ISO 27001 Internes Audit: Was verlangt die Norm – und wer darf es durchführen?

Ein Internes Audit ist keine freundliche Generalprobe, bei der man sich gegenseitig bestätigt, dass im Großen und Ganzen schon alles passen wird. Es ist die systematische Prüfung Ihres Informationssicherheitsmanagementsystems: Erfüllt es die ISO 27001, werden die eigenen Regeln eingehalten und funktioniert das Ganze im Alltag?

Genau deshalb ist das Interne Audit ein wichtiger Schritt auf dem Weg zur ISO-27001-Zertifizierung. Und genau deshalb genügt es nicht, kurz vor dem Zertifizierungsaudit irgendeine Person mit einer Checkliste durch das Unternehmen zu schicken.

Die kurze Antwort

Das Interne Audit ist eine strukturierte und objektive Prüfung Ihres ISMS. Es soll feststellen, ob Ihr Managementsystem

• die Anforderungen der ISO 27001 erfüllt,
• den eigenen Vorgaben Ihres Unternehmens entspricht,
• tatsächlich umgesetzt wird und
• wirksam funktioniert.

ISO 27001 verlangt diese Prüfung in Abschnitt 9.2. Das Unternehmen muss Interne Audits in geplanten Abständen durchführen und Auditumfang, Kriterien, Methoden, Verantwortlichkeiten und Berichterstattung regeln. Die Auditoren müssen kompetent sowie ausreichend objektiv und unparteiisch sein.

Was ist ein Internes Audit?

„Intern“ bedeutet nicht zwingend, dass der Auditor auf Ihrer Gehaltsliste stehen muss. Gemeint ist, dass das Audit im Auftrag der Organisation für die eigene Bewertung durchgeführt wird. Das können geeignete Mitarbeiter, ein anderes Team, Cross-Auditoren oder eine externe Person übernehmen.

Entscheidend ist nicht, wo der Auditor morgens seinen Kaffee trinkt. Entscheidend ist, ob er das Audit fachlich beherrscht, objektiv arbeiten kann und belastbare Ergebnisse liefert.

Wozu ist ein Internes Audit gut?

Der erste offensichtliche Grund lautet: Weil ISO 27001 es verlangt. Das ist richtig, aber als Nutzenbeschreibung etwas dünn. Ein gutes Internes Audit soll Probleme sichtbar machen, bevor ein Kunde, ein Angreifer oder der Zertifizierungsauditor sie entdeckt.

Es kann zum Beispiel zeigen, dass

• eine Richtlinie zwar existiert, aber niemand sie kennt,
• beschlossene Sicherheitsmaßnahmen nicht umgesetzt wurden,
• Nachweise fehlen,
• Verantwortlichkeiten unklar sind oder
• Prozesse auf dem Papier gut aussehen, aber praktisch nicht funktionieren.

Das Interne Audit ist damit ein eingebauter Realitätscheck. Eine intern entdeckte Abweichung ist kein Weltuntergang, sondern eine Gelegenheit zur Korrektur, bevor daraus im Zertifizierungsaudit eine unangenehme Überraschung wird.

Das Interne Audit ist nach ISO 27001 Pflicht

Abschnitt 9.2 der ISO/IEC 27001 verlangt Interne Audits in geplanten Abständen. Dabei soll geprüft werden, ob das ISMS sowohl den eigenen Anforderungen der Organisation als auch den Anforderungen des Standards entspricht und wirksam umgesetzt sowie aufrechterhalten wird.

Selbsteinschätzung ist kein Audit. Hoffnung ist kein Nachweis. Und eine Zertifizierungsvorbereitung ohne durchgeführtes Internes Audit ist nicht fertig.

Vor dem ersten Zertifizierungsaudit sollte das Interne Audit deshalb vollständig durchgeführt und dokumentiert sein. Es gehört zu den zentralen Schritten, die vor Stage 1 erledigt sein sollten. Wie diese Vorbereitung in den gesamten Projektablauf passt, zeigen wir auch in unseren sieben Schritten zum ISO-27001-Zertifikat.

Was wird beim Internen Audit geprüft?

Ein Internes Audit schaut grundsätzlich aus mehreren Perspektiven auf Ihr ISMS.

Zunächst geht es um die Anforderungen des Standards: Sind die geforderten Prozesse, Festlegungen und dokumentierten Informationen vorhanden und sinnvoll umgesetzt? Zum Maßstab werden aber auch Ihre eigenen Richtlinien und Prozesse.

Wenn Sie beispielsweise festgelegt haben, dass Berechtigungen quartalsweise überprüft werden, dann wird ein Auditor nach diesen Überprüfungen fragen. ISO 27001 verlangt vielleicht nicht genau Ihren quartalsweisen Rhythmus. Aber Sie haben ihn selbst verbindlich festgelegt. Dann sollten Sie ihn auch einhalten – oder Ihre Regelung sinnvoll ändern.

Ein Dokument allein beweist noch keine Umsetzung.

Deshalb gehören Interviews, Stichproben, Beobachtungen und Nachweise zu einem brauchbaren Audit. Beim Offboarding kann der Auditor beispielsweise konkrete Austritte prüfen: Wurden Konten gesperrt, Geräte zurückgegeben und Berechtigungen entzogen?

Und schließlich geht es um Wirksamkeit. Ein Prozess kann dokumentiert und formal eingehalten werden und trotzdem am Ziel vorbeilaufen. Ein Internes Audit darf deshalb nicht bei „Dokument vorhanden“ und „Häkchen gesetzt“ stehen bleiben.

Internes Audit, Gap-Analyse und Zertifizierungsaudit: nicht dasselbe

Eine Gap-Analyse sucht vor allem Lücken zwischen dem aktuellen Stand und der ISO 27001. Das Interne Audit prüft dagegen ein bereits aufgebautes ISMS: Halten wir unsere Regeln ein und funktioniert unser System? Das Zertifizierungsaudit wird schließlich von einer unabhängigen Zertifizierungsstelle durchgeführt.

Eine Gap-Analyse ersetzt daher kein Internes Audit. Und ein Internes Audit stellt Ihnen noch kein Zertifikat aus.

Ein Auditprogramm ist mehr als ein Termin im Kalender

ISO 27001 verlangt nicht nur, irgendwann einmal ein Audit durchzuführen. Das Unternehmen soll ein Auditprogramm planen, aufbauen, umsetzen und aufrechterhalten.

Dabei sollten insbesondere folgende Punkte geregelt sein:

• Welche Bereiche und Anforderungen werden wann auditiert?
• Welche Methoden, Kriterien und Umfänge gelten?
• Wer plant und wer führt die Audits durch?
• Wie werden Ergebnisse berichtet?
• Wie werden frühere Auditergebnisse berücksichtigt?
• Welche Prozesse oder Themen sind besonders wichtig oder risikoreich?

Ein Auditprogramm kann mehrere einzelne Audits enthalten. Gerade in größeren Organisationen muss nicht alles an einem einzigen Mammuttermin geprüft werden. Die Abdeckung muss aber geplant und nachvollziehbar sein.

Objektivität und Unparteilichkeit: Bitte nicht einfach selbst abnicken

ISO 27001 verlangt, Auditoren so auszuwählen und Audits so durchzuführen, dass Objektivität und Unparteilichkeit gewährleistet werden.

In einem kleinen Unternehmen ist vollständige organisatorische Unabhängigkeit nicht immer leicht. Das bedeutet aber nicht, dass der Informationssicherheitsbeauftragte seine eigene Arbeit freundlich durchliest und anschließend bestätigt, dass er sie weiterhin ausgezeichnet findet.

Praktische Lösungen können sein:

• Mitarbeiter auditieren Bereiche, für die sie nicht selbst verantwortlich sind,
• zwei Standorte oder Teams auditieren sich gegenseitig,
• ein Auditteam kombiniert unterschiedliche Kompetenzen,
• oder das Unternehmen beauftragt einen externen Internen Auditor.

Entscheidend ist, Interessenkonflikte zu erkennen und so weit wie möglich zu vermeiden oder zu beherrschen.

Welche Kompetenz braucht ein Interner Auditor?

Ein Internes Audit ist keine Aufgabe, die man allein deshalb beherrscht, weil man eine Checkliste lesen kann.

Ein Interner Auditor braucht typischerweise Kenntnisse und Fähigkeiten in mehreren Bereichen:

• Verständnis der ISO 27001 und ihrer Managementsystemlogik,
• Kenntnisse über Auditprinzipien und Auditmethoden,
• Interview- und Fragetechniken sowie Bewertung objektiver Nachweise,
• Verständnis von Informationssicherheit und Risiken,
• Kenntnis des auditierten Tätigkeitsfelds,
• Fähigkeit, Feststellungen nachvollziehbar zu formulieren,
• sowie Sorgfalt, Integrität und Urteilsfähigkeit.

Nicht jede Kompetenz muss in einer einzigen Person stecken. Bei komplexen Themen kann ein Auditteam die Auditmethodik mit technischer oder branchenspezifischer Tiefe verbinden.

Muss ein Interner Auditor zertifiziert sein?

Nein. ISO 27001 schreibt nicht pauschal vor, dass ein Interner Auditor ein bestimmtes Personenzertifikat oder einen ganz bestimmten Lehrgang besitzen muss.

Das Unternehmen muss aber nachvollziehbar machen können, warum es die Person für kompetent hält. Geeignete Nachweise sind beispielsweise:

• eine Ausbildung zum Internen Auditor,
• Schulungen zu ISO 27001 und Auditmethodik,
• begleitete oder beobachtete Audits,
• praktische Auditerfahrung,
• fachliche Berufserfahrung oder Kompetenzbewertungen.

Ein Teilnahmezertifikat allein beweist nicht, dass jemand gut auditieren kann. Umgekehrt ist eine kompetente Person nicht allein deshalb ungeeignet, weil ihr eine bestimmte Urkunde fehlt. Es kommt auf nachweisbare Kompetenz an – nicht auf Urkundensammeln.

ISO 19011: Wie man Managementsysteme auditiert

Die ISO 27001 sagt, dass Interne Audits durchgeführt werden müssen und welche grundlegenden Anforderungen dabei gelten. Für die praktische Auditmethodik gibt es eine weitere Norm: die ISO 19011:2026.

Sie wurde im Mai 2026 neu veröffentlicht und hat die Ausgabe von 2018 abgelöst. Sie enthält Leitlinien für Auditprinzipien, Auditprogramme, die Durchführung von Managementsystemaudits und die Auditorenkompetenz.

Zu den Auditprinzipien gehören unter anderem:

• Integrität,
• sachliche Darstellung,
• angemessene berufliche Sorgfalt,
• Vertraulichkeit,
• Unabhängigkeit,
• ein nachweisbasierter Ansatz,
• und ein risikobasierter Ansatz.

In normaler Sprache: Ein Auditor soll ehrlich, sorgfältig und nachvollziehbar arbeiten, unbequeme Feststellungen nicht unter den Teppich kehren und Aussagen auf Nachweise stützen. Seine Aufmerksamkeit richtet er nach Risiken und Bedeutung der Themen aus.

Wichtig: ISO 19011 ist eine Leitlinie. Sie ist keine zusätzliche Zertifizierungspflicht und führt nicht zu einem eigenen ISO-19011-Zertifikat. Für professionelle Interne Audits ist sie trotzdem eine sehr gute Grundlage.

So läuft ein Internes Audit praktisch ab

Ein praxistauglicher Ablauf kann so aussehen:

1. Auditprogramm festlegen: Sie bestimmen, welche Themen und Bereiche in welchem Zeitraum geprüft werden.
2. Auditumfang und Kriterien definieren: Sie legen fest, worauf sich das konkrete Audit bezieht und gegen welche Anforderungen geprüft wird.
3. Geeignete Auditoren auswählen: Kompetenz, Objektivität und Unparteilichkeit müssen berücksichtigt werden.
4. Audit vorbereiten: Relevante Richtlinien, Prozesse, frühere Feststellungen, Risiken und Nachweise werden gesichtet.
5. Audit durchführen: Der Auditor führt Interviews, prüft Dokumente und Nachweise, betrachtet Stichproben und beobachtet gegebenenfalls Abläufe.
6. Feststellungen bewerten: Beobachtungen werden eingeordnet. Dabei wird sauber zwischen Konformität, Verbesserungshinweisen und Nichtkonformitäten unterschieden.
7. Auditbericht erstellen: Umfang, Vorgehen, Ergebnisse und Schlussfolgerungen werden nachvollziehbar dokumentiert.
8. Ergebnisse berichten: Die zuständigen Verantwortlichen müssen erfahren, was festgestellt wurde und wo Handlungsbedarf besteht.
9. Maßnahmen nachverfolgen: Abweichungen werden nicht nur abgeheftet, sondern korrigiert und auf nachhaltige Wirksamkeit überprüft.

Für die Vorbereitung können ISO-27001-Vorlagen und Auditunterlagen helfen. Sie ersetzen aber weder die fachliche Bewertung noch die tatsächliche Durchführung.

Wenn der Interne Auditor nachweislich keine Ahnung hat

Ja, das kann im Zertifizierungsaudit zum Problem werden.

Wenn die Kompetenz eines eingesetzten Internen Auditors nicht nachvollziehbar ist, kann der Zertifizierungsauditor genauer hinschauen. Besonders kritisch wird es, wenn das Audit wesentliche Anforderungen übersehen, nur Dokumente abgehakt oder keine belastbaren Nachweise geprüft hat. Dann kann eine Nichtkonformität wegen fehlender Kompetenz, unwirksamer Auditdurchführung oder unzureichender Objektivität entstehen.

Sie entsteht nicht automatisch, weil ein bestimmtes Auditorenzertifikat fehlt. Entscheidend ist das Gesamtbild:

• War die Person für das konkrete Audit kompetent?
• Kann das Unternehmen diese Kompetenz nachvollziehbar belegen?
• Wurde objektiv und methodisch sinnvoll geprüft?
• Sind die Ergebnisse belastbar?
• Wurden relevante Abweichungen erkannt und sauber berichtet?

„Der Kollege kennt sich eigentlich ganz gut aus - also jedenfalls glauben wir das“ ist dafür noch kein belastbarer Nachweis.

Der häufigste Denkfehler

Der häufigste Denkfehler lautet: „Wir machen das Interne Audit kurz vor der Zertifizierung und prüfen, ob alle Dokumente da sind.“

Das greift zu kurz.

Ein Internes Audit soll nicht nur Dateien zählen. Es prüft mit Gesprächen, Stichproben und Nachweisen, ob das Managementsystem umgesetzt wird und funktioniert.

Ein zweiter Denkfehler lautet: „Wenn wir selbst eine Abweichung finden, sieht das im Zertifizierungsaudit schlecht aus.“

Das Gegenteil ist häufig der Fall. Ein funktionierendes ISMS entdeckt Probleme und bearbeitet sie. Merkwürdig wirkt eher ein großes Managementsystem, in dem angeblich noch nie etwas schiefgelaufen ist.

Was will der Auditor sehen?

Ein Zertifizierungsauditor will erkennen, dass das Interne Audit ernsthaft geplant und durchgeführt wurde. Er schaut typischerweise darauf,

• ob ein nachvollziehbares Auditprogramm existiert,
• ob der relevante Geltungsbereich berücksichtigt wurde,
• ob Kriterien und Umfang festgelegt waren,
• ob kompetente und ausreichend unparteiische Auditoren eingesetzt wurden,
• ob Nachweise und Umsetzung geprüft wurden,
• ob Feststellungen verständlich dokumentiert sind,
• und ob Ergebnisse berichtet und Abweichungen bearbeitet wurden.

Der Auditor sucht keinen perfekt inszenierten Prüfungstag. Er sucht einen belastbaren Prozess, mit dem Ihr Unternehmen sich selbst ehrlich auf die Finger schaut.

Interesse geweckt?

Wenn Sie Ihr Internes Audit im Rahmen einer ISO-27001-Einführung sauber planen, durchführen oder extern begleiten lassen wollen, dann Sprechen Sie mit uns.