Systemaudit: Ablauf, Dauer und Kosten.

Ein Systemaudit ist eine strukturierte Bestandsaufnahme Ihrer Software und ihres Betriebs. Es beschreibt den Ist-Zustand mit allen Abhängigkeiten und offenen Flanken, ohne ein Wunschbild zu zeichnen. Ziel ist eine belastbare Grundlage für die nächste Entscheidung, nicht ein Katalog von Empfehlungen, die niemand umsetzt.

Geprüft werden vier Felder:

• Die Architektur, also wie die Systeme aufgebaut sind, wo sie tragen und wo sie an Grenzen stoßen.
• Die Datenflüsse, also welche Daten wohin laufen und an welchen Stellen sie heute von Hand bewegt werden.
• Die Dienstleisterlage, also wer welchen Teil betreibt, welche Verträge bestehen und wo Abhängigkeiten entstehen.
• Das Automatisierungspotenzial, also welche Abläufe sich dauerhaft von manueller Arbeit befreien lassen.

Nebenbei wird das Betriebsrisiko sichtbar: veraltete Bausteine, ungeschützte Zugänge oder Wissen, das an einer einzelnen Person hängt. Wer den Umfang selbst grob einschätzen möchte, kann vorab unseren Systemaudit-Selbsttest durchgehen. Er ersetzt das Audit nicht, sortiert aber die eigenen Gedanken.

Ein Systemaudit ist kein Zertifizierungsverfahren und tritt an keine Stelle einer anerkannten Methodik. Das BSI beschreibt im Standard 200-2 drei Vorgehensweisen für den Aufbau von Informationssicherheit, von der Basis-Absicherung über die Kern-Absicherung bis zur Standard-Absicherung. Ein Audit ersetzt keine davon. Es klärt vorher, was überhaupt da ist, wie belastbar es ist und welcher Weg im konkreten Fall angemessen wäre.

Der Wert liegt im Blick von außen. Ein Team, das die Systeme nicht selbst gebaut hat, erkennt Annahmen, die intern niemand mehr hinterfragt, und benennt Abhängigkeiten, die im Alltag unsichtbar geworden sind. Das Ergebnis ist kein Urteil über die Vergangenheit, sondern eine geordnete Ausgangslage für die nächste Entscheidung.

Das Systemaudit läuft über fünf Arbeitstage. Der feste Rahmen sorgt dafür, dass die Analyse zügig bleibt und nicht in die Breite ausufert. In dieser Woche wechseln sich Sichtung, Gespräche und Bewertung ab:

• Sichtung der vorhandenen Unterlagen, der Umgebung und, wo sinnvoll, des Quelltextes.
• Gespräche mit den Menschen, die die Systeme täglich betreiben und weiterentwickeln.
• Nachvollziehen der wichtigsten Datenflüsse und der Übergänge zwischen den Systemen.
• Bewertung von Architektur, Betriebsrisiko und Automatisierungspotenzial.
• Verdichtung der Befunde zu Prioritäten und Aufwand je Maßnahme.

Ihr Aufwand bleibt gering. Sie stellen Zugänge und Ansprechpartner bereit und stehen für einige Gespräche zur Verfügung. Das Tagesgeschäft läuft weiter. Berührt das Audit auch Sicherheitsfragen, grenzen wir auf Wunsch ab, wo ein eigener Penetrationstest tiefer ansetzen müsste.

Ein Punkt gehört ausdrücklich in die Woche: der Wiederanlauf. Sicherungen zu haben ist etwas anderes, als sie im Ernstfall zurückspielen zu können. Wie weit ein Unternehmen dabei gehen kann, beschreibt das BSI im Standard 200-4 für das Business Continuity Management. Das Audit prüft nicht das ganze Verfahren, es stellt fest, ob der Wiederanlauf jemals geprobt wurde.

Das Systemaudit hat einen Festpreis. Fünf Arbeitstage, ein fester Betrag, keine Stundenzettel und keine Nachverhandlung. Es ist ein einmaliger Auftrag ohne Folgeverpflichtung. Ob danach etwas folgt, entscheiden Sie mit dem Ergebnis in der Hand.

Am Ende der Woche erhalten Sie zwei Dinge:

• Einen priorisierten Umsetzungsplan, der die Befunde nach Wirkung und Aufwand ordnet.
• Ein Festpreisangebot für die nächste sinnvolle Position, falls Sie weitergehen möchten.

Der Festpreis schafft Planungssicherheit auf beiden Seiten. Sie wissen vorab, was das Audit kostet, und wir wissen, in welchem Rahmen wir arbeiten. Zusätzliche Kosten entstehen nicht, auch dann nicht, wenn die Systeme unübersichtlicher sind als zunächst angenommen.

Der Plan ist so geschrieben, dass er auch ohne uns trägt. Sie können ihn intern umsetzen, an einen bestehenden Dienstleister geben oder uns mit der Umsetzung beauftragen. Eine Bindung entsteht durch das Audit nicht. Die weiteren Positionen, von der Umsetzung bis zum Betrieb, stehen offen auf der Seite Leistungen.

Ein Systemaudit lohnt sich immer dann, wenn eine Entscheidung ansteht und die Grundlage fehlt:

• Vor einer größeren Umsetzung oder Ablösung, damit der Umfang belastbar ist.
• Bevor der Betrieb eines fremden Systems übernommen wird, denn niemand verantwortet, was er nicht gesehen hat.
• Vor der Vorbereitung auf NIS2, um technische Lücken und Betriebsrisiken sichtbar zu machen.
• Wenn der Betrieb zunehmend hakt und der Grund unklar ist.

Der dritte Punkt hat einen konkreten Anlass. § 30 BSI-Gesetz verlangt von betroffenen Einrichtungen nicht nur Maßnahmen, sondern auch Konzepte und Verfahren zur Bewertung ihrer Wirksamkeit. Wer nicht sicher sagen kann, welche Systeme er betreibt und wer sie anfasst, kann diese Wirksamkeit nicht bewerten. Das Audit liefert die Grundlage dafür, ersetzt aber weder die Maßnahmen noch die rechtliche Prüfung der Betroffenheit. Wie die aussieht, steht im Beitrag zur NIS2-Betroffenheit.

Der vierte Punkt hat einen weniger konkreten, dafür dauerhaften. Das BSI beschreibt die IT-Sicherheitslage in Deutschland in seinem jährlichen Lagebericht weiterhin als angespannt. Ein hakender Betrieb ist deshalb selten nur ein Komfortproblem.

Fazit

Ein Systemaudit ist der kleinste sinnvolle Schritt, um Klarheit zu gewinnen. Fester Umfang, fester Preis, fünf Tage, und am Ende ein Plan, mit dem Sie ohne Bindung weiterarbeiten können. Weitere Antworten zu Preisen, Verträgen und Datenhaltung stehen im Bereich Wissen. Wenn Sie ein Audit anstoßen möchten, genügt ein kurzes Erstgespräch.