Was wird bei einem IT-Sicherheitsaudit geprüft?
Je nach Scope prüfen wir Systeme, Netzwerk, Patchstand, Zugriffsrechte, Backup-Prozesse, Sicherheitsrichtlinien, Dokumentation und relevante Compliance-Anforderungen.
Prüfbereiche
Was wir analysieren
Ein vollständiges IT-Sicherheitsaudit deckt technische, organisatorische und regulatorische Aspekte ab.
Technisches Audit
Netzwerkscan & Port-Analyse
System- und Patchstatus
Firewall & Zugriffsrechte
Schwachstellenscan
Verschlüsselungscheck
Organisatorisches Audit
IT-Sicherheitsrichtlinien
Passwortmanagement
Backup-Prozesse
Notfallpläne & BCP
Mitarbeitersensibilisierung
Compliance Audit
DSGVO-Compliance
NIS2-Anforderungen
ISO 27001 Gap-Analyse
Branchenspezifische Regularien
Dokumentationsqualität
Unser Vorgehen
Strukturiert. Transparent. Nachvollziehbar.
Von der Beauftragung bis zur Übergabe des Berichts — ein bewährter Prozess in vier Phasen.
01
1–2 TageErstgespräch & Scope
Gemeinsam definieren wir Ziele, Prüfumfang und Zeitplan. Wir klären, welche Systeme, Standorte und Prozesse geprüft werden sollen — und was Ihr konkretes Erkenntnisziel ist.
Zieldefinition & Scope-VereinbarungBestandsaufnahme der IT-LandschaftTerminplanung & Datenschutzvereinbarung
02
3–5 TageAnalyse & Testing
Unsere Experten führen technische Prüfungen durch, sichten Dokumentation und führen Interviews mit IT-Verantwortlichen. Remote und optional vor Ort in Hamburg & Norderstedt.
Automatisierter SchwachstellenscanManuelle KonfigurationsprüfungInterviews & Dokumentenanalyse
03
2–3 TageAuswertung & Bewertung
Alle Findings werden nach Kritikalität bewertet und in eine priorisierte Risikomatrix überführt. Wir trennen akuten Handlungsbedarf von mittelfristigen Maßnahmen.
Risikobewertung (kritisch / hoch / mittel / niedrig)Ursachenanalyse der SchwachstellenPriorisierter Maßnahmenplan
04
1 TagBericht & Übergabe
Sie erhalten einen vollständigen Sicherheitsbericht sowie eine Management-Präsentation. Wir erläutern die Ergebnisse verständlich — für die IT-Abteilung und die Geschäftsleitung.
Detaillierter technischer BerichtExecutive Summary für die GFAbschlusspräsentation & Q&A
Ihre Ergebnisse
Was Sie nach dem Audit erhalten
Kein schwammiger Bericht, der im Schrank verstaubt — sondern verwertbare Ergebnisse, die Entscheidungen ermöglichen.
Technischer Sicherheitsbericht
Vollständige Dokumentation aller Findings mit Beweisen, Bewertung und Lösungsempfehlungen.
Management Executive Summary
Kompakte Zusammenfassung für Geschäftsführung und Vorstand — verständlich ohne IT-Vorkenntnisse.
Risikomatrix
Alle Schwachstellen priorisiert nach Kritikalität und Aufwand zur Behebung — für eine klare Entscheidungsgrundlage.
Konkreter Maßnahmenplan
Schritt-für-Schritt-Roadmap mit Zuständigkeiten, Prioritäten und realistischen Zeitrahmen.
3 Monate After-Audit Support
Nach dem Audit begleiten wir Sie bei der Umsetzung — mit Rückfragen-Support und optionaler Re-Prüfung.
Aus der Praxis
Was wir in Audits am häufigsten finden
Diese Schwachstellen treten in vielen gewachsenen IT-Umgebungen auf — oft unbemerkt über Jahre hinweg.
Veraltete Software & fehlende Patches
KritischIn 84 % aller Audits finden wir Systeme, die seit Monaten keine Sicherheitsupdates erhalten haben.
84%
der Audits
Schwache Passwortrichtlinien
HochStandard- oder leicht ratbare Passwörter, keine MFA, keine Ablaufregeln — extrem häufig auch in professionellen Umgebungen.
77%
der Audits
Fehlende Netzwerksegmentierung
HochFlache Netzwerke ohne VLAN-Trennung erlauben Angreifern laterale Bewegung durch die gesamte Infrastruktur.
61%
der Audits
Unzureichende Backup-Strategie
MittelBackups existieren, werden aber nicht getestet — oder sind im Ernstfall nicht zeitnah wiederherstellbar.
59%
der Audits
Überprivilegierte Konten
HochZu viele Nutzer mit Adminrechten erhöhen die Angriffsfläche massiv. Prinzip der minimalen Rechtevergabe wird kaum umgesetzt.
68%
der Audits
Zielgruppe
Für wen ist ein IT-Sicherheitsaudit sinnvoll?
KMU ohne eigene Security-Abteilung
Sie wissen nicht, wo Ihre größten Risiken liegen? Ein Audit liefert Klarheit — strukturiert, priorisiert, handhabbar.
Unternehmen mit NIS2-Pflicht
NIS2 verlangt nachweisbare Risikoanalyse. Unser Audit ist der dokumentierte Einstieg in Ihre Compliance.
Unternehmen nach IT-Vorfällen
Nach einem Angriff oder Datenverlust: Wir analysieren Ursachen, schließen Lücken und verhindern Wiederholung.
Vor Zertifizierungen (ISO 27001)
Als GAP-Analyse vor einer ISO-27001-Zertifizierung zeigt unser Audit, was noch fehlt und welche Priorität es hat.
Nicht sicher, ob ein Audit das Richtige für Sie ist?
Rufen Sie uns an — wir beraten Sie kostenlos und unverbindlich, welcher Prüfumfang zu Ihrer Situation passt.
FAQ
Häufige Fragen
Ist ein Audit für kleine Unternehmen sinnvoll?
Ja. Gerade KMU ohne eigene Security-Abteilung profitieren von einer klaren Priorisierung: welche Risiken akut sind, welche Maßnahmen warten können und was mit vertretbarem Aufwand umsetzbar ist.
Wie stark stört ein Audit den Betrieb?
Der Umfang wird vorab abgestimmt. Viele Prüfungen laufen remote und außerhalb kritischer Zeitfenster. Produktive Systeme werden nicht ohne Freigabe belastend getestet.
Eignet sich das Audit als Vorbereitung auf NIS2?
Ja. Das Audit liefert eine belastbare Bestandsaufnahme und zeigt, welche technischen und organisatorischen Maßnahmen für NIS2 noch fehlen.
Was bekomme ich am Ende?
Sie erhalten einen verständlichen Bericht mit Findings, Risikobewertung, Prioritäten und konkreten Handlungsempfehlungen für IT, Geschäftsführung und Umsetzungspartner.