Sicherheitsaudit der IT-Architektur: Schwachstellen finden, die kein Scanner meldet

Ein Sicherheitsaudit der IT-Architektur prüft nicht einzelne Server, sondern das Zusammenspiel von Systemen, Schnittstellen und Datenflüssen, und findet dadurch die Lücken, die kein Schwachstellenscanner meldet. Für IT-Leitungen mit gewachsenen Landschaften ist es der Weg, aus einem diffusen „wir sollten mal“ eine priorisierte Liste zu machen.

Warum Architektur statt einzelner Systeme

Die meisten Einbrüche gelingen nicht, weil ein System ungepatcht war, sondern weil zwei Systeme falsch zueinander standen. Eine moderne Firewall nützt wenig, wenn die Kundendatenbank im selben Netzsegment liegt wie der öffentliche Webserver. Ein Altsystem, das seit Jahren unverschlüsselt Daten an ein Partnerportal schickt, fällt keinem Scanner auf, weil es genau das tut, wofür es gebaut wurde. Ein Architektur-Audit stellt die Frage, die der Scanner nicht stellt: Was passiert, wenn dieser eine Punkt fällt?

Die fünf Phasen eines Architektur-Audits

Erste Phase, Umfang festlegen: Welche Systeme, Netze und Datenflüsse gehören dazu, und gegen welche Vorgaben wird geprüft, etwa DSGVO, BSI IT-Grundschutz oder Anforderungen eines Großkunden? Ohne diese Festlegung wird das Audit endlos oder beliebig.

Zweite Phase, Inventar: Alle Komponenten und ihre Verbindungen werden erfasst, Server, Netzgeräte, Cloud-Dienste, Schnittstellen, Datenbanken. Hier tauchen regelmäßig Systeme auf, von denen niemand mehr wusste, dass sie laufen. Das Inventar ist oft schon das wertvollste Ergebnis.

Dritte Phase, Analyse: Jede Komponente wird auf bekannte Lücken, Fehlkonfigurationen und veraltete Software geprüft; Penetrationstests simulieren Angriffspfade über mehrere Systeme hinweg. Ein Webserver mit veralteter Verschlüsselung ist ein Befund, ein Webserver mit veralteter Verschlüsselung und Zugriff auf die Auftragsdatenbank ein dringender.

Vierte Phase, Bewertung: Jede Schwachstelle bekommt eine Einstufung nach Eintrittswahrscheinlichkeit und Schaden. Eine ungeschützte Schnittstelle auf Kundendaten steht oben, ein fehlender Banner auf einem internen Testsystem unten.

Fünfte Phase, Maßnahmen: Ein Plan mit Verantwortlichen, Terminen und Budget. Typisch sind Netzsegmentierung, ein geregeltes Patch-Verfahren, ein Gateway vor ungeschützten Schnittstellen und das Abschalten dessen, was in Phase zwei überraschend auftauchte.

Was ein Audit im Mittelstand typischerweise findet

Die Befunde ähneln sich: keine oder zu grobe Netzsegmentierung, Altsysteme ohne Updates, unverschlüsselte Übertragungen, Schnittstellen ohne Authentifizierung, Berechtigungen, die seit dem Ausscheiden von Mitarbeitern weiterlaufen, und Backups, die noch nie wiederhergestellt wurden. Und häufig mehrere Anwendungen auf einem einzigen Server, sodass ein Einbruch oder Ausfall den ganzen Betrieb trifft.

Sicherheitsupdates und Backups auslagern: was das Audit dazu sagt

Zwei Befunde kehren so zuverlässig wieder, dass sich die Frage nach dem Betrieb stellt. Sicherheitsupdates bleiben liegen, weil niemand Zeit hat und ein Update ohne Testumgebung riskant ist. Backups laufen, aber niemand hat je eine Wiederherstellung geprobt. Beides sind keine Wissenslücken, sondern Kapazitätslücken.

Das Audit liefert dann eine ehrliche Entscheidungsgrundlage: Können Sie Update-Fenster, Testumgebung und Wiederherstellungsproben intern verlässlich leisten, oder gehört dieser Teil zu einem Betreiber mit vertraglich zugesagten Reaktionszeiten? Wir betreiben solche Anwendungen für Kunden und sagen gleichzeitig: Reaktionszeit lässt sich garantieren, die Lösung eines Vorfalls nach bestem Bemühen. Ein Anbieter, der mehr verspricht, hat das Audit nicht gelesen.

Wie oft und mit wem

Ein vollständiges Architektur-Audit gehört in einen jährlichen Rhythmus und zusätzlich nach größeren Änderungen, etwa einer Cloud-Migration, einem neuen Kundenportal oder dem ersten KI-Agenten mit Zugriff auf Unternehmensdaten. Intern lässt sich vieles vorbereiten; die Analyse selbst profitiert von einem externen Blick, weil interne Teams die Ausnahmen kennen und deshalb nicht mehr sehen.

Häufige Fragen

Was unterscheidet ein Architektur-Audit vom Penetrationstest?

Der Penetrationstest greift gezielt Systeme an und zeigt, ob ein Weg hineinführt. Das Architektur-Audit betrachtet Design, Konfiguration und Prozesse und findet strukturelle Lücken, die ein Test zufällig verfehlen kann. Beides ergänzt sich.

Wie lange dauert ein Audit?

Das hängt von der Zahl der Systeme und den geforderten Nachweisen ab. Der größte Zeitfaktor ist meist das Inventar, weil Dokumentation fehlt.

Was passiert mit den Ergebnissen?

Sie münden in einen Bericht mit priorisierten Maßnahmen. Nach der Umsetzung prüft ein Folge-Audit, ob die Maßnahmen gewirkt haben; ohne diese Nachprüfung bleibt der Bericht ein Dokument.

Ihr nächster Schritt

Beantworten Sie zwei Fragen schriftlich: Wann wurde zuletzt ein Backup vollständig wiederhergestellt, und welches System hat seit mehr als einem Jahr kein Sicherheitsupdate bekommen? Bringen Sie die Antworten mit in den Potenzial-Check, eine halbe Stunde, kostenlos. Wir sagen Ihnen, ob ein volles Audit nötig ist oder ob zwei gezielte Maßnahmen zuerst kommen. Potenzial-Check buchen