Audit im Berechtigungs­management: Wie IT-Leiter den Albtraum vermeiden

In 18 Jahren Audit-Beratung habe ich noch nie erlebt, dass ein IT-Leiter ohne Finding aus einem Audit kommt. Das Risiko ist nicht das Finding selbst. Es ist die fehlende Antwort auf die Standardfrage des Auditors: Wer hat hier Zugriff und warum? Wer das in 30 Sekunden zeigt, hat sein Berechtigungsmanagement für Audits im Griff.

Was das im Detail bedeutet, fasse ich zunächst in fünf Punkten zusammen.

• Jeder Auditor findet etwas. Wer im Berechtigungsmanagement seine Lücken nicht erkennt, dokumentiert und die Behebung plant, gibt dem Auditor das Finding frei Haus.
• Auditoren klassifizieren ihre Findings in drei Farben. Gelb gewährt ein Jahr Frist, Orange verlangt eine harte Frist mit Hardware- oder Prozessänderungen, Rot kostet die Zertifizierung und im TISAX-Fall die Lieferberechtigung.
• Ein nicht audit-fähiges Berechtigungskonzept verursacht 50.000 Euro interne Vorbereitungskosten. Hinzu kommen 6.000 Euro bis über eine Million Euro für das externe Audit selbst.
• Jeder Wirtschaftsprüfer ist verpflichtet, HR-Prozesse und Berechtigungsmanagement-Prozesse zu überprüfen. Der Satz „Wir hatten noch kein Audit“ ist deshalb keine Entwarnung.
• Mit einem dokumentierten Berechtigungskonzept und einem Tooling wie der CARO-Suite reduziert sich die Audit-Stichprobenprüfung im Berechtigungsmanagement von zwei bis drei Tagen auf zwei bis drei Stunden.

Wie diese fünf Punkte in der Praxis aussehen, zeigt der typische Audit-Ablauf von der ersten Frage an.

Die Vorbereitung beginnt ein Jahr vorher. Sobald der Auditor eine Schwachstelle bemerkt, bohrt er nach, bis er sie ausgeleuchtet hat. Wer den Ablauf kennt, steuert ihn. Der Ablauf folgt dabei einem Muster, das ich seit 18 Jahren immer wieder beobachte.

In meiner Beratungsarbeit sehe ich immer wieder denselben Verlauf. Die Vorbereitung beginnt ein Jahr vor dem eigentlichen Audit. In den ersten drei Monaten passiert wenig. Ab dem neunten Monat wird es ernst. Die internen Teams führen Pre-Audits durch und arbeiten sich durch ihre Excel-Tapeten mit teilweise tausenden Zeilen. Ihr zu  ist klar: das Audit unter drei Tagen halten, denn jeder zusätzliche Tag treibt die Kosten in die Höhe.

Der Auditor steigt am Audit-Tag leise ein. Er fragt nach dem Prozess, lässt sich Dokumente zeigen, hört zu. Sobald er bemerkt, dass eine Stelle wackelt, wird er zur Dampfwalze. Drei Tage hat er Zeit, mehr nicht. Was er in dieser Zeit nicht prüft, prüft er nicht. Genau das ist Ihr Hebel: Ein audit-fähiges Berechtigungskonzept lenkt seine Aufmerksamkeit weg vom Berechtigungsmanagement, weil er hier nichts findet. Was er anschließend prüft, klassifiziert er in drei Schweregraden.

Auditoren bewerten ihre Befunde oft nach einem Ampel-System. Welche Frist das auditierte Unternehmen bekommt und ob es überhaupt ein Zertifikat erhält, hängt allein von der Farbe ab. Diese Klassifizierung ist nicht in den ISO-Normen festgeschrieben. Sie hat sich in der Praxis durchgesetzt. Je nach Framework und Auditgesellschaft weichen die Bezeichnungen ab. Gelb/Orange/Rot ist das Muster, das mir in der DACH-Praxis am häufigsten begegnet.

Die Fristen legt immer der Auditor fest. Bei Rot habe ich Wochenfristen erlebt, die für die betroffenen Unternehmen existenzbedrohend waren. Im TISAX-Audit der Automobilindustrie bedeutet ein rotes Finding den Lieferstopp, bis Sie nachweisen, dass die Lücke geschlossen ist. Wer in diese Lage kommt, verliert nicht nur Umsatz, sondern auch Vertrauen bei seinen Großkunden. Damit es nicht so weit kommt, müssen Sie wissen, was der Auditor im Berechtigungskonzept tatsächlich sucht.

Der Auditor verlangt drei Dinge. Erstens das Logbuch, also die schriftliche Beschreibung Ihres Berechtigungsprozesses. Zweitens den Nachweis, wie Sie diesen Prozess in der Praxis umsetzen, idealerweise mit einem Tool. Drittens zwei bis drei Stichproben, an denen er den gelebten Prozess prüft.

Die Stichproben fallen immer in dieselben Kategorien des Joiner-Mover-Leaver-Prozesses. Auditoren ziehen typischerweise einen Auszubildenden heran, weil Azubis durch alle Abteilungen rotieren und ihre Berechtigungen sich entsprechend stapeln. Sie wählen einen Mitarbeiter, der die Position gewechselt hat, und einen, der zum Manager aufgestiegen ist. Der Leaver-Prozess folgt zum Schluss. Mit einem Tooling dauert diese Prüfung zwei bis drei Stunden. Ohne Tool dauert sie zwei bis drei Tage und ist der härteste Teil des Audits. Diese Härte trifft nicht nur Branchen, die offiziell zertifiziert sein müssen. Jedes Unternehmen erlebt früher oder später ein Audit.

Viele IT-Leiter rechnen nicht mit einem Audit, weil ihr Unternehmen keine regulierte Branche bedient. Diese Annahme trügt. Es gibt zwei Wege, auf denen ein Audit Sie unweigerlich erreicht: über die branchenspezifischen Frameworks oder über den jährlichen Wirtschaftsprüfer. Schauen wir zuerst auf die Frameworks.

Im DACH-Markt sehe ich vier Audits, die das Berechtigungsmanagement direkt prüfen. TISAX ist der Standard der Automobilindustrie. Wer Audi, BMW oder VW beliefert, kommt daran nicht vorbei. BaFin steht für den Finanzsektor und betrifft jede Sparkasse, jede Bank, jeden Vermögensverwalter. ISO 27001 ist das international anerkannte Zertifikat für Informationssicherheit. Der BSI IT-Grundschutz ist das deutsche Pendant aus der öffentlichen Verwaltung.

Hinter diesen vier Frameworks liegen weitere regulatorische Anforderungen. Die DSGVO greift überall dort, wo personenbezogene Daten verarbeitet werden. NIS2 verpflichtet nach vollständiger nationaler Umsetzung rund 30.000 Unternehmen in Deutschland zu nachweislicher IT-Sicherheit. DORA betrifft den Finanzsektor speziell, BAIT ergänzt die bankaufsichtlichen Anforderungen. Alle diese Frameworks fordern ein dokumentiertes Berechtigungskonzept. Was viele IT-Leiter dabei übersehen: Auch Unternehmen ohne diese Zertifizierungen erleben ein Audit, denn jeder Wirtschaftsprüfer hat den gleichen Auftrag.

Jedes deutsche Unternehmen mit Bilanzpflicht bekommt alle fünf bis zehn Jahre Besuch vom Wirtschaftsprüfer. Was die wenigsten IT-Leiter wissen: Der Wirtschaftsprüfer ist verpflichtet, HR-Prozesse und Berechtigungsmanagement-Prozesse zu überprüfen. Es kommt nur darauf an, worauf er trainiert ist. Wenn er aus der Finanzecke kommt, schaut er zuerst in die Buchhaltung. Aber irgendwann landet er beim Berechtigungsmanagement, ohne Ausnahme.

Wer glaubt, das Audit-Thema treffe ihn nicht, hatte schlicht noch keinen Wirtschaftsprüfer. Unternehmen, die nach einem Breach öffentlich erklären mussten, wie der Angriff möglich war, eint eines: Sie konnten vorher nicht zeigen, wer wann auf welche Daten Zugriff hatte. Wer ein dokumentiertes Berechtigungskonzept hat, muss diese Diskussion gar nicht erst führen. Genau dieser Punkt bringt uns zur nächsten Frage: Was kostet eigentlich ein Audit ohne dokumentiertes Berechtigungskonzept?

Audit-Kosten verteilen sich auf drei Phasen: Vorbereitung, Durchführung und Nachbereitung. Wer alle drei zusammenrechnet, kommt auf Summen, die jedes Tool-Investment relativieren. Die folgenden Beträge stammen aus meiner Beratungspraxis und sortieren das Bild nach Phase und Größenordnung.

Die interne Vorbereitung kostet bei einem Erst-Audit eine Vollzeitkraft über drei Monate. Bei einem internen Stundensatz von 75 Euro liegt allein das bei rund 50.000 Euro, ohne dass ein einziger Auditor das Haus betreten hat. Hinzu kommen die Auditkosten selbst.

Ein Audit mit der Note Eins mit Sternchen habe ich in 18 Jahren genau einmal erlebt: bei einem kleinen Fußballverein in Mainz, in dessen achtem Audit-Zyklus. Der Auditor selbst sagte, er habe das in 20 Jahren noch nie erlebt. Diese Note ist also ein realistischer Idealzustand, aber kein Zufallsergebnis. Sie ist das Resultat konsequenter Dokumentation. Was Sie konkret zeigen müssen, fasse ich in zwei Punkten zusammen.