ISO-27001-Audit: Wie ein KI-Agent Nachweise das ganze Jahr automatisch sammelt

ISO-27001-Nachweise einsammeln, automatisiert

Es gibt diesen Moment im Audit, der jedes Mal gleich abläuft. Jemand sitzt am Tisch und fragt: Zeigen Sie mir, wer im letzten halben Jahr Zugriff auf das Kundensystem hatte. Dann die Schulungsnachweise der Mitarbeiter. Dann die Backup-Protokolle vom Mai. Drei Fragen, drei Belege, und für jeden muss ich an einer anderen Stelle suchen.

Für eine ISO-27001-Zertifizierung, also den Nachweis, dass ein Unternehmen seine Informationssicherheit im Griff hat, muss genau das jederzeit auffindbar sein. In der Praxis liegt es über mehr als ein Dutzend Systeme verteilt. Vor jedem Audit beginnt deshalb dieselbe Sammelei. Und für immer mehr Mittelständler ist die Zertifizierung keine Kür, sondern Voraussetzung, weil ihre Kunden sie schlicht verlangen.

Die Norm als Liste

Wenn man die Aufregung weglässt, ist die Norm im Kern eine lange Liste von Prüfpunkten. Jeder Punkt verlangt einen bestimmten Beleg. Wer hatte Zugriff. Wann wurde geschult. Liefen die Backups. Das ist im Grunde stumpfe Arbeit, und stumpfe Arbeit lässt sich abbilden.

Genau das macht die Sache für einen Agenten interessant. Eine abarbeitbare Liste, klar definierte Belege, Quellen, die man kennt. Es gibt wenig zu interpretieren und viel zu sammeln. Das ist die Art Aufgabe, bei der Automatisierung tatsächlich trägt und nicht nur nach Automatisierung aussieht.

Wo die Nachweise entstehen

Der Trick ist, den Beleg dort zu holen, wo er ohnehin anfällt, statt ihn am Ende mühsam zu rekonstruieren. Dafür muss der Agent an den Quellsystemen hängen: am Sicherheits-Managementsystem, am Ticketsystem, an Microsoft 365 oder Google Workspace, an der Geräteverwaltung und an der Cloud-Konsole.

Für den Prüfpunkt zur Zugriffsverwaltung zieht er die Berechtigungen aus Microsoft 365. Für die Schulungsnachweise greift er auf das System, in dem die Trainings dokumentiert sind. Die Backup-Protokolle vom Mai liest er aus der Cloud-Konsole. Jeder Punkt hat seine Quelle, und der Agent kennt die Zuordnung. Was vollständig vorliegt, hakt er ab.

Spannend wird es bei dem, was fehlt. Wo ein Beleg nicht da ist, schreibt der Agent den Verantwortlichen an, konkret und mit Bezug zum Punkt: Für den Prüfpunkt zur Protokollüberwachung fehlt noch der Nachweis für Mai. Keine Sammelmail an alle, sondern eine gezielte Nachfrage an die Person, die die Lücke schließen kann.

Vom Endspurt zur Dauerlast

Der eigentliche Gewinn ist eine Verschiebung im Zeitverlauf. Heute verdichtet sich die Arbeit auf die Wochen vor dem Termin. Da rennt der Sicherheitsverantwortliche durch die Systeme, fragt Kollegen, exportiert Listen und merkt zu spät, dass für März ein Protokoll fehlt, das längst überschrieben wurde.

Wenn der Agent die Liste kontinuierlich abarbeitet, läuft das Sammeln das ganze Jahr nebenher. Die Mappe füllt sich von selbst, Lücke um Lücke wird gemeldet, solange der Beleg noch existiert. Am Ende muss der Sicherheitsverantwortliche nur noch prüfen, was zusammengekommen ist. Der Endspurt entfällt, weil die Strecke schon vorher zurückgelegt wurde.

Was technisch dahintersteckt

Man sollte den Aufwand nicht größer reden, als er ist. Im Kern braucht es drei Dinge. Eine maschinenlesbare Fassung der Prüfpunkte mit der jeweiligen Quelle. Lesezugriff auf die Systeme, in denen die Belege liegen. Und eine Logik, die einen Punkt entweder als erledigt markiert oder eine Nachfrage auslöst.

Die Anbindung an die Quellsysteme ist die eigentliche Arbeit, und sie ist undankbar. Jede Schnittstelle tickt anders, Berechtigungen müssen sauber gesetzt sein, und der Agent sollte ausschließlich lesen dürfen. Das Sprachmodell selbst ist dabei der kleinere Teil. Es ordnet einen Beleg einem Punkt zu und formuliert die Nachfrage. Die Beurteilung, ob ein Nachweis im Sinne der Norm ausreicht, bleibt beim Menschen. Der Agent sammelt und sortiert, er zertifiziert nicht.

Diese Grenze ist wichtig. Ein Auditor will am Ende nachvollziehen können, woher ein Beleg stammt und ob er echt ist. Deshalb sollte der Agent nicht zusammenfassen oder umformulieren, sondern die Originaldokumente referenzieren. Nachvollziehbarkeit schlägt Eleganz, gerade hier.

Übertragbar auf anderes

Das Muster ist nicht auf ISO 27001 beschränkt. Überall, wo eine Prüfung gegen eine feste Liste läuft und die Belege über viele Systeme verstreut liegen, passt derselbe Ansatz. SOC 2, TISAX, branchenspezifische Audits, im Prinzip jede wiederkehrende Nachweispflicht. Die Norm wechselt, das Vorgehen bleibt.

Was bleibt, ist eine schlichte Einsicht: Eine Aufgabe, die sich als abhakbare Liste mit klaren Quellen beschreiben lässt, muss niemand mehr kurz vor knapp von Hand erledigen.