Internes ISMS-Audit planen und durchführen: Praxisleitfaden für ISO 27001

Ein internes ISMS-Audit soll nicht die spätere Zertifizierungsprüfung nachspielen. Es liefert der Leitung unabhängige Evidenz, ob das Managementsystem die eigenen Regeln und die Anforderungen von ISO/IEC 27001 erfüllt, wirksam betrieben wird und relevante Risiken beherrscht. Dafür braucht es mehr als eine Klauselcheckliste.

Der Praxisleitfaden folgt dem Auditprozess von Auftrag und Planung über Interviews und technische Stichproben bis Bericht und Maßnahmenverfolgung. ISO 19011:2026 liefert die aktuellen Leitlinien für Managementsystemaudits; ISO/IEC 27007 ergänzt informationssicherheitsspezifische Hinweise. ISO 27001 definiert die verbindliche Anforderung an interne Audits im ISMS.

Aktueller Normenstand: ISO 19011 wurde 2026 erneuert

ISO veröffentlichte im Mai 2026 die vierte Ausgabe von ISO 19011. Sie ersetzt die Ausgabe von 2018 und enthält unter anderem erweiterte Hinweise zu Remote-Auditmethoden, virtuellen Locations und Risikobetrachtung. Unternehmen sollten interne Auditverfahren und Schulungsunterlagen auf den neuen Stand prüfen.

ISO 19011 ist eine Leitlinie und keine Zertifizierungsnorm. Für ein ISMS bleiben die Anforderungen von ISO/IEC 27001:2022 maßgeblich. ISO/IEC 27007:2020 ergänzt die allgemeinen Auditprinzipien um Hinweise zum ISMS-Auditprogramm, zur Durchführung und zur Kompetenz von Informationssicherheitsauditoren.

Auditprogramm und einzelnes Audit unterscheiden

Das Auditprogramm steuert mehrere Audits über einen Zeitraum. Es berücksichtigt ISMS-Scope, Prozesse, Standorte, Risiken, Änderungen, Ergebnisse früherer Audits und Bedeutung der Bereiche. Ein einzelnes Audit besitzt dagegen einen konkreten Auftrag mit Ziel, Scope, Kriterien, Team und Termin.

Diese Trennung verhindert blinde Flecken. Ein jährlich wiederholtes „ISO-Audit“ kann zentrale Prozesse überprüfen, aber lokale technische Kontrollen jahrelang auslassen. Das Programm sorgt dafür, dass die Gesamtheit der Anforderungen risikobasiert und rechtzeitig abgedeckt wird.

Schritt 1: Auditziele präzise formulieren

Ein Ziel wie „ISO-Konformität prüfen“ ist für ein zweitägiges Audit zu breit. Besser ist eine prüfbare Aussage: Bewertung, ob Zugriffsmanagement und privilegierte Administration an zwei Standorten entsprechend ISMS-Regeln und ausgewählten ISO-Anforderungen wirksam betrieben werden. Das Ziel steuert Stichprobe und Kompetenz.

Weitere Ziele können die Umsetzung einer neuen Risikomethode, die Wirksamkeit von Lieferantenkontrollen oder die Auditbereitschaft eines neuen Scopes betreffen. Ziele werden mit Leitung und Auditprogrammverantwortlichem abgestimmt. Beratungswünsche bleiben vom unabhängigen Prüfauftrag getrennt.

Schritt 2: Scope mit klaren Grenzen festlegen

Der Audit-Scope nennt Organisationseinheiten, Standorte, Prozesse, Systeme, Zeitraum und Schnittstellen. Er muss innerhalb des ISMS-Scope liegen und das Ziel unterstützen. Bewusste Ausschlüsse werden begründet.

Remote- und Cloudleistungen werden nicht automatisch außerhalb behandelt. Wenn ein zentraler Identitätsdienst den geprüften Standort absichert, gehört seine Schnittstelle zur Stichprobe. Der Auditplan beschreibt, wo Evidenz erhoben und wer interviewt wird.

Schritt 3: Auditkriterien eindeutig benennen

Kriterien sind die Anforderungen, gegen die Evidenz bewertet wird. Dazu gehören ISO/IEC 27001, eigene Richtlinien und Verfahren, gesetzliche oder vertragliche Anforderungen sowie ausgewählte Kontrollvorgaben. Versionsstände werden dokumentiert.

Ein Auditor kann nur eine Nichtkonformität feststellen, wenn ein Kriterium verletzt ist. Verbesserungsideen ohne verletzte Anforderung werden getrennt gekennzeichnet. Dadurch bleiben Bericht und Maßnahmensteuerung fair und nachvollziehbar.

Schritt 4: Unabhängigkeit praktisch sicherstellen

Auditoren dürfen ihre eigene Arbeit nicht so prüfen, dass Objektivität gefährdet ist. In kleinen Organisationen ist vollständige organisatorische Trennung nicht immer möglich. Dann helfen Bereichstausch, externe Auditoren oder ein Team mit unabhängiger Leitung.

Mögliche Interessenkonflikte werden vor dem Audit offengelegt und bewertet. Wer eine Kontrolle entworfen oder betrieben hat, kann Fachwissen beisteuern, sollte aber die Feststellung nicht allein entscheiden. Die Leitung schützt Auditoren vor Druck auf Ergebnisse.

Schritt 5: Kompetenz passend zum Prüfgegenstand wählen

Ein ISMS-Auditor benötigt Auditmethodik, Normverständnis, Risikokompetenz und Wissen über den geprüften Kontext. Für Cloudarchitektur, OT, Kryptografie oder Datenschutz kann zusätzliche Fachkompetenz erforderlich sein. Eine allgemeine Lead-Auditor-Schulung deckt nicht jedes Spezialthema ab.

Die Kompetenzmatrix betrachtet Ausbildung, Erfahrung, beobachtete Audits und laufende Entwicklung. Auditoren müssen technische Evidenz verstehen, ohne selbst jede Konfiguration bedienen zu können. Ein Fachexperte unterstützt, bleibt aber unter Leitung des Auditors.

Schritt 6: Vorinformationen risikobasiert auswerten

Vor dem Audit werden Scope, Prozessbeschreibungen, Risiken, Ziele, Richtlinien, Kennzahlen, Vorfälle, Änderungen und frühere Feststellungen geprüft. Das Ziel ist nicht, sämtliche Dokumente vorab zu lesen. Relevante Widersprüche und Stichprobenhypothesen werden identifiziert.

Ein starker Anstieg privilegierter Konten, wiederholte Patchausnahmen oder neue Lieferanten lenken die Prüfung. Gute Vorbereitung spart Interviewzeit. Offene Fragen werden mit erwarteter Evidenz in einen Arbeitsplan übertragen.

Schritt 7: Einen realistischen Auditplan erstellen

Der Plan nennt Zeiten, Themen, Interviewpartner, Orte, Auditteam und Besprechungen. Er berücksichtigt Betriebsabläufe und notwendige Zugänge. Zeit für Evidenzprüfung und interne Abstimmung des Auditteams wird ausdrücklich eingeplant.

Zu enge Minutentakte führen zu oberflächlichen Antworten. Kritische Prozesse erhalten größere Zeitfenster und Reserven für Folgestichproben. Der Plan wird rechtzeitig verteilt, ohne sämtliche Detailfragen vorwegzunehmen.

Beispiel für einen eintägigen Auditplan

Der Beispielplan fokussiert wenige Prozesse mit Tiefe. Für andere Ziele werden Zeiten und Rollen angepasst. Eine vollständige ISMS-Abdeckung entsteht über das Auditprogramm, nicht an einem einzigen Tag.

Schritt 8: Stichproben bewusst konstruieren

Ein Audit kann selten jede Transaktion prüfen. Stichproben werden nach Risiko, Bedeutung, Veränderung und bisheriger Leistung ausgewählt. Zufällige Elemente reduzieren bewusste Vorauswahl durch den auditierten Bereich.

Beim Zugriffsmanagement umfasst die Stichprobe beispielsweise Eintritte, Rollenwechsel, Austritte, privilegierte Konten, externe Nutzer und Ausnahmen. Der Zeitraum enthält normale und besonders belastete Phasen. Umfang und Auswahlgrund werden dokumentiert.

Schritt 9: Eröffnungsbesprechung kurz und verbindlich halten

Die Eröffnung bestätigt Ziel, Scope, Kriterien, Plan, Kommunikationsweg und Vertraulichkeit. Teilnehmende verstehen, dass das Audit den Prozess und nicht einzelne Beschäftigte bewertet. Änderungen am Plan werden transparent vereinbart.

Das Auditteam erläutert, wie Feststellungen entstehen und wann auditierten Rollen Gelegenheit zur Klarstellung erhalten. Sicherheits- und Zutrittsregeln werden berücksichtigt. Die Besprechung darf nicht zum ausführlichen Managementvortrag werden.

Schritt 10: Prozessbasiert statt klauselorientiert fragen

Gute Fragen folgen einem realen Ablauf: Was löst den Prozess aus, wer entscheidet, wie wird umgesetzt, was passiert bei einer Ausnahme und woran erkennen Sie Wirksamkeit? ISO-Anforderungen bleiben im Hintergrund als Kriterien. Interviewpartner erklären ihre Arbeit in eigener Sprache.

Beim Risikomanagement verfolgt der Auditor ein konkretes Szenario von Identifikation über Bewertung und Behandlung bis Restrisikoentscheidung. Beim Incident Management wird ein echter oder geübter Fall nachverfolgt. Dadurch werden Schnittstellen sichtbar, die eine Klausel-für-Klausel-Befragung übersieht.

Schritt 11: Aussagen mit Evidenz triangulieren

Eine belastbare Feststellung stützt sich möglichst auf mehrere Quellen. Interview, Dokument, Systemauszug, Beobachtung und Stichprobe ergänzen sich. Widersprüche werden untersucht und nicht automatisch gegen den Interviewpartner ausgelegt.

Eine Richtlinie zeigt den Sollprozess, ein Ticket dessen Anwendung und eine Kennzahl die wiederholte Leistung. Für Wirksamkeit kann ein Test oder Ergebnis erforderlich sein. Evidenz bleibt auf Ziel, Scope und Zeitraum bezogen.

Schritt 12: Technische Kontrollen angemessen prüfen

ISMS-Audits dürfen technische Kontrollen nicht nur anhand von Richtlinien bewerten. Konfigurationsauszüge, Logs, Scannergebnisse und Testprotokolle zeigen den Betriebszustand. Der Auditor wählt Tiefe passend zu Risiko und Kompetenz.

Bei Mehrfaktorauthentisierung wird beispielsweise geprüft, welche Benutzer und Zugänge erfasst sind, wie Ausnahmen genehmigt werden und ob technische Stichproben die Vorgabe bestätigen. Eine Live-Demonstration kann helfen. Produktionsänderungen werden für das Audit nicht unnötig ausgelöst.

Schritt 13: Remote-Auditmethoden kontrolliert einsetzen

ISO 19011:2026 erweitert die Hinweise zu Remote-Methoden und virtuellen Locations. Videointerviews, Bildschirmfreigaben und sichere Dokumentenräume können Reiseaufwand reduzieren. Eignung hängt von Ziel, Technologie, Vertraulichkeit und notwendiger Beobachtung ab.

Physische Zutrittskontrolle oder Prozessbeobachtung kann vor Ort aussagekräftiger sein. Verbindungsqualität, Identitätsprüfung, Aufzeichnung und Datenschutz werden vorab geklärt. Wenn Remote-Evidenz nicht genügt, wird eine Vor-Ort-Stichprobe ergänzt.

Schritt 14: Auditnotizen beweisfähig führen

Notizen nennen Quelle, Zeitpunkt, Stichprobe, Kriterium und Beobachtung. Wertende Begriffe ohne Faktengrundlage werden vermieden. Sensible Daten werden minimiert und geschützt.

Eine gute Notiz lautet nicht „Offboarding schlecht“, sondern beschreibt etwa drei geprüfte Austritte, festgelegte Frist und zwei verspätet gesperrte Konten. So kann das Team Bedeutung und Systematik bewerten. Aufbewahrung folgt dem Auditverfahren.

Schritt 15: Feststellungen sauber klassifizieren

Eine Nichtkonformität verbindet verletztes Kriterium, objektive Evidenz und klare Aussage der Abweichung. Schweregrade folgen dem internen Verfahren und berücksichtigen systematische Wirkung sowie Risiko. Eine Zertifizierungsstelle kann andere Klassifikationen verwenden.

Beobachtungen und Verbesserungspotenziale werden getrennt. Sie dürfen nicht als verdeckte Pflichtforderung formuliert sein. Positive Praktiken können erwähnt werden, ohne den unabhängigen Charakter zu verwässern.

Eine belastbare Nichtkonformität formulieren

Das Risiko erklärt Bedeutung, ersetzt aber nicht das Kriterium. Namen und unnötige personenbezogene Daten gehören nicht in den Bericht. Der Prozesseigner kann die Fakten vor Abschluss kommentieren.

Schritt 16: Auditteam intern konsolidieren

Vor der Abschlussbesprechung gleicht das Team Evidenz, Kriterien und Schweregrade ab. Überschneidende Feststellungen werden zusammengeführt, ohne unterschiedliche Ursachen zu vermischen. Offene Fakten werden geklärt.

Die Konsolidierung schützt Konsistenz und faire Darstellung. Ein Auditteamleiter entscheidet bei unterschiedlichen Einschätzungen. Empfehlungen werden nur gegeben, wenn die Unabhängigkeit nicht gefährdet wird.

Schritt 17: Abschlussbesprechung ohne Überraschungen

Die Abschlussbesprechung stellt Zielerreichung, wesentliche Stärken, Feststellungen und weitere Schritte vor. Fakten wurden idealerweise bereits mit den zuständigen Rollen geklärt. Uneinigkeit wird dokumentiert, nicht durch Verhandlung über Kriterien gelöst.

Das Auditteam erklärt Stichprobenbegrenzung und Fristen für Bericht sowie Korrekturplan. Die Leitung versteht die Risikowirkung. Detaildiskussionen werden bei Bedarf separat terminiert.

Schritt 18: Bericht für Entscheidung und Nachverfolgung schreiben

Der Bericht enthält Auftrag, Scope, Kriterien, Team, Methode, Stichproben, Schlussfolgerung und Feststellungen. Er unterscheidet geprüfte von nicht geprüften Bereichen. Anhänge können Evidenzreferenzen und Teilnehmende enthalten.

Eine Managementzusammenfassung zeigt systemische Themen und notwendige Entscheidungen. Der Bericht wird vertraulich verteilt und versioniert. Formulierungen bleiben sachlich, präzise und frei von unnötigem Fachjargon.

Schritt 19: Ursachenanalyse statt Schnellkorrektur

Der Prozesseigner korrigiert den konkreten Befund und untersucht, warum die Kontrolle versagte. Methoden wie Fünf-Warum, Barrierenanalyse oder Prozessmapping können unterstützen. Die Tiefe entspricht Bedeutung und Systematik.

Ein verspätet gesperrtes Konto kann durch fehlende Schnittstelle zwischen HR und IT verursacht sein, nicht durch einzelne Unachtsamkeit. Die Dauermaßnahme behandelt Trigger, Verantwortlichkeit und Überwachung. Vergleichbare Bereiche werden auf dieselbe Ursache geprüft.

Schritt 20: Korrekturmaßnahmen abnahmefähig planen

Eine Maßnahme nennt Eigentümer, Zielzustand, Frist, Ressourcen und erwartete Evidenz. „Prozess verbessern“ ist nicht prüfbar. Kompensierende Kontrollen sind befristet und risikobasiert.

Der Auditprogrammverantwortliche überwacht Termine, der Prozesseigner verantwortet Umsetzung. Wesentliche Verzögerungen werden an die Leitung eskaliert. Der Auditor sollte die Lösung nicht selbst entwerfen und anschließend unabhängig bewerten.

Schritt 21: Wirksamkeit getrennt von Umsetzung prüfen

Ein neues Verfahren und ein abgeschlossenes Ticket zeigen Implementierung. Wirksamkeit zeigt sich erst, wenn die Kontrolle über geeignete Zeit und Stichprobe funktioniert. Das Follow-up plant deshalb einen realistischen Prüfzeitpunkt.

Beim Offboarding können mehrere Austritte nach Einführung geprüft werden. Sind Fristen eingehalten und Ausnahmen kontrolliert, wird die Feststellung geschlossen. Andernfalls wird Ursache und Maßnahme erneut bewertet.

Beispiel: Audit des Lieferantenmanagements

Ein Technologieunternehmen möchte prüfen, ob kritische Cloud- und Entwicklungsdienstleister risikobasiert gesteuert werden. Das Audit wählt fünf Anbieter unterschiedlicher Kritikalität und verfolgt Auswahl, Vertrag, Freigabe, Monitoring, Vorfälle und Exit. Kriterien sind ISO-Anforderungen, interne Supplier Policy und Kundenklauseln.

Die Stichprobe zeigt vollständige Zertifikate, aber bei zwei Anbietern keinen dokumentierten Scope-Abgleich. Ein dritter Vertrag besitzt keine verbindliche Vorfallfrist. Die Feststellung betrifft den Reviewprozess, nicht nur einzelne Dateien.

Die Ursache liegt in einem Einkaufstool ohne Sicherheitspflichtfelder. Das Unternehmen ergänzt Risikoklassifikation, Nachweisprüfung und Freigabeschritt. Drei Monate später bestätigt eine neue Stichprobe die Anwendung bei allen neuen kritischen Lieferanten.

Auditleistung mit sinnvollen Kennzahlen steuern

Geeignete Kennzahlen sind Programmabdeckung risikoreicher Bereiche, termingerechte Berichte, überfällige Maßnahmen, Wiederholungsfeststellungen und erfolgreiche Wirksamkeitsprüfungen. Die Anzahl Feststellungen allein bewertet keine Auditqualität. Wenige Findings können gute Kontrollen oder eine schwache Stichprobe bedeuten.

Feedback der auditierten Bereiche betrachtet Fairness, Klarheit und Nutzen, nicht gewünschte Ergebnisse. Der Auditprogrammverantwortliche bewertet Trends und Kompetenzbedarf. Verbesserungen fließen in Methoden und Planung ein.

Typische Fehler interner ISMS-Audits

• Jedes Jahr werden dieselben Normklauseln in gleicher Tiefe geprüft.
• Der Informationssicherheitsbeauftragte auditiert ausschließlich die eigene Arbeit.
• Interviews ersetzen technische Stichproben und Prozessbeobachtung.
• Feststellungen nennen kein verletztes Kriterium.
• Verbesserungsideen werden als verpflichtende Nichtkonformitäten formuliert.
• Der Bericht verschweigt nicht geprüfte Bereiche und Stichprobenbegrenzungen.
• Korrekturmaßnahmen schließen Dokumente, aber nicht Ursachen.
• Umsetzung wird bestätigt, ohne spätere Wirksamkeit zu prüfen.

Ein Auditverfahren sollte diese Risiken selbst adressieren. Reviews von Auditakten und beobachtete Audits sichern die Qualität. Wiederkehrende Probleme fließen in Auditorentraining und Programmplanung ein.

30-Punkte-Checkliste für das nächste Audit

1. Auditprogramm und risikobasierte Priorität sind freigegeben.
2. Ziel ist konkret und erreichbar formuliert.
3. Scope nennt Prozesse, Standorte und Schnittstellen.
4. Kriterien und Versionen sind eindeutig.
5. Unabhängigkeit wurde geprüft.
6. Das Team besitzt passende ISMS- und Fachkompetenz.
7. Interessenkonflikte sind behandelt.
8. Vorinformationen wurden risikobasiert ausgewertet.
9. Frühere Feststellungen sind berücksichtigt.
10. Wesentliche Änderungen sind identifiziert.
11. Der Auditplan enthält realistische Zeitreserven.
12. Interviewpartner und Zugänge sind bestätigt.
13. Stichprobenlogik ist dokumentiert.
14. Remote-Methoden sind für das Ziel geeignet.
15. Vertraulichkeit der Evidenz ist geregelt.
16. Die Eröffnung bestätigt Auftrag und Kommunikation.
17. Fragen folgen realen Prozessen.
18. Aussagen werden mit mehreren Quellen geprüft.
19. Technische Kontrollen erhalten technische Evidenz.
20. Auditnotizen enthalten Quelle und Stichprobe.
21. Feststellungen verbinden Kriterium und Evidenz.
22. Schweregrade folgen dem Verfahren.
23. Verbesserungshinweise bleiben getrennt.
24. Das Team konsolidiert vor dem Abschluss.
25. Fakten werden mit Prozesseignern geklärt.
26. Der Bericht nennt Begrenzungen.
27. Die Leitung erhält entscheidungsrelevante Aussagen.
28. Korrekturen und Ursachenanalyse sind getrennt.
29. Maßnahmen besitzen Eigentümer und Abnahmekriterium.
30. Wirksamkeitsprüfung und Auditverbesserung sind geplant.

Die Liste unterstützt die Organisation, ersetzt aber kein qualifiziertes Auditteam. Sie wird an Ziel und Scope angepasst. Vollständiges Abhaken ohne belastbare Evidenz widerspricht dem Zweck eines Audits.

Fazit: Ein gutes Audit erhöht Entscheidungsqualität

Ein internes ISMS-Audit verbindet Unabhängigkeit, Fachkompetenz, risikobasierte Stichprobe und objektive Evidenz. Es folgt realen Prozessen und prüft nicht nur Dokumente. Ursachen- und Wirksamkeitskontrolle machen aus Feststellungen nachhaltige Verbesserungen.

BlackMount unterstützt bei Planung und Durchführung interner ISMS-Audits: vom risikobasierten Auditprogramm über Interviews und technische Stichproben bis zu Bericht, Ursachenreview und Follow-up. Der neue Stand ISO 19011:2026 wird dabei in Methode und Remote-Auditplanung berücksichtigt.

Verwendete Primärquellen

• ISO: ISO 19011:2026 – Guidelines for auditing management systems
• ISO Online Browsing Platform: Struktur und Auditprinzipien von ISO 19011:2026
• ISO: ISO/IEC 27007:2020 – Guidelines for ISMS auditing
• ISO: ISO/IEC 27001:2022 – Information security management systems