IT-Security-Audits mit klarer Messlatte

Compliance-Audits prüfen, ob ein Managementsystem definierte Anforderungen erfüllt – etwa interne Audits nach ISO/IEC 27001 (Kapitel 9.2) oder Zertifizierungs- und Überwachungsaudits durch akkreditierte Stellen. Technische Security-Audits setzen eine Ebene tiefer an: Sie messen den Ist-Zustand konkreter Systeme – Konfigurationen, Berechtigungen, Regelwerke – gegen eine technische Messlatte wie einen CIS Benchmark oder einen IT-Grundschutz-Baustein. Beide Perspektiven ergänzen sich: Das Compliance-Audit belegt einen funktionierenden Prozess, das technische Audit den tatsächlichen Härtungsgrad. Ein Zertifikat allein sagt daher wenig über die Konfigurationsqualität einzelner Systeme aus – und umgekehrt.

In der Praxis haben sich fokussierte Formate etabliert. Ein Active-Directory-Security-Audit untersucht Berechtigungs- und Delegationsstrukturen, privilegierte Konten und Gruppen, Vertrauensstellungen und die Härtung der Domänencontroller – als zentrales Identitätssystem ist das AD ein bevorzugtes Angriffsziel. Ein M365-/Cloud-Konfigurationsaudit bewertet Mandanteneinstellungen, Identitäts- und Zugriffsrichtlinien, Protokollierung und externe Freigaben gegen Kataloge wie den CIS Microsoft 365 Foundations Benchmark. Das Firewall-Regelwerks-Review prüft die Regelbasis auf zu breite Freigaben, verwaiste und redundante Regeln sowie den Change-Prozess; ein Architektur-Review bewertet übergreifend Netzsegmentierung, Zonenkonzepte und administrative Zugriffswege.

Die CIS Benchmarks des Center for Internet Security sind konsensbasierte, herstellerneutrale Konfigurationsvorgaben – über 100 Leitfäden für mehr als 25 Produktfamilien, von Betriebssystemen über Cloud-Plattformen bis zu Netzwerkkomponenten. Jede Empfehlung nennt den sicheren Sollwert samt Prüf- und Umsetzungsschritten; die meisten Benchmarks sind in zwei Profile gegliedert: Level 1 für eine Basisabsicherung mit geringen Betriebsauswirkungen, Level 2 für erhöhten Schutzbedarf. Daneben pflegen Hersteller eigene Baselines: Microsoft veröffentlicht laufend aktualisierte Security Baselines für Windows, Windows Server und weitere Produkte, die sich über das Security Compliance Toolkit mit bestehenden Gruppenrichtlinien vergleichen lassen. Für Audits gilt: Messlatte, Version und Profil gehören explizit in den Bericht – sonst sind Ergebnisse nicht reproduzierbar.

Das IT-Grundschutz-Kompendium des BSI (Edition 2023) enthält 111 Bausteine in zehn Schichten und formuliert je Baustein Basis- und Standard-Anforderungen sowie Anforderungen bei erhöhtem Schutzbedarf. Für technische Audits besonders relevant sind systemnahe Bausteine wie APP.2.2 Active Directory Domain Services – für die Edition 2023 vollständig überarbeitet – oder NET.3.2 Firewall. Gegenüber den detaillierten Einstellungsvorgaben der CIS Benchmarks sind Grundschutz-Bausteine abstrakter, decken dafür auch organisatorische und betriebliche Aspekte ab und lassen sich direkt an ein ISMS nach BSI-Standards oder ISO/IEC 27001 anbinden. Das BSI entwickelt den IT-Grundschutz derzeit zu einem vollständig prozessorientierten, digitalen Regelwerk weiter, dessen Regeln auch maschinell ausgewertet werden können; das Kompendium bleibt nach BSI-Angaben während der mehrjährigen Übergangszeit anwendbar.

Methodisch orientieren sich Security-Audits an ISO 19011, dem Leitfaden zur Auditierung von Managementsystemen: definierte Auditziele und -kriterien, ein geplantes Auditprogramm und evidenzbasierte Feststellungen. Der typische Ablauf: Scoping (Systeme, Messlatte, Schutzbedarf), Datenerhebung über Konfigurationsexporte, lesende Tool-Zugriffe, Interviews und Dokumentensichtung, danach der Abgleich gegen die Messlatte und die Bewertung jeder Abweichung im Kontext – nicht jede Abweichung ist ein Risiko, wenn kompensierende Kontrollen greifen. Der Bericht trennt eine Management-Summary mit Gesamtbild und Top-Risiken vom technischen Teil, in dem jede Feststellung mit Evidenz, Risikobewertung und konkreter Empfehlung dokumentiert ist. Entscheidend ist die Priorisierung nach tatsächlichem Risiko statt nach reinem Checklisten-Erfüllungsgrad.

Einen allgemeinverbindlichen Prüfrhythmus für technische Audits gibt es nicht – der Turnus sollte risikobasiert festgelegt werden. Bewährt hat sich, kritische Systeme wie Active Directory, zentrale Firewalls und Cloud-Mandanten jährlich sowie zusätzlich nach wesentlichen Änderungen (Migrationen, neue Plattformen, Unternehmenszusammenschlüsse) zu prüfen. Auf Compliance-Ebene verlangt ISO/IEC 27001 interne Audits in geplanten Abständen (Kapitel 9.2); Zertifikate laufen im Drei-Jahres-Zyklus mit jährlichen Überwachungsaudits. Da CIS Benchmarks und Hersteller-Baselines laufend aktualisiert werden und Konfigurationen im Betrieb driften, ergänzen viele Organisationen punktuelle Audits um eine kontinuierliche, toolgestützte Konfigurationsüberwachung.