Die Nachweis-Steuer: Warum Audits Wochen kosten - und ein KI-Mitarbeiter Belege laufend sammelt

Jedes Audit beginnt gleich. Ein Prüfer schickt eine Nachweisanforderungsliste, und ein Compliance-Verantwortlicher öffnet eine Tabelle mit zweihundert Zeilen. Jede Zeile ist ein Beleg, der gefunden werden muss: ein Screenshot einer Einstellung von vor drei Monaten, eine Zugriffsüberprüfung, die in einem Teams-Thread stattfand, eine Freigabe, die in irgendjemandes Posteingang liegt, ein Log-Export, eine unterzeichnete Richtlinie. Nichts davon ist schwer. Alles davon ist irgendwo. Und für die nächsten Wochen besteht die Aufgabe darin, es zu holen, Element für Element.

Das ist die Nachweis-Steuer. Sie ist der wiederkehrende Preis dafür, Belege neu zusammenzusetzen, die längst existieren, aber nie im Moment ihrer Entstehung gesammelt, datiert und abgelegt wurden. Die Kontrollen liefen das ganze Jahr. Der Beleg, dass sie liefen, muss jedes Mal von Grund auf neu erstellt werden, wenn ein Prüfer fragt. Die Zahlen zeigen, wie hoch diese Steuer ist: 54 Prozent der Organisationen wenden mehr als fünf Stunden pro Woche für manuelle Compliance-Aufgaben auf, 92 Prozent ziehen Audit-Nachweise aus drei oder mehr Tools, und nur 39 Prozent dieser Nachweissammlung ist automatisiert¹³.

Dieser Beitrag richtet sich an Compliance-Leiter, CISO oder Geschäftsführer, die zugesehen haben, wie ein SOC-2-, ISO-27001- oder DSGVO-Audit ein Quartal des Teamkalenders verschlungen hat. Das Argument ist einfach: Nachweissammlung ist Routinearbeit, und Routinearbeit ist genau das, was ein KI-Mitarbeiter, der in Ihren echten Systemen verankert ist, laufend erledigen sollte, sodass ein Audit zur Abfrage wird statt zum Feuerwehreinsatz.

Die Nachweis-Steuer

Compliance-Frameworks lassen Unternehmen nicht daran scheitern, ob Kontrollen existieren. Sie lassen Unternehmen daran scheitern, ob das Unternehmen belegen kann, dass die Kontrollen wirksam waren. Dieser Beleg ist der Audit-Nachweis, und der Preis, ihn auf Anfrage immer wieder zu produzieren, ist die Steuer, um die es in diesem Beitrag geht.

• Die meisten Unternehmen würden heute nicht bestehen - 71 Prozent geben zu, dass ihr Compliance-Programm Lücken hat, und nur 29 Prozent sagen, es erfülle interne und externe Standards durchgängig¹.
• Die Arbeit ist manuell und ständig - 54 Prozent der Organisationen wenden mehr als fünf Stunden pro Woche für manuelle Compliance-Aufgaben auf, 14 Prozent mehr als zehn³.
• Nachweise sind verstreut - 92 Prozent der Teams stützen sich auf drei oder mehr Tools, um Audit-Nachweise zu sammeln, manche nutzen mehr als fünfzehn¹.
• Fast nichts ist automatisiert - nur 39 Prozent der Nachweissammlung laufen ohne einen Menschen, der zieht und ablegt¹.
• Unter Termindruck ist sie fehleranfällig - 62 Prozent der Teams sagen, ihre Nachweissammlung sei zumindest gelegentlich fehleranfällig, was in Nacharbeit und Prüfer-Rückfragen mündet¹.
• Die regulatorische Last wächst weiter - 96 Prozent finden es herausfordernd, mit wachsenden Vorschriften Schritt zu halten, sodass dasselbe Team jedes Jahr mehr Frameworks abdeckt¹.
• Ein halbes Compliance-Berufsleben geht dafür drauf - die Hälfte der Compliance-Fachleute verbringt 30 bis 50 Prozent ihrer Zeit mit manueller, repetitiver Arbeit, meist Nachweissammlung und Audit-Vorbereitung³.

Die Steuer ist nicht das Prüferhonorar. Sie ist die interne Arbeit rund um das Audit: das Suchen, das Nachfassen, das Prüfen von Versionen, der Stress in letzter Minute, wenn ein Element nicht auffindbar ist. Und weil sie sich bei jedem Framework und jedem Zyklus wiederholt, summiert sie sich.

Was Prüfer wirklich verlangen

Um zu verstehen, warum die Sammlung so schwer wiegt, lohnt ein Blick auf eine echte Nachweisanforderungsliste. Prüfer fragen nicht nach Meinungen. Sie fragen nach Artefakten, jedes an eine bestimmte Kontrolle und ein bestimmtes Zeitfenster gebunden, jedes in einem anderen System⁵.

• Zugriffsüberprüfungen - Beleg, dass jemand in diesem Quartal geprüft hat, wer Zugriff auf ein System hat, meist ein signierter Export aus dem Identity-Provider oder ein Ticket mit dem Namen eines Freigebers.
• Konfigurations-Screenshots - ein Bild, das zeigt, dass MFA erzwungen ist, dass Verschlüsselung aktiv ist, dass Protokollierung läuft, aufgenommen an einem Datum, dem der Prüfer trauen kann.
• Change-Freigaben - die Ticket-Kette, die zeigt, dass eine Code- oder Infrastrukturänderung geprüft und freigegeben wurde, bevor sie live ging.
• Offboarding-Nachweise - Beleg, dass der Zugriff eines Ausscheidenden innerhalb der Richtlinienfrist entzogen wurde, aus HR- und Identity-Systemen zusammen.
• Backup- und Recovery-Protokolle - Exporte, die zeigen, dass Backups liefen und eine Wiederherstellung getestet wurde, mit Zeitstempeln.
• Richtlinien-Freigaben - Aufzeichnungen, dass Mitarbeiter die Sicherheitsrichtlinie gelesen und akzeptiert haben und dass die Führung die aktuelle Fassung freigegeben hat.
• Schulungsabschlüsse - ein Bericht, der zeigt, dass Mitarbeiter die Security-Awareness- oder DSGVO-Schulung abgeschlossen haben, mit Namen und Datum.
• Lieferanten- und AVV-Unterlagen - unterzeichnete Auftragsverarbeitungsverträge und Lieferanten-Risikobewertungen für Dritte, die personenbezogene Daten berühren.
• Vorfall-Aufzeichnungen - die Ticket-Historie eines Vorfalls, die Erkennung, Reaktion und Abschluss innerhalb der Richtlinienfristen zeigt.

Ein einzelnes mittelständisches SOC-2- oder ISO-27001-Audit kann weit über hundert solcher Elemente umfassen, und die Zahl steigt mit jedem zusätzlichen Framework. So verteilen sich die gängigen Frameworks auf das, was sie verlangen.

Warum sich dieselbe Arbeit bei jedem Audit wiederholt

Die naheliegende Frage ist, warum Teams die Nachweise nicht einfach aufbewahren, wenn sie sie einmal gesammelt haben. Sie versuchen es. Der Grund, warum es nie hält, ist, dass Audit-Nachweise eine kurze Haltbarkeit und eine verstreute Quelle haben und die meisten Teams mit Werkzeugen arbeiten, die nicht dafür gebaut sind, den Beleg im Moment seiner Entstehung zu erfassen.

Nachweise verfallen

• Punktueller Beleg wird alt - ein Screenshot einer Einstellung gilt nur für den Moment der Aufnahme. Das nächste Audit braucht einen frischen, weil der Prüfer diesen Zeitraum testet, nicht den letztjährigen.
• Beobachtungsfenster verschieben sich - ein SOC-2-Typ-2 testet ein Fenster von 6 bis 12 Monaten, also muss der Beleg den neuen Zeitraum abdecken, nicht den alten⁶.
• Wiederkehrende Kontrollen kehren wieder - vierteljährliche Zugriffsüberprüfungen und jährliche Richtlinien-Freigaben erzeugen in jedem Zyklus neuen Beleg, den jemand erneut sammeln muss.

Quellen sind verstreut und menschlich

• Der Beleg liegt in vielen Systemen - Identity, Cloud, HR, Ticketing, E-Mail und Chat, weshalb 92 Prozent der Teams drei oder mehr Tools berühren, um ihn zusammenzusetzen¹.
• Mancher Nachweis ist ein Gespräch - eine Freigabe in einem Teams-Thread oder einer E-Mail ist echter Beleg, wird aber nirgends als Beleg gespeichert.
• Wissen geht zur Tür hinaus - die Person, die wusste, wo der AVV für einen bestimmten Lieferanten lag, ist gegangen, und das nächste Audit beginnt damit, ihn neu zu entdecken.

Die Werkzeuge erfassen spät, nicht früh

Die meisten Compliance-Plattformen sind hervorragend darin, zu verfolgen, welche Kontrollen existieren, und Nachweise zu speichern, sobald sie hochgeladen sind. Die Lücke liegt davor: den Nachweis überhaupt in die Plattform zu bekommen. Dieser Schritt ist weiterhin überwiegend manuell, weil der Beleg in Systemen entsteht, die die Plattform nicht erreicht, oder in Entscheidungen, die kein Konnektor auslesen kann.

Vom Feuerwehreinsatz zur laufenden Sammlung

Die Lösung ist keine größere Tabelle und kein längerer Sprint vor dem Audit. Sie besteht darin, die Sammlung in den Moment der Entstehung zu verlagern, sodass die Nachweisakte immer aktuell ist. Der Fachbegriff für die Monitoring-Hälfte davon ist Continuous Controls Monitoring, und Analysten erwarten, dass KI den Großteil davon übernimmt.

• Continuous Controls Monitoring, definiert - Gartner beschreibt es als Technologie, die die Audit-Kosten senkt, indem sie Kontrollen in finanziellen und anderen transaktionalen Anwendungen laufend prüft, in Echtzeit oder nahezu in Echtzeit¹¹.
• Der Markt bewegt sich dorthin - Gartner erwartet, dass bis 2028 65 Prozent der Organisationen Compliance-Automatisierung in ihre DevOps-Abläufe integriert haben und die Durchlaufzeit um mindestens 25 Prozent verbessern¹⁰.
• KI übernimmt die Schwerarbeit - Gartner erwartet zudem, dass 75 Prozent der kontinuierlichen Compliance-Automatisierung KI nutzen, um zu prüfen, zu berichten, zu validieren und nachzubessern¹⁰.
• Der Nachweis selbst wird automatisch - laufendes Monitoring testet und verifiziert die Wirksamkeit von Kontrollen fortlaufend, sodass der Beleg als Nebenprodukt entsteht statt rekonstruiert zu werden¹¹.

Laufendes Monitoring beantwortet „funktioniert die Kontrolle gerade jetzt?“ Ein Audit braucht aber mehr als ein Live-Dashboard. Es braucht den abgelegten, datierten, abrufbaren Beleg, dass die Kontrolle über den gesamten Zeitraum wirksam war. Das ist der Teil, den ein KI-Mitarbeiter hinzufügt: Er beobachtet die Kontrolle nicht nur, er sammelt und archiviert den Beleg, dass sie gehalten hat.

Wie ein KI-Mitarbeiter Belege sammelt

Ein KI-Mitarbeiter ist kein Chatbot, der Compliance-Fragen beantwortet. Er ist ein System mit Ihrem Unternehmenswissen, das in Ihren echten Systemen lebt und die konkrete Routinearbeit übernimmt, in diesem Fall das Sammeln und Ablegen von Nachweisen. So sieht das über einen Kontroll-Lebenszyklus hinweg konkret aus.

1. Kontrollen den Quellen zuordnen - für jede Kontrolle im Framework hält er fest, welche Systeme den Beleg erzeugen: diese Zugriffsüberprüfung aus Entra, jene Change-Freigabe aus Jira, jener Schulungsnachweis aus dem LMS.
2. Nach Zeitplan sammeln - er erfasst den Beleg, wenn das Ereignis eintritt oder im Takt der Kontrolle: vierteljährliche Zugriffsüberprüfungen am Tag ihres Abschlusses, Konfigurations-Snapshots monatlich, Richtlinien-Freigaben, sobald eine neue Fassung erscheint.
3. Mit Zeitstempel versehen und ablegen - jedes Element wird datiert und der passenden Kontrolle in Ihrer Nachweisablage zugeordnet, sodass die Akte immer aktuell ist statt neu aufgebaut zu werden.
4. Auch den menschlichen Beleg lesen - er erkennt eine Freigabe in einer E-Mail oder einem Teams-Thread und erfasst sie als Beleg und schließt so die Lücke, die reine Konnektor-Tools offenlassen.
5. Die Lücken nachfassen - fehlt ein geplantes Element, schreibt er den Verantwortlichen an, statt das Loch erst während des Audits auftauchen zu lassen.
6. Ermessen an einen Menschen leiten - eine Ausnahme, eine ungewöhnliche Freigabe oder eine Kontrolle, die nicht mehr zum Prozess passt, geht an den Compliance-Verantwortlichen, nicht ungeprüft in die Akte.
7. Rückfragen beantworten - fragt ein Prüfer mitten im Audit nach, ruft er das konkrete Element samt Kontext ab und entwirft die Antwort für einen Menschen zum Absenden.

Was er gut sammelt und was er Menschen überlässt

Wie das über Frameworks hinweg aussieht

Das stärkste Argument für laufende Nachweissammlung ist, dass eine Nachweisschicht viele Frameworks bedient. Der Beleg für eine Zugriffskontroll-Anforderung ist derselbe, egal ob der Prüfer SOC 2, ISO 27001 oder TISAX prüft. Einmal sammeln, mehreren Kontrollen zuordnen, und die Grenzkosten jedes weiteren Frameworks sinken.

Die deutschen und EU-Frameworks, die sich Nachweise teilen

• DSGVO-Rechenschaftspflicht - Artikel 5 verlangt, dass Sie die Einhaltung nachweisen, nicht nur erreichen, sodass Verarbeitungsverzeichnisse, AVV und Löschprotokolle auf Anfrage vorlegbar sein müssen. Laufende Sammlung ist der praktische Weg, dieser Pflicht nachzukommen.
• GoBD - revisionssichere Archivierung und Verfahrensdokumentation für steuerrelevante Daten überschneiden sich stark mit dem allgemeinen Dokumenten- und Change-Beleg, den Sie ohnehin erfassen.
• ISO 27001 - Annex-A-Kontrollen, Risikobehandlungs-Aufzeichnungen und Management-Reviews nutzen denselben Identity-, Ticketing- und Richtlinienbeleg wie SOC 2.
• TISAX - die Automobil-Bewertung stützt sich auf denselben Informationssicherheits-Beleg, sodass Lieferanten mit ISO-27001-Sammlung das meiste davon bereits haben.
• EU-KI-Verordnung und ISO 42001 - beide verlangen strukturierten, fortlaufenden Beleg der KI-Governance. ISO 42001 liefert ein auditierbares KI-Managementsystem, und die 2025 veröffentlichte ISO 42006 legt Regeln für die zertifizierenden Stellen fest¹⁸²⁰.

Die Zeitachsen schärfen das Argument. Ein SOC-2-Typ-2 erstreckt sich über 9 bis 18 Monate, darunter 3 bis 6 Monate Vorbereitung, und eine ISO-27001-Zertifizierung dauert meist 6 bis 12 Monate, mit vorhandener Nachweis-Infrastruktur 4 bis 6 Monate⁶⁸. Laufende Sammlung ist genau diese Infrastruktur.

Ein 60-Tage-Rollout zu laufenden Nachweisen

Sie kochen nicht den Ozean. Sie nehmen die zehn Kontrollen, die den schlimmsten Stress verursachen, verdrahten einen KI-Mitarbeiter mit den Systemen, die deren Nachweise halten, und lassen ihn einen Zyklus lang parallel zu Ihrem aktuellen Prozess laufen, bevor Sie ihm vertrauen. So sieht ein fokussierter 60-Tage-Rollout aus.

Phase 1: Kartieren und verbinden (Wochen 1-3)

1. Woche 1: Framework und die zehn Kontrollen wählen - beginnen Sie mit dem Audit, das Sie am besten kennen, und den Kontrollen, die immer spät dran sind. Versuchen Sie nicht, alles auf einmal abzudecken.
2. Woche 2: Jede Kontrolle ihrem Quellsystem zuordnen - benennen Sie genau, wo jeder Beleg entsteht: Identity, Cloud, HR, Ticketing, LMS, E-Mail.
3. Woche 3: Im Nur-Lese-Modus verbinden - geben Sie dem KI-Mitarbeiter Lesezugriff auf diese Systeme, mit einer expliziten Liste, was er sammeln darf und wo ein Mensch freigeben muss.

Phase 2: Parallel sammeln (Wochen 4-8)

4. Woche 4-5: Sammlung neben dem Team laufen lassen - die KI sammelt die zehn Kontrollen, während Ihr Team es noch auf die alte Weise tut. Nichts hängt bisher von der KI ab.
5. Woche 6: Vergleichen und abgleichen - prüfen Sie, was die KI gesammelt hat, gegen das, was Ihr Team von Hand gezogen hat. Korrigieren Sie die Zuordnungen, wo sie abweichen.
6. Woche 7: Die menschlichen Nachweisfälle ergänzen - richten Sie sie auf die Freigaben aus, die in E-Mail und Teams liegen, die reine Konnektor-Tools verpassen.
7. Woche 8: Lücken-Nachfassen einschalten - lassen Sie sie Verantwortliche nach fehlenden Elementen anschreiben und Ausnahmen an den Compliance-Leiter leiten.

Phase 3: Übergeben und erweitern (Wochen 9-12)

9. Woche 9-10: Zur führenden Quelle machen - die KI-gesammelte Akte wird die primäre Nachweismenge für diese zehn Kontrollen, wobei Ihr Team prüft statt sammelt.
10. Woche 11: Eine Prüfer-Rückfrage üben - stellen Sie eine schwierige Frage und messen Sie, wie schnell die Akte sie beantwortet. Das ist der Moment der Auszahlung.
11. Woche 12: Kontrolle für Kontrolle erweitern - fügen Sie die nächste Menge hinzu, dann das nächste Framework, das sich denselben Beleg teilt.

Wie Superkind passt

Superkind baut KI-Mitarbeiter, die in den Systemen leben, die Ihr Unternehmen ohnehin nutzt, und konkrete Routinearbeit übernehmen. Nachweissammlung ist genau diese Art Arbeit: routinemäßig, mengenstark, termingetrieben und über jedes Ihrer Werkzeuge verstreut. Der Ansatz ist prozessorientiert, sodass der Ausgangspunkt Ihre tatsächlichen Kontrollen und der Entstehungsort ihres Belegs sind, nicht eine generische Vorlage.

• Verbunden mit Ihren echten Systemen - eine Schicht über E-Mail, Teams, SharePoint, CRM, ERP, Identity und Ticketing, also genau dort, wo Audit-Nachweise entstehen.
• Liest den menschlichen Beleg - er erfasst Freigaben und Unterschriften, die in E-Mail und Chat liegen, und schließt die Lücke, die reine Konnektor-Tools offenlassen.
• Sammelt im Takt der Kontrolle - vierteljährliche Zugriffsüberprüfungen, monatliche Konfigurations-Snapshots, Freigaben neuer Richtlinienfassungen, jeweils erfasst und datiert, wenn es passiert.
• Legt gemäß Ihrem Framework ab - Nachweise landen in Ihrer bestehenden Ablage oder Compliance-Plattform, der richtigen Kontrolle zugeordnet, nicht in einem neuen Silo.
• Bewahrt Ihr Unternehmenswissen - er merkt sich, welches System welchen Beleg hält und warum eine Kontrolle so gestaltet ist, sodass dieses Wissen Personalwechsel überdauert.
• Menschliche Freigabe per Design - Ausnahmen, ungewöhnliche Freigaben und Kontrolldesign-Fragen gehen an Ihren Compliance-Verantwortlichen, bevor etwas als endgültig gilt.
• Beantwortet Prüfer-Rückfragen - er ruft das konkrete Element samt Kontext ab und entwirft die Antwort, sodass eine Rückfrage mitten im Audit Minuten dauert statt Tage.
• Bedient mehrere Frameworks zugleich - geteilter Beleg wird SOC 2, ISO 27001, DSGVO, TISAX und ISO 42001 gemeinsam zugeordnet, sodass jedes weitere Framework weniger kostet.
• Seine eigenen Aktionen sind Audit-Nachweis - jeder Sammelschritt wird protokolliert, was selbst der Beleg ist, dass der Nachweisprozess wie beschrieben lief.

Für einen breiteren Überblick, wo das hineinpasst, siehe unseren Vergleich der KI-Tools für Compliance und Audit-Management, die Vertiefung zu KI als Compliance-Assistent und die verwandte Idee hinter der Verifizierungs-Steuer.

Entscheidungsrahmen: Ist laufende Nachweissammlung das Richtige für Sie?

Nicht jede Organisation braucht das heute. Hier ist ein einfacher Weg, um zu erkennen, ob die Steuer groß genug ist, um zu handeln.

Häufig gestellte Fragen

Verwandte Artikel

• Die besten KI-Tools für Compliance und Audit-Management - ein ehrlicher Käufervergleich 2026 der Plattformen, die Kontrollen verfolgen und Nachweise speichern.
• KI als Compliance-Assistent - wie KI-Agenten Audit-Trails, Richtlinien und Meldepflichten für den Mittelstand übernehmen.
• Die Verifizierungs-Steuer - warum das Prüfen generischer KI-Arbeit die eingesparte Zeit still auffrisst und wie Unternehmenswissen sie entfernt.
• Die besten KI-Tools für ESG- und Nachhaltigkeitsberichterstattung - dasselbe Problem der Nachweis-Aggregation, angewandt auf CSRD- und ESRS-Offenlegungen.
• KI bei Wirtschaftsprüfern und Audit-Firmen - wie deutsche WP-Praxen Substantive Testing und Working-Paper-Dokumentation automatisieren.

Henri Jung

Mitgründer von Superkind, wo er KMU und Unternehmen dabei hilft, maßgeschneiderte KI-Agenten einzuführen, die wirklich zur Arbeitsweise ihrer Teams passen. Henri liegt daran, die Lücke zwischen dem, was KI kann, und dem Wert, den sie in echten Unternehmen schafft, zu schließen. Vor Superkind arbeitete er jahrelang mit mittelständischen Unternehmen an der digitalen Transformation und sah aus erster Hand, wie viele Teams Wochen an Arbeit verlieren, die ein System still im Hintergrund erledigen sollte. Er ist überzeugt, dass der Mittelstand alles hat, um bei KI vorne zu sein - er braucht nur den richtigen Ansatz.