So bereiten Sie Kunden auf ein unangekündigtes Compliance-Audit vor (HIPAA, CMMC, SOC 2)

In stark regulierten Branchen sind unangekündigte Audits gängige Praxis. Sie sollen Compliance-Lücken verhindern, die durch einen passiven Umgang mit regulatorischen Vorgaben entstehen können. Solche Audits decken Mängel in der Dokumentation, uneinheitliche Richtlinien und Sicherheitsschwächen auf. Genau deshalb müssen Managed Services Provider (MSPs) Audit-Readiness fest in ihren Betriebsalltag integrieren und dürfen sie nicht als jährliche Checkliste abhaken. Das gilt besonders, wenn sie Frameworks wie HIPAA, SOC 2 und CMMC-Compliance für MSPs unterstützen. .
Mit einem proaktiven Plan für den Compliance-Betrieb können MSPs ihren Kund:innen helfen, deren CMMS-Anforderungen zu erfüllen, kontrollierte nicht klassifizierte Informationen (CUI) zu schützen und durchgehende Audit-Readiness sicherzustellen. Das ist, es versteht sich von selbst, besonders wichtig für MSPs, die Rüstungsauftragnehmer betreuen. Dort spielen CMMC-Anforderungen an Managed Services Provider und die Kontrollen nach NIST 800-171 eine zentrale Rolle.
Durch strukturierte Compliance-Überwachung und automatisierte Kontrollen können Verantwortliche in Unternehmen skalierbare CMMC-Compliance-Tools für MSPs bereitstellen und die Transparenz über mandantenfähige Umgebungen hinweg verbessern. In diesem Artikel führen wir Sie durch die Aufgaben, mit denen Sie Kund:innen auf ein unangekündigtes Compliance-Audit vorbereiten und Ihre Managed CMMC Compliance Services auditsicher aufstellen.

Lieber ein Video? Sehen Sie sich „So bereiten Sie Kunden auf ein unangekündigtes Compliance-Audit vor (HIPAA, CMMC, SOC 2)“ für weitere Informationen an.

Wenig Zeit? So bleiben MSPs CMMC-auditbereit

Die Vorbereitung auf Audits wie CMMC, HIPAA und SOC 2 erfordert mehr als manuelle Prozesse. MSPs brauchen Tools, die Compliance-Prüfungen automatisieren und durchgehende Transparenz über alle Kundenumgebungen hinweg schaffen.
Mit dem passenden RMM für CMMC können MSPs ihre Compliance-Überwachung zentralisieren und Audit-Readiness im großen Maßstab aufrechterhalten. Enterprise-taugliche Lösungen wie NinjaOne vereinen Endpunkt-Management, Automatisierung und Berichterstattung in einer einzigen Plattform. So liefern MSPs verlässliche, CMMC-konforme RMM-Funktionen und senken zugleich den Betriebsaufwand.

CMMC-Audit-Checkliste für MSPs

Mit dieser Checkliste prüfen Sie die Audit-Readiness in HIPAA-, SOC-2- und CMMC-Umgebungen im Handumdrehen.

Voraussetzungen für die Vorbereitung auf unangekündigte Compliance-Audits

Bevor MSPs ihre Kund:innen auf ein unangekündigtes Compliance-Audit vorbereiten, sollten sie Folgendes sicherstellen:

• Implementierung einer rollenbasierten Zugriffskontrolle nach dem Prinzip der Minimalprivilegien, einschließlich erzwungener MFA.
• Standardisierte Lösungen für Patch-Management, Antivirus/Endpunkt-Erkennung und Reaktion sowie Backup.
• Korrekte Konfiguration von Microsoft 365 oder hybriden Active-Directory-Umgebungen.
• Gepflegte Skripting-Möglichkeiten (Registry, Eingabeaufforderung und PowerShell).
• Einsatz eines zuverlässigen RMM-Tools (etwa NinjaOne), das Skripte verteilen, Richtlinien durchsetzen und Compliance-Nachweise sammeln kann.

Aufgabe 1: Geräte nach Compliance-Geltungsbereich inventarisieren

📌 Anwendungsfall:

Mit Tags für Geräte können MSPs Komponenten in RMM-Tools (etwa NinjaOne) filtern und schnell erkennen, welche Systeme in den Geltungsbereich von HIPAA, CMMC oder SOC 2 fallen. Das ist für die CMMC-Compliance von MSPs besonders wichtig, denn die betroffenen Systeme müssen klar abgegrenzt sein, um CUI zu schützen.

Außerdem unterstützt eine saubere Gerätekennzeichnung das mandantenfähige Compliance-Management und hilft Unternehmen, skalierbare Compliance-Lösungen für MSP-Kund:innen über Umgebungen hinweg bereitzustellen, ohne unterschiedliche regulatorische Anforderungen.

So erstellen Sie Compliance-Tags in der Registry:

1. Öffnen Sie PowerShell als Administrator. Drücken Sie die Windows-Taste, geben Sie PowerShell ein, klicken Sie dann mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.
2. Führen Sie die folgenden Befehle aus, ersetzen Sie dabei aber die Werte „True“ je nach Compliance-Kategorie des Endpunkts (HIPAA, CMMC, SOC 2) durch True oder False:

New-Item -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "HIPAA" -Value "True"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "CMMC" -Value "True"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "SOC2" -Value "True"

So überprüfen Sie Tags manuell:

1. Öffnen Sie die Eingabeaufforderung als Administrator. Drücken Sie die Windows-Taste + X und wählen Sie dann Eingabeaufforderung (Administrator) oder Windows Terminal (Administrator). Achten Sie bei Windows Terminal darauf, dass Sie sich in einer Registerkarte der Eingabeaufforderung befinden und nicht in PowerShell.
2. Führen Sie die folgenden Befehle aus:

reg query HKLM\SOFTWARE\Org\ComplianceTags

3. Alternativ öffnen Sie den Registrierungs-Editor. Drücken Sie die Windows-Taste + R. Geben Sie regedit ein und drücken Sie die Eingabetaste.
4. Navigieren Sie zu: HKEY_LOCAL_MACHINE\SOFTWARE\Org\ComplianceTags
5. Prüfen Sie, ob die erwarteten Werte der Compliance-Tags (z. B. Schlüssel oder Zeichenfolgeneinträge, die Ihr Unternehmen verwendet) vorhanden sind und mit den konfigurierten Richtlinien übereinstimmen. Fehlen sie oder sind sie falsch, wird das System bei einem Audit möglicherweise nicht als konform erkannt.

Aufgabe 2: Patch-, AV- und Verschlüsselungsstatus prüfen

📌 Anwendungsfall:

Diese Aufgabe stellt sicher, dass Systeme gepatcht sind, der Virenschutz aktiv ist und die Verschlüsselung durchgesetzt wird.

Diese Prüfungen decken sich mit den CMMC-Anforderungen an MSPs und den Kontrollen nach NIST 800-171. So sind Endpunkte bei Audits zuverlässig abgesichert und konform.

Schritte

1. Öffnen Sie PowerShell als Administrator. Drücken Sie die Windows-Taste, geben Sie PowerShell ein, klicken Sie dann mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.
2. Prüfen Sie den Patch-Status für Windows-Updates mit den folgenden Befehlen:

• • Die letzten 5 installierten Updates anzeigen:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

• • Auf fehlende Updates prüfen:

Get-WindowsUpdateLog

• • Oder, wenn das Modul PSWindowsUpdate installiert ist:

Get-WindowsUpdate -MicrosoftUpdate -AcceptAll

• • Patch-Status von Drittanbieter-Software prüfen:

Da Windows dafür keinen integrierten Befehl bietet, können Sie zentrale Patch-Management-Tools wie NinjaOne einsetzen. Sie können auch die Update-Protokolle der Anbieter prüfen, um zu bestätigen, dass die neuesten Versionen installiert sind. Viele Audit-Teams erwarten eine Dokumentation sowohl der Betriebssystem- als auch der Drittanbieter-Patches.

3. So prüfen Sie den AV-/Defender-Status:

Get-MpComputerStatus | Select AMServiceEnabled, AntivirusEnabled, RealTimeProtectionEnabled

4. So prüfen Sie die Verschlüsselung (BitLocker)

Get-BitLockerVolume | Select MountPoint, ProtectionStatus

5. Die Ergebnisse lassen sich bei Bedarf als CSV exportieren und an Tickets zur Audit-Vorbereitung anhängen.

Aufgabe 3: Richtlinien-Baselines durchsetzen

📌 Anwendungsfall:

Diese Aufgabe sorgt dafür, dass auf allen Systemen einheitliche Sicherheitsrichtlinien gelten, was Audits deutlich erleichtert. Über GPOs oder Skripte lassen sich Compliance-Konfigurationen durchsetzen, darunter Kontosperrungsrichtlinien, Kennwortlänge und -komplexität, Überwachung von Objektzugriffen und Anmeldeereignissen, Deaktivierung von Gastkonten und Aufbewahrung des Sicherheitsereignisprotokolls.

Die Prüfung der Protokolle ist ein zentraler Baustein der CMMC-Compliance für Rüstungsauftragnehmer, denn Prüfer:innen verlangen Nachweise für kontinuierliche Überwachung, Ereignisverfolgung und Protokollaufbewahrung.

Für in die Domäne eingebundene Systeme (per Gruppenrichtlinie):

1. Öffnen Sie die Gruppenrichtlinienverwaltungskonsole (GPMC).
2. Bearbeiten oder erstellen Sie ein GPO.
3. Navigieren Sie zu:
   • Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien
   • Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration
4. Konfigurieren Sie Kennwortrichtlinien, Kontosperrungen, den Bildschirmschoner (Erzwingen des Leerlauf-Timeouts) und die Überwachung.

Für eigenständige Systeme ohne Domäne (per lokaler Richtlinie oder Skript):

1. Drücken Sie Windows-Taste + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste, um den lokalen Gruppenrichtlinien-Editor zu öffnen.
2. Konfigurieren Sie dieselben Richtlinien lokal unter Sicherheitseinstellungen.
3. Steht keine Gruppenrichtlinie zur Verfügung (z. B. bei Windows-Home-Editionen), setzen Sie dieselben Baselines über Registry-Skripte durch.

Aufgabe 4: Protokolle, Aufbewahrung und Überwachungsrichtlinien prüfen

📌 Anwendungsfall:

Mit dieser Aufgabe prüfen Sie, ob Ereignisprotokolle erzeugt, aufbewahrt und nicht überschrieben werden. Mit dieser Aufgabe prüfen Sie, ob Ereignisprotokolle erzeugt, aufbewahrt und nicht überschrieben werden. Diese Prüfungen unterstützen die CMMC-Anforderungen an Managed Services Provider, insbesondere bei Zugriffskontrolle, Identitätsverwaltung und der Durchsetzung von Minimalprivilegien.

So prüfen Sie den Status des Sicherheitsprotokolls:

1. Öffnen Sie PowerShell als Administrator. Drücken Sie die Windows-Taste, geben Sie PowerShell ein, klicken Sie dann mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.
2. Führen Sie den folgenden Befehl aus:

Get-WinEvent -LogName Security -MaxEvents 5 | Format-List

Dieser Befehl fragt das Windows-Sicherheitsereignisprotokoll nach den 5 neuesten Ereignissen ab und gibt das Ergebnis als Liste in der Konsole (am Bildschirm) aus. Die Zahl „5“ dient nur als Beispiel und lässt sich an die gewünschte Anzahl von Ereignissen anpassen.

Die Ausführung dieses Befehls bestätigt, dass neue Ereignisse aktiv erzeugt und im Sicherheitsprotokoll erfasst werden. Bei einem Audit belegen Sie damit, dass die Protokollerfassung korrekt funktioniert und keine Protokolle fehlen oder überschrieben werden.

So prüfen Sie die Aufbewahrungsrichtlinie für Protokolle:

1. Öffnen Sie die Eingabeaufforderung als Administrator. Drücken Sie die Windows-Taste + X und wählen Sie dann Eingabeaufforderung (Administrator).
2. Führen Sie den folgenden Befehl aus:

wevtutil gl Security | findstr „retention“

Dieser Befehl zeigt den Aufbewahrungsstatus des Windows-Sicherheitsereignisprotokolls an:

• retention: false bedeutet, dass das Windows-Sicherheitsereignisprotokoll bei vollem Speicher von den neuesten Ereignissen überschrieben wird.
• retention: true bedeutet, dass das Protokoll vor dem Überschreiben automatisiert archiviert wird.

Aufgabe 5: Zugriffskontrolle und Benutzernachverfolgung überprüfen

📌 Anwendungsfall:

Diese Aufgabe hilft MSPs, Benutzerkonten, privilegierten Zugriff und RDP-Berechtigungen zu dokumentieren. Nachweisbare Zugriffsüberprüfungen erfüllen die Audit-Anforderungen an die Konto-Governance.

Eine automatisierte Backup-Prüfung unterstützt zudem die Compliance-Berichterstattung für MSPs und liefert die bei CMMC- und SOC-2-Audits geforderten belastbaren Nachweise.

So prüfen Sie lokale Benutzerkonten:

1. Öffnen Sie die Eingabeaufforderung als Administrator. Drücken Sie die Windows-Taste + X und wählen Sie dann Eingabeaufforderung (Administrator).
2. Führen Sie den folgenden Befehl aus: net user <username>

Dieser Befehl zeigt detaillierte Informationen zum angegebenen Konto an, darunter:

• Benutzername und vollständiger Name
• Ob das Konto aktiv ist
• Kennwortanforderungen (Ablauf, letzte Festlegung, erforderliche Änderung)
• Gruppenmitgliedschaften
• Profilpfad und Basisverzeichnis
• Zulässige Anmeldezeiten

So listen Sie AD-Benutzer:innen mit erweiterten Rechten auf:

1. Öffnen Sie PowerShell als Administrator. Drücken Sie die Windows-Taste, geben Sie PowerShell ein, klicken Sie dann mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.
2. Führen Sie den folgenden Befehl aus:

Get-ADGroupMember -Identity "Domain Admins"

Dieser Befehl ruft alle Mitglieder der Gruppe „Domain Admins“ in Active Directory ab, zu der in der Regel die Konten mit den weitreichendsten Berechtigungen gehören. Eine Durchsicht dieser Liste bestätigt, dass nur autorisierte Benutzer:innen erweiterte Rechte besitzen.

Get-LocalGroupMember -Group "Remote Desktop Users"

Dieser Befehl zeigt alle Konten an, die auf dem lokalen Rechner zur Gruppe „Remotedesktopbenutzer“ gehören. Alle Mitglieder dieser Gruppe können sich per Remote Desktop Protocol (RDP) aus der Ferne am System anmelden. Prüfer:innen sehen sich diese Liste häufig an, um sicherzustellen, dass nur freigegebene Benutzer:innen Fernzugriff haben, denn zu weitreichende oder nicht überwachte RDP-Berechtigungen schaffen Compliance- und Sicherheitsrisiken.

Aufgabe 6: Nachweise für Backup und Wiederherstellung dokumentieren

📌 Anwendungsfall:

Mit dieser Aufgabe lässt sich das letzte erfolgreiche Backup in der Registry hinterlegen, damit das RMM es automatisiert auslesen kann. Prüfer:innen erhalten so belastbare Nachweise, dass Backup- und Wiederherstellungsverfahren durchgesetzt und überwacht werden.

So prüfen Sie, ob ein Eintrag mit dem Zeitstempel des letzten erfolgreichen Backups in der Registry erstellt oder aktualisiert wird:

1. Öffnen Sie PowerShell als Administrator. Drücken Sie die Windows-Taste, geben Sie PowerShell ein, klicken Sie dann mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.
2. Führen Sie den folgenden Befehl aus:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceBackup" -Name "LastSuccessfulBackup" -Value (Get-Date).ToString(„u“)

Dieser Befehl erstellt oder aktualisiert einen benutzerdefinierten Registry-Schlüssel (ComplianceBackup) unter dem HKEY_LOCAL_MACHINE Schlüssel. Der Wert LastSuccessfulBackup wird auf das aktuelle Datum und die aktuelle Uhrzeit im universellen Format gesetzt.

3. Binden Sie das in Ihr RMM-System ein:
   • In den meisten RMMs lassen sich benutzerdefinierte Felder oder Regeln für Registry-Scans definieren.
   • Konfigurieren Sie Ihr RMM so, dass es den Wert von HKLM:\SOFTWARE\Org\ComplianceBackup\LastSuccessfulBackup ausliest.
   • So kann das RMM automatisiert nachverfolgen, wann das letzte erfolgreiche Backup lief, und Berichte mit Compliance-Nachweisen erzeugen.

So prüfen Sie, ob der Zeitstempel des letzten erfolgreichen Backups in der Registry erfasst wurde.

1. Öffnen Sie den Registrierungs-Editor. Drücken Sie die Windows-Taste + R. Geben Sie regedit ein und drücken Sie die Eingabetaste.
2. Navigieren Sie zu: HKEY_LOCAL_MACHINE\SOFTWARE\Org\ComplianceBackup
3. Vergewissern Sie sich, dass der Wert LastSuccessfulBackup den korrekten Zeitstempel anzeigt.

Neben der Nachverfolgung über die Registry können RMM-Plattformen wie NinjaOne detaillierte Backup-Berichte automatisiert erzeugen. Über Richtlinien legen Sie außerdem Aufbewahrungsfristen für Backups fest, um Vorgaben wie HIPAA, CMMC oder SOC 2 einzuhalten.

⚠️ Fehlerbehebung/Worauf Sie achten sollten

Weitere Überlegungen zur Vorbereitung auf unangekündigte Compliance-Audits

Über die üblichen Prüfpunkte hinaus empfehlen wir diese Best Practices, um die Einhaltung verschiedener Vorgaben sicherzustellen. Besonders wichtig sind sie für MSPs, die Managed CMMC Compliance Services anbieten und Kund:innen in regulierten Branchen wie Verteidigung und öffentliche Auftragsvergabe betreuen.

• DLP-Richtlinien: Gehen Sie über das bloße Aktivieren der Verhinderung von Datenverlust (DLP) in Microsoft 365 oder auf Endpunkten hinaus. Bei einem Audit kann verlangt werden, dass Sie darlegen, wie Sie den Abfluss sensibler Daten verhindern und wie Regeln zur Datenaufbewahrung und -archivierung durchgesetzt werden. Seien Sie darauf vorbereitet zu zeigen, dass Ihre Backup-Systeme die geforderten Aufbewahrungsfristen (für HIPAA, CMMC oder SOC 2) einhalten und archivierte Daten für die Prüfung zugänglich sind.

RMM-Lösungen wie NinjaOne vereinfachen diesen Schritt, indem sie detaillierte Berichte zu Backup-Status, Aufbewahrungseinstellungen und Endpunkt-Compliance erzeugen. Prüfer:innen erhalten damit klare Belege dafür, dass Ihr Unternehmen Daten ordnungsgemäß schützt und aufbewahrt.

• MFA-Audit: Stellen Sie sicher, dass alle Administrator- und Endbenutzerkonten MFA nutzen. Das ist eine zentrale Anforderung in MSP-Umgebungen nach CMMC Level 2..
• Offboarding: Bestätigen Sie, dass Protokolle über deaktivierte Konten und zurückgegebene Assets vorliegen.
• Nachverfolgung von Anbieterrisiken: Führen Sie eine aktuelle Liste aller Drittanbieterdienste mit Datenzugriff. Für MSPs, die CUI im Rahmen der CMMC-Compliance für MSPs verarbeiten, ist das eine wichtige Anforderung..
• Bereitschaft zur Reaktion auf Vorfälle: Seien Sie darauf vorbereitet, Ihr Vorgehen bei einem kompromittierten Endpunkt zu erläutern, einschließlich Isolierung, Neuaufsetzen und Meldeverfahren.
• Ergebnisse von Schwachstellen-Scans: Halten Sie aktuelle Berichte zu Schwachstellen-Scans für jeden Endpunkt bereit, um proaktives Risikomanagement zu belegen.
• Geräteinventar: Pflegen Sie ein vollständiges, korrektes Inventar aller Geräte, die auf Unternehmensdaten zugreifen.

Mehr darüber, was NinjaOne leisten kann, erfahren Sie in unseren FAQ zu unserer RMM-Lösung.

NinjaOne-Services für die Audit-Readiness bei Compliance-Prüfungen

NinjaOne und seine Tools unterstützen Sie dabei, Kund:innen auf ein unangekündigtes Compliance-Audit vorzubereiten. Diese Funktionen machen NinjaOne zur starken Wahl für MSPs, die ein RMM für CMMC oder ein CMMC-konformes RMM mit automatisierten Compliance-Kontrollen und zentraler Transparenz suchen.

• Endpoint Management: Endpunkte nach Compliance-Geltungsbereich kennzeichnen (HIPAA, CMMC, SOC 2).
• Skripting: NinjaOne bietet integrierte Transparenz über AV-Status, Patching und Backups. Für speziellere Compliance-Anforderungen können Sie mit Skripten regelmäßige Prüfungen durchführen, etwa zum Verschlüsselungsstatus, zu bestimmten Software-as-a-Service-Daten und mehr.
• Alarmierung: Alarmierungen bei Lücken in der Compliance-Abdeckung oder Problemen mit Agents.
• Berichterstattung: Berichte vor Audits und für vierteljährliche Geschäftsüberprüfungen (QBR) für den internen Gebrauch und für Kund:innen erzeugen.

Fazit zur Vorbereitung auf unangekündigte Compliance-Audits

Audit-Readiness ist eine gemeinsame Aufgabe von MSPs und Kund:innen und stellt sicher, dass die verwaltete IT-Umgebung den Branchenvorgaben entspricht. Vor allem MSPs können mit Maßnahmen wie Gerätekennzeichnung, regelmäßigen Prüfskripten, Richtliniendurchsetzung, Protokollaufbewahrung, Benutzernachverfolgung und Backup-Dokumentation ihre Kund:innen auf unangekündigte Compliance-Audits vorbereiten.

Idealerweise kombinieren Sie diese Maßnahmen mit einer leistungsfähigen IT-Lösung wie NinjaOne. Als umfassendes Tool für das Endpunkt-Management unterstützt NinjaOne skalierbare Audit-Readiness über alle Mandanten hinweg. So sind Ihre Kund:innen vorbereitet, falls unabhängige Prüfer:innen oder Aufsichtsbehörden eine unangekündigte Compliance-Prüfung durchführen.

Verwandte Themen:

• HIPAA-Compliance: Alles, was Sie wissen müssen
• Was ist SOC-Compliance? Eine Übersicht für Unternehmen
• Was ist CMMC? Übersicht und Definition
• Was ist ein Compliance-Audit? Definition und Bedeutung
• Was ist ein Compliance-Audit? Definition und Bedeutung