IT-Audit eines Unternehmens: Was muss geprüft werden, um keine finanziellen Verluste zu erleiden und die Datensicherheit zu gewährleisten?

Bis zu 300 Millionen Dollar Schaden, 45.000 neu installierte PCs, 4.000 Server und lahmgelegte Hafenbetriebe weltweit – so sahen für Maersk (den größten Seetransportunternehmer der Welt) die Folgen des NotPetya-Angriffs aus. Formal handelte es sich um einen externen Vorfall, doch das Ausmaß der Schäden offenbarte interne Probleme: veraltete Systeme, unzureichende Netzwerksegmentierung, mangelhafte Kontrolle über Updates und aufgeschobene Sicherheitsmaßnahmen.

Die wichtigste Lektion aus dieser Geschichte ist simpel: Ein Unternehmen kann jahrelang mit Risiken arbeiten, die es nicht sieht, bis der erste ernsthafte Angriff diese in eine finanzielle und operative Krise verwandelt.

Oft erfahren Unternehmen erst dann von IT-Problemen, wenn bereits etwas ausgefallen oder durchgesickert ist oder das Dreifache von dem kostet, was es eigentlich sollte. Genau dafür – um Probleme zu erkennen, bevor sie zur Krise werden – gibt es das IT-Audit für Unternehmen.

Was ist ein IT-Audit und wozu wird es benötigt?

Es handelt sich um eine systematische Überprüfung der gesamten technologischen Infrastruktur eines Unternehmens: Hardware, Software, Netzwerkarchitektur, Sicherheitsprozesse, Lizenzen und DevOps-Praktiken. Das Ziel besteht darin, Schwachstellen, ineffiziente Ausgaben und Risiken zu identifizieren, bevor sie zu realen Verlusten führen.

Um eine Analogie zur Medizin zu ziehen: Es ist wie eine Vorsorgeuntersuchung. Ein Problem im Frühstadium zu erkennen, ist immer kostengünstiger, als die Folgen zu beseitigen.

Abgrenzung zum Cybersecurity-Audit

Diese beiden Begriffe werden oft verwechselt, aber es gibt einen grundlegenden Unterschied zwischen ihnen:

Ein IT-Infrastruktur-Audit umfasst die Cybersicherheit als einen seiner Bestandteile, beschränkt sich jedoch nicht ausschließlich darauf.

Wann Unternehmen ein IT-Audit in Auftrag geben

Meistens entsteht der Bedarf in einer der fünf Situationen, die im folgenden Abschnitt beschrieben werden. Generell ist ein regelmäßiges Audit (einmal jährlich oder vor jeder größeren Veränderung) jedoch die Norm für ein etabliertes Unternehmen. Genau aus diesem Grund umfasst die IT-Beratung in der Ukraine immer häufiger ein Audit als ersten Schritt.

5 Situationen, in denen ein IT-Audit kein Luxus, sondern eine Notwendigkeit ist

Vor einer Skalierung oder M&A-Transaktionen

Wenn sich ein Unternehmen auf eine Investitionsrunde, eine Fusion oder eine Übernahme vorbereitet, ist die technische Prüfung durch den Käufer in der Regel Teil der Due Diligence. Er möchte verstehen, was er kauft: Gibt es technische Schulden, welche Qualität hat die Codebasis und existieren versteckte Schwachstellen oder illegale Software? Für solche Fälle gibt es einen eigenen Bereich innerhalb des IT-Audits und der IT-Beratung.

Nach einer Cyberattacke oder einem Datenleck

Nach einem Vorfall ist es entscheidend, die Ursache zu verstehen. Wie ist der Angreifer in das System gelangt? Welche weiteren Schwachstellen sind verblieben? Genau hier hört das Cybersecurity-Audit für Unternehmen auf, ein abstraktes Konferenzthema zu sein, und wird zu einer konkreten To-do-Liste: was geschlossen, was umstrukturiert und was erneut überprüft werden muss.

Bei unkontrolliertem Anstieg der IT-Kosten

Im Laufe der Jahre sammelt sich in jedem Unternehmen technischer und finanzieller Ballast an: vergessene SaaS-Abonnements, redundante Tools oder Server, die niemand mehr braucht, die aber weiterhin Geld kosten. Die Optimierung der IT-Kosten ist eines der pragmatischsten und am schnellsten spürbaren Ergebnisse eines Audits.

Vor dem Wechsel in die Cloud

Eine Cloud-Migration ohne vorherige Inventarisierung der aktuellen Infrastruktur ist wie ein Umzug, ohne die Kisten zu packen. Das Audit hilft zu verstehen, was migriert werden soll, was bleibt und was man einfach loswerden sollte. Ohne diesen Schritt führt eine Cloud-Migration nicht selten dazu, dass das gesamte Chaos von physischen Servern eins zu eins in die Cloud-Umgebung übertragen wird.

Bei einem Wechsel des CTOs oder des IT-Teams

Ein neuer technischer Leiter oder Dienstleister benötigt ein objektives Bild des Ist-Zustands. Das Audit ermöglicht es, den aktuellen Ausgangspunkt zu fixieren, ohne sich ausschließlich auf die mündlichen Erklärungen des vorherigen Teams verlassen zu müssen.

Was bei einem IT-Audit überprüft wird

Das Audit von Informationssystemen umfasst fünf große Kernbereiche. In der Praxis hängt deren Tiefe von der Größe des Unternehmens und den Zielen des Audits ab: Manchmal reicht es aus, ein oder zwei Bereiche zu prüfen, manchmal ist ein vollständiges Bild erforderlich.

Infrastruktur und Systemarchitektur

Überprüft wird alles, computational und logisch, was das Fundament der IT bildet: Server, Netzwerkgeräte, Arbeitsstationen und Cloud-Ressourcen. Es gilt zu verstehen, ob die Architektur den aktuellen Geschäftsanforderungen entspricht und ob sie dem Wachstum standhält. Ein separater Blick wird auf die Backups geworfen: Hat überhaupt schon mal jemand geprüft, ob sich die Daten daraus tatsächlich wiederherstellen lassen?

Datensicherheit und Zugriffskontrolle

Dies ist der kritischste Bereich. Laut IBM-Daten dauerte es im Jahr 2024 durchschnittlich 194 Tage, um ein Datenleck zu entdecken, und weitere 64 Tage, um den Vorfall einzudämmen. Bei Angriffen mit kompromittierten Zugangsdaten war der Zyklus sogar noch länger: im Schnitt 292 Tage. Das sind Monate, in denen ein Angreifer im System verbleiben, Daten kopieren, die Firmen-E-Mails mitlesen oder die nächste Stufe des Angriffs vorbereiten kann.

Wie sieht ein Audit-Bericht aus?

Ein guter Bericht ist ein Dokument, mit dem man tatsächlich arbeiten kann: Prioritäten verstehen, das Budget planen und Aufgaben an das Team delegieren. Wenn der Dienstleister nach dem Audit hunderte Seiten technischen Text ohne klare Struktur und Priorisierung vorlegt, ist das eine reine Abwälzung der Verantwortung zurück auf den Kunden.

Ein ordnungsgemäßer IT-Infrastruktur-Audit-Bericht gliedert sich in mehrere Ebenen:

Ein besonderes Augenmerk sollte darauf gelegt werden, wie Probleme klassifiziert werden.

Kritisches Risiko: Alles, was ab sofort zu einem Stillstand des Geschäftsbetriebs, zu Datenlecks oder rechtlichen Sanktionen führen kann.

Wichtig: Probleme, die ohne ein Eingreifen innerhalb weniger Monate kritisch werden.

Empfohlen: Optimierungen, die die Effizienz steigern, aber keine direkte Bedrohung darstellen.

Wenn alle Probleme im Bericht als kritisch eingestuft sind, stimmt etwas nicht. Häufig zeigt sich nach dem Audit der IT-Prozesse ein Automatisierungsbedarf – und genau dann wird klar, dass das Audit erst der Ausgangspunkt ist.

Was kostet ein IT-Audit und wie hoch ist der ROI?

Es gibt keine Festpreise; die Kosten hängen von der Unternehmensgröße, der Prüftiefe und den im Scope (Umfang) enthaltenen Blöcken ab. Internationalen Daten zufolge startet eine Basisprüfung für kleine Unternehmen ab 5.000 $, während die Spanne für mittelständische Unternehmen in der Regel zwischen 10.000 $und 50.000$ liegt. Ukrainische Unternehmen operieren aufgrund der niedrigeren Stundensätze für Fachkräfte meist am unteren Ende dieser Spannen.

Übrigens: Je länger ein Unternehmen einen Vorfall nicht bemerkt, desto teurer wird dessen Eindämmung. Daher sind Monitoring, regelmäßige Überprüfungen, Backuptests und ein klarer Reaktionsplan der beste Weg, um zukünftige Schäden zu minimieren.

IT-Audit bei IWIS beauftragen

Häufig wenden sich Unternehmen erst dann an ein IT-Consulting, wenn bereits etwas schiefgelaufen ist – in diesem Fall wird das Audit zu einer Krisenmanagement-Maßnahme mit entsprechend hohem Preis. Wird es jedoch rechtzeitig durchgeführt, kostet es weniger und bringt einen größeren Mehrwert.

Das Team von IWIS führt ein umfassendes IT-Audit für Ihr Unternehmen durch – von der Infrastruktur und Sicherheit bis hin zu Lizenzen und Entwicklungsprozessen. Als Ergebnis erhalten Sie einen klaren Fahrplan: Was muss zuerst behoben werden, was kann optimiert werden und welche Kosten kommen auf Sie zu.

Kontaktieren Sie uns, und wir bieten Ihnen genau das Format an, das zu Ihrer Unternehmensgröße und Ihren Aufgaben passt.