Bei einem Cybersicherheits-Audit werden meist keine komplexen technischen Schwachstellen aufgedeckt, sondern systemische Lücken in den Prozessen: undokumentierte Verfahren, veraltete Richtlinien, verspätete Updates, übermäßige Zugriffsrechte, unkontrollierte Datenspeicherung und fehlende Überwachung von Vorfällen. Solche Mängel können zu Datenlecks, Betriebsausfällen sowie finanziellen und Reputationsverlusten führen. Wir betrachten sieben typische Fehler, die bei einem Cybersicherheits-Audit festgestellt werden, und erläutern, welche Risiken sie für Unternehmen mit sich bringen.
In vielen Unternehmen werden grundlegende Maßnahmen zur Informationssicherheit zwar tatsächlich umgesetzt: Zugriffe werden eingeschränkt, Sicherungskopien erstellt, Änderungen an den Systemen kontrolliert. Das Problem besteht darin, dass diese Maßnahmen lediglich auf der Ebene von Vereinbarungen oder der persönlichen Verantwortung einzelner Fachkräfte existieren und nicht als formalisierte Richtlinien und Verfahren.
Bei einem Cybersicherheits-Audit stellt gerade das Fehlen einer Dokumentation eine kritische Schwachstelle dar. Ohne Richtlinien, Vorschriften und Verfahren gibt es keinen einheitlichen Sicherheitsansatz, und die Prozesse werden von bestimmten Personen abhängig. Im Falle eines Vorfalls kann das Unternehmen nicht nachweisen, dass tatsächlich Kontrollen bestanden oder systematisch durchgeführt wurden.
Praxisbeispiel: Bei einem Audit in einem Unternehmen stellte sich heraus, dass der Zugriff auf das Finanzsystem „kontrolliert“ wurde. Tatsächlich traf der Administrator Entscheidungen nach eigenem Ermessen, ohne jegliche festgelegte Vorgehensweise. Infolgedessen hatte ein ehemaliger Mitarbeiter noch einen Monat lang Zugriff auf kritische Daten.
Das Vorhandensein von Richtlinien zur Informationssicherheit bedeutet noch nicht, dass diese auch funktionieren. In vielen Unternehmen wurde die Dokumentation vor einigen Jahren erstellt und seitdem nicht mehr überarbeitet, obwohl sich die IT-Infrastruktur erheblich verändert hat: Es sind neue Systeme, Fernarbeit, Cloud-Dienste und Drittanbieter hinzugekommen.
Infolgedessen spiegeln die Richtlinien nicht die tatsächlichen Abläufe wider und decken die aktuellen Risiken nicht ab. Solche Dokumente vermitteln lediglich den formalen Eindruck von Kontrolle, bieten jedoch keinen wirklichen Schutz.
Praxisbeispiel: In einem Unternehmen sah die Richtlinie vor, dass Daten ausschließlich auf lokalen Servern gespeichert werden dürfen. Tatsächlich befanden sich die meisten Dateien jedoch bereits in Cloud-Diensten, ohne jegliche Zugriffskontrolle.
Solche „toten“ Dokumente erzeugen eine gefährliche Illusion von Ordnung.
Das Patch-Management ist einer der wichtigsten Prozesse der Cybersicherheit, der systematisch unterschätzt wird. Patches werden aus Angst vor Ausfällen, Zeitmangel oder dem Fehlen klarer Test- und Installationsverfahren aufgeschoben.
Die meisten heutigen Angriffe nutzen jedoch genau diese bekannten Schwachstellen, für die bereits seit langem Updates verfügbar sind. Das Fehlen eines regelmäßigen Patch-Managements macht die Systeme faktisch anfällig für gängige Angriffsmethoden.
Praxisbeispiel: Ein bekannter Angriff auf ein Unternehmen begann damit, dass der Server mehrere Monate lang nicht aktualisiert worden war. Die Schwachstelle war öffentlich bekannt, und für den Angriff war nichts Kompliziertes erforderlich – lediglich ein Standard-Exploit.
Selbst die besten technischen Lösungen garantieren keine Sicherheit, wenn das Personal nicht regelmäßig geschult wird. Social Engineering, Phishing und die Kompromittierung von Konten gehören nach wie vor zu den häufigsten Ursachen für Sicherheitsvorfälle.
Ohne eine systematische Sensibilisierung der Mitarbeiter besteht die Gefahr, dass diese schwache Passwörter verwenden, schädliche Anhänge öffnen oder vertrauliche Informationen ungeprüft weitergeben. Der Faktor Mensch stellt nach wie vor eines der größten Risiken für die Cybersicherheit dar.
Praxisbeispiel: Ein Buchhalter erhielt eine E-Mail „vom Vorgesetzten“ mit der Bitte, dringend eine Finanzdatei zu senden. Die E-Mail wirkte überzeugend, und die Datei wurde an einen externen Angreifer gesendet.
Kein Sicherheitssystem hilft, wenn die Menschen die grundlegenden Risiken nicht verstehen.
Die Zugriffsverwaltung ist einer der wichtigsten Bestandteile der Informationssicherheit. In vielen Unternehmen sammeln sich Zugriffsrechte jedoch über Jahre hinweg an, ohne regelmäßig überprüft zu werden.
Mitarbeiter wechseln ihre Positionen, wechseln zwischen Abteilungen oder verlassen das Unternehmen, doch ihre Konten und Berechtigungen bleiben aktiv. Dies birgt erhebliche Risiken für den unbefugten Zugriff auf kritische Systeme und Daten.
Praxisbeispiel: Bei einer Prüfung wurde ein Benutzer mit Administratorrechten entdeckt, der sich seit über sechs Monaten nicht mehr im System angemeldet hatte. Das Konto blieb aktiv und unterlag keiner zusätzlichen Kontrolle.
Dies ist eine der einfachsten Möglichkeiten, sich unbefugten Zugriff zu verschaffen.
Ohne eine systematische Datenkontrolle verliert das Unternehmen den Überblick darüber, wo Informationen gespeichert sind, wer Zugriff darauf hat und wie sie weitergegeben werden. Die Nutzung privater Cloud-Dienste, Messenger-Anwendungen und externer Speichermedien erfolgt häufig ohne angemessene Kontrolle.
Das Fehlen von Richtlinien zur Datenklassifizierung und von DLP-Lösungen erhöht das Risiko von Informationslecks und dem Verlust der Kontrolle über kritische Vermögenswerte erheblich.
Praxisbeispiel: Manager speicherten den Kundenstamm in ihren privaten Google Drive-Konten, um „bequemer von zu Hause aus arbeiten zu können“. Infolgedessen verlor das Unternehmen die Kontrolle über kritische Informationen.
Das Fehlen von DLP-Lösungen macht solche Situationen zur Regel und nicht zur Ausnahme.
Das Vorhandensein von Protokollen und technischen Sicherheitsmaßnahmen garantiert keinen Schutz, wenn die Ereignisse nicht analysiert werden. Ohne systematische Überwachung und Reaktionsprozesse können Angriffe wochen- oder sogar monatelang unbemerkt bleiben.
Effektive Cybersicherheit umfasst nicht nur die Abwehr von Angriffen, sondern auch die rechtzeitige Erkennung verdächtiger Aktivitäten und die schnelle Reaktion auf Vorfälle.
Praxisbeispiel: In einem Unternehmen wurden verdächtige Aktivitäten im System entdeckt … einige Wochen nach deren Beginn. Der Grund: Es wurden zwar Protokolle gesammelt, aber niemand hat sie analysiert.
Ohne Überwachung und Reaktion hat jeder Angriff mehr Zeit, Schaden anzurichten.
Ein Cybersicherheits-Audit ist keine formale Überprüfung nur um der Anforderungen willen. Es ist ein Instrument, das dabei hilft, den Schutzgrad eines Unternehmens objektiv zu bewerten, Schwachstellen aufzudecken und Prioritäten für deren Behebung festzulegen, bevor Angreifer diese ausnutzen können.
Starke Cybersicherheit beginnt nicht mit teuren Technologien, sondern mit den Grundlagen: klaren Prozessen, aktueller Dokumentation, kontrollierten Zugriffen, Update-Management und regelmäßiger Schulung der Mitarbeiter. Unternehmen, die diese grundlegenden Aspekte systematisch umsetzen, bestehen Audits nicht nur sicherer, sondern senken auch die Cyberrisiken für ihr Geschäft erheblich.
Und das Wichtigste: In den meisten Fällen ist es wesentlich kostengünstiger und einfacher, Schwachstellen während eines Audits zu beheben, als die Folgen eines Cybervorfalls zu beseitigen.
Die Cybersicherheitslösungen des Teams von BDO in der Ukraine umfassen:
7 Fehler, die Cybersicherheitsprüfer am häufigsten feststellen
Fehler Nr. 1: Fehlen dokumentierter Cybersicherheitsprozesse („Das haben wir“… aber nirgendwo schriftlich festgehalten)
In vielen Unternehmen werden grundlegende Maßnahmen zur Informationssicherheit zwar tatsächlich umgesetzt: Zugriffe werden eingeschränkt, Sicherungskopien erstellt, Änderungen an den Systemen kontrolliert. Das Problem besteht darin, dass diese Maßnahmen lediglich auf der Ebene von Vereinbarungen oder der persönlichen Verantwortung einzelner Fachkräfte existieren und nicht als formalisierte Richtlinien und Verfahren.Bei einem Cybersicherheits-Audit stellt gerade das Fehlen einer Dokumentation eine kritische Schwachstelle dar. Ohne Richtlinien, Vorschriften und Verfahren gibt es keinen einheitlichen Sicherheitsansatz, und die Prozesse werden von bestimmten Personen abhängig. Im Falle eines Vorfalls kann das Unternehmen nicht nachweisen, dass tatsächlich Kontrollen bestanden oder systematisch durchgeführt wurden.
Praxisbeispiel: Bei einem Audit in einem Unternehmen stellte sich heraus, dass der Zugriff auf das Finanzsystem „kontrolliert“ wurde. Tatsächlich traf der Administrator Entscheidungen nach eigenem Ermessen, ohne jegliche festgelegte Vorgehensweise. Infolgedessen hatte ein ehemaliger Mitarbeiter noch einen Monat lang Zugriff auf kritische Daten.
Fehler Nr. 2: Veraltete und nicht mehr aktuelle Dokumentation zur Informationssicherheit (Die Dokumente sind zwar vorhanden – aber sie stammen aus der Vergangenheit)
Das Vorhandensein von Richtlinien zur Informationssicherheit bedeutet noch nicht, dass diese auch funktionieren. In vielen Unternehmen wurde die Dokumentation vor einigen Jahren erstellt und seitdem nicht mehr überarbeitet, obwohl sich die IT-Infrastruktur erheblich verändert hat: Es sind neue Systeme, Fernarbeit, Cloud-Dienste und Drittanbieter hinzugekommen.Infolgedessen spiegeln die Richtlinien nicht die tatsächlichen Abläufe wider und decken die aktuellen Risiken nicht ab. Solche Dokumente vermitteln lediglich den formalen Eindruck von Kontrolle, bieten jedoch keinen wirklichen Schutz.
Praxisbeispiel: In einem Unternehmen sah die Richtlinie vor, dass Daten ausschließlich auf lokalen Servern gespeichert werden dürfen. Tatsächlich befanden sich die meisten Dateien jedoch bereits in Cloud-Diensten, ohne jegliche Zugriffskontrolle.
Solche „toten“ Dokumente erzeugen eine gefährliche Illusion von Ordnung.
Fehler Nr. 3: Fehlendes regelmäßiges Patch-Management (Updates werden „auf später“ verschoben)
Das Patch-Management ist einer der wichtigsten Prozesse der Cybersicherheit, der systematisch unterschätzt wird. Patches werden aus Angst vor Ausfällen, Zeitmangel oder dem Fehlen klarer Test- und Installationsverfahren aufgeschoben.Die meisten heutigen Angriffe nutzen jedoch genau diese bekannten Schwachstellen, für die bereits seit langem Updates verfügbar sind. Das Fehlen eines regelmäßigen Patch-Managements macht die Systeme faktisch anfällig für gängige Angriffsmethoden.
Praxisbeispiel: Ein bekannter Angriff auf ein Unternehmen begann damit, dass der Server mehrere Monate lang nicht aktualisiert worden war. Die Schwachstelle war öffentlich bekannt, und für den Angriff war nichts Kompliziertes erforderlich – lediglich ein Standard-Exploit.
Fehler Nr. 4: Unzureichendes Bewusstsein der Mitarbeiter für Cybersicherheit (Mitarbeiter – der wichtigste Angriffspunkt)
Selbst die besten technischen Lösungen garantieren keine Sicherheit, wenn das Personal nicht regelmäßig geschult wird. Social Engineering, Phishing und die Kompromittierung von Konten gehören nach wie vor zu den häufigsten Ursachen für Sicherheitsvorfälle.Ohne eine systematische Sensibilisierung der Mitarbeiter besteht die Gefahr, dass diese schwache Passwörter verwenden, schädliche Anhänge öffnen oder vertrauliche Informationen ungeprüft weitergeben. Der Faktor Mensch stellt nach wie vor eines der größten Risiken für die Cybersicherheit dar.
Praxisbeispiel: Ein Buchhalter erhielt eine E-Mail „vom Vorgesetzten“ mit der Bitte, dringend eine Finanzdatei zu senden. Die E-Mail wirkte überzeugend, und die Datei wurde an einen externen Angreifer gesendet.
Kein Sicherheitssystem hilft, wenn die Menschen die grundlegenden Risiken nicht verstehen.
Fehler Nr. 5: Fehlende regelmäßige Überprüfung und Kontrolle der Zugriffsrechte (Zugriffsrechte, die niemand überprüft)
Die Zugriffsverwaltung ist einer der wichtigsten Bestandteile der Informationssicherheit. In vielen Unternehmen sammeln sich Zugriffsrechte jedoch über Jahre hinweg an, ohne regelmäßig überprüft zu werden.Mitarbeiter wechseln ihre Positionen, wechseln zwischen Abteilungen oder verlassen das Unternehmen, doch ihre Konten und Berechtigungen bleiben aktiv. Dies birgt erhebliche Risiken für den unbefugten Zugriff auf kritische Systeme und Daten.
Praxisbeispiel: Bei einer Prüfung wurde ein Benutzer mit Administratorrechten entdeckt, der sich seit über sechs Monaten nicht mehr im System angemeldet hatte. Das Konto blieb aktiv und unterlag keiner zusätzlichen Kontrolle.
Dies ist eine der einfachsten Möglichkeiten, sich unbefugten Zugriff zu verschaffen.
Fehler Nr. 6: Fehlende Kontrolle über die Speicherung und Weitergabe von Unternehmensdaten (Daten außerhalb der Unternehmenskontrolle
Ohne eine systematische Datenkontrolle verliert das Unternehmen den Überblick darüber, wo Informationen gespeichert sind, wer Zugriff darauf hat und wie sie weitergegeben werden. Die Nutzung privater Cloud-Dienste, Messenger-Anwendungen und externer Speichermedien erfolgt häufig ohne angemessene Kontrolle.Das Fehlen von Richtlinien zur Datenklassifizierung und von DLP-Lösungen erhöht das Risiko von Informationslecks und dem Verlust der Kontrolle über kritische Vermögenswerte erheblich.
Praxisbeispiel: Manager speicherten den Kundenstamm in ihren privaten Google Drive-Konten, um „bequemer von zu Hause aus arbeiten zu können“. Infolgedessen verlor das Unternehmen die Kontrolle über kritische Informationen.
Das Fehlen von DLP-Lösungen macht solche Situationen zur Regel und nicht zur Ausnahme.
Fehler Nr. 7: Fehlende Überwachung von Sicherheitsereignissen und Reaktion auf Vorfälle (Vorfälle treten auf, aber niemand weiß davon)
Das Vorhandensein von Protokollen und technischen Sicherheitsmaßnahmen garantiert keinen Schutz, wenn die Ereignisse nicht analysiert werden. Ohne systematische Überwachung und Reaktionsprozesse können Angriffe wochen- oder sogar monatelang unbemerkt bleiben. Effektive Cybersicherheit umfasst nicht nur die Abwehr von Angriffen, sondern auch die rechtzeitige Erkennung verdächtiger Aktivitäten und die schnelle Reaktion auf Vorfälle.
Praxisbeispiel: In einem Unternehmen wurden verdächtige Aktivitäten im System entdeckt … einige Wochen nach deren Beginn. Der Grund: Es wurden zwar Protokolle gesammelt, aber niemand hat sie analysiert.
Ohne Überwachung und Reaktion hat jeder Angriff mehr Zeit, Schaden anzurichten.
Warum ist ein Cybersicherheits-Audit für Unternehmen wichtig?
Die meisten der beschriebenen Probleme erscheinen offensichtlich und sogar „unkompliziert“. Genau deshalb werden sie oft auf später verschoben – bis sich konkrete Folgen zeigen. In der Praxis sind es jedoch gerade die grundlegenden Lücken in den Cybersicherheitsprozessen, die am häufigsten zu schwerwiegenden Vorfällen, Ausfällen, Datenlecks und finanziellen Verlusten führen.Ein Cybersicherheits-Audit ist keine formale Überprüfung nur um der Anforderungen willen. Es ist ein Instrument, das dabei hilft, den Schutzgrad eines Unternehmens objektiv zu bewerten, Schwachstellen aufzudecken und Prioritäten für deren Behebung festzulegen, bevor Angreifer diese ausnutzen können.
Starke Cybersicherheit beginnt nicht mit teuren Technologien, sondern mit den Grundlagen: klaren Prozessen, aktueller Dokumentation, kontrollierten Zugriffen, Update-Management und regelmäßiger Schulung der Mitarbeiter. Unternehmen, die diese grundlegenden Aspekte systematisch umsetzen, bestehen Audits nicht nur sicherer, sondern senken auch die Cyberrisiken für ihr Geschäft erheblich.
Und das Wichtigste: In den meisten Fällen ist es wesentlich kostengünstiger und einfacher, Schwachstellen während eines Audits zu beheben, als die Folgen eines Cybervorfalls zu beseitigen.
Welche Cybersicherheitsdienste tragen zur Risikominderung bei?
Beauftragen Sie bei BDO in der Ukraine mit Dienstleistungen im Bereich Informationssicherheit – wir helfen Ihnen, Ihr Unternehmen, Ihre Daten und Ihren Ruf angesichts der heutigen Cyberbedrohungen zu schützen.Die Cybersicherheitslösungen des Teams von BDO in der Ukraine umfassen:
