Compliance-Audit-Checkliste für Dateiübertragungssysteme

Ein Compliance-Audit eines Dateiübertragungssystems überprüft 2026, ob die Bereitstellung tatsächlich die in Ihren Richtlinien behaupteten Kontrollen durchsetzt. Eine praxistaugliche Checkliste deckt acht Bereiche ab: Kryptographie (AES-256-GCM im Ruhezustand, TLS 1.3 in der Übertragung, Schlüssel-Lebenszyklus), Zugriffskontrolle (MFA, minimale Rechte, Sitzungs-Timeouts), Datenspeicherort (Server-Standorte, Unterauftragsverarbeiter), Protokollierung und Überwachung (aktionsbasierter Audit-Trail, SIEM-Einspeisung), Aufbewahrung und Löschung (Richtlinienabgleich, kryptographische Löschung), Drittanbieter-Due-Diligence (SOC 2, ISO 27001 des Anbieters), Incident Response (getestetes Runbook, 24–72-Stunden-Benachrichtigungsfähigkeit) und Nutzerschulung (jährliche Auffrischung, rollenbezogene Inhalte).

Warum dieses Audit sich von einem allgemeinen IT-Audit unterscheidet

Dateiübertragungssysteme sitzen an einer Grenze: innerhalb Ihrer Kontrolle beim Upload durch Mitarbeiter, außerhalb beim Download durch Empfänger. Ein allgemeines IT-Audit prüft möglicherweise Festplattenverschlüsselung und Firewallregeln. Ein Dateiübertragungs-Audit muss der Datei über die Grenze folgen. Authentifiziert sich der Empfänger? Ist der Download-Ort kontrolliert? Kann der Link weitergeleitet werden? Was passiert nach Ablauf? Das Audit ordnet sich zudem Vorschriften zu, die Dateiübertragung spezifisch adressieren: DSGVO Artikel 32 und 28, HIPAA 45 CFR 164.312(e) zur Übertragungssicherheit, PCI DSS Anforderung 4 und SOX Section 404 zu Audit-Trail-Anforderungen.

Kryptographie-Abschnitt der Checkliste

Verifizieren Sie, dass Dateien im Ruhezustand mit AES-256 in einem authentifizierten GCM- oder CBC-HMAC-Modus verschlüsselt sind. Verifizieren Sie, dass die Übertragung TLS 1.3 oder TLS 1.2 mit starken Chiffren verwendet (kein RC4, 3DES oder Export-Grade-Kryptographie). Prüfen Sie bei Ende-zu-Ende-verschlüsselten Diensten die Schlüsselableitung (PBKDF2 mit mindestens 600.000 Iterationen oder Argon2id mit kalibrierten Parametern) und bestätigen Sie, dass Schlüssel den Server niemals im Klartext erreichen. Prüfen Sie die Schlüsselrotationshäufigkeit für langlebige Schlüssel (90 Tage für Sitzungsschlüssel, jährlich für Master-Schlüssel in KMS-gestützten Systemen). Bestätigen Sie HSM- oder KMS-Nutzung für Master-Schlüssel über Audit-Log oder Anbieter-Attestierung. Fordern Sie den Kryptographie-Befunde-Abschnitt des letzten Penetrationstestberichts an.

Zugriffskontrolle und Authentifizierung

Prüfen Sie die verfügbaren Authentifizierungsmethoden. MFA sollte für Administrative- und Absender-Konten verpflichtend sein, mit TOTP, WebAuthn oder Push-Benachrichtigungen. SSO über SAML 2.0 oder OIDC sollte mit dem IdP der Organisation (Okta, Azure AD, Google Workspace) integrierbar sein. Sitzungs-Timeouts von 15–30 Minuten für inaktive Nutzer entsprechen der Standardpraxis. Für Empfänger: entweder passwortgeschützte Links, empfängerspezifische E-Mail-Verifizierung oder SSO-basierten Zugang. Gemeinsam geteilte Links ohne Zugriffskontrolle sind ein Befund. Prüfen Sie das Admin-Rollenmodell: Die Trennung zwischen System-Admin und Audit-Reviewer verhindert, dass dieselbe Person Logs verwaltet und manipulieren kann.

Datenspeicherort und Unterauftragsverarbeiter

Bestätigen Sie die dokumentierte Liste der Rechenzentren, deren Zertifizierungen (ISO 27001, SOC 2 Type II, SecNumCloud wo anwendbar) und die Länder, in denen sie betrieben werden. Verifizieren Sie, dass Backups in der erforderlichen Region verbleiben. Holen Sie die Unterauftragsverarbeiter-Liste ein und prüfen Sie die Compliance-Haltung jedes einzelnen. Ein auf AWS Irland gehosteter Anbieter mit einem US-amerikanischen CDN-Anbieter hat einen zu untersuchenden CDN-Unterauftragsverarbeiter. Testen Sie die Lokalisierungskontrollen, indem Sie eine Datei hochladen und Netzwerk-Traces mit einem Tool wie Wireshark oder Browser-DevTools inspizieren, um zu sehen, wo die Bytes tatsächlich hingehen. Abweichungen zwischen Marketing-Behauptungen und beobachtetem Verhalten sind Befunde.

Protokollierung, Überwachung und Alerting

Ziehen Sie eine 30-Tage-Stichprobe der Audit-Logs. Verifizieren Sie, dass jeder Upload, Download, jede Link-Erstellung, jedes Link-Ablaufen, jede Admin-Aktion und jede fehlgeschlagene Authentifizierung erscheinen. Prüfen Sie auf Hash-basierte Integrität der Log-Einträge. Bestätigen Sie, dass Logs in ein SIEM (Splunk, Sentinel, Elastic, Datadog) gestreamt oder per API exportiert werden können. Testen Sie die Abrufbarkeit: Bitten Sie den Admin, Logs für einen bestimmten Datumsbereich bereitzustellen und messen Sie die Antwortzeit. Überprüfen Sie Alerting-Regeln: Ungewöhnliche Download-Volumina, Zugriff aus neuen Regionen, Admin-Rechtänderungen und fehlgeschlagene MFA-Bursts sollten Alarme auslösen. Stille bei einer dieser Kategorien ist ein Befund. Verifizieren Sie, dass die Log-Aufbewahrung der längsten anwendbaren Regel entspricht (sechs Jahre HIPAA, sieben Jahre SOX, DSGVO-konform andernfalls).

Aufbewahrungs- und Löschkontrollen

Richtlinie und Praxis klaffen oft auseinander. Wenn die Richtlinie 7 Tage Aufbewahrung für allgemeine Übertragungen und 30 Tage für Projekträume vorsieht, verifizieren Sie, dass das Tool diese Voreinstellungen durchsetzt und nicht ohne Admin-Aktion überschrieben werden kann. Testen Sie Löschung, indem Sie eine Datei hochladen, den Ablauf abwarten und dann versuchen, sie abzurufen. Die Datei sollte ein 404 oder eine Ablauf-Seite zurückgeben. Fragen Sie nach den Löschmechanismen: Datei-Level-Löschung allein hinterlässt Backup-Kopien, während kryptographische Löschung durch Schlüsselzerstörung NIST SP 800-88 sofort erfüllt. Bestätigen Sie Legal-Hold-Funktionalität, indem Sie einen Hold-Antrag simulieren und verifizieren, dass Löschung pausiert.

Third-Party Due Diligence

Sammeln Sie den aktuellsten SOC-2-Type-II-Bericht des Anbieters, ISO-27001-Zertifikat, relevante Sektorzertifizierungen, eine Penetrationstest-Zusammenfassung und den Auftragsverarbeitungsvertrag. Der SOC-2-Bericht sollte mindestens die Security und Confidentiality Trust Services Criteria abdecken, bei datenschutzintensiver Nutzung auch Privacy. Prüfen Sie den Prüfernamen (PwC, Deloitte, EY, KPMG, Schellman, BDO und vergleichbare Firmen). Prüfen Sie, dass der Scope das Dateiübertragungsprodukt und nicht nur die Corporate-IT einschließt. Überprüfen Sie Ausnahmen und Management-Antworten. Ein SOC 2 mit mehreren ungelösten Ausnahmen im Auditierungszeitraum ist besorgniserregend. Prüfen Sie den Anbieter gegen die veröffentlichten Breach-Datenbanken der BSI oder des BSI-Pendants.

Incident Response und Business Continuity

Fordern Sie den Incident-Response-Plan an. Er sollte Rollen, Kontaktmethoden, Eskalationsstufen und Benachrichtigungsvorlagen benennen. Verifizieren Sie, dass innerhalb der letzten 12 Monate eine Tischübung oder Live-Übung stattgefunden hat und prüfen Sie den After-Action-Bericht. Bestätigen Sie die Breach-Benachrichtigungs-SLA im AVV: 24–72 Stunden sind für regulierte Kunden üblich und entsprechen der DSGVO-Anforderung aus Artikel 33. Testen Sie, indem Sie eine Sicherheitsfrage über den veröffentlichten Kanal senden und die Reaktionszeit messen. Prüfen Sie Business Continuity: Backup-Häufigkeit, RPO/RTO-Zusagen und getestetes Failover.

Den Audit abschließen

Wandeln Sie Befunde in priorisierte Maßnahmen um. Kritische Befunde (fehlende Verschlüsselung, kein AVV, kein Incident-Response-Plan) blockieren den weiteren Einsatz, bis sie behoben sind. Hohe Befunde (schwache Aufbewahrungskontrollen, unvollständige Protokollierung) erfordern Korrekturen innerhalb von 30–60 Tagen mit zwischenzeitlichen Ausgleichskontrollen. Mittlere und niedrige Befunde fließen in den nächsten Audit-Zyklus ein. Mindestens jährlich neu bewerten, häufiger in Umgebungen mit starken Veränderungen. Archivieren Sie den Audit-Bericht mit Belegen in einem manipulationssicheren Speicher für mindestens so lange, wie die längste anwendbare Aufbewahrungsregel vorschreibt.

HexaTransfer veröffentlicht seinen Verschlüsselungsansatz, EU-Hosting und Aufbewahrungsverhalten für Käufer, die vor der Nutzung prüfen möchten. Testen Sie es auf hexatransfer.com – kostenlos, kein Konto erforderlich, maximal 10 GB.

Ein Compliance-Audit geht nicht darum, Papierstapel zu erzeugen. Es geht darum zu prüfen, ob das Dateiübertragungssystem einer Untersuchung durch eine Aufsichtsbehörde oder einen Kunden standhalten würde. Gehen Sie jede Kontrolle durch, testen Sie sie gegen die Verordnung und sichern Sie Belege. Das Ergebnis ist entweder Zuversicht oder ein Sanierungsplan. Beides ist nützlich. Keines ist für regulierte Käufer in 2026 optional.