Was prüft man bei einem internen ISO-27001-Audit?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was ein internes Audit prüft

Im Kern beantwortet das interne Audit drei Fragen:

1. Ist das ISMS konform mit den Anforderungen aus ISO 27001 und mit den eigenen, internen Vorgaben?
2. Wird das ISMS wirksam umgesetzt und gelebt, oder existiert es nur auf dem Papier?
3. Wird das ISMS kontinuierlich verbessert?

Geprüft werden alle Klauseln 4-10 der ISO 27001 (das Management-System-Gerüst) und alle anwendbaren Annex-A-Controls aus dem Statement of Applicability.

Das interne Audit ist explizit nicht dasselbe wie:

• Ein Pentest, der prüft technische Schwachstellen, nicht Management-Prozesse
• Ein Vulnerability-Assessment, fokussiert auf technische Lücken
• Ein externes Zertifizierungs-Audit, wird von akkreditierter Drittstelle durchgeführt
• Eine Selbstbewertung durch den ISB, fehlt die Unabhängigkeit

Wer darf intern auditieren?

Entscheidend sind Objektivität und Unparteilichkeit gegenüber dem geprüften Bereich sowie die Kompetenz der Auditoren. ISO 19011 ist dabei ein Leitfaden, keine eigene Anforderungsnorm.

Unabhängigkeit

Wer einen Bereich selbst verantwortet, sollte ihn nicht auditieren. Konkret:

• Der IT-Leiter sollte nicht die IT-Abteilung auditieren
• Der ISB sollte nicht die Teile des ISMS auditieren, die er selbst aufgebaut hat oder betreibt
• Der HR-Leiter sollte nicht die Personal-Controls auditieren
• Der Geschäftsführer kann auditieren, sofern er nicht operativ verantwortlich ist

Praxis-Optionen für KMU:

1. Interne Auditoren aus anderen Bereichen: z. B. der Qualitätsmanager auditiert IT
2. Quer-Audits zwischen Geschäftsbereichen: BU A auditiert BU B
3. Externe Auditoren als "interne" Auditoren: Das Audit wird dann im Auftrag und für die Organisation selbst durchgeführt
4. Personalunion mit Konzern-Mutter: Audit-Personal der Holding auditiert die Tochter

Kompetenz

Auditoren brauchen:

• Grundkenntnisse der ISO 27001
• Methodische Audit-Kompetenz nach ISO 19011
• Verstehen der Branchen-Spezifika der eigenen Organisation
• Idealerweise: Schulung als Lead-Auditor (IRCA oder vergleichbare anerkannte Zertifizierung)

Ohne ausgebildete Auditoren ist das interne Audit oft formal, aber inhaltlich unzureichend.

Der typische Audit-Ablauf

Schritt 1: Audit-Programm

Das Audit-Programm ist ein mehrjähriger Plan, der definiert:

• welche Bereiche wann auditiert werden
• mit welcher Tiefe
• durch welche Auditoren

Empfehlung: Über einen 3-Jahres-Zyklus sollen alle anwendbaren Annex-A-Controls mindestens einmal geprüft worden sein. Risikoreiche Bereiche jährlich, unkritische seltener.

Schritt 2: Audit-Plan pro Audit

Der Audit-Plan definiert für ein einzelnes Audit:

• Audit-Ziele: was soll geprüft werden?
• Audit-Kriterien: gegen welche Standards (ISO 27001 Klauseln, interne Politiken, gesetzliche Anforderungen)
• Audit-Umfang: welche Bereiche, Prozesse, Standorte
• Zeitplan: Stichtage, Dauer
• Auditoren-Team
• Stichproben-Strategie

Der Audit-Plan wird vorab mit dem auditierten Bereich abgestimmt.

Schritt 3: Opening Meeting

Zum Start des Audits ein Eröffnungsgespräch mit den verantwortlichen Personen des auditierten Bereichs:

• Audit-Plan vorstellen
• Vertraulichkeit und Methodik klären
• Logistik (Räume, Ansprechpartner, Schlusstermin)
• Klärungs-Fragen beantworten

Schritt 4: Audit-Durchführung

Auditoren sammeln Audit-Evidenzen durch:

• Dokumenten-Review: Politiken, Verfahren, Aufzeichnungen
• Interviews: mit Verantwortlichen, Mitarbeitenden, ggf. Lieferanten
• Beobachtungen: Vor-Ort-Begehungen, System-Demonstrationen
• Stichproben: aus Aufzeichnungen, Berechtigungen, Logs

Jede Evidenz wird dokumentiert mit Quelle, Datum, Verantwortlichem.

Schritt 5: Findings

Beobachtungen werden üblicherweise in Anlehnung an die Einstufung der Zertifizierungsstellen klassifiziert:

• Konformität: Anforderung erfüllt
• Verbesserungspotenzial (Opportunity for Improvement, OFI): keine Abweichung, aber Hinweis auf bessere Lösung
• Nebensächliche Abweichung (Minor Non-Conformity): einzelner Mangel, nicht systemisch
• Schwerwiegende Abweichung (Major Non-Conformity): systemischer Mangel oder mehrere Minor-Abweichungen im selben Bereich

Schritt 6: Closing Meeting

Schlussgespräch mit den Audit-Adressaten:

• Findings präsentieren
• Korrekturmaßnahmen besprechen
• Berichtsentwurf-Termin abstimmen

Schritt 7: Audit-Bericht

Der Audit-Bericht enthält:

• Audit-Ziele, -Kriterien, -Umfang
• Zusammenfassung der Audit-Aktivitäten
• alle Findings mit Klassifizierung
• Korrekturmaßnahmen-Empfehlungen
• Audit-Schlussfolgerung (insgesamt konform / nicht konform / mit Auflagen)

Der Bericht geht an die Geschäftsführung und an das auditierte Management.

Schritt 8: Korrekturmaßnahmen-Verfolgung

Findings müssen systematisch behoben werden:

• Ursachen-Analyse (Root Cause)
• Korrekturmaßnahmen
• Wirksamkeits-Prüfung der Maßnahmen

Abweichungen, ergriffene Maßnahmen und deren Ergebnisse sollten nachvollziehbar dokumentiert sein. Bewährt hat sich ein Maßnahmen-Plan mit Termin, Verantwortlichem und Status.

Stichproben: wie viel ist genug?

ISO 19011 gibt keine konkreten Stichprobengrößen vor. Wie groß eine Stichprobe sein muss, hängt von Risiko, Grundgesamtheit und Prüfzeitraum ab und wird im Audit-Plan begründet festgelegt. Typische Stichprobenbereiche:

• Zugriffs-Rezertifizierungen
• Incident-Tickets im Berichts-Zeitraum
• Nachweise zu Awareness-Schulungen
• Backup-Wiederherstellungs-Tests
• Lieferanten-Reviews, insbesondere kritischer Lieferanten
• Patch-Management
• Risiko-Analysen, vorrangig hoch bewertete Risiken
• Change-Tickets im Berichts-Zeitraum

Wichtiger als die exakte Stichprobengröße ist die risiko-orientierte Auswahl: kritische Systeme häufiger, unkritische seltener.

Was Auditoren typischerweise finden

Wiederkehrende Findings in KMU-internen Audits:

• Berechtigungen nicht rezertifiziert oder Rezertifizierung nur einmalig pro Jahr ohne Dokumentation
• Awareness-Schulungen lückenhaft: einzelne Mitarbeitende ohne Nachweis
• Incident-Tickets ohne Root-Cause-Analyse: nur Ticket geschlossen, kein Learning dokumentiert
• Backup-Wiederherstellung nie getestet: Existenz gegeben, Wiederherstellbarkeit unbelegt
• Lieferanten-Sicherheits-Reviews fehlen: Klassifizierung gemacht, aber kein periodisches Review
• SoA nicht aktuell: Statement of Applicability ist 6+ Monate veraltet, Annex-A-Status passt nicht
• Management-Review oberflächlich: nur Tagesordnungspunkt im Vorstand, keine dokumentierte Bewertung der ISMS-Wirksamkeit
• Risiko-Analyse zu generisch: Top-Down-Liste ohne konkrete Asset-Bezüge

Praxis-Checkliste fürs interne Audit

Vor dem internen Audit sollten Sie folgende Unterlagen bereithalten:

• Aktuelles Statement of Applicability
• Aktuelles Risiko-Register
• Liste aller Annex-A-Politiken und Verfahren
• Awareness-Schulungs-Nachweise (Liste, Termine, Inhalte)
• Asset-Inventar (oder Repräsentation)
• Lieferanten-Register mit Sicherheits-Klassifikation
• Logs aus Vorfall-Management-System
• Audit-Trail aus Identity-/Access-Management
• Letzter Management-Review-Bericht
• Vorherige interne Audit-Berichte mit Maßnahmen-Status

Zeitliche Vorbereitung

Die Dauer der einzelnen Phasen hängt von Scope, Standorten und Anzahl der Prozesse ab. Im Audit-Plan festzulegen sind:

• Audit-Vorbereitung: Vorlauf für Dokumentenanforderung und Terminabstimmung
• Audit-Durchführung: Anzahl der Audittage je Bereich
• Bericht-Erstellung: Termin für den Berichtsentwurf
• Korrekturmaßnahmen-Plan: Frist für Ursachenanalyse und Maßnahmen
• Wirksamkeits-Prüfung: bei nächstem internem Audit oder Re-Audit der Findings

FAQ

Muss ich jedes Jahr alle Controls auditieren?

Nein. ISO/IEC 27001 Kapitel 9.2 verlangt interne Audits in geplanten Abständen, einen festen Zyklus nennt die Norm nicht. Das interne Audit-Programm darf risikobasiert priorisieren: kritische Bereiche häufiger, unkritische seltener.

Kann ein externer Berater das interne Audit machen?

Ja, das ist in der Praxis verbreitet: Externe Auditoren führen das interne Audit im Auftrag und für die Organisation durch. Entscheidend ist, dass sie objektiv, unparteiisch gegenüber dem geprüften Bereich und kompetent sind. Viele KMU nutzen das, weil eigene unabhängige Auditoren fehlen.

Was passiert, wenn das interne Audit Major Non-Conformities aufdeckt?

Sie sollten vor dem externen Zertifizierungsaudit behoben oder zumindest mit Ursachenanalyse und Korrekturmaßnahmen hinterlegt sein. Über die Erteilung des Zertifikats entscheidet die Zertifizierungsstelle auf Grundlage ihres eigenen Audits, nicht auf Grundlage der internen Einstufung. Sinnvoll ist deshalb, das interne Audit so früh anzusetzen, dass Korrekturmaßnahmen bis zum externen Audit wirksam werden können.

Wer entscheidet, ob ein Finding "Major" oder "Minor" ist?

Der Auditor, nach den Kriterien, die die Organisation in ihrem Audit-Programm festgelegt hat. Damit interne und externe Befunde vergleichbar bleiben, lohnt es sich, die Einstufung an der Praxis der eigenen Zertifizierungsstelle auszurichten: Major bei systemischen Mängeln, mehreren verknüpften Minor-Findings oder Verstößen, die das ISMS in der Wirksamkeit beeinträchtigen. Minor bei punktuellen, nicht-systemischen Abweichungen.

Was ist der Unterschied zwischen Audit-Programm und Audit-Plan?

Das Programm ist mehrjährig und strategisch (welche Audits über 1-3 Jahre, welche Themen, welche Häufigkeit). Der Plan ist operativ und betrifft ein einzelnes Audit (Ziele, Umfang, Zeitplan, Auditoren).