Compliance
IKS und IT-Kontrollen: Kontrollen, die man nachweisen kann.
Ein internes Kontrollsystem ist kein Ordner mit Richtlinien. Es ist die Summe der Maßnahmen, mit denen eine Geschäftsleitung sicherstellt, dass Ziele erreicht, Risiken erkannt und Vorgaben eingehalten werden – und dass sie das gegenüber Wirtschaftsprüfer, Aufsichtsrat und Behörde belegen kann. Für die IT heißt das: Wer nicht protokolliert, überwacht und auswertet, hat keine Kontrolle, sondern eine Absichtserklärung.
Was ein IKS ist – und was nicht.
Der international maßgebliche Rahmen ist das COSO Internal Control – Integrated Framework (2013). COSO definiert interne Kontrolle als Prozess, der hinreichende Sicherheit über drei Zielkategorien schaffen soll:
| Zielkategorie | Frage, die das IKS beantwortet |
|---|---|
| Operations | Werden Geschäftsprozesse wirksam und effizient ausgeführt, sind Vermögenswerte geschützt? |
| Reporting | Sind interne und externe Berichte verlässlich, vollständig und zeitnah? |
| Compliance | Werden Gesetze, Verträge und interne Regeln eingehalten? |
Dafür nennt COSO fünf Komponenten mit insgesamt 17 Prinzipien. Alle fünf müssen vorhanden sein und zusammenwirken; eine fehlende Komponente ist ein Mangel des Systems, nicht ein Detail.
| Komponente | Bedeutung | Typische IT-Ausprägung |
|---|---|---|
| Kontrollumfeld | Haltung der Leitung, Organisation, Zuständigkeiten, Integrität | Benannte Verantwortliche für IT-Sicherheit, Trennung von Betrieb und Kontrolle, Berichtslinie zur Geschäftsleitung |
| Risikobeurteilung | Ziele festlegen, Risiken identifizieren und bewerten, Veränderungen erkennen | Risikoinventar der IT, Schutzbedarfsfeststellung, laufende Schwachstellenlage, Bewertung von Dienstleistern |
| Kontrollaktivitäten | Maßnahmen, die Risiken auf ein akzeptiertes Maß reduzieren | Zugriffskontrollen, Change-Freigaben, Backup und Wiederanlauf, Patch-Prozess, Protokollierung |
| Information und Kommunikation | Relevante Informationen erzeugen, intern und extern weitergeben | Log-Aggregation, Alarmierung, Berichte an Leitung und Prüfer, Meldewege nach außen |
| Überwachung | Laufend und punktuell prüfen, ob die Kontrollen funktionieren; Mängel beheben | SOC-Monitoring, Kontrolltests, Kennzahlen wie Erkennungszeit, Nachverfolgung offener Befunde |
Abzugrenzen sind drei Systeme, die in der Praxis vermischt werden:
- IKS – Kontrollen über Prozesse und Berichterstattung (COSO IC, IDW PS 982).
- RMS / Risikofrüherkennung – Identifikation und Steuerung bestandsgefährdender Risiken (§ 91 Abs. 2 AktG, COSO ERM 2017, IDW PS 340 n. F., IDW PS 981).
- ISMS – Managementsystem für Informationssicherheit (ISO/IEC 27001, BSI IT-Grundschutz).
Ein ISMS liefert dem IKS die IT-Kontrollen und dem RMS die IT-Risiken. Keines ersetzt das andere.
Wer ein IKS braucht.
Die Pflicht ist gestuft. Sie ist für wenige ausdrücklich formuliert und für alle anderen aus der Sorgfaltspflicht abgeleitet – mit demselben Ergebnis im Haftungsfall.
| Grundlage | Adressat | Was verlangt wird |
|---|---|---|
| § 91 Abs. 2 AktG | Vorstand jeder AG, über die Ausstrahlungswirkung auch GmbH-Geschäftsführer | Früherkennungssystem für bestandsgefährdende Entwicklungen |
| § 91 Abs. 3 AktG (seit FISG 2021) | Vorstand börsennotierter AG | Angemessenes und wirksames IKS und RMS, ausdrücklich im Gesetz |
| § 93 AktG / § 43 GmbHG | Vorstand, Geschäftsführer | Sorgfalt eines ordentlichen Geschäftsleiters; Business Judgement Rule setzt angemessene Informationsgrundlage voraus – ohne Kontrollsystem gibt es diese nicht |
| § 317 Abs. 4 HGB | Abschlussprüfer börsennotierter AG | Prüfung, ob das Früherkennungssystem seine Aufgaben erfüllen kann |
| DCGK 2022, Grundsatz 4 und A.5 | Börsennotierte Gesellschaften | IKS und RMS einrichten; im Lagebericht wesentliche Merkmale beschreiben und zur Angemessenheit und Wirksamkeit Stellung nehmen |
| GoBD, Tz. 100 ff. | Jeder Buchführungspflichtige | IKS für die IT-gestützte Buchführung: Zugriffsberechtigungen, Funktionstrennung, Erfassungs- und Verarbeitungskontrollen, Protokollierung |
| § 30 und § 38 BSIG (NIS2) | Besonders wichtige und wichtige Einrichtungen | Risikomanagementmaßnahmen; die Geschäftsleitung muss sie billigen, überwachen und haftet persönlich bei Verstoß |
| DORA, Art. 5 und 6 | Finanzunternehmen und ihre IKT-Dienstleister | IKT-Risikomanagementrahmen als Teil des Gesamtrisikomanagements, Leitungsorgan trägt die Letztverantwortung |
| § 11 Abs. 1a EnWG, IT-Sicherheitskatalog | Netzbetreiber | ISMS nach ISO 27001 mit Risikomanagement, zertifiziert |
Für den Mittelstand als GmbH gilt: Es gibt keinen Paragrafen, der das Wort IKS enthält. Es gibt § 43 GmbHG, die GoBD, zunehmend NIS2 – und im Schadensfall die Frage des Insolvenzverwalters, welche Kontrollen eingerichtet waren. Die Antwort „keine“ ist eine Haftungsgrundlage.
Rahmenwerke, die zusammenpassen müssen.
Niemand führt alle Rahmenwerke ein. Die Kunst liegt darin, eines als Rückgrat zu wählen und die anderen als Kontrollkataloge oder Prüfmaßstäbe darauf abzubilden.
| Rahmenwerk | Herausgeber | Rolle im IKS |
|---|---|---|
| COSO Internal Control (2013) | COSO | Strukturmodell: Komponenten, Prinzipien, Zielkategorien. Prüfmaßstab der Wirtschaftsprüfer. |
| COSO ERM (2017) | COSO | Risikomanagement auf Unternehmensebene, mit Strategie verzahnt. |
| IDW PS 982 | IDW | Prüfung des IKS des internen und externen Berichtswesens – Angemessenheit und Wirksamkeit. |
| IDW PS 981 / 983 / 980 | IDW | Prüfung von RMS, Interner Revision, Compliance-Management-Systemen. |
| IDW PS 951 n. F. / ISAE 3402 | IDW / IAASB | Dienstleistungsbezogenes IKS: Was ein Outsourcing-Partner kontrolliert, muss er dem Kunden berichten (Typ 1: Design, Typ 2: Wirksamkeit über einen Zeitraum). |
| SOC 2 | AICPA | Trust Services Criteria: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit, Datenschutz. Üblicher Nachweis für SaaS- und Cloud-Anbieter. |
| COBIT 2019 | ISACA | Governance- und Managementziele für die IT, 40 Objectives, Brücke zwischen Unternehmenszielen und IT-Kontrollen. |
| ISO/IEC 27001:2022, Anhang A | ISO | 93 Informationssicherheits-Controls in vier Themen – der am weitesten verbreitete IT-Kontrollkatalog. |
| BSI IT-Grundschutz | BSI | Deutsche Baustein-Systematik, anschlussfähig an ISO 27001, Pflicht im Energiesektor. |
| ISO 31000 | ISO | Prinzipien und Prozess des Risikomanagements, framework-neutral. |
| Three Lines Model (2020) | IIA | Rollenmodell: operatives Management, Risiko- und Compliance-Funktionen, Interne Revision – und das Leitungsorgan über allen dreien. |
Praktikable Kombination für ein mittelständisches Unternehmen: COSO als Struktur, ISO 27001 Anhang A als IT-Kontrollkatalog, IDW PS 982 als Prüfmaßstab. Wer Dienstleister einsetzt, verlangt von ihnen ISAE 3402 Typ 2 oder SOC 2 Typ 2.
IT-Kontrollen: die Teile, die am häufigsten fehlen.
Die IT-bezogenen Kontrollen eines IKS werden als IT General Controls (ITGC) zusammengefasst. Sie wirken nicht auf einen einzelnen Prozess, sondern auf alle Anwendungen, die auf der betreffenden Infrastruktur laufen. Fällt eine ITGC aus, sind alle darauf aufbauenden Anwendungskontrollen in Frage gestellt.
| ITGC-Bereich | Kontrollziel | Beispielkontrolle | Nachweis |
|---|---|---|---|
| Zugriffsmanagement | Nur berechtigte Personen, nur im nötigen Umfang | Rezertifizierung privilegierter Konten quartalsweise; Sperrung bei Austritt am selben Tag | Berechtigungsreport, Authentifizierungslogs, SIEM-Alarm bei Rechteausweitung |
| Änderungsmanagement | Keine ungenehmigte Änderung an produktiven Systemen | Freigabe im Ticket vor Deployment, Vier-Augen-Prinzip | Change-Tickets, Konfigurationsüberwachung (FIM), Abgleich geplanter gegen beobachtete Änderungen |
| IT-Betrieb | Verfügbarkeit, Integrität, Wiederanlauf | Tägliche Sicherung, jährlicher Restore-Test, Job-Überwachung | Backup-Protokolle, Restore-Nachweis, Verfügbarkeitskennzahlen |
| Programmentwicklung und Beschaffung | Neue Systeme erfüllen Anforderungen und sind sicher | Abnahmetest, Trennung Entwicklung/Produktion, Schwachstellenprüfung vor Go-live | Testprotokolle, Scan-Berichte, Freigabedokument |
| Schwachstellen- und Patch-Management | Bekannte Schwachstellen werden fristgerecht geschlossen | Kritische und aktiv ausgenutzte Schwachstellen innerhalb definierter Frist, Rest priorisiert | Lagebild, Patch-Status je System, Ausnahmen mit Begründung |
| Protokollierung und Überwachung | Sicherheitsrelevante Ereignisse werden erfasst, bewertet, aufbewahrt | Zentrale Log-Sammlung, Korrelation, Alarmierung, definierte Aufbewahrung | SIEM-Konfiguration, Alarmhistorie, Bearbeitungszeiten, Retention-Nachweis |
Drei Begriffe, die Prüfer verwenden und die man kennen muss:
- Präventiv, detektiv, korrektiv. Eine Firewall-Regel verhindert, ein SIEM-Alarm erkennt, ein Incident-Response-Plan behebt. Ein IKS braucht alle drei Arten – ein rein präventives System ist blind für das, was durchkommt.
- Design und operative Wirksamkeit. Eine Kontrolle kann richtig beschrieben sein (Design) und trotzdem nicht funktionieren (Wirksamkeit). Geprüft wird beides, Wirksamkeit über einen Zeitraum und anhand von Stichproben.
- Evidenz. Eine Kontrolle, die keinen Nachweis erzeugt, existiert für den Prüfer nicht. Logs, Tickets, Berichte und Freigaben sind das Kontrollsystem, nicht die Richtlinie, die sie fordert.
Wo SIEM, SOC und Schwachstellenlage im IKS stehen.
Ein Security Operations Center ist, in der Sprache des IKS, die Überwachungskomponente für die IT-Kontrollen – und zugleich eine detektive Kontrolle mit eigenem Nachweis.
| COSO-Komponente | Beitrag von NEOSEC | Erzeugter Nachweis |
|---|---|---|
| Risikobeurteilung | NEOSEC Intel liefert die laufende Schwachstellenlage, priorisiert nach tatsächlicher Ausnutzung; NEOSEC Radar die Außensicht auf die Angriffsfläche | Lagebericht mit Datum, Quellen und Bewertung je System |
| Kontrollaktivitäten | NEOSEC Sonar prüft Konfigurationen gegen CIS-Benchmarks und Compliance-Vorgaben – das ist der Designtest der technischen Kontrollen | Befundliste mit Abweichung, Risiko, Maßnahme, Frist |
| Information und Kommunikation | XIEM sammelt Protokolle zentral, korreliert und alarmiert; Berichte gehen an IT-Leitung und Geschäftsführung in verständlicher Form | Alarmhistorie, Monatsbericht, Meldedokumentation nach NIS2 |
| Überwachung | Das SOC bearbeitet Alarme, misst Erkennungs- und Reaktionszeiten und verfolgt offene Befunde bis zum Abschluss | MTTD/MTTR je Zeitraum, Ticket-Nachweis, Wirksamkeitsaussage für den Prüfer |
Was das in der Prüfung bedeutet: Der Abschlussprüfer oder der IKS-Prüfer nach IDW PS 982 fragt nach den Kontrollen über Zugriff, Änderung, Betrieb und Überwachung. Mit einem betriebenen SIEM lassen sich diese Fragen mit Daten beantworten statt mit Absichtserklärungen – und zwar für den gesamten Prüfungszeitraum, nicht nur für den Tag der Begehung.
Die fünf häufigsten Befunde.
- Kontrollen sind beschrieben, aber nicht belegt. Die Richtlinie verlangt Protokollierung, niemand kann zeigen, welche Systeme protokollieren und wie lange die Daten vorgehalten werden.
- Die Überwachungskomponente fehlt. Alarme laufen in ein Postfach, das niemand im Dienstplan hat. Formal existiert die Kontrolle, operativ ist sie unwirksam.
- Privilegierte Zugriffe ohne Rezertifizierung. Domänen-Administratoren aus drei Dienstleister-Generationen, Dienstkonten ohne Eigentümer.
- Dienstleister ohne Kontrollnachweis. Hosting, Managed Services oder Lohnbuchhaltung liegen außer Haus, ein ISAE-3402- oder SOC-2-Bericht liegt nicht vor. Die Kontrollen sind für das Unternehmen damit nicht existent.
- Risikobeurteilung ohne Aktualität. Das IT-Risikoinventar stammt aus dem Zertifizierungsjahr. Welche Schwachstellen aktuell ausgenutzt werden und ob das eigene Netz betroffen ist, weiß niemand.
Vorgehen: von der Bestandsaufnahme zum belegbaren System.
| Schritt | Inhalt | Ergebnis |
|---|---|---|
| 1 – Zielbild und Geltungsbereich | Welche Prozesse, Systeme und Standorte; welcher Prüfmaßstab (IDW PS 982, ISO 27001, NIS2) | Scope-Dokument, Verantwortlichkeiten nach Three Lines |
| 2 – Risikobeurteilung | IT-Risikoinventar, Schutzbedarf, Außensicht, Schwachstellenlage | Priorisiertes Risikoregister |
| 3 – Kontrollkatalog | ITGC und Anwendungskontrollen auf ISO 27001 Anhang A abbilden, Key Controls markieren | Risk-Control-Matrix |
| 4 – Designprüfung | Konfigurationen und Prozesse gegen den Katalog prüfen | Befundliste, Maßnahmenplan mit Fristen |
| 5 – Betrieb und Nachweis | Protokollierung, Überwachung, Alarmbearbeitung, Berichterstattung einrichten | Laufende Evidenz, Monatsbericht an die Leitung |
| 6 – Wirksamkeitsprüfung | Kontrolltests über den Zeitraum, Kennzahlen, Mängelverfolgung | Wirksamkeitsaussage, prüfungsfähige Dokumentation |
NEOSEC übernimmt die Schritte 2, 4 und 5 operativ und liefert für 6 die Daten. Schritt 1 und 3 erarbeiten wir mit Ihnen – wer die Kontrollen trägt, muss sie auch definiert haben.
Häufige Fragen.
- Braucht eine GmbH ein IKS?
Es gibt keine ausdrückliche gesetzliche Pflicht. § 43 GmbHG verlangt die Sorgfalt eines ordentlichen Geschäftsmanns, die GoBD verlangen Kontrollen über die IT-gestützte Buchführung, NIS2 verlangt von betroffenen Unternehmen Risikomanagementmaßnahmen mit persönlicher Verantwortung der Geschäftsleitung. In der Summe ist ein IKS für jede GmbH ab mittlerer Größe die einzige Möglichkeit, diese Pflichten nachweisbar zu erfüllen.
- Was unterscheidet IKS, RMS und ISMS?
Das IKS kontrolliert Prozesse und Berichterstattung, das RMS identifiziert und steuert Risiken, das ISMS organisiert Informationssicherheit. In der IT überlappen sie stark: Das ISMS liefert die Kontrollen, das RMS die Risikobewertung, das IKS die Überwachung und den Nachweis.
- Was sind ITGC?
IT General Controls – Kontrollen über Zugriff, Änderungen, Betrieb und Entwicklung der IT, die für alle Anwendungen gelten. Sie sind der Teil des IKS, den Abschlussprüfer zuerst prüfen, weil ohne sie keine Anwendungskontrolle verlässlich ist.
- ISAE 3402 oder SOC 2?
ISAE 3402 (in Deutschland IDW PS 951) bezieht sich auf Kontrollen, die für die Finanzberichterstattung des Kunden relevant sind. SOC 2 prüft gegen die Trust Services Criteria – Sicherheit, Verfügbarkeit und weitere. Für IT-Dienstleister ist SOC 2 Typ 2 der verbreitetere Nachweis; wer Buchhaltungs- oder Abrechnungsprozesse auslagert, braucht ISAE 3402.
- Reicht die ISO-27001-Zertifizierung als IKS-Nachweis?
Nein. Das Zertifikat bestätigt ein Managementsystem und eine Stichprobe von Kontrollen zu einem Zeitpunkt. Ein IKS-Prüfer will die operative Wirksamkeit über den Zeitraum sehen. Die Zertifizierung ist eine gute Basis für den Kontrollkatalog, nicht der Nachweis selbst.
- Was kostet ein unwirksames IKS?
Bei einem Sicherheitsvorfall die Differenz zwischen „wir haben Kontrollen eingerichtet und überwacht“ und „wir hatten eine Richtlinie“. Das ist die Grenze zwischen Unternehmensrisiko und persönlicher Haftung der Geschäftsleitung nach § 43 GmbHG, § 93 AktG oder § 38 BSIG.
Erstgespräch vereinbaren.
Wir sehen uns an, welche Kontrollen Sie heute nachweisen können, welche Sie nachweisen müssen und was zwischen beidem liegt. Eine Stunde, ein Ergebnisblatt, keine Verpflichtung.
Stand: Oktober 2026