Ein Audit – Prüfung oder Revision – ist eine systematische, unabhängige Untersuchung von Systemen, Prozessen, Kontrollen oder Daten, um zu beurteilen, ob sie definierten Anforderungen, Standards oder Richtlinien entsprechen. Audits können intern (durch eigene Mitarbeiter oder interne Revision) oder extern (durch unabhängige Prüfer oder Zertifizierungsstellen) durchgeführt werden. Sie liefern den Nachweis, dass ein System oder ein Prozess so funktioniert, wie er funktionieren soll.
In Automatisierungsinfrastrukturen sind Audits auf zwei Ebenen relevant: technisch als Audit-Logs (automatische Aufzeichnungen aller relevanten Ereignisse und Zugriffsversuche) und organisatorisch als regelmäßige Überprüfungen von Zugriffsrechten, Konfigurationen, Compliance-Anforderungen und Sicherheitsmaßnahmen. Beide sind für DSGVO, ISO 27001 und andere Compliance-Anforderungen unverzichtbar.
Audit-Typen in der Praxis
Zugriffsrechts-Audit
Wer hat welche Rechte auf welche Systeme? Quartalsweise Prüfung auf Überprivilegierung, vergessene Accounts, nicht mehr benötigte Zugänge. Direkte DSGVO-Relevanz.
Sicherheits-Audit
Technische Überprüfung der Infrastruktur: Patch-Status, Verschlüsselungskonfiguration, offene Ports, bekannte Schwachstellen. Intern oder durch externe Penetration-Tester.
Compliance-Audit
Erfüllt das System die definierten Compliance-Anforderungen (DSGVO, ISO 27001, SOC 2)? Typisch für Zertifizierungen und regulierte Branchen. Kann extern durchgeführt werden.
Prozess-Audit
Laufen Prozesse so ab wie dokumentiert? Folgen Mitarbeiter den Richtlinien? Sind Dokumentation und Realität konsistent?
Workflow-Audit
Verarbeitet ein automatisierter Workflow Daten korrekt und regelkonform? Werden Ausnahmen richtig behandelt? Ist die Verarbeitung nachvollziehbar?
Audit-Trail-Auswertung
Analyse der automatisch aufgezeichneten Zugriffsprotokoll und Systemereignisse – retrospektive Überprüfung auf ungewöhnliche Aktivitäten, Compliance-Nachweise.
Praxisbeispiel
Ein Automationsdienstleister führt ein quartalsweises Zugriffsrechts-Audit durch. Methode: Vollständige Liste aller Nutzer und Service-Accounts mit Zugriffsrechten aus allen Systemen exportiert (n8n, AWS, GitHub, HubSpot). Mit aktuellen Rollenzuweisungen verglichen. Ergebnis Q3: 3 ehemalige Kunden-Service-Accounts noch aktiv (Offboarding unvollständig). 2 Service-Accounts haben Admin-Rechte in GitHub, obwohl nur Lesezugriff für CI/CD benötigt. 1 Mitarbeiter hat Kundenzugang zu einem inaktiven Kunden-System (Projekt abgeschlossen, Zugang nicht beendet). Maßnahmen: Alle 6 Zugriffe sofort beendet. Offboarding-Checkliste um GitHub-Service-Accounts ergänzt. Audit-Ergebnisse dokumentiert für ISO-27001-Nachweis. Jedes Quartal werden 3–8 solche Abweichungen gefunden und behoben – das ist der Wert des regelmäßigen Audits.
