Was führt zum Scheitern bei einer Sicherheitsüberprüfung?

Eine Sicherheitsüberprüfung der IT steht in vielen Unternehmen früher oder später an: als Zertifizierungsaudit nach ISO/IEC 27001, als Nachweis gegenüber dem BSI unter NIS-2, als Fragebogen der Cyberversicherung, als Penetrationstest oder als Sicherheitsprüfung durch einen Großkunden. Fällt das Ergebnis negativ aus, kostet das Zeit, Geld und manchmal einen Auftrag.

Die gute Nachricht: Die Gründe für das Scheitern sind fast immer dieselben und lassen sich früh erkennen. In diesem Beitrag zeigen wir, woran IT-Sicherheitsprüfungen typischerweise scheitern, welche Befunde Prüfer besonders kritisch sehen und wie Sie sich strukturiert vorbereiten.

Kurz gesagt: Eine IT-Sicherheitsüberprüfung scheitert selten an einer einzelnen Lücke, sondern an fehlenden Nachweisen und ungeklärten Grundlagen: keine dokumentierte Risikoanalyse, unklare Verantwortlichkeiten, fehlende Mehrfaktor-Authentifizierung, ungepatchte Systeme, ungetestete Backups und Maßnahmen, die nur auf dem Papier existieren. Wer diese Punkte vor der Prüfung systematisch schließt, besteht die meisten Audits ohne böse Überraschungen.

Das Wichtigste in Kürze

• Nachweise zählen: Prüfer bewerten nicht, ob eine Maßnahme geplant ist, sondern ob sie umgesetzt, dokumentiert und wirksam ist.
• Identitäten zuerst: Fehlende Mehrfaktor-Authentifizierung und zu weit gefasste Administratorrechte gehören zu den häufigsten kritischen Befunden.
• Ehrliche Angaben: Geschönte Antworten in Fragebögen, etwa für die Cyberversicherung, können später teurer werden als eine offene Lücke.
• Verantwortung oben: Unter NIS-2 ist die Geschäftsleitung für die Umsetzung der Risikomanagementmaßnahmen verantwortlich.
• Vorbereitung lohnt: Eine eigene Schwachstellenanalyse vor dem externen Termin ist der wirksamste Schutz gegen ein negatives Ergebnis.

Welche Sicherheitsüberprüfung hier gemeint ist

Gemeint ist hier nicht die personelle Sicherheitsüberprüfung nach dem Sicherheitsüberprüfungsgesetz (SÜG), bei der Behörden die Zuverlässigkeit einzelner Personen für sicherheitsempfindliche Tätigkeiten bewerten. Wer eine solche Prüfung vor sich hat, wendet sich an die zuständige Stelle oder die Geheimschutzbeauftragten des Arbeitgebers. Dieser Beitrag behandelt die Überprüfung von IT-Systemen, Prozessen und Nachweisen in Unternehmen und Organisationen.

Je nach Anlass prüfen unterschiedliche Stellen mit unterschiedlichen Maßstäben. Die erforderlichen Nachweise sind aber oft vergleichbar:

Häufige Gründe, warum IT-Sicherheitsprüfungen scheitern

Ganz gleich, welche Prüfung ansteht: Bestimmte Muster tauchen immer wieder auf. Sie haben weniger mit fehlender Technik zu tun als mit fehlender Struktur.

Keine dokumentierte Risikoanalyse

Fast jedes Regelwerk setzt eine Risikoanalyse voraus. Fehlt sie, ist sie unvollständig oder veraltet, können Prüfer nicht nachvollziehen, warum Sie bestimmte Maßnahmen umgesetzt und andere bewusst weggelassen haben. Das gilt für ISO/IEC 27001 ebenso wie für den IT-Grundschutz des BSI und die NIS-2-Pflichten.

Unklare Verantwortlichkeiten und fehlende Rückendeckung der Leitung

Wenn niemand ausdrücklich für Informationssicherheit zuständig ist, bleiben Aufgaben liegen. Unter NIS-2 ist die Geschäftsleitung ausdrücklich für die Umsetzung und Überwachung der Risikomanagementmaßnahmen verantwortlich. Eine Prüfung, bei der die Leitung weder Ziele noch Ressourcen festgelegt hat, scheitert oft schon an dieser Grundlage.

Maßnahmen existieren nur auf dem Papier

Richtlinien, die niemand kennt, und Notfallpläne, die nie geübt wurden, überzeugen keinen Prüfer. Gefragt wird nach Belegen: Protokolle der letzten Wiederherstellung aus dem Backup, Teilnahmelisten von Schulungen, Ergebnisse der letzten Berechtigungsprüfung. Fehlen diese, gilt die Maßnahme als nicht hinreichend belegt, auch wenn sie in der Praxis vielleicht funktioniert.

Geschönte oder ungenaue Angaben in Fragebögen

Ob Cyberversicherung oder Kundenaudit: Fragebögen werden unter Zeitdruck oft optimistisch beantwortet. Stellt sich später heraus, dass zum Beispiel Mehrfaktor-Authentifizierung nicht für alle Konten aktiv war, drohen Streit über den Versicherungsschutz oder ein Vertrauensverlust beim Kunden. Beantworten Sie Fragen deshalb so, wie der Ist-Zustand tatsächlich ist, und benennen Sie geplante Maßnahmen mit Termin.

Technische Schwachstellen, die eine IT-Sicherheitsprüfung scheitern lassen

Ein IT-Security Audit deckt oft Lücken auf, die im Tagesgeschäft unbemerkt bleiben. Viele Unternehmen halten ihre IT-Infrastruktur für sicher, bis eine detaillierte Prüfung das Gegenteil zeigt.

• Fehlende Mehrfaktor-Authentifizierung: Konten, die nur mit Passwort geschützt sind, gelten in nahezu jeder Prüfung als kritischer Befund. Mehrfaktor-Authentifizierung gehört auch zu den Maßnahmen, die NIS-2 ausdrücklich nennt.
• Ungepatchte Systeme: Werden Sicherheitsupdates nicht zeitnah eingespielt, bleiben bekannte Schwachstellen offen. Ein konsequentes Patch-Management ist das Fundament.
• Zu weit gefasste Berechtigungen: Dauerhafte Administratorrechte für viele Konten und nie überprüfte Gruppenmitgliedschaften widersprechen dem Prinzip der minimalen Rechte.
• Fehlende Protokollierung und Angriffserkennung: Ohne Überwachung bleiben Sicherheitsvorfälle oft lange unentdeckt, und Meldefristen lassen sich kaum einhalten.
• Veraltete Systeme und Schatten-IT: Systeme ohne Herstellersupport und Software, die ohne Wissen der IT genutzt wird, entziehen sich jeder Kontrolle. Eine zentrale Geräteverwaltung, etwa mit Microsoft Intune, schafft hier Überblick.

ISO/IEC 27001: Woran Zertifizierungsaudits scheitern

Das Zertifizierungsaudit nach ISO/IEC 27001 läuft in der Regel zweistufig ab: Zunächst prüft die Zertifizierungsstelle die Dokumentation, danach die tatsächliche Umsetzung im Betrieb. Werden dabei schwerwiegende Abweichungen festgestellt, wird das Zertifikat erst erteilt, wenn diese nachweislich behoben sind. Zu jeder Abweichung erwartet die Zertifizierungsstelle in der Regel eine Stellungnahme mit Ursachenanalyse und Korrekturmaßnahmen.

Typische Gründe für schwerwiegende Abweichungen sind:

• Erklärung zur Anwendbarkeit: Die Erklärung zur Anwendbarkeit (Statement of Applicability) fehlt, ist unvollständig oder begründet Ausschlüsse von Maßnahmen aus Anhang A nicht. Die aktuelle Fassung ISO/IEC 27001:2022 umfasst 93 Maßnahmen in Anhang A.
• Risikobehandlung: Risiken sind bewertet, aber es gibt keinen Behandlungsplan mit Verantwortlichen und Fristen.
• Internes Audit und Managementbewertung: Beide sind zwingende Bestandteile des Managementsystems. Fehlen sie vor dem Zertifizierungsaudit, ist ein negatives Ergebnis wahrscheinlich.
• Gelebte Praxis: Interviews mit Mitarbeitenden zeigen, dass Richtlinien unbekannt sind oder anders gearbeitet wird als dokumentiert.

NIS-2 und BSI: Nachweislücken als Prüfungsrisiko

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Betroffene Einrichtungen müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle in festen Fristen melden und angemessene technische und organisatorische Risikomanagementmaßnahmen umsetzen und dokumentieren. Für Meldungen sieht das BSI eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung nach einem Monat vor.

Zu den Bereichen, die Einrichtungen abdecken müssen, gehören unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup und Krisenmanagement, Sicherheit der Lieferkette, Schulungen, Kryptografie, Zugriffskontrolle sowie Mehrfaktor-Authentifizierung. Wer diese Bereiche nicht nachvollziehbar dokumentiert, hat bei einer Prüfung durch die Aufsicht schlechte Karten.

Auch der Datenschutz wird bei vielen Prüfungen mitbetrachtet. Verstöße gegen Datenschutz-Grundverordnung (DSGVO) und Bundesdatenschutzgesetz (BDSG), etwa fehlende Löschkonzepte oder nicht dokumentierte Auftragsverarbeitungen, fallen regelmäßig auf.

Cyberversicherung, Penetrationstest und Microsoft 365

Nicht jede Sicherheitsprüfung ist ein formales Audit. Gerade im Mittelstand sind Fragebögen von Versicherern, Penetrationstests und Prüfungen der Cloud-Umgebung oft die ersten Prüfungen, an denen Unternehmen scheitern.

Cyberversicherung: Mindestanforderungen nicht erfüllt

Versicherer fragen vor Vertragsabschluss und bei Verlängerungen gezielt nach Schutzmaßnahmen. Typisch sind Fragen nach Mehrfaktor-Authentifizierung für E-Mail und Fernzugriff, nach Backups, die getrennt vom Produktivnetz gesichert und regelmäßig getestet werden, nach Patch-Zyklen und nach Schutzsoftware auf Endgeräten. Wird eine dieser Fragen verneint, folgen oft Ablehnung, Ausschlüsse oder höhere Prämien. Warum etwa OneDrive allein kein Backup ersetzt, haben wir separat beschrieben.

Penetrationstest: kritische Befunde ohne Nachtest

Ein Penetrationstest gilt nicht als bestanden, nur weil er durchgeführt wurde. Entscheidend ist, was danach passiert. Bleiben kritische Befunde wie ausnutzbare Schwachstellen in erreichbaren Diensten, Standardpasswörter oder unsichere Konfigurationen offen, steht das spätestens beim nächsten Audit im Bericht. Planen Sie deshalb einen Nachtest ein, der die Behebung bestätigt.

Microsoft 365: unsichere Konfiguration

In Microsoft-365-Umgebungen scheitern Prüfungen häufig an wenigen, aber gravierenden Einstellungen:

• Weder Sicherheitsstandards noch bedingter Zugriff: Die kostenlosen Sicherheitsstandards von Microsoft Entra ID erzwingen Mehrfaktor-Authentifizierung und blockieren Legacy-Authentifizierung. Für fein steuerbaren bedingten Zugriff ist mindestens Microsoft Entra ID P1 nötig. Ist keines von beidem aktiv, fehlt eine Grundabsicherung.
• Legacy-Authentifizierung: Alte Anmeldeprotokolle umgehen die Mehrfaktor-Authentifizierung und sollten blockiert sein.
• Zu viele globale Administratoren: Dauerhaft privilegierte Konten vergrößern die Angriffsfläche erheblich.
• Ungeprüfte Freigaben: Externe Freigaben in SharePoint und OneDrive ohne Ablaufdatum oder Kontrolle.

Microsoft Secure Score hilft, solche Lücken zu erkennen und zu priorisieren. Welche Schutzmechanismen Microsoft bereitstellt und welche Konfiguration in Ihrer Verantwortung liegt, erklären wir im Beitrag Sind meine Daten bei Microsoft sicher?

Organisatorische Mängel im IT-Sicherheitsaudit

Ein IT-Sicherheitsaudit prüft weit mehr als Software und Hardware. Oft liegen die größten Schwachstellen in den Abläufen. Typische organisatorische Mängel sind:

• Richtlinien und Schulungen: Ohne bekannte Sicherheitsrichtlinien und regelmäßige Schulungen bleibt der Mensch das schwächste Glied.
• Risikomanagement: Schwachstellen werden nicht nach Risiko priorisiert, sodass kritische Lücken zu lange offen bleiben.
• Notfallvorsorge: Fehlende oder ungetestete Wiederanlaufpläne führen im Ernstfall zu langen Ausfällen.
• Dienstleistersteuerung: Externe Dienstleister haben oft weitreichende Zugriffe, die über Jahre nicht überprüft wurden. Dazu gehört auch die vertragliche Seite, etwa ob ein IT-Dienstleister als Auftragsverarbeiter tätig ist.

Risiken mit einer Schwachstellenanalyse frühzeitig erkennen und beheben

Eine proaktive Haltung ist der beste Schutz gegen Überraschungen bei offiziellen Prüfungen. Statt auf den Ernstfall zu warten, sollten Sie Ihre Systeme regelmäßig prüfen. Wir unterstützen Sie dabei, Komplexität zu reduzieren und Ihre IT-Umgebung sicher aufzustellen.

IT-Sicherheitscheck als Bestandsaufnahme vor dem Audit

Ein strukturierter IT-Sicherheitscheck schafft Klarheit über den aktuellen Zustand Ihrer Infrastruktur. Idealerweise orientiert er sich an dem Regelwerk, nach dem später geprüft wird, also etwa an ISO/IEC 27001, dem IT-Grundschutz oder dem Fragebogen Ihres Versicherers.

Befunde nach Eintrittswahrscheinlichkeit und Auswirkung bewerten

Nicht jede Schwachstelle erfordert sofortiges Handeln. Technische Befunde ordnen wir nach zwei Faktoren ein:

• Die Eintrittswahrscheinlichkeit eines Angriffs.
• Die mögliche Auswirkung auf Ihre geschäftskritischen Abläufe.

Maßnahmenplan mit Verantwortlichen, Fristen und Wirksamkeitskontrolle erstellen

Erkenntnisse allein sichern Ihre IT nicht ab. Ein verbindlicher Maßnahmenplan sorgt dafür, dass Aufgaben nicht liegen bleiben. Gemeinsam legen wir fest:

• Wer für die Behebung welcher Lücke verantwortlich ist.
• Bis wann die Umsetzung abgeschlossen sein muss.
• Wie die Wirksamkeit der Maßnahmen geprüft und belegt wird.

Nachprüfung nach Updates, Prozessänderungen und Sicherheitsvorfällen

Sicherheit ist ein fortlaufender Prozess. Eine erneute Prüfung ist immer dann sinnvoll, wenn sich Ihre IT-Landschaft verändert, etwa nach größeren Updates, neuen Geschäftsprozessen oder Sicherheitsvorfällen.

Fazit

IT-Sicherheitsprüfungen scheitern selten an exotischen Angriffsszenarien, sondern an Grundlagen: fehlende Risikoanalyse, unklare Verantwortung, Konten ohne Mehrfaktor-Authentifizierung, ungepatchte Systeme, ungetestete Backups und fehlende Nachweise. Ob ISO/IEC 27001, NIS-2, Cyberversicherung oder Kundenaudit, die Anforderungen überschneiden sich stark. Wer einmal sauber aufräumt und dokumentiert, profitiert bei jeder weiteren Prüfung.

Sie haben ein Audit vor sich oder möchten wissen, wo Ihre IT heute steht? Sprechen Sie uns an, wir prüfen Ihre Umgebung, priorisieren die Befunde und begleiten Sie bis zum bestandenen Audit.