Nachweise gehören nicht in den Mailanhang
Vor dem Audit kommt die Anforderungsliste, und dann gehen Exporte, ZIP-Dateien und Freigabelinks an die Prüfstelle. Nach dem Audit weiß niemand mehr, wo die Kopien liegen, welcher Stand vorlag und wer sie gesehen hat. Der IT-Grundschutz-Baustein DER.3.1 verlangt das Gegenteil: Prüfer greifen nicht ein, Zugriffe werden danach entzogen, und nur Berechtigte kommen an die Unterlagen.
Drei Wochen vor dem Audit kommt die Anforderungsliste der Prüfstelle: sechzig Punkte, von der Leitlinie bis zum letzten Protokoll der Rücksicherung. Das Sicherheitsteam exportiert, benennt um, packt ZIP-Dateien und schickt sie per Mail oder als Freigabelink. Das Audit läuft gut.
Ein halbes Jahr später liegen die Dateien noch im Postfach der Auditorin, in einer Weiterleitung an die Kollegin, im Ticketsystem der Prüfstelle und auf einem Laptop, der inzwischen ersetzt wurde. Und wenn eine Feststellung strittig wird, weiß niemand mehr genau, welche Fassung des Notfallhandbuchs vorlag.
Was der Grundschutz verlangt
Der Baustein DER.3.1 Audits und Revisionen regelt nicht nur, wie geprüft wird, sondern auch, wie mit Zugängen und Unterlagen umzugehen ist. Schon die Basis-Anforderung A3 legt für das Vor-Ort-Audit fest, dass das Auditteam sicherstellen muss,
„dass es niemals selbst aktiv in Systeme eingreift“
Prüfer lesen, sie ändern nicht. Für den Abschluss verlangt A24, dass der oder die ISB die Zugänge wieder schließt:
„Der oder die ISB SOLLTE alle für das Audit- oder Revisionsteam genehmigten Zugriffe wieder deaktivieren oder löschen lassen.“
Dazu soll vereinbart werden, dass die Ergebnisse „nicht ohne Genehmigung der geprüften Institution an andere Institutionen weitergeleitet werden dürfen“. Und A27 verlangt für die Ablage, dass „lediglich berechtigte Personen“ auf Auditprogramme und Unterlagen zugreifen können.
Warum der Anhang dazu nicht passt
- Eine Kopie lässt sich nicht entziehen. Ein Zugang lässt sich deaktivieren, ein verschickter Anhang nicht. Die Forderung aus A24 ist mit E-Mail schlicht nicht erfüllbar.
- Der Stand ist nicht festgehalten. Wer eine Datei schickt und sie danach überarbeitet, kann später nicht belegen, welche Fassung geprüft wurde. Genau das wird wichtig, wenn eine Abweichung strittig ist.
- Niemand weiß, wer was gesehen hat. Ein weitergeleiteter Link öffnet sich für jeden, der ihn hat. Ob die Auditorin geöffnet hat oder ihr Kollege, an den sie weitergeleitet hat, zeigt kein Protokoll.
Wie es besser geht
Die Alternative ist kein Verbot, sondern ein anderer Weg: Der Prüfer bekommt einen befristeten Lesezugang zu genau den Bereichen, die er prüfen soll, auf einem eingefrorenen Stand. Jeder Zugriff wird protokolliert, am Ende steht ein Übergabeprotokoll mit Prüfsummen, und danach wird der Zugang geschlossen. Das deckt A24 und A27 ab, und der Streit über die Fassung entfällt, weil sie festgehalten ist. Wie das Auditprogramm dazu aussieht, stand in Ein Audittermin ist noch kein Auditprogramm.
Wie isidaten das abbildet
Im Prüferarbeitsraum sieht der Prüfer ausschließlich freigegebene Bereiche aus eingefrorenen Prüfständen, keine Live-Daten. Weicht ein Bereich vom eingefrorenen Stand ab, wird er als gestört gemeldet und nicht ausgeliefert. Der Zugang braucht neben dem Link einen Einmalcode an die hinterlegte Adresse, damit ein weitergeleiteter Link allein nicht reicht. Jeder Zugriff wird protokolliert, bevor er ausgeliefert wird, abgewiesene Versuche ebenso. Zum Abschluss friert ein Übergabeprotokoll ein, was vorlag: Kennungen, Prüfsummen und Zeitstempel, aber keine Inhalte. Es ist das einzige Dokument, das der Prüfer herunterladen kann.
Die Prüffrage
Wo liegen die Nachweise aus Ihrem letzten Audit heute, und wer kann sie noch öffnen?
Wenn die Antwort „im Postfach der Prüfstelle“ lautet, ist die Anforderung aus A24 offen, auch wenn das Audit bestanden ist.
Quellen
BSI IT-Grundschutz-Kompendium, Edition 2023, Baustein DER.3.1 Audits und Revisionen, Anforderungen A3, A24 und A27.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.