ISMS · Interne Audits
Interne ISMS-Audits durchführen: Ablauf, Checkliste und typische Findings
Lesezeit etwa 6 Minuten · Stand August 2026
Ein internes ISMS-Audit prüft, ob das Informationssicherheits-Managementsystem wie geplant funktioniert und wirksam ist. ISO 27001 verlangt es in Kapitel 9.2 in festgelegten Abständen. Das Audit deckt Lücken vor dem Zertifizierungsaudit auf, sichert die Unabhängigkeit der Prüfer und liefert die Grundlage für die Managementbewertung. Dieser Leitfaden zeigt Auditprogramm, Ablauf und typische Findings.
Ein internes Audit ist kein Selbstzweck.
Es findet die Schwächen, bevor der externe Auditor sie findet.
Was ist ein internes ISMS-Audit und wozu dient es?
Ein internes ISMS-Audit ist eine systematische, unabhängige Prüfung, ob das Informationssicherheits-Managementsystem die Anforderungen der Norm und die eigenen Vorgaben erfüllt und wirksam ist. ISO 27001 fordert es in Kapitel 9.2 in geplanten Abständen (ISO/IEC 27001:2022).
Der wichtige Unterschied zum Zertifizierungsaudit: Das interne Audit führt die Organisation selbst durch, um Schwächen früh zu erkennen. Das externe Audit übernimmt eine akkreditierte Zertifizierungsstelle. Das interne Audit ist damit die Generalprobe vor der eigentlichen Prüfung.
Der Nutzen geht über die Pflichterfüllung hinaus. Ein internes Audit macht sichtbar, ob Regelungen im Alltag wirklich gelebt werden oder nur auf dem Papier stehen. Es gibt den Verantwortlichen ein ehrliches Bild, deckt Reibungsverluste auf und liefert konkrete Ansatzpunkte für Verbesserungen. Richtig genutzt ist es ein Steuerungsinstrument, keine lästige Formalie.
Wie plant man ein Auditprogramm und sichert die Unabhängigkeit?
Am Anfang steht ein Auditprogramm, kein Einzeltermin. Es legt fest, welche Bereiche wann mit welcher Methode geprüft werden. Kapitel 9.2.2 verlangt dabei ausdrücklich Unabhängigkeit: Niemand prüft den eigenen Arbeitsbereich. In kleinen Organisationen löst das oft ein externer Auditor oder eine Person aus einer anderen Abteilung.
| Element des Auditprogramms | Inhalt |
|---|---|
| Umfang und Kriterien | Geltungsbereich, Normkapitel 4 bis 10, Anhang A |
| Häufigkeit | mindestens jährlich, kritische Bereiche öfter |
| Unabhängigkeit | Auditor prüft nicht den eigenen Bereich (9.2.2) |
| Methoden | Dokumentenprüfung, Interviews, Stichproben, Begehung |
| Ergebnis | Auditbericht mit Findings, Fristen und Verantwortlichen |
Das Auditprogramm sollte risikobasiert sein. Bereiche mit hohem Schutzbedarf oder vielen Änderungen werden häufiger geprüft als stabile Nebenprozesse. Auch die Ergebnisse früherer Audits fließen ein: Wo es zuletzt Findings gab, lohnt der genauere Blick. So verteilt das Programm den Prüfaufwand dorthin, wo er den größten Nutzen bringt.
Wissen Sie, wo Ihr ISMS wirklich steht?
Ein interner Blick ersetzt keine ehrliche Standortbestimmung. Der Reifegrad-Check zeigt in wenigen Minuten, wie weit Ihr ISMS von der Norm entfernt ist.
Wie läuft ein internes Audit ab?
Ein internes Audit folgt einem festen Ablauf, angelehnt an den Leitfaden ISO 19011 (ISO 19011:2018). Von der Planung bis zur Nachverfolgung sind es 8 Schritte.
- Auditplan erstellen: Umfang, Kriterien, Termine und Ansprechpartner festlegen.
- Eröffnungsgespräch: Ablauf und Ziele mit den geprüften Bereichen klären.
- Nachweise aufnehmen: Interviews führen, Dokumente sichten, Stichproben ziehen.
- Bewerten: Nachweise gegen Norm und interne Vorgaben abgleichen.
- Findings festhalten: Abweichungen und Beobachtungen sachlich belegen.
- Abschlussgespräch: Ergebnisse mit den Verantwortlichen besprechen.
- Auditbericht: Umfang, Kriterien, Findings und Fristen dokumentieren.
- Nachverfolgen: Korrekturmaßnahmen umsetzen und ihre Wirksamkeit prüfen.
Wer vorab die größten Lücken kennen will, kombiniert das Audit mit einer ISO 27001 Gap-Analyse.
Zwischen den Schritten ist Kommunikation entscheidend. Findings sollten nicht erst im Bericht auftauchen, sondern bereits im Gespräch benannt werden. So gibt es am Ende keine Überraschungen und die Verantwortlichen können Maßnahmen direkt mitdenken.
Wie dokumentiert man Findings und die Ursachenanalyse?
Findings werden nach Schwere unterschieden. Eine Nichtkonformität verletzt eine Anforderung und muss behoben werden, eine Beobachtung ist ein Verbesserungshinweis ohne akuten Handlungszwang. Für jede Nichtkonformität verlangt Kapitel 10.2 eine Korrekturmaßnahme mit Ursachenanalyse, damit der Fehler nicht wiederkehrt.
Die Ursachenanalyse fragt nach dem Warum hinter dem Symptom. Ein fehlender Backup-Nachweis ist selten das eigentliche Problem, oft fehlt ein klarer Prozess oder eine Zuständigkeit. Erst wenn die Ursache behoben ist, gilt die Maßnahme als wirksam. Ein sauber gepflegtes Statement of Applicability erleichtert dem Auditor die Bewertung erheblich.
Jedes Finding braucht einen klaren Nachweis. Eine Formulierung wie Zugriffsrechte nicht sauber vergeben genügt nicht. Besser ist ein belegter Befund mit Bezug auf die konkrete Anforderung, das geprüfte Objekt und die Beobachtung. Diese Sachlichkeit schützt vor Streit und macht die spätere Korrekturmaßnahme überprüfbar.
Wie bereitet man sich als geprüfter Bereich vor?
Auch die geprüfte Seite kann viel zum Gelingen beitragen. Wer seine Nachweise vorab sortiert, Ansprechpartner benennt und die eigenen Prozesse kennt, spart im Audit Zeit und wirkt souverän. Ein internes Audit ist kein Verhör, sondern ein gemeinsamer Blick auf Stärken und Schwächen. Diese Haltung nimmt den Beteiligten die Nervosität.
Hilfreich ist eine kurze Selbstprüfung anhand der Normkapitel und des Anhangs A vor dem Termin. Offene Punkte, die dabei auffallen, lassen sich oft schon vorher schließen. Der Auditor findet dann weniger. Die verbleibenden Findings sind meist die, die wirklich Aufmerksamkeit verdienen.
Welche Findings treten typischerweise auf?
Bestimmte Abweichungen tauchen in internen Audits immer wieder auf. Wer sie kennt, prüft gezielt und spart Zeit. Die häufigsten Findings und ihre Ursachen zeigt die Tabelle.
| Typisches Finding | Ursache und Abhilfe |
|---|---|
| Veraltete Risikoanalyse | jährliche Aktualisierung fehlt, Termin fest einplanen |
| Statement of Applicability nicht aktuell | Controls geändert, Dokument nicht nachgezogen |
| Fehlende Wirksamkeitsmessung | keine Kennzahlen, Kapitel 9.1 nicht erfüllt |
| Schulungsnachweise fehlen | Awareness durchgeführt, aber nicht dokumentiert |
| Maßnahmen ohne Frist oder Verantwortlichen | kein Tracking, Nachverfolgung unklar |
| Managementbewertung überfällig | Kapitel 9.3 nicht eingehalten |
Ein zentrales Auditmanagement beugt vor. In laufen Findings, Fristen und Verantwortliche an einer Stelle zusammen und fließen direkt in die Nachverfolgung.
Bereit für das Zertifizierungsaudit?
Wenn interne Audits sauber laufen, ist der Weg zur Zertifizierung kurz. Im Strategiegespräch ordnen wir Ihren Stand ehrlich ein und benennen die nächsten Schritte.
Häufige Fragen zu internen ISMS-Audits
Wie oft muss ein internes ISMS-Audit stattfinden?
ISO 27001 nennt keine feste Zahl, verlangt aber geplante Abstände. In der Praxis prüfen die meisten Organisationen mindestens einmal im Jahr das gesamte ISMS über ein Auditprogramm, kritische oder auffällige Bereiche auch häufiger.
Wer darf interne Audits durchführen?
Jede fachlich geeignete Person, die unabhängig vom geprüften Bereich ist. Kapitel 9.2.2 verbietet, den eigenen Arbeitsbereich zu auditieren. Kleine Unternehmen beauftragen dafür oft einen externen Auditor oder tauschen die Prüfer zwischen Abteilungen.
Was ist der Unterschied zwischen internem Audit und Zertifizierungsaudit?
Das interne Audit führt die Organisation selbst durch, um sich zu verbessern. Das Zertifizierungsaudit übernimmt eine akkreditierte Stelle in Stage 1 und Stage 2 und entscheidet über das Zertifikat. Das interne Audit ist die Vorbereitung darauf.
Muss ein internes Audit immer das gesamte ISMS abdecken?
Nein. Über ein Auditprogramm lässt sich der Umfang auf mehrere Termine im Jahr verteilen. Wichtig ist nur, dass am Ende alle relevanten Normkapitel und Bereiche innerhalb eines sinnvollen Zeitraums geprüft wurden.
Was gehört in einen Auditbericht?
Umfang und Kriterien des Audits, die geprüften Bereiche, die aufgenommenen Nachweise sowie die Findings mit Einstufung, Fristen und Verantwortlichen. Der Bericht ist zugleich ein wichtiger Input für die Managementbewertung nach Kapitel 9.3.
Was passiert mit den Findings nach dem Audit?
Für jede Nichtkonformität wird eine Korrekturmaßnahme mit Ursachenanalyse nach Kapitel 10.2 festgelegt, umgesetzt und auf Wirksamkeit geprüft. Offene Punkte werden nachverfolgt, bis sie geschlossen sind. So schließt sich der Regelkreis der kontinuierlichen Verbesserung.
Das könnte Sie auch interessieren
Die wichtigsten Fakten auf einen Blick
| Fakt | Kurz |
|---|---|
| Norm-Grundlage | ISO/IEC 27001:2022, Kapitel 9.2 (internes Audit) |
| Korrekturmaßnahmen | Kapitel 10.2 |
| Häufigkeit | mindestens jährlich, risikobasiert über ein Auditprogramm |
| Unabhängigkeit | Auditor prüft nicht den eigenen Bereich (9.2.2) |
| Leitfaden | ISO 19011 zur Auditierung von Managementsystemen |
| Ergebnis | Auditbericht mit Findings, Fristen, Verantwortlichen |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.