IT-Audits bringen Ihrem Unternehmen mehr Nutzen als im ersten Moment ersichtlich.
Ein großer Faktor ist die verbesserte Wettbewerbsfähigkeit und Erschließung neuer Märkte oder einzelner Kunden.
So ist bspw. für Auftragsverarbeiter und SaaS-Cloud-Anbieter im Gesundheitswesen ein C5 Testat nach § 393 SGV V seit 2025 verpflichtend.

Zusätzlich dient ein IT-Audit als Sicherheits- und Transparenznachweis für Ihre internen und externen Stakeholder. Dies fördert das Vertrauen in Ihr Unternehmen / Ihren Bereich.

Nicht zuletzt trägt ein Audit im IT-Bereich aber auch dazu bei, mögliche Schwachstellen und Sicherheitslücken aufzudecken und so die Aufrechterhaltung des Geschäftsbetriebs nachhaltig zu steigern.

Feststellungen in einem IT-Audit bedeuten nicht zwangsläufig den Untergang des eigenen Unternehmens, sollten jedoch ernst genommen werden.

Zunächst einmal empfiehlt es sich den Umfang und die möglichen Auswirkungen dieser Feststellung zu identifizieren. Anschließend sind die Risken zu bewerten und anhand dessen entsprechende Maßnahmen zu ergreifen.

Falls Sie hierbei Fragen haben oder Unterstützung benötigen, zögern Sie nicht auf mich zu kontaktieren.

Eine Prüfung nach dem aktuellsten BSI C5:2026 Standard ist von einer Wirtschaftsprüfungsgesellschaft durch einen IT fachkundigen Prüfer durchzuführen.

Welche Prüfgesellschaft bzw. welcher Prüfer hierbei für Sie am besten geeignet ist, hängt stark von Ihrer Branche, Unternehmensgröße sowie persönlichen Anforderungen ab.

Gerne kann ich Ihnen bei der Auswahl einer geeigneten Prüfgesellschaft bzw. eines geeigneten Prüfers behilflich sein.

IT-Prüfungen biete ich systemunabhängig an. Aufgrund meiner langjährigen Erfahrung habe ich bereits Prüfungen unterschiedlichster Systeme erfolgreich durchgeführt. Meine Expertise reicht dabei von großen Konzernen mit mehreren ERP-Systemen wie bspw. SAP bis hin zu kleinen Start-Ups mit eigen entwickelten ERP-Lösungen. Dadurch verfüge ich über das Wissen und die Prüfmethodik sowohl generelle IT-Kontrollen, als auch spezifische Applikations- oder Schnittstellenkontrollen fachgerecht durchzuführen.

Grundsätzlich unterscheiden sich Typ 1 Prüfungen insb. hinsichtlich zeitlicher Betrachtung als auch Tiefe des Prüfungsgegenstand.

Eine Typ 1 Prüfung ist als eine Art Momentaufnahme zu verstehen, bei welcher die Kontrollen zu einem Zeitpunkt geprüft werden. Dabei wird lediglich geprüft ob die vom Unternehmen getroffenen Richtlinien, Maßnahmen und Dokumentationen grundsätzlich korrekt konzipiert und implementiert und Angemessen sind.

Prüfungen vom Typ 2 gehen dabei deutlich tiefer und erfordern zusätzlich die Prüfung der kontinuierlichen Wirksamkeit der eingerichteten Kontrollen im laufenden Betrieb. Dabei ist die Ausweitung auf einen Prüfzeitraum von meist 6 bis 12 Monate notwendig.

Eine Typ 1 Prüfung ist demnach insb. für eine initiale Erstprüfung geeignet, da Sie deutlich schneller geht und keine Langzeitdaten erfordert. Die Typ 2 Prüfung ist also als Folgeprüfung zur Typ 1 Prüfung zu sehen und bietet deutlich größere Transparenz und Vertrauen in die geprüften Unternehmensbereiche und Systeme.

Das hängt stark vom Prüfungsstandard sowie dem Umfang der Prüfung ab. Ausschlaggebend für den Umfang sind u.a. die Unternehmensgröße, die Anzahl der betroffenen Geschäftsprozesse und Systeme sowie die Qualität der vorhandenen Dokumentation und Nachweise.

Als grobe Orientierung möchte ich Ihnen dennoch ein paar Rechenbeispiele geben.

1. Durchführung, Dokumentation und Berichterstattung von allgemeinen IT-Kontrollen eines komplexen ERP-Systems mit ausgewählten Schnittstellen nach ISA 315 beginnen branchenüblich bei ca. 3.500 €.
2. Durchführung einer Prüfung nach den Mindestanforderungen an den BSI C5:2026 Typ 2 eines kleinen Unternehmens mit nur einem System, gut strukturierten und vollständigen Dokumentationen. Hierfür sollten Sie für das erforderliche externe Audit durch eine Wirtschaftsprüfungsgesellschaft mindestens 40.000 € einkalkulieren.

Zwar mögen die Kosten pro Stunde für einen externen Berater höher sein, als für einen internen Mitarbeiter, dennoch kann es sinnvoll sein trotzdem auf externe Berater zurückzugreifen.

1. Fehlendes Spezialwissen
   Bei komplexen Themen wie der richtigen Auswahl eines ISMS- / GRC-Tools, der Migration auf ein neues ERP-System oder einem neuen Prüfungsstandard bringen externe Experten tiefgehendes Fachwissen mit. Dieses erfordert meist langjährige Erfahrung welche sich so intern oft nicht aufbauen lässt.
2.  Kosteneffizienz / Lastspitzen
   Dauerhaft feste Gehälter für hochspezialisierte Fachkräfte zu zahlen ist nicht nur sehr teuer, sondern auch schwer auszulasten. Externe Berater können hier flexibel und projektbezogen eingesetzt werden. So können Lastspitzen abgefangen werden ohne das eigene Tagesgeschäft zu blockieren.
3. Unabhängiger Blick
   Ein unabhängiger Berater hilft mit einem unbelasteten, neutralen und unvoreingenommenen Blick auf Ihr Unternehmen, Ihre Prozesse und mögliche Schwachstellen zu schauen. Dadurch können Angebote neutral bewertet, Betriebsblindheit aufgebrochen und neue Blickwinkel eingebracht werden.