ISO 27001: Ein Internes Audit richtig durchführen und dokumentieren

Als externer Zertifizierungsauditor auditiere ich natürlich auch Abschnitt 9.2. Dann lasse ich mir zeigen, wie das Unternehmen sein Internes Audit geplant, durchgeführt und dokumentiert hat.

Und dabei liegen gelegentlich Dinge auf dem Tisch, die als Auditbericht bezeichnet werden, obwohl die Bezeichnung schon beinahe als kühne Arbeitshypothese gelten muss.

Wer wurde eigentlich auditiert? Unklar. Wogegen wurde auditiert? Steht nicht drin. Wer war dabei? Weiß offenbar niemand mehr. Welche Dokumente oder sonstigen Nachweise wurden betrachtet? Geheimnis der Geschichte. Dann folgen drei oder vier schwallige Sätze wie:

„Im Gespräch wurde deutlich, dass das Thema Informationssicherheit im Unternehmen grundsätzlich einen hohen Stellenwert besitzt und die vorhandenen Prozesse von den Beteiligten insgesamt positiv wahrgenommen werden, wobei an einzelnen Stellen auch Möglichkeiten für eine zukünftige Weiterentwicklung gesehen werden.“

Und ich sitze davor und frage mich: Welche Anforderung wurde hier auditiert? Welche Nachweise wurden betrachtet? Was wurde festgestellt? Ist das konform? Eine Empfehlung? Eine Nichtkonformität? Womöglich sogar eine schwerwiegende? Oder lesen wir gerade einfach den inneren Monolog des Auditors?

Es ist teilweise wirklich lächerlich.

Auditbericht heißt nicht: Der Auditor schreibt auf, was ihm während des Gesprächs so durch den Kopf gegangen ist.

Die kurze Antwort

Ein brauchbares Internes Audit braucht vorab festgelegte Auditziele, Auditkriterien und einen Auditumfang. Während des Audits werden objektive und überprüfbare Nachweise gesammelt. Diese werden gegen die Auditkriterien bewertet. Daraus entstehen klare Feststellungen und am Ende eine nachvollziehbare Auditschlussfolgerung.

Das klingt streng, ist aber nur die logische Grundstruktur:

Anforderung → Nachweis → Feststellung → Bewertung → Schlussfolgerung.

Abschnitt 9.2 der ISO 27001 verlangt Interne Audits in geplanten Abständen. Diese sollen zeigen, ob das ISMS sowohl die eigenen Anforderungen der Organisation als auch die Anforderungen der Norm erfüllt und ob es wirksam umgesetzt und aufrechterhalten wird. Außerdem müssen für jedes Audit Kriterien und Umfang festgelegt, geeignete Auditoren ausgewählt, Ergebnisse berichtet und dokumentierte Informationen als Nachweis aufbewahrt werden.

Ein Bericht aus freundlichem Textnebel erfüllt diesen Zweck nicht.

Dieser Artikel ist die praktische Fortsetzung

Was ein Internes Audit grundsätzlich ist, wozu es dient und welche Kompetenz dafür notwendig ist, haben wir bereits erklärt. Hier geht es um die nächste Ebene:

• Wie wird ein Internes Audit konkret vorbereitet?
• Welche Informationen und Nachweise müssen erkennbar sein?
• Wie formuliert man eine Feststellung?
• Wie bewertet man Konformität oder Nichtkonformität?
• Und was gehört in einen Auditbericht, mit dem ein Dritter tatsächlich etwas anfangen kann?

Die vergessene Hälfte von Abschnitt 9.2: die eigenen Regeln

Viele Unternehmen glauben, ein Internes Audit prüfe ausschließlich, ob die ISO 27001 eingehalten wird. Das ist nur die halbe Wahrheit.

Abschnitt 9.2.1 nennt zwei verschiedene Prüfgegenstände:

• die eigenen Anforderungen der Organisation an ihr ISMS;
• und die Anforderungen der ISO 27001.

Zu den eigenen Anforderungen gehören beispielsweise Richtlinien, Prozesse, Arbeitsanweisungen, Rollenregelungen, Freigabewege und andere Vorgaben, die das Unternehmen selbst festgelegt hat. Genau deshalb sollte eine Organisation ihre ISMS-Dokumentation nicht mit unnötigen Selbstverpflichtungen vollstopfen.

Das Kikeriki-Prinzip

Nehmen wir an, in Ihrem Projektprozess steht:

„Nach jedem erfolgreichen Projekt hüpft der Projektleiter einmal um seinen Schreibtisch und ruft dabei aufgeregt Kikeriki.“

Dann ist das – so lächerlich es klingt – eine Anforderung Ihres Unternehmens. Wenn der Projektleiter nicht nachweisen kann, dass er den vorgeschriebenen Schreibtischumlauf samt Kikeriki absolviert hat, ist das eine Nichtkonformität – obwohl weder Schreibtische noch Hühner in der ISO 27001 vorkommen.

Das Beispiel ist albern. Die Logik ist es nicht.

Wenn Ihre Richtlinie verlangt, dass Zugriffsrechte alle sechs Monate überprüft werden, muss das Audit prüfen, ob genau das geschieht. Wenn Ihr Prozess eine Freigabe durch die Geschäftsführung verlangt, reicht die Unterschrift eines Teamleiters nicht. Wenn Sie einen bestimmten Wiederherstellungstest versprochen haben, müssen Sie ihn durchführen oder Ihre Vorgabe sinnvoll ändern.

Eine Nichtkonformität ist die Nichterfüllung einer Anforderung – nicht nur die Nichterfüllung eines Normsatzes. Wie eine saubere Nichtkonformität formuliert und bewertet wird, erklären wir in einem eigenen Beitrag.

Warum die ISO 19011 bei der Kompetenz ins Spiel kommt

ISO 27001 Abschnitt 9.2 verlangt, dass Auditoren so ausgewählt und Audits so durchgeführt werden, dass Objektivität und Unparteilichkeit sichergestellt sind. Gleichzeitig verlangt Abschnitt 7.2, dass die Organisation die notwendige Kompetenz von Personen bestimmt, die unter ihrer Kontrolle Arbeiten ausführen. Und dazu gehört natürlich auch der Auditor.

Damit steht das Unternehmen vor einer einfachen Frage:

„Was muss jemand eigentlich können, der unser ISMS auditiert?“

Neben fachlicher Ahnung ist eine naheliegende fachliche Referenz die ISO 19011. Seit Mai 2026 ist die ISO 19011:2026 die aktuelle Ausgabe. Sie beschreibt die allgemein gültigen Auditprinzipien für Managementsysteme, die Steuerung von Auditprogrammen, die Durchführung von Managementsystemaudits und die Bewertung von Auditorenkompetenz.

Wichtig: Die ISO 19011 ist ein Leitfaden und nicht automatisch eine zusätzliche Zertifizierungsanforderung. Niemand kann allein aus ihrer Existenz herleiten, dass Ihr Auditbericht exakt eine bestimmte Vorlage oder Seitenzahl haben muss. Wenn Sie aber bestimmen möchten, welche Kenntnisse und Fähigkeiten ein kompetenter Managementsystemauditor benötigt und wie ein methodisch belastbares Audit aussieht, ist sie genau der Ort zum Nachsehen. Ihr Zertifizierungsauditor weiß das auch.

Wer weder Auditkriterien von Auditnachweisen unterscheiden noch aus beidem eine nachvollziehbare Feststellung bilden kann, erfüllt die selbst bestimmte Kompetenzanforderung vermutlich nicht. Genau das kann im Zertifizierungsaudit wiederum zu einer Nichtkonformität gegen 7.2 oder 9.2 führen.

Die zwölf Bausteine eines guten Audits

1. Datum und Dauer

Wann fand das Audit statt? Wurde an einem Termin auditiert oder über mehrere Tage? Wie viel Auditzeit wurde tatsächlich eingesetzt?

Die Angabe hilft nicht nur bei der Nachvollziehbarkeit. Sie erlaubt auch eine Plausibilitätsprüfung. Wenn ein komplexes ISMS mit mehreren Standorten und hundert Beschäftigten angeblich in 45 Minuten vollständig auditiert wurde, an einem Sonntag in der Ferienzeit, ist das irgendwo zwischen sportlich und verdächtig.

2. Auditziel

Was sollte mit dem Audit erreicht werden? Ging es um eine vollständige Bewertung des ISMS vor der Zertifizierung? Um einen Teilbereich? Um die Wirksamkeit eines bestimmten Prozesses? Um die Nachverfolgung früherer Feststellungen? Um die Feststellung von Konformität? Oder auch von Effektivität? Oder sogar Effizienz? (Gerade letzteres ist in internen Audits sehr zu empfehlen.)

Ohne Auditziel kann man am Ende schwer beurteilen, ob das Audit erfolgreich war.

3. Auditumfang

Der Auditumfang beschreibt Grenzen und Ausdehnung des konkreten Audits. Welche Standorte, Organisationseinheiten, Prozesse, Systeme, Zeiträume und Themen gehörten dazu? Was wurde bewusst nicht betrachtet?

Der Auditumfang ist nicht automatisch identisch mit dem Anwendungsbereich des gesamten ISMS. Ein Audit kann innerhalb dieses Anwendungsbereichs gezielt einzelne Prozesse oder Standorte betrachten – solange das Auditprogramm insgesamt eine belastbare Gesamtabdeckung sicherstellt.

4. Auditor oder Auditteam

Wer hat das Audit durchgeführt? Welche Rollen hatten die Mitglieder des Auditteams? Wurden Fachleute hinzugezogen? Und wie wurde sichergestellt, dass niemand einfach seine eigene Arbeit auditiert?

Die Namen allein beweisen noch keine Kompetenz oder Unparteilichkeit. Sie machen aber überhaupt erst nachvollziehbar, wer für das Ergebnis einsteht.

5. Auditierte Personen und weitere Teilnehmende

Wer wurde zu welchem Thema befragt? Wer hat Prozesse vorgeführt oder Nachweise erläutert? Wer war als Beobachter, Protokollant oder Führungskraft zusätzlich anwesend?

„Gespräch mit Mitarbeitern geführt“ ist ungefähr so hilfreich wie die Zeugenaussage „Irgendwer hat irgendwann irgendetwas gesehen. Vielleicht.“

Das bedeutet nicht, dass jede zufällige Begegnung im Flur minutiös protokolliert werden muss. Die wesentlichen Gesprächspartner und ihre Funktion sollten aber erkennbar sein.

6. Auditkriterien oder Prüfgrundlagen

Wogegen wurde geprüft? Mögliche Auditkriterien sind:

• Anforderungen aus ISO 27001 Abschnitten 4 bis 10;
• anwendbare Controls aus Anhang A und der Anwendbarkeitserklärung;
• eigene Richtlinien, Prozesse und Arbeitsanweisungen;
• rechtliche oder vertragliche Anforderungen;
• gegebenenfalls weitere verbindlich festgelegte Kriterien.

Eine bloße Überschrift „Audit nach ISO 27001“ ist zu dünn, wenn aus dem Bericht später nicht hervorgeht, welche Anforderungen tatsächlich betrachtet wurden.

7. Auditmethoden und Stichproben

Wie wurden Informationen gewonnen? Typische Methoden sind Interviews, Beobachtungen, Dokumentenprüfung, Systemeinsicht und Stichproben aus Aufzeichnungen.

Ein Audit prüft normalerweise nicht jeden einzelnen Vorgang. Deshalb ist die Stichprobenauswahl wichtig: fünf Austritte des vergangenen Halbjahres, drei neue Lieferanten, vier Berechtigungsreviews, zwei Wiederherstellungstests. So wird aus „haben wir uns angeschaut“ eine nachvollziehbare Prüfung.

8. Betrachtete Dokumente und sonstige Nachweise

Welche Richtlinien, Prozesse, Protokolle, Tickets, Listen, Systemansichten und Aufzeichnungen wurden betrachtet? Bei gelenkten Dokumenten sollte nach Möglichkeit die Version oder der Freigabestand erkennbar sein.

Das ist kein Selbstzweck. Wenn ein Auditor schreibt, er habe die Backup-Richtlinie geprüft, muss ein anderer später erkennen können, ob damit die heutige Version oder ein drei Jahre alter Entwurf gemeint war. Saubere Dokumentenlenkung erleichtert daher auch das Auditieren.

9. Konkrete Feststellungen

Eine Feststellung beschreibt, was sich aus dem Vergleich von Auditkriterien und Auditnachweisen ergibt.

Schlecht:

„Das Offboarding läuft schon ganz gut.“

Besser:

„Für fünf ausgewählte Austritte aus dem Zeitraum Januar bis Juni wurden die Offboarding-Vorgänge geprüft. In drei Fällen waren die vorgesehenen Systembestätigungen vollständig und fristgerecht dokumentiert. In zwei Fällen fehlte der Nachweis über die Entfernung der VPN-Berechtigung.“

Jetzt weiß der Leser, was betrachtet wurde, wie groß die Stichprobe war und was dabei herauskam.

10. Bewertung der Konformität

Die Feststellung muss bewertet werden. Mögliche Kategorien sind:

• Konformität;
• Nichtkonformität (hier gibt es mehr zur Behandlung von Nichtkonformitäten);
• gegebenenfalls schwerwiegende Nichtkonformität;
• Empfehlung oder Verbesserungschance.

Die Bezeichnungen dürfen zur Organisation passen. Entscheidend ist, dass sie definiert sind und nicht munter vermischt werden.

Vor allem ist die Bewertung kein Bauchgefühl des Auditors. Wer eine Nichtkonformität feststellt, muss konkret benennen können, welche Anforderung nicht erfüllt wurde: welcher Satz oder welcher Bulletpoint aus der ISO 27001, der Anwendbarkeitserklärung, einer eigenen Richtlinie, einem Prozess, einem Vertrag oder einer anderen festgelegten Prüfgrundlage. „Das gefällt mir nicht“, „Das würde ich anders machen“ oder „Das wirkt auf mich irgendwie unsicher“ sind keine Auditkriterien.

Eine Formulierung höre ich dabei erstaunlich häufig:

„Ich gebe da eine Abweichung, weil ich diesen Satz der Norm so interpretiere.“

Das klingt zunächst nach sorgfältiger Normauslegung. Erstaunlich oft ist es aber nur die etwas vornehmer gekleidete Form von „Das ist meine Meinung“ – oder wahlweise von „Ich weiß nicht besser, wogegen das eigentlich nichtkonform sein könnte.“ Die Interpretation ersetzt dann die fehlende Prüfgrundlage.

Wenn Ihr Auditor mit Interpretation kommt, verlangen Sie, dass er exakt diesen Satz so in den Auditbericht schreibt. Sie glauben gar nicht, wie schnell Interpretationen verschwinden können.

Natürlich muss ein Auditor Anforderungen auslegen und auf die konkrete Organisation anwenden. Aber er muss seine Auslegung am tatsächlichen Wortlaut, am Zusammenhang der Anforderung und an den festgelegten Auditkriterien nachvollziehbar begründen können. Aus „Ich lese den Satz aber so.“ wird nicht allein deshalb eine verbindliche Anforderung. Und schon gar nicht darf durch persönliche Interpretation plötzlich ein zusätzlicher Pflichtsatz entstehen, der in der Norm oder im eigenen ISMS nirgends steht.

Eine belastbare Nichtkonformität verbindet deshalb drei Dinge: die genaue Anforderung, den objektiven Nachweis und die festgestellte Abweichung zwischen beiden. Kann der Auditor die verletzte Anforderung nicht zeigen, hat er möglicherweise eine Empfehlung, eine persönliche Meinung oder viel Sendungsbewusstsein – aber keine Nichtkonformität. Umgekehrt darf bestätigte Konformität ebenfalls nicht allein aus einem guten Eindruck entstehen.

Eine Empfehlung darf außerdem nicht als verkleidete Pflicht daherkommen. Wenn der Auditor eine modernere, elegantere oder persönlich bevorzugte Lösung vorschlägt, obwohl die festgelegten Anforderungen bereits erfüllt sind, bleibt das eine Empfehlung.

11. Auditschlussfolgerung und Gesamtwürdigung

Am Ende werden die Feststellungen nicht einfach aneinandergereiht. Der Auditor würdigt sie im Hinblick auf Auditziele und Gesamtbild.

Eine brauchbare Schlussfolgerung beantwortet beispielsweise:

• Wurden die Auditziele erreicht?
• Ist das betrachtete ISMS beziehungsweise der auditierte Teil wirksam umgesetzt und aufrechterhalten?
• Welche Stärken waren erkennbar?
• Wo bestehen einzelne oder systematische Schwächen?
• Gibt es Unsicherheiten oder Einschränkungen der Aussagekraft?

Die Gesamtwürdigung darf knapp sein. Sie muss aber aus den zuvor dokumentierten Feststellungen folgen und darf nicht plötzlich eine völlig neue Geschichte erzählen.

12. Berichtsempfänger und weiteres Vorgehen

Zumindest kurz sollte erkennbar sein, wem die Auditergebnisse berichtet wurden und wie mit festgestellten Nichtkonformitäten weiter verfahren wird. ISO 27001 verlangt die Berichterstattung an das relevante Management.

Für die anschließende Bearbeitung gibt es einen eigenen Praxisartikel: So behandeln Sie Abweichungen aus einem Audit richtig.

Feststellung ist nicht Bewertung

Ein häufiger Fehler besteht darin, Beobachtung und Bewertung in einen schwammigen Satz zu kippen.

Nehmen wir die Vorgabe: Benutzerkonten ausgeschiedener Beschäftigter müssen spätestens am letzten Arbeitstag deaktiviert werden.

• Auditkriterium: interne Offboarding-Regel, Abschnitt 47.11.
• Auditnachweis: fünf Austrittsvorgänge, zugehörige Tickets und Zeitstempel im Identitätsmanagement.
• Feststellung: Bei zwei von fünf Konten erfolgte die Deaktivierung vier beziehungsweise neun Tage nach dem Austritt.
• Bewertung: Nichtkonformität gegen Abschnitt 4.2, Satz 1 der internen Offboarding-Regel, weil die dort festgelegte Deaktivierung spätestens am letzten Arbeitstag in zwei von fünf Stichproben nicht eingehalten wurde.

Erst diese Trennung macht eine Feststellung überprüfbar. Sie schützt auch das auditierte Unternehmen vor Geschmacksurteilen. Der Auditor kann nicht einfach schreiben, er finde den Prozess „irgendwie riskant“. Er muss zeigen, welcher konkrete Satz mit welchem Nachweis verglichen wurde und worin genau die Nichterfüllung besteht.

Ein Auditbericht darf schlank sein – aber nicht leer

Niemand verlangt einen Roman über jede gestellte Frage. Ein kleineres Unternehmen kann ein vollständiges Internes Audit durchaus in einem kompakten Bericht dokumentieren. Eine Tabelle kann dafür sogar besser funktionieren als dreißig Seiten Fließtext.

Schlank bedeutet jedoch:

• relevante Informationen kurz und eindeutig festhalten;
• Stichproben konkret benennen;
• Nachweise und Bewertungen logisch verbinden;
• Wiederholungen und Dekoration vermeiden.

Schlank bedeutet nicht: Datum, Beteiligte, Kriterien, Nachweise und Bewertung weglassen und anschließend „insgesamt guter Eindruck“ darunter schreiben.

Was prüft der Zertifizierungsauditor bei Abschnitt 9.2?

Der Zertifizierungsauditor schaut nicht nur nach, ob irgendwo eine Datei namens „Internes Audit final final.pdf“ liegt. Er will verstehen, ob die Auditfunktion ihren Zweck erfüllt.

Typische Fragen sind:

• Existiert ein Auditprogramm, das Bedeutung der Prozesse, Änderungen und frühere Ergebnisse berücksichtigt?
• Sind Kriterien und Umfang der einzelnen Audits festgelegt?
• Deckt das Audit die Anforderungen der Norm und die eigenen ISMS-Regeln ab?
• Wurden objektive, überprüfbare Nachweise erhoben?
• Sind Feststellungen und Schlussfolgerungen nachvollziehbar?
• Waren die Auditoren kompetent, objektiv und unparteiisch?
• Wurden Ergebnisse an das relevante Management berichtet?
• Wurden frühere Nichtkonformitäten wirksam behandelt?

Ein miserabler Auditbericht wirft deshalb schnell zwei Fragen gleichzeitig auf: Wurde das Audit ordentlich durchgeführt? Und war die Person, die es durchgeführt hat, für diese Aufgabe überhaupt kompetent?

Der eigentliche Punkt

Ein Internes Audit ist keine Pflichtveranstaltung, bei der ein freundliches Gespräch rückwirkend zum Audit erklärt wird. Es ist ein systematischer, unabhängiger und dokumentierter Prozess, in dem überprüfbare Nachweise gegen festgelegte Kriterien bewertet werden.

Der Bericht muss deshalb nicht beeindruckend klingen. Er muss nachvollziehbar sein.

Wenn ein unbeteiligter Dritter nach dem Lesen erkennen kann, wer wann was gegen welche Anforderungen mit welchen Nachweisen geprüft und wie bewertet hat, sind Sie auf einem guten Weg.

Wenn er nach drei Absätzen immer noch rätselt, worüber der Auditor eigentlich nachgedacht hat, besitzen Sie keinen schlanken Auditbericht. Sie besitzen dokumentierten Nebel.

Interesse geweckt?

Wenn Sie Ihr Internes Audit fachlich belastbar planen und einen Auditbericht erstellen möchten, der Ihnen wirklich weiterhilft und auch im Zertifizierungsaudit trägt, Sprechen Sie mit uns.