Methode
Die Methode hinter dem IT-Audit.
Warum die Prüfung beim Fundament beginnt und an der Spitze ein Befund steht.
Ein gutes IT-Audit folgt einer Methode. Diese Seite beschreibt, wie der IT-Check von vetosec vorgeht und warum die Prüfung wie eine Pyramide von unten nach oben aufgebaut ist.
Von der Infrastruktur zum Befund
Die Prüfung beginnt beim Fundament und arbeitet sich nach oben. Jede Ebene baut auf der darunterliegenden auf: ein sauberes Benutzerkonzept hilft wenig, wenn das Netzwerk offen steht. Auf jeder Ebene wird auch aktiv geprüft: ein leichter Penetrationstest sucht nach vorhandenen Angriffspfaden, etwa über Netzwerk- und Domain-Analyse, und lässt kritische Systeme dabei unangetastet.
Ebene 1: Netzwerk und Infrastruktur
Zuerst wird das Fundament vermessen: Firewall, Netzaufbau, Serverraum, Stromversorgung. Hier entscheidet sich, wie gut ein Betrieb von außen und physisch geschützt ist.
Ebene 2: Systeme und Daten
Darauf folgen Server, Arbeitsplätze und die Datensicherung. Im Zentrum steht die Frage, ob im Ernstfall wiederhergestellt werden kann und ob eine Sicherungskopie einem Erpressungsversuch standhält.
Ebene 3: Prozesse und Zugriffe
Auf der dritten Ebene geht es um Menschen und Abläufe: Wer hat welche Rechte, was passiert bei Ein- und Austritten, wie werden E-Mail und Domain geschützt, wie werden die technischen Pflichten der DSGVO gelebt.
Die Spitze: Befund und Maßnahmen
An der Spitze laufen alle Ergebnisse zusammen. Der Auditbericht dokumentiert jeden geprüften Punkt, bewertet Risiken und ordnet die Maßnahmen nach Wirkung und Aufwand. Die Ergebnisse werden persönlich vorgestellt.
Konfigurationsprüfung und Angriffspfadanalyse
Ein Konfigurationsvergleich zeigt, ob Einstellungen von einer Vorgabe abweichen. Ebenso wichtig ist die Frage, was ein Angreifer mit dem vorgefundenen Zustand tatsächlich anfangen könnte. Deshalb prüft das Audit beides: den Soll-Ist-Vergleich und die vorhandenen Wege durch Netz und Domain. Ein Befund benennt damit die Abweichung und ihre Folge.
Was einen guten Auditbericht ausmacht
- Er ist für die Geschäftsführung verständlich und für die IT konkret genug zum Umsetzen.
- Jede Feststellung ist nachvollziehbar begründet.
- Die Maßnahmen sind priorisiert, damit klar ist, was zuerst zählt.
- Er bleibt beim Betrieb und dient als Grundlage für spätere Prüfungen und Nachweise.
Audit und laufende Betreuung
Ein Audit ist eine Momentaufnahme mit klarem Anfang und Ende, die laufende Betreuung der tägliche Betrieb. Beides ergänzt sich: das Audit liefert die unabhängige Standortbestimmung, die Betreuung setzt um. Deshalb funktioniert der IT-Check auch gut als Zweitmeinung neben einem bestehenden IT-Partner.
Weiterführende Quellen
- enisa.europa.eu: die europäische Agentur für Cybersicherheit
- bsi.bund.de: IT-Grundschutz und Standards des deutschen BSI
- ris.bka.gv.at: österreichische Rechtsvorschriften im Original, von der DSGVO bis zur GewO
- nis.gv.at: die österreichische NIS-Behörde zu Meldepflichten und Sicherheitsanforderungen
Der nächste Schritt
Wie die Methode auf Ihren Betrieb angewendet wird, klären wir in 20 Minuten. Für das Erstgespräch entstehen keine Kosten, danach entscheiden Sie in Ruhe. Schriftliche Anfragen beantworten wir über die Kontaktseite.