IT-Kontrollsystem im Mittelstand: Kontrollen definieren, testen und nachweisen

Ein IT-Kontrollsystem ist die Gesamtheit der Regeln, Verfahren und Prüfungen, mit denen ein Unternehmen sicherstellt, dass seine IT-Prozesse zuverlässig, nachvollziehbar und regelkonform ablaufen. Es verbindet die abstrakten Vorgaben aus Gesetzen, Verträgen und Normen mit dem, was im Betrieb tatsächlich täglich geschieht: Wer darf auf welche Daten zugreifen, wer genehmigt eine Änderung am ERP-System, wie wird geprüft, ob eine Datensicherung wirklich wiederherstellbar ist.

In vielen mittelständischen Unternehmen existieren einzelne Kontrollen, ohne dass sie als System erkennbar wären. Der Administrator prüft Protokolle, wenn Zeit bleibt. Die Freigabe von Berechtigungen läuft per E-Mail. Die Backup-Meldung wird gelesen, aber nicht ausgewertet. Solange nichts passiert, fällt diese Lücke nicht auf. Bei einer Prüfung durch Wirtschaftsprüfer, bei einem Kundenaudit oder nach einem Sicherheitsvorfall zeigt sich jedoch, dass sich Wirksamkeit nur belegen lässt, wenn Kontrollen definiert, zugeordnet, durchgeführt und dokumentiert werden.

Dieser Beitrag beschreibt, wie ein IT-Kontrollsystem aufgebaut wird, welche Kontrollarten es gibt, wie sich Kontrollziele aus Anforderungen ableiten lassen und wie die Wirksamkeit getestet wird. Er richtet sich an Geschäftsführer und Verantwortliche für IT, Datenschutz und Compliance, die ein tragfähiges System ohne unnötigen Verwaltungsaufwand etablieren wollen.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von Compagnons auf Unsplash.

Was ein IT-Kontrollsystem leistet und was nicht

Ein Kontrollsystem dient nicht dazu, Sicherheit herzustellen. Das leisten die technischen und organisatorischen Maßnahmen selbst, etwa Zugriffsbeschränkungen, Verschlüsselung oder Datensicherung. Das Kontrollsystem stellt fest, ob diese Maßnahmen wie vorgesehen funktionieren, und liefert die Nachweise dafür. Man kann es als zweite Ebene verstehen: Die erste Ebene sind die Schutzmaßnahmen, die zweite Ebene prüft, ob die erste Ebene hält, was sie verspricht.

Daraus ergibt sich der Nutzen für die Unternehmensleitung. Wer Verantwortung für die Ordnungsmäßigkeit der Geschäftsabläufe trägt, benötigt belastbare Aussagen statt Vermutungen. Im Handelsrecht folgt aus den Buchführungs- und Aufbewahrungspflichten, dass IT-gestützte Rechnungslegungssysteme ordnungsgemäß betrieben werden müssen (§§ 238 ff. HGB, GoBD). Im Datenschutz verlangt Art. 32 DSGVO ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen. Beide Anforderungen laufen auf dasselbe hinaus: Es muss ein nachvollziehbarer Prüfmechanismus bestehen.

Rechtliche und normative Grundlagen

Ein eigenes Gesetz für das IT-Kontrollsystem gibt es nicht. Die Pflicht ergibt sich mittelbar aus mehreren Regelwerken, die jeweils einen eigenen Blickwinkel einnehmen. Für die Praxis ist wichtig, diese Quellen zu kennen und die Kontrollen so zu gestalten, dass sie mehrere Anforderungen gleichzeitig bedienen.

• Handels- und Steuerrecht: Die GoBD fordern ein Internes Kontrollsystem für rechnungslegungsrelevante Verfahren, das Zugriffs-, Eingabe-, Verarbeitungs- und Ausgabekontrollen umfasst. Grundlage sind die Ordnungsmäßigkeitsanforderungen der §§ 238, 239 und 257 HGB sowie §§ 145 ff. AO.
• Datenschutz: Art. 24 und Art. 32 DSGVO verpflichten den Verantwortlichen, geeignete Maßnahmen zu treffen und deren Wirksamkeit regelmäßig zu überprüfen. Art. 5 Abs. 2 DSGVO verlangt zudem die Nachweisbarkeit der Einhaltung (Rechenschaftspflicht).
• Organisationspflichten der Geschäftsleitung: Für Geschäftsführer einer GmbH folgt aus § 43 GmbHG die Pflicht zur Sorgfalt eines ordentlichen Geschäftsmannes, für Vorstände aus § 91 Abs. 2 AktG die Einrichtung eines Überwachungssystems. Beides wird von der Rechtsprechung als Maßstab auch für mittelständische Gesellschaften herangezogen.
• Normen und Rahmenwerke: ISO/IEC 27001 und 27002, der IT-Grundschutz des BSI sowie COBIT bieten strukturierte Kontrollkataloge. Für Prüfungen von Rechnungslegungssystemen ist der Prüfungsstandard IDW PS 330 relevant.
• Vertragliche Anforderungen: Kunden aus der Automobilindustrie, dem Finanzsektor oder dem öffentlichen Bereich fordern häufig Nachweise über Kontrollen, etwa durch Fragebögen, Auditrechte oder Zertifikate.

Den Gesetzestext zu den Sorgfaltspflichten der Geschäftsführer finden Sie beim Bundesministerium der Justiz: § 43 GmbHG im Wortlaut. Für die konkrete Auslegung im Einzelfall empfiehlt sich die Abstimmung mit der steuerlichen und rechtlichen Beratung.

Kontrollarten im Überblick

Kontrollen lassen sich nach Zeitpunkt, Durchführung und Zweck unterscheiden. Diese Einteilung hilft, ein ausgewogenes Gefüge zu schaffen, in dem nicht alle Kontrollen am selben Punkt ansetzen.

Präventive, detektive und korrektive Kontrollen

Präventive Kontrollen verhindern, dass ein Fehler oder Verstoß überhaupt entsteht. Beispiele sind die Rechtevergabe nach dem Prinzip der minimalen Berechtigung, Pflichtfelder in Eingabemasken, Freigabeworkflows für Änderungen oder die technische Sperre unzulässiger USB-Geräte. Detektive Kontrollen entdecken Abweichungen nach ihrem Auftreten, etwa durch die Auswertung von Protokollen, den Abgleich von Soll- und Ist-Berechtigungen oder Abweichungsberichte aus dem Monitoring. Korrektive Kontrollen beheben die festgestellten Probleme, zum Beispiel durch das Wiederherstellen aus der Datensicherung, das Zurücksetzen von Konfigurationen oder das Entziehen überzähliger Rechte.

Ein Kontrollsystem, das fast ausschließlich auf detektive Kontrollen setzt, kommt immer zu spät. Ein System, das nur präventiv arbeitet, übersieht, was die Prävention durchlässt. Bewährt hat sich eine Kombination, bei der für jedes wesentliche Risiko mindestens eine präventive und eine detektive Kontrolle besteht.

Manuelle und automatisierte Kontrollen

Automatisierte Kontrollen sind in der IT besonders attraktiv, weil sie konsistent laufen und ihren Nachweis selbst erzeugen. Dazu gehören Skripte, die Berechtigungen mit dem Personalstamm abgleichen, Alarme bei fehlgeschlagenen Datensicherungen oder die Konfigurationsprüfung durch Management-Werkzeuge. Manuelle Kontrollen bleiben dort nötig, wo Urteilsvermögen gefragt ist: bei der Bewertung von Ausnahmen, bei der Freigabe von Berechtigungsanträgen mit ungewöhnlichem Umfang oder bei der Plausibilisierung von Berichten.

Wichtig ist die Unterscheidung beim Testen. Eine automatisierte Kontrolle muss einmal gründlich geprüft und danach nur noch bei Änderungen am Verfahren erneut getestet werden. Bei manuellen Kontrollen ist dagegen stichprobenartig zu prüfen, ob sie in dem vorgesehenen Rhythmus tatsächlich stattgefunden haben.

Generelle IT-Kontrollen und Anwendungskontrollen

In der Prüfungspraxis wird zwischen generellen IT-Kontrollen und Anwendungskontrollen unterschieden. Generelle Kontrollen betreffen die IT-Umgebung insgesamt und wirken auf alle Anwendungen: Zugriffsverwaltung, Änderungsmanagement, Betrieb und Datensicherung. Anwendungskontrollen sind in einzelne Fachanwendungen eingebettet, etwa die Plausibilitätsprüfung bei der Rechnungserfassung oder die Vier-Augen-Freigabe von Zahlungen. Für mittelständische Unternehmen genügt häufig eine schlanke Auswahl generell wichtiger Kontrollen, ergänzt um wenige Anwendungskontrollen für die geschäftskritischen Systeme.

Vom Kontrollziel zur konkreten Kontrolle

Der häufigste Fehler beim Aufbau besteht darin, Kontrollen aus einem Katalog zu übernehmen, ohne zu fragen, welches Risiko sie adressieren sollen. Das Ergebnis ist ein umfangreiches Verzeichnis, das niemand pflegt. Sinnvoller ist der umgekehrte Weg: Zuerst werden die Risiken und Anforderungen bestimmt, daraus werden Kontrollziele formuliert, und erst dann werden Kontrollen ausgewählt.

Beispiel für die Herleitung

Ausgangslage ist die Anforderung, dass nur berechtigte Personen Buchungen im ERP-System vornehmen dürfen. Das Risiko lautet: Ein ausgeschiedener Mitarbeiter behält sein Konto und kann Buchungen auslösen. Das Kontrollziel lautet: Nur aktive, autorisierte Personen verfügen über Zugang zum System. Daraus ergeben sich drei Kontrollen. Erstens meldet die Personalabteilung Austritte innerhalb von 24 Stunden an die IT (präventiv, manuell). Zweitens sperrt die IT das Konto am letzten Arbeitstag (präventiv, teilautomatisiert). Drittens gleicht ein monatliches Skript die aktiven Konten mit dem Personalstamm ab und meldet Abweichungen (detektiv, automatisiert).

An diesem Beispiel zeigt sich das Prinzip der gestaffelten Absicherung. Fällt die erste Kontrolle aus, etwa weil die Meldung der Personalabteilung vergessen wurde, fängt die dritte Kontrolle den Fehler ein. Gleichzeitig entsteht ein Nachweis, der bei einer Prüfung vorgelegt werden kann.

Typische Kontrollbereiche im Mittelstand

Für die meisten mittelständischen Unternehmen lassen sich die Kontrollen in acht Bereiche gliedern. Die folgende Tabelle zeigt beispielhaft, welche Kontrollziele und Kontrollen sich jeweils eignen. Sie ist als Orientierung gedacht und muss an die Systemlandschaft des Unternehmens angepasst werden.

Bereich	Kontrollziel	Beispielkontrolle	Rhythmus
Zugriffsverwaltung	Nur autorisierte Personen haben Zugang	Abgleich aktiver Konten mit Personalstamm	Monatlich
Berechtigungen	Rechte entsprechen der Aufgabe	Rezertifizierung durch Fachbereichsleitung	Halbjährlich
Änderungsmanagement	Änderungen sind geprüft und freigegeben	Prüfung der Freigabedokumentation anhand einer Stichprobe	Quartalsweise
Datensicherung	Daten sind wiederherstellbar	Test-Wiederherstellung eines Systems	Quartalsweise
Patch-Management	Bekannte Schwachstellen sind geschlossen	Auswertung des Patch-Standes je System	Monatlich
Protokollierung	Sicherheitsrelevante Ereignisse sind nachvollziehbar	Stichprobe der Protokollauswertung	Monatlich
Lieferanten	Dienstleister erfüllen Sicherheitsanforderungen	Prüfung von Nachweisen der Auftragnehmer	Jährlich
Notfallvorsorge	Wiederanlauf ist geübt	Auswertung der Notfallübung	Jährlich

Schritt für Schritt zum Kontrollsystem

Der Aufbau eines Kontrollsystems gelingt am besten in überschaubaren Schritten, die sich innerhalb weniger Monate umsetzen lassen. Eine vollständige Abdeckung ist nicht das Ziel des ersten Durchlaufs. Entscheidend ist, dass die wesentlichen Risiken zuerst und mit belastbarer Qualität abgedeckt werden.

1. Geltungsbereich festlegen: Welche Systeme, Standorte und Prozesse gehören dazu? Beginnen Sie mit den rechnungslegungsrelevanten und den personenbezogene Daten verarbeitenden Systemen.
2. Anforderungen sammeln: Stellen Sie rechtliche, vertragliche und interne Anforderungen zusammen. Eine einfache Liste mit Quelle und Kurzbeschreibung genügt.
3. Risiken bewerten: Ordnen Sie jeder Anforderung die wesentlichen Risiken zu und bewerten Sie Eintrittswahrscheinlichkeit und Schadenshöhe in drei Stufen.
4. Kontrollziele formulieren: Pro Risiko ein bis zwei Kontrollziele in einem Satz, der sich prüfen lässt.
5. Kontrollen auswählen: Vorhandene Kontrollen erfassen, Lücken identifizieren, neue Kontrollen nur dort ergänzen, wo ein Risiko nicht abgedeckt ist.
6. Verantwortliche benennen: Jede Kontrolle erhält einen Durchführenden und einen Verantwortlichen. Beide sollten nicht identisch sein.
7. Dokumentation einrichten: Ein zentrales Kontrollverzeichnis mit festen Feldern, dazu ein einheitlicher Ort für Nachweise.
8. Wirksamkeit testen: Kontrollen prüfen, Ergebnisse dokumentieren, Mängel nachverfolgen.
9. Berichten und verbessern: Die Ergebnisse jährlich an die Geschäftsleitung berichten und das Verzeichnis anpassen.

Dokumentation der Kontrollen

Eine Kontrolle, die nicht dokumentiert ist, lässt sich im Streitfall nicht belegen. Die Dokumentation muss dennoch nicht aufwendig sein. Bewährt hat sich ein Kontrollverzeichnis, in dem jede Kontrolle mit einer kurzen Beschreibung geführt wird. Ergänzend braucht es für jede Durchführung einen Nachweis, der den Zeitpunkt, die durchführende Person und das Ergebnis erkennen lässt.

Als Pflichtfelder im Verzeichnis haben sich folgende Angaben bewährt: eindeutige Kennung, Kontrollziel, Beschreibung der Durchführung, Kontrollart, Rhythmus, durchführende Person, verantwortliche Person, betroffene Systeme, Nachweisform und Aufbewahrungsort. Bei Anwendungen, die der GoBD unterliegen, sind die Aufbewahrungsfristen der Nachweise an die handels- und steuerrechtlichen Fristen anzupassen.

Wirksamkeit testen: Gestaltungs- und Funktionsprüfung

Das Kontrollsystem erfüllt seinen Zweck nur, wenn regelmäßig geprüft wird, ob die Kontrollen wirken. Zwei Fragen sind dabei zu unterscheiden. Die erste lautet: Ist die Kontrolle so gestaltet, dass sie das Risiko tatsächlich abdeckt? Die zweite lautet: Wurde sie im Prüfzeitraum wie vorgesehen durchgeführt?

Gestaltungsprüfung

Die Gestaltungsprüfung klärt, ob eine Kontrolle im Prinzip geeignet ist. Dazu wird die Beschreibung mit dem Kontrollziel verglichen und gefragt, ob eine plausible Möglichkeit besteht, dass das Risiko trotz Durchführung eintritt. Eine monatliche Auswertung von Protokollen deckt beispielsweise kein Risiko ab, das in Minuten Schaden anrichtet. In solchen Fällen ist die Gestaltung nachzubessern, bevor die Durchführung geprüft wird.

Funktionsprüfung

Die Funktionsprüfung stellt fest, ob die Kontrolle im Prüfzeitraum ausgeführt wurde. Bei wiederkehrenden manuellen Kontrollen werden dazu Stichproben gezogen, etwa drei Monatsnachweise aus dem Jahr. Bei häufigeren Kontrollen steigt der Stichprobenumfang. Bei automatisierten Kontrollen genügt die Prüfung der Konfiguration und eines Testfalls, sofern das Verfahren unverändert geblieben ist.

Eine Kontrolle gilt erst dann als wirksam, wenn sich nachweisen lässt, dass sie durchgeführt wurde und dass ihr Ergebnis zu einer Handlung geführt hat.

Im Prüfungsergebnis sind drei Kategorien üblich: keine Feststellung, Feststellung mit geringer Auswirkung und wesentliche Feststellung. Jede Feststellung erhält eine verantwortliche Person und einen Termin zur Behebung. Offene Punkte werden in der nächsten Prüfung nachverfolgt.

Verantwortlichkeiten und die drei Verteidigungslinien

Die Verteilung der Verantwortung entscheidet darüber, ob ein Kontrollsystem unabhängig arbeitet. Das Modell der drei Verteidigungslinien hat sich dafür in der Praxis etabliert. Die erste Linie bilden die operativen Einheiten, etwa die IT-Administration und die Fachbereiche. Sie führen die Kontrollen durch und tragen die Verantwortung für ihre Prozesse. Die zweite Linie bilden Funktionen wie Informationssicherheitsbeauftragter, Datenschutzbeauftragter oder Compliance-Verantwortlicher. Sie definieren Standards, beraten und überwachen. Die dritte Linie bildet eine unabhängige Prüfung, etwa die interne Revision oder ein externer Dienstleister.

Häufige Fehler und Stolperfallen

Aus der Praxis von Prüfungen lassen sich typische Schwachstellen ableiten, die sich mit etwas Vorbereitung vermeiden lassen.

• Kontrolle ohne Ergebnis: Protokolle werden ausgewertet, aber kein Befund wird festgehalten. Bei einer Prüfung ist nicht erkennbar, ob die Auswertung stattgefunden hat.
• Identische Person als Durchführender und Prüfer: Der Administrator bestätigt die Angemessenheit seiner eigenen Berechtigungen. Das Kontrollziel wird verfehlt.
• Zu viele Kontrollen: Ein Verzeichnis mit mehreren hundert Einträgen wird nicht gepflegt. Weniger, dafür wirksame Kontrollen sind besser.
• Kein Bezug zum Risiko: Kontrollen wurden aus einem Katalog übernommen, ohne dass erkennbar ist, welches Risiko sie abdecken.
• Fehlende Nachverfolgung: Festgestellte Mängel bleiben offen, weil niemand zuständig ist.
• Änderungen am Verfahren ohne Anpassung: Ein System wird ersetzt, die Kontrolle bleibt unverändert im Verzeichnis, obwohl sie ins Leere läuft.
• Dokumentation nachträglich erstellt: Nachweise werden kurz vor einer Prüfung rekonstruiert. Das fällt Prüfern in der Regel auf und beschädigt das Vertrauen in das gesamte System.

Praxisbeispiel: Mittelständischer Maschinenbauer

Ein mittelständischer Maschinenbauer mit rund 180 Beschäftigten und einem ERP-System für Auftragsabwicklung und Rechnungswesen steht vor dem Kundenaudit eines großen Abnehmers. Der Fragebogen verlangt Nachweise zur Berechtigungsverwaltung, zum Änderungsmanagement und zur Datensicherung. Die IT-Leitung stellt fest, dass alle drei Bereiche praktisch funktionieren, aber kaum Belege existieren.

In einem ersten Schritt werden die drei Bereiche als Geltungsbereich festgelegt. Für jeden Bereich werden zwei bis drei Kontrollen formuliert und in ein einfaches Verzeichnis übertragen. Ein Ticketsystem, das bereits für Supportanfragen genutzt wird, erhält neue Kategorien für Berechtigungsanträge und Änderungsfreigaben. Die Datensicherung wird um einen vierteljährlichen Wiederherstellungstest ergänzt, dessen Ergebnis in einer Vorlage festgehalten wird.

Nach einem Quartal liegen die ersten Nachweise vor. Bei der Funktionsprüfung durch einen externen Berater zeigt sich, dass die Rezertifizierung der Berechtigungen durch die Fachbereichsleitung nur in zwei von fünf Abteilungen stattgefunden hat. Die Feststellung wird mit einem Termin versehen und im Folgequartal nachverfolgt. Beim Kundenaudit kann das Unternehmen nicht nur Kontrollen, sondern auch den Umgang mit Feststellungen belegen. Dieser Nachweis überzeugt die Auditoren stärker als eine fehlerfreie, aber unbelegte Darstellung.

Checkliste für den Start

• Geltungsbereich und Systemliste festgelegt und von der Geschäftsleitung bestätigt
• Rechtliche, vertragliche und interne Anforderungen gesammelt
• Wesentliche Risiken bewertet und Kontrollziele formuliert
• Vorhandene Kontrollen erfasst und Lücken benannt
• Für jede Kontrolle Durchführender und Verantwortlicher benannt
• Kontrollverzeichnis mit festen Pflichtfeldern angelegt
• Ablageort für Nachweise mit Zugriffsschutz festgelegt
• Rhythmus der Kontrollen und Prüfzeiträume vereinbart
• Wirksamkeitsprüfung geplant, unabhängig vom Durchführenden
• Berichtsweg an die Geschäftsleitung definiert
• Aufbewahrungsfristen der Nachweise festgelegt
• Jährliche Überprüfung des Verzeichnisses im Kalender verankert

Fazit

Ein IT-Kontrollsystem macht Sicherheit und Ordnungsmäßigkeit überprüfbar. Es wird nicht durch Umfang wirksam, sondern durch klare Ziele, eindeutige Zuständigkeiten und belastbare Nachweise. Für den Mittelstand bedeutet das: lieber zwanzig gut gewählte und konsequent durchgeführte Kontrollen als zweihundert, die auf dem Papier existieren.

Der Einstieg gelingt mit einem begrenzten Geltungsbereich, einem einfachen Verzeichnis und regelmäßigen Wirksamkeitsprüfungen. Daraus entsteht Schritt für Schritt ein System, das Prüfungen standhält und die Geschäftsleitung entlastet, weil sie sich auf nachvollziehbare Aussagen stützen kann.

FAQ

Ist ein IT-Kontrollsystem für Unternehmen Pflicht?
Eine ausdrückliche Pflicht mit diesem Namen gibt es nicht. Sie folgt mittelbar aus den Ordnungsmäßigkeitsanforderungen des Handels- und Steuerrechts, aus Art. 32 DSGVO und aus den Sorgfaltspflichten der Geschäftsleitung. Der Umfang richtet sich nach Größe, Risiko und Geschäftsmodell.

Wie viele Kontrollen braucht ein mittelständisches Unternehmen?
Eine feste Zahl existiert nicht. Als Richtwert genügen für den Einstieg meist 20 bis 40 Kontrollen, die die wesentlichen Risiken in Zugriff, Änderungen, Datensicherung, Betrieb und Lieferanten abdecken. Entscheidend ist die Wirksamkeit, nicht die Menge.

Wer sollte die Wirksamkeit der Kontrollen prüfen?
Die Prüfung sollte durch eine Person erfolgen, die die Kontrolle nicht selbst durchführt. Das kann der Informationssicherheitsbeauftragte, die interne Revision oder ein externer Dienstleister sein. Wichtig ist die organisatorische Unabhängigkeit vom Prüfgegenstand.

Wie lange müssen Nachweise aufbewahrt werden?
Die Dauer richtet sich nach dem Zweck. Nachweise zu rechnungslegungsrelevanten Verfahren unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen. Für andere Nachweise empfiehlt sich mindestens ein vollständiger Prüfzyklus, häufig drei Jahre.

Lässt sich das Kontrollsystem mit ISO 27001 verbinden?
Ja. Der Anhang A der Norm bietet einen Maßnahmenkatalog, und die geforderte Überwachung und interne Auditierung entsprechen weitgehend den Aufgaben eines Kontrollsystems. Wer das System sauber aufbaut, schafft damit eine gute Grundlage für eine spätere Zertifizierung.