifft und seine Informationssicherheit systematisch verbessert. Oder etwas einfacher gesagt:

Zeigen Sie nicht, dass bei Ihnen niemals etwas schiefgeht. Das glaubt ihnen niemand, auch der Auditor nicht. Zeigen Sie, dass Sie merken, wenn etwas schiefgeht – und dass Sie dann wissen, was zu tun ist.

Das Audit wird so zum Hilfsmittel, nicht zu einer unangenehmen Prüfung oder „Märchenstunde“!

Wir helfen dabei, es erfolgreich zu gestalten, sprechen Sie uns an!