---
title: "IT-Audit"
description_de: "Ein IT-Audit ist eine strukturierte Bestandsaufnahme von Systemen, Risiken und Maßnahmen — Basis für Prioritäten."
description_en: "An IT audit is a structured inventory of systems, risks, and measures — the basis for priorities."
url: /wissen/glossar/it-audit
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Was ist ein IT-Audit?"
---

# IT-Audit

<AnswerCapsule>
  Ein IT-Audit ist die systematische Bestandsaufnahme Ihrer IT und Sicherheitslage — Systeme, Risiken, Lücken und Maßnahmen — als Entscheidungsgrundlage, nicht als Schulnote ohne Follow-up.
</AnswerCapsule>

## Was bedeutet ein IT-Audit?

Auditor oder [MSP](/wissen/glossar/msp) erfasst Assets, Patch-Stand, Backup-Tests, Identität, E-Mail-Schutz, Dokumentation, Verträge. Ergebnis: priorisierte Liste mit Aufwand und Wirkung — nicht 200 Seiten ungelesen.

Unterschied zu Penetrationstest: Audit ist breite Bestandsaufnahme; Pentest sucht aktiv Exploits. KMU starten sinnvoll mit Audit plus Scorecard-Checks.

Audit-Ergebnis als Roadmap mit Owner und Termin — nicht Schublade. Quick Wins ([MFA](/wissen/glossar/mfa), Legacy-Auth) zuerst, teure Projekte budgetieren. Re-Audit nach 6–12 Monaten misst Fortschritt.

Bitten Sie Auditor um priorisierte Top-10-Liste mit Aufwandsschätzung — nicht nur Befund ohne Reihenfolge. Quick Wins in 30 Tagen umsetzen und dokumentieren. Re-Audit oder Spot-Check nach sechs Monaten vereinbaren.

Scope eines IT-Audits umfasst typischerweise Identität, Endgeräte, Netzwerk, [Backup](/wissen/glossar/backup), E-Mail-Schutz, Dokumentation und Verträge — nicht nur „Firewall grün“. Ergebnis soll priorisierte Maßnahmen mit Aufwandsschätzung liefern, die die GF budgetieren kann.

## Warum ist ein IT-Audit relevant für KMU?

Budget ist knapp — Audit zeigt, wo Euro Security bringen vs. Theater.

Versicherer, Partner oder [NIS-2](/wissen/it-sicherheit/nis2-kmu) verlangen Nachweis strukturierter Sicherheit — Audit liefert Ausgangslinie.

Kosten Audit vs. Kosten Vorfall: Audit ist Vorsorge. Versicherung gibt oft Rabatt bei dokumentierter Baseline — ROI neben Risikoreduktion.

Unbekannte Risiken sind teurer als bekannte — Audit macht Lücken sichtbar, bevor Angreifer sie finden. Priorisierte Roadmap verhindert, dass Budget in Symptome statt Ursachen fließt.

Audit-Ergebnis mit Budget verknüpfen — sonst bleibt Report theoretisch. Externe und interne Perspektive kombinieren. Follow-up Termin vor Abschluss des Audits fixieren.

Unbekannte Lücken sind teurer als dokumentierte — Audit priorisiert Maßnahmen, damit Budget nicht in Symptome fließt. Für Versicherung, NIS-2-Vorbereitung und Partneranfragen liefert es eine Ausgangslinie, die nachvollziehbar ist.

Follow-up-Termin direkt beim Audit-Abschluss vereinbaren — sonst verstaubt der Report wie so viele Sicherheits-PDFs zuvor.

## Typische Fehler

* Audit-Report in der Schublade — keine Umsetzung
* Nur Checkbox für ISO — Realität unverändert
* Scope zu klein — [Schatten-IT](/wissen/glossar/schatten-it) übersehen
* Kein Re-Audit nach 12 Monaten

## Praxisbeispiel

Eine Steuerkanzlei bucht IT-Audit. Top-Risiken: fehlende [MFA](/wissen/glossar/mfa), kein M365-Backup, offene Gäste in [Teams](/wissen/glossar/teams). Sechs-Wochen-Plan mit [MSP](/wissen/glossar/msp) — Re-Audit bestätigt 80 Prozent erledigt, Rest budgetiert.

Audit listet 23 Befunde — priorisiert nach Umsetzungsaufwand. In 30 Tagen: [MFA](/wissen/glossar/mfa) durchgehend, M365-Backup aktiv, Gäste bereinigt. Teure Firewall-Investition wandert auf Jahr zwei; GF unterschreibt Roadmap mit Budget und Verantwortlichen pro Maßnahme.

## Verwandte Begriffe

* [IT-Dokumentation](/wissen/glossar/it-dokumentation)
* [ISO 27001](/wissen/glossar/iso-27001)
* [TOM](/wissen/glossar/tom)
* [DSGVO für KMU](/wissen/it-sicherheit/dsgvo-kmu)

<ServiceCta />


## FAQ

### Wie oft auditieren KMU?

Jährlich leichtgewichtig, tiefer bei größeren Änderungen — oder vor Versicherung/[NIS-2](/wissen/it-sicherheit/nis2-kmu).