Was ist eine IT-Revision?
Die IT-Revision untersucht, ob die Informationstechnik eines Unternehmens ordnungsgemäß, sicher, wirtschaftlich und nachvollziehbar organisiert ist.
Sie betrachtet dabei nicht nur einzelne technische Systeme, sondern das Zusammenspiel von:
- IT-Prozessen,
- Verantwortlichkeiten,
- technischen Kontrollen,
- organisatorischen Regelungen,
- Dokumentationen,
- Dienstleistern,
- gesetzlichen und vertraglichen Anforderungen.
Eine IT-Revision soll feststellen, ob bestehende Kontrollen geeignet und wirksam sind und ob wesentliche Risiken angemessen behandelt werden.
Welche Ziele verfolgt eine IT-Revision?
Die IT-Revision soll Transparenz über Risiken, Schwachstellen und Kontrolllücken schaffen.
Zu den typischen Zielen gehören:
- Überprüfung der Ordnungsmäßigkeit des IT-Betriebs,
- Bewertung der Informationssicherheit,
- Prüfung von Verantwortlichkeiten und Zuständigkeiten,
- Kontrolle von Berechtigungen und Zugriffen,
- Bewertung von Notfall- und Wiederherstellungsverfahren,
- Überprüfung externer IT-Dienstleister,
- Feststellung von Dokumentationslücken,
- Bewertung gesetzlicher und vertraglicher Anforderungen,
- Ableitung konkreter Verbesserungsmaßnahmen.
Welche Bereiche können geprüft werden?
Der konkrete Prüfungsumfang richtet sich nach Zielsetzung, Unternehmensgröße, Risikolage und Auftrag.
Typische Prüfbereiche sind:
- IT-Organisation und Governance,
- Informationssicherheitsmanagement,
- Benutzer- und Berechtigungsmanagement,
- Datensicherung und Wiederherstellung,
- Notfallmanagement,
- Patch- und Schwachstellenmanagement,
- Netzwerk- und Systemsicherheit,
- Cloud- und M365-Umgebungen,
- Webseiten- und Domain-Sicherheit,
- IT-Dienstleister und Outsourcing,
- Datenschutz und technische Schutzmaßnahmen,
- Änderungs- und Entwicklungsprozesse,
- Protokollierung und Überwachung.
Was ist der Unterschied zwischen IT-Revision und IT-Audit?
Die Begriffe IT-Revision und IT-Audit werden in der Praxis teilweise ähnlich verwendet.
Ein IT-Audit bezeichnet häufig eine abgegrenzte Prüfung anhand konkreter Anforderungen oder Standards.
Die IT-Revision ist meist breiter in die interne oder externe Überwachungsfunktion eines Unternehmens eingebettet.
Vereinfacht kann unterschieden werden:
- Ein IT-Audit prüft häufig einen festgelegten Bereich oder Standard.
- Die IT-Revision bewertet zusätzlich die Angemessenheit und Wirksamkeit der gesamten Kontroll- und Organisationsstruktur.
Die tatsächliche Abgrenzung hängt vom Prüfauftrag und vom verwendeten Begriffsverständnis ab.
Was bedeutet Unabhängigkeit?
Eine Revision sollte ihre Prüfung möglichst unabhängig und objektiv durchführen können.
Die prüfende Person sollte nicht ausschließlich die eigenen Tätigkeiten oder Entscheidungen bewerten.
Unabhängigkeit bedeutet insbesondere:
- keine unmittelbare operative Verantwortung für den Prüfbereich,
- freie Bewertung der festgestellten Sachverhalte,
- ungehinderter Zugang zu erforderlichen Informationen,
- transparente Offenlegung möglicher Interessenkonflikte,
- unverfälschte Berichterstattung an den Auftraggeber.
Bei kleineren Unternehmen kann eine externe IT-Revision helfen, ausreichende fachliche Distanz herzustellen.
Wie wird eine IT-Revision vorbereitet?
Vor Beginn müssen Ziel, Umfang und Rahmenbedingungen eindeutig festgelegt werden.
Zur Vorbereitung gehören typischerweise:
- Prüfauftrag definieren,
- Prüfziele festlegen,
- Geltungsbereich abgrenzen,
- Ansprechpartner bestimmen,
- relevante Unterlagen anfordern,
- Risiken und Schwerpunkte identifizieren,
- Prüfzeitraum und Termine abstimmen,
- Berichtsweg und Empfänger festlegen.
Ein klarer Prüfauftrag verhindert Missverständnisse und sorgt dafür, dass die Prüfung auf die wesentlichen Risiken ausgerichtet wird.
Welche Unterlagen werden benötigt?
Die benötigten Unterlagen hängen vom Prüfungsgegenstand ab.
Typische Dokumente und Nachweise sind:
- Organigramme und Rollenbeschreibungen,
- IT- und Sicherheitsrichtlinien,
- System- und Netzwerkübersichten,
- Berechtigungskonzepte,
- Benutzer- und Rollenlisten,
- Backup- und Notfallkonzepte,
- Dienstleisterverträge,
- Protokolle und Auswertungen,
- Risikoanalysen,
- Schulungsnachweise,
- Vorfall- und Maßnahmenlisten,
- Ergebnisse früherer Prüfungen.
Entscheidend ist nicht nur, ob Dokumente vorhanden sind, sondern ob sie aktuell sind und mit der tatsächlichen Praxis übereinstimmen.
Wie läuft eine IT-Revision ab?
Eine IT-Revision wird üblicherweise in mehreren Phasen durchgeführt.
- Prüfauftrag und Prüfungsumfang festlegen
- Unterlagen und vorhandene Kontrollen analysieren
- Interviews mit verantwortlichen Personen durchführen
- technische und organisatorische Nachweise prüfen
- Stichproben und Funktionstests durchführen
- Feststellungen bewerten
- Maßnahmen und Prioritäten ableiten
- Prüfbericht erstellen
- Ergebnisse mit dem Auftraggeber besprechen
- Umsetzung später nachverfolgen
Welche Prüfmethoden werden eingesetzt?
Die IT-Revision kombiniert unterschiedliche Prüfmethoden.
Dazu können gehören:
- Dokumentenprüfung,
- Interviews,
- Beobachtung von Abläufen,
- Stichproben,
- System- und Konfigurationsprüfung,
- Auswertung von Protokollen,
- Nachvollzug einzelner Geschäftsvorgänge,
- Vergleich mit internen oder externen Vorgaben,
- technische Tests und Schwachstellen-Scans.
Die Auswahl richtet sich danach, welche Aussagen mit ausreichender Sicherheit getroffen werden sollen.
Was wird beim Berechtigungsmanagement geprüft?
Berechtigungen bestimmen, wer auf Systeme, Anwendungen und Informationen zugreifen darf.
Typische Prüffragen sind:
- Wer genehmigt neue Zugriffsrechte?
- Werden Rechte regelmäßig überprüft?
- Werden Konten ausgeschiedener Beschäftigter rechtzeitig gesperrt?
- Sind administrative Rechte angemessen begrenzt?
- Werden Funktionstrennungen eingehalten?
- Sind Sammelkonten und gemeinsam verwendete Zugänge kontrolliert?
- Ist nachvollziehbar, wer welche Änderung vorgenommen hat?
Fehlerhafte Berechtigungen gehören zu den häufigsten organisatorischen Sicherheitsrisiken.
Wie werden Datensicherung und Wiederherstellung geprüft?
Eine vorhandene Datensicherung ist nur dann wirksam, wenn Daten im Ernstfall tatsächlich wiederhergestellt werden können.
Die Revision prüft deshalb beispielsweise:
- welche Systeme und Daten gesichert werden,
- wie häufig Sicherungen erfolgen,
- wie lange Sicherungen aufbewahrt werden,
- ob Backups getrennt vom Produktivsystem gespeichert werden,
- wer Zugriff auf die Sicherungen besitzt,
- ob Wiederherstellungstests stattfinden,
- ob Ergebnisse und Fehler dokumentiert werden.
Die Wiederherstellungsziele sollten zu den betrieblichen Anforderungen passen.
Welche Bedeutung hat das Notfallmanagement?
Das Notfallmanagement soll sicherstellen, dass kritische Geschäftsprozesse auch bei schweren Störungen fortgeführt oder innerhalb vertretbarer Zeit wiederhergestellt werden können.
Geprüft werden können:
- Notfallpläne,
- Alarmierungs- und Eskalationswege,
- Vertretungsregelungen,
- Ausweichverfahren,
- Wiederanlaufpläne,
- Kommunikationsprozesse,
- Notfallkontakte,
- regelmäßige Übungen und Tests.
Ein Notfallkonzept ist nur belastbar, wenn es aktuell, verständlich und praktisch erprobt ist.
Wie werden IT-Dienstleister geprüft?
Viele Unternehmen haben wesentliche IT-Leistungen an externe Anbieter ausgelagert.
Die Verantwortung für die angemessene Steuerung bleibt jedoch beim Auftraggeber.
Typische Prüffelder sind:
- Auswahl und Bewertung des Dienstleisters,
- vertragliche Sicherheitsanforderungen,
- Leistungs- und Verfügbarkeitsvereinbarungen,
- Meldepflichten bei Sicherheitsvorfällen,
- Zugriffsrechte des Dienstleisters,
- Einsatz von Unterauftragnehmern,
- Kontroll- und Nachweisrechte,
- Exit- und Wechselkonzepte.
Was sind Prüfungsfeststellungen?
Prüfungsfeststellungen beschreiben Abweichungen, Schwachstellen oder Verbesserungspotenziale, die während der Revision erkannt wurden.
Eine aussagekräftige Feststellung sollte enthalten:
- den geprüften Sachverhalt,
- den tatsächlichen Zustand,
- die zugrunde liegende Anforderung,
- das daraus entstehende Risiko,
- eine nachvollziehbare Bewertung,
- eine empfohlene Maßnahme.
Die Formulierung sollte sachlich, überprüfbar und frei von unnötigen Wertungen sein.
Wie werden Feststellungen bewertet?
Nicht jede Abweichung ist gleich kritisch.
Bei der Bewertung können unter anderem berücksichtigt werden:
- mögliche Schadenshöhe,
- Eintrittswahrscheinlichkeit,
- Bedeutung des betroffenen Systems,
- gesetzliche oder vertragliche Relevanz,
- bestehende kompensierende Maßnahmen,
- Aufwand und Dringlichkeit der Behebung,
- Auswirkungen auf Kunden und Geschäftsbetrieb.
Die Bewertung sollte nach einer einheitlichen und nachvollziehbaren Systematik erfolgen.
Was enthält ein Prüfbericht?
Der Prüfbericht fasst Auftrag, Vorgehen, Ergebnisse und Empfehlungen zusammen.
Typische Bestandteile sind:
- Auftrag und Prüfungsziel,
- Prüfungsumfang,
- Prüfungszeitraum,
- verwendete Prüfmethoden,
- Zusammenfassung der wesentlichen Ergebnisse,
- detaillierte Feststellungen,
- Risikobewertungen,
- Empfehlungen und Prioritäten,
- gegebenenfalls Stellungnahmen der Verantwortlichen.
Der Bericht sollte auch für fachlich nicht unmittelbar beteiligte Entscheidungsträger verständlich sein.
Was geschieht nach dem Prüfbericht?
Die IT-Revision ist mit der Übergabe des Berichts nicht abgeschlossen.
Die festgestellten Maßnahmen sollten in einen nachvollziehbaren Bearbeitungsprozess überführt werden.
Dazu gehören:
- Verantwortlichkeiten festlegen,
- Umsetzungstermine vereinbaren,
- Prioritäten bestätigen,
- Zwischenstände dokumentieren,
- Nachweise zur Umsetzung sammeln,
- Wirksamkeit kontrollieren,
- offene Risiken gegebenenfalls formal akzeptieren.
Eine spätere Nachschau kann prüfen, ob zugesagte Maßnahmen vollständig und wirksam umgesetzt wurden.
Wann ist eine IT-Revision sinnvoll?
Eine IT-Revision kann regelmäßig oder anlassbezogen durchgeführt werden.
Typische Anlässe sind:
- regelmäßige interne Kontrollplanung,
- Wachstum oder Umstrukturierung,
- Einführung neuer IT-Systeme,
- Auslagerung wichtiger IT-Leistungen,
- Sicherheits- oder Datenschutzvorfälle,
- Vorbereitung auf Zertifizierungen oder Kundenprüfungen,
- Übernahme oder Verkauf eines Unternehmens,
- Zweifel an der Wirksamkeit bestehender Kontrollen,
- Anforderungen von Geschäftsleitung, Aufsicht oder Vertragspartnern.
Was ist der Unterschied zu einem Schwachstellen-Scan?
Ein Schwachstellen-Scan untersucht automatisiert technische Systeme auf bekannte Sicherheitslücken.
Die IT-Revision bewertet dagegen einen wesentlich breiteren Zusammenhang.
Sie berücksichtigt zusätzlich:
- Verantwortlichkeiten,
- Prozesse,
- interne Kontrollen,
- Dokumentationen,
- Dienstleister,
- gesetzliche und vertragliche Anforderungen.
Ein Schwachstellen-Scan kann daher Bestandteil einer IT-Revision sein, ersetzt sie aber nicht.
Was ist der Unterschied zu einem IT-Gutachten?
Die IT-Revision bewertet einen definierten Prüfbereich anhand festgelegter Kriterien und Kontrollen.
Ein IT-Gutachten beantwortet häufig eine konkrete fachliche Fragestellung und kann auch zur Beweissicherung, Streitklärung oder gerichtlichen Verwendung erstellt werden.
Die Grenzen können sich je nach Auftrag überschneiden.
Entscheidend ist, ob eine allgemeine Prüfung von Kontrollen oder die sachverständige Beantwortung einer konkreten Fragestellung im Vordergrund steht.
Welchen Nutzen bietet eine IT-Revision?
Eine unabhängige IT-Revision schafft ein belastbares Bild über den Zustand der IT-Organisation.
Sie unterstützt Unternehmen dabei:
- Risiken und Kontrolllücken frühzeitig zu erkennen,
- Verantwortlichkeiten klarer zu regeln,
- Sicherheitsmaßnahmen gezielt zu priorisieren,
- gesetzliche und vertragliche Anforderungen besser nachzuweisen,
- IT-Dienstleister wirksamer zu steuern,
- Managemententscheidungen auf nachvollziehbare Grundlagen zu stellen,
- Wiederholungsfehler und ungeklärte Risiken zu reduzieren.
Der Nutzen entsteht nicht allein durch die Feststellung von Mängeln, sondern durch die strukturierte Verbesserung von Prozessen, Kontrollen und Verantwortlichkeiten.