IT-Sicherheitsaudit: Vom Einmaligen zum Kontinuierlichen

Das jährliche Sicherheitsaudit ist eine bequeme Fiktion. Sie verbringen 2 Wochen mit der Vorbereitung, der Dienstleister testet 5 Tage, Sie erhalten einen 80-seitigen Bericht, beheben die kritischen Befunde eilig, und 11 Monate später beginnen Sie von vorn. In diesen 11 Monaten hat sich Ihre Infrastruktur 400 Mal verändert (Deployments, neue VMs, Konfigurationsänderungen, neue SaaS-Tools). Das Punktaudit ist eine Momentaufnahme eines fahrenden Zuges.

Die 3 Arten von Sicherheitsaudits

Technisches Audit

Das technische Audit bewertet die Sicherheit Ihrer Infrastruktur und Anwendungen:

• Schwachstellenscan: Automatisierte Identifikation von CVEs auf Ihren Systemen (Nessus, OpenVAS, Qualys). Schnell, umfassend, aber ohne Ausnutzungskontext.

• Pentest (Penetrationstest): Ein menschlicher Tester simuliert einen realen Angriff. Kreativ, kontextbezogen, aber punktuell und kostspielig (5 000 bis 30 000 € je nach Umfang). Pentest vs. Scan: Was wählen?

• Konfigurationsaudit: Überprüfung von Härtungsrichtlinien (CIS Benchmarks, DISA STIG). Häufig automatisierbar.

• Code-Audit: Statische (SAST) und dynamische (DAST) Anwendungsprüfung. OWASP ZAP, SonarQube, Semgrep.

Organisatorisches Audit

Das organisatorische Audit bewertet Prozesse, Richtlinien und Governance:

• Informationssicherheitsrichtlinie und deren effektive Umsetzung

• Identitäts- und Zugangsverwaltung (IAM): Verwaiste Konten, übermäßige Rechte, MFA

• Business-Continuity-Plan (BCP/DRP): Existiert er? Wird er getestet?

• Benutzersensibilisierung: Simulierte Phishing-Kampagnen, Klickraten

• Lieferanten- und Supply-Chain-Management

Compliance-Audit

Das Compliance-Audit prüft die Übereinstimmung mit anwendbaren Rahmenwerken:

• NIS2: Die 10 Maßnahmen des Art.21

• DSGVO: Art.32 (Sicherheit der Verarbeitung), Art.33 (Meldung), Art.35 (DSFA)

• ISO 27001: 93 Kontrollen des Anhangs A (Version 2022)

• PCI DSS 4.0: Für Organisationen, die Kartendaten verarbeiten

• SOC 2 Typ II: Für SaaS- und Dienstleistungsanbieter

Das Problem mit dem Punktaudit

Warum das jährliche Audit nicht ausreicht:

• Schwachstellen-MTTR: Die mediane Behebungszeit einer kritischen Schwachstelle beträgt 60 Tage (Mandiant 2024). Bei einem jährlichen Audit wissen Sie 11 Monate lang nicht einmal, dass eine neue kritische CVE Ihren Stack betrifft.

• Konfigurationsdrift: Eine Produktionskonfigurationsänderung, die eine Sicherheitskontrolle bricht, ist bis zum nächsten Audit unsichtbar.

• Shadow IT: Neue SaaS-Tools, nicht deklarierte Cloud-Instanzen, Docker-Container, die zwischen Audits proliferieren.

• Angreifergeschwindigkeit: Eine kritische CVE wird im Durchschnitt 15 Tage nach Veröffentlichung ausgenutzt (Mandiant 2024). Ihr nächstes Audit ist in 8 Monaten.

Kontinuierliches Auditing: Der neue Standard

Kontinuierliches Auditing ersetzt nicht das Punktaudit, es füllt die 11-monatige Lücke. Das Prinzip:

• Schwachstellenscan: Täglich oder wöchentlich, automatisiert, mit EPSS-Priorisierung (nicht nur CVSS)

• Konfigurationsaudit: Kontinuierliche CIS-Benchmark-Prüfungen, Echtzeit-Drift-Alerting

• Container-Audit: Docker-Image-Scanning bei jedem Build und zur Laufzeit (Trivy, Grype)

• Web-Audit: Regelmäßiges DAST-Scanning exponierter Anwendungen (OWASP ZAP, Nuclei)

• Compliance-Audit: Kontinuierliches Mapping der Kontrollen gegen anwendbare Rahmenwerke

ThreatClaws 49 Skills für die Audit-Automatisierung

ThreatClaw integriert 49 spezialisierte Skills, die das kontinuierliche Auditing End-to-End abdecken:

• Infrastruktur: Lynis (Linux-Härtung), CIS Benchmarks, SSH-Audit, Dateiberechtigungsaudit

• Schwachstellen: Nmap (Discovery + Vuln-Scripts), EPSS/CVSS-Scoring, Korrelation mit bekannten Exploits

• Container: Trivy (Images + Filesystem), Grype (SCA), Docker Bench for Security, Syft (SBOM)

• Web: OWASP ZAP (DAST), Nuclei (Community-Templates), Security-Header, TLS-Audit

• Cloud: IAM-Policy-Audit, öffentliche S3-Buckets, permissive Security Groups

• Compliance: Automatisches Finding-Mapping zu NIS2, DSGVO, ISO 27001

Jeder Skill läuft nach einem konfigurierbaren Zeitplan (stündlich, täglich, wöchentlich). Die Ergebnisse werden korreliert, priorisiert und in einem einheitlichen Dashboard präsentiert. Der CISO erhält einen wöchentlichen zusammenfassenden Bericht, nicht 49 einzelne Berichte.

Das empfohlene hybride Modell

Hier der empfohlene Ansatz:

• Kontinuierlich: ThreatClaw für Schwachstellenscanning, Konfigurationsaudit, Compliance-Monitoring. Das ist Ihre tägliche Abdeckung.

• Vierteljährlich: Ergebnisüberprüfung mit dem CISO (intern oder extern), Aktualisierung der Risikoanalyse, Prioritätenanpassung.

• Jährlich: Pentest durch einen externen Anbieter, um menschliche Kreativität zu testen und die Verteidigung zu validieren. Das kontinuierliche Auditing bereichert den Pentest-Umfang durch die Identifizierung von Risikobereichen.

Wo anfangen

Wenn Sie noch nie ein Audit durchgeführt haben, beginnen Sie mit dem Wesentlichen:

• Woche 1: Inventar exponierter Assets (Nmap), initialer Schwachstellenscan

• Woche 2: Konfigurationsaudit kritischer Server (Lynis/CIS), Container-Audit falls zutreffend (Trivy)

• Woche 3: DAST-Scan exponierter Webanwendungen (OWASP ZAP)

• Woche 4: Synthese, Priorisierung, Behebungsplan

ThreatClaw führt diese 4 Schritte automatisch nach der Bereitstellung aus. Der erste vollständige Bericht ist innerhalb von 48 Stunden verfügbar.

FAQ

Was ist der Unterschied zwischen einem Audit und einem Pentest?

Ein Audit bewertet die Sicherheitslage umfassend (Konfigurationen, Schwachstellen, Prozesse, Compliance). Ein Pentest simuliert einen realen Angriff, um die Verteidigung unter operativen Bedingungen zu testen. Das Audit sagt "hier sind Ihre Schwächen". Der Pentest sagt "hier ist, was ein Angreifer damit tun kann". Beide sind komplementär.

Ersetzt das kontinuierliche Auditing das jährliche Audit?

Nein. Kontinuierliches Auditing deckt automatisierbare Aspekte ab (Schwachstellen, Konfigurationen, technische Compliance). Das jährliche Audit bringt die menschliche Dimension (kreativer Pentest, organisatorische Überprüfung, Teamgespräche). Kontinuierliches Auditing macht das jährliche Audit effizienter, indem es "Quick Wins" eliminiert, bevor der Auditor kommt.

Was kostet ein kontinuierliches Audit-Programm?

Nur mit Open-Source-Tools (Lynis, Trivy, OWASP ZAP, Nmap) sind die Kosten die Administrationszeit: 20-40 Stunden/Monat für einen Sicherheitsingenieur. Mit ThreatClaw ist die Orchestrierung automatisiert und die Zeit sinkt auf 2-4 Stunden/Monat Ergebnisüberprüfung. Preise ansehen.

Mein Hosting-Anbieter ist ISO 27001-zertifiziert. Muss ich trotzdem meine Infrastruktur auditieren?

Auf jeden Fall. Die Zertifizierung des Anbieters deckt die physische Infrastruktur und einige Managementaspekte ab. Ihre Verantwortung umfasst alles, was Sie darauf bereitstellen: Betriebssystem, Anwendungen, Konfigurationen, Daten, Zugriffe. Das ist das Modell der geteilten Verantwortung. Der Anbieter sichert das Rechenzentrum; Sie sichern, was Sie darin betreiben.