Security & Compliance

Compliance Audit (Compliance-Prüfung)

Overview

Ein Compliance Audit bewertet, ob Richtlinien, Prozesse und technische Konfigurationen den Anforderungen eines Standards, Vertrags oder Gesetzes entsprechen. Es kann intern (internes Audit), durch Kunden (Lieferantenaudit) oder durch akkreditierte Stellen (Zertifizierungsaudit) erfolgen.

Geprüft werden Dokumentation, Nachweise, tatsächliche Umsetzung und Wirksamkeit. Typische Anlässe im Mittelstand sind ISO-27001-Zertifizierungen, TISAX-Assessments in der Automobilzulieferkette, Kundenfragebögen, Prüfungen durch Cyberversicherer und künftig Nachweise gegenüber dem BSI. Besonders wichtige Einrichtungen nach NIS2 kann das BSI anlasslos prüfen, wichtige Einrichtungen eher anlassbezogen.

Ein Audit ist eine Momentaufnahme. Laufende Compliance entsteht durch kontinuierliche Pflege von Maßnahmen und Nachweisen, sonst beginnt die Vorbereitung bei jedem Audit von vorn.

How it works

Der Ablauf eines Audits:

  1. Geltungsbereich und Prüfgrundlage festlegen (Standard, Gesetz, Kundenanforderung).
  2. Selbstbewertung gegen die Anforderungen durchführen und Lücken dokumentieren.
  3. Nachweise sammeln: Richtlinien, Protokolle, Konfigurationsberichte, Schulungsnachweise, Verträge.
  4. Audit durch die prüfende Stelle mit Dokumentensichtung, Interviews und Stichproben.
  5. Abweichungen bewerten und Korrekturmaßnahmen mit Frist umsetzen und nachweisen.

Der Microsoft Purview Compliance Manager unterstützt die technische Seite: Er startet mit einer Bewertung nach dem Microsoft-365-Datenschutz-Baseline, bildet Anforderungen als Bewertungen ab, ordnet Maßnahmen zu, prüft manche Einstellungen automatisch und berechnet einen Compliance Score. Microsoft nennt mehr als 360 regulatorische Vorlagen, eigene Vorlagen sind möglich.

Benefits

  • Lücken werden vor einer offiziellen Prüfung sichtbar und lassen sich schließen
  • Strukturierte Nachweissammlung spart Zeit bei Zertifizierungen und Kundenaudits
  • Priorisierte Maßnahmenliste zeigt, wo der größte Effekt liegt
  • Transparenz für Geschäftsleitung, die nach NIS2 die Umsetzung überwachen muss

Practical example

Ein Zulieferer der Automobilindustrie mit 220 Mitarbeitenden bereitet ein TISAX-Assessment vor. Die IT bewertet technische Maßnahmen wie MFA, Verschlüsselung und Protokollierung im Compliance Manager und legt Nachweise zentral in einer SharePoint-Bibliothek ab. Organisatorische Punkte wie Lieferantenverträge und Schulungen pflegt das Qualitätsmanagement in derselben Struktur. Beim Assessment liegen die Belege geordnet vor, offene Punkte sind mit Termin hinterlegt.

Things to keep in mind

  • Den Compliance Score nicht mit Rechtssicherheit gleichsetzen, er bewertet vor allem technische Einstellungen
  • Organisatorische Anforderungen wie Richtlinien, Schulungen und Verträge separat nachweisen
  • Geltungsbereich früh und realistisch festlegen, sonst wächst der Aufwand unkontrolliert
  • Vorab prüfen, welche Bewertungsvorlagen in der eigenen Lizenz enthalten sind
  • Nachweise mit Datum und Verantwortlichem pflegen, veraltete Belege fallen im Audit auf

Licensing & availability

Die im Microsoft Purview Compliance Manager verfügbaren Bewertungen hängen laut Microsoft von der Lizenzvereinbarung ab; Microsoft verweist dafür auf die Liste der enthaltenen Regulierungen in der Dokumentation. Audits selbst sind keine Lizenzfrage. Stand: Oktober 2026.

Conclusion

Ein Audit ist am wenigsten schmerzhaft, wenn Nachweise laufend gepflegt werden. Nutze Werkzeuge wie den Compliance Manager als Unterstützung, aber nicht als Ersatz für organisatorische Maßnahmen.

Further reading

Related articles