Ein Audit-Trail für Unternehmensgeräte hält lückenlos fest, wer ein Gerät wann bekommen, wie verändert und wann zurückgegeben hat, bis zum Löschnachweis. Als eigenes Dokument ist er nicht vorgeschrieben. DSGVO und NIS2 verlangen aber Nachweise, die ohne Trail kaum zu führen sind. Ein Device-as-a-Service-Anbieter wie Everphone liefert einen entscheidenden Teil davon mit.
Ein Gerätebestand in Excel zeigt, was heute ist. Ein Audit-Trail zeigt, wie es dazu kam. Genau danach fragen Datenschutzbeauftragte, Auditor*innen und Versicherungen, sobald etwas passiert ist.
Unsere Haltung: Dokumentiere das notwendige, dafür aber lückenlos. Fünf Ereignisse sauber zu belegen ist mehr wert als fünfzig halb.
Was ist der Unterschied zwischen Geräteinventar und Audit-Trail?
Das Inventar ist eine Momentaufnahme: Gerät, Seriennummer, Besitzer*in, Status. Der Audit-Trail ist die Chronik dahinter. Jede Änderung am Inventar erscheint dort als Eintrag mit Zeitpunkt, Auslöser und Ergebnis.
Du brauchst beides. Das Inventar beantwortet „Wo ist das Gerät gerade?“. Der Trail beantwortet „Wer hatte es am 14. März, und was wurde seitdem daran geändert?“. Ohne Inventar fehlt der Ausgangspunkt, ohne Trail fehlt der Beleg.
Die ISO 27001 trennt das ebenfalls. Control 5.9 verlangt ein Verzeichnis der Informationswerte mit benannten Verantwortlichen. Control 8.15 verlangt, dass relevante Ereignisse protokolliert, geschützt und ausgewertet werden. Beide lassen sich auf Geräte anwenden, auch wenn die Norm Endgeräte nicht eigens nennt.
Wer verlangt einen Nachweis über Firmengeräte?
Kein Gesetz schreibt „Audit-Trail für Endgeräte“ vor. Mehrere Regeln verlangen aber Nachweise, die sich praktisch nur mit einer Gerätehistorie führen lassen.
| Regelwerk | Was verlangt wird | Was das für Geräte heißt |
|---|---|---|
| DSGVO, Art. 5 Abs. 2 und Art. 32 | Du musst die Einhaltung der Grundsätze nachweisen können und Daten durch geeignete Maßnahmen schützen | Zugriff, Verlust und Löschung eines Geräts mit Personendaten musst du belegen können |
| NIS2-Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 | Risikomanagement umfasst auch Zugangskontrolle und Anlagenverwaltung | Jedes Gerät im Netz muss erfasst, zugeordnet und kontrolliert sein |
| BSI-Gesetz nach deutscher NIS2-Umsetzung, § 30 | Betroffene Einrichtungen müssen Maßnahmen für Risikomanagement umsetzen und nachweisen | Das BSI kann Nachweise anfordern |
| ISO 27001:2022, Controls 5.9 und 8.15 | Inventar mit Verantwortlichen, Protokollierung relevanter Ereignisse | Typische Audit-Frage: „Zeig mir die Historie dieses Geräts“ |
Von NIS2 sind nicht alle Unternehmen betroffen. Ob deines dazugehört, hängt von Branche und Größe ab. Die DSGVO gilt dagegen für jedes Unternehmen, das Personendaten auf Geräten hat, also für fast alle.
Welche Ereignisse gehören in den Audit-Trail?
Alles, was den Zustand oder die Zuordnung eines Geräts ändert, und alles, was Daten darauf gefährden kann. Mehr nicht. Ein Trail, der jeden App-Start protokolliert, ist kein Nachweis, sondern Überwachung.
| Ereignis | Was du festhältst | Wofür du es später brauchst |
|---|---|---|
| Beschaffung | Gerät, Seriennummer, Bestelldatum, Auslöser der Bestellung | Nachweis, dass das Gerät freigegeben war |
| Zuweisung | Angestellte*r, Zeitpunkt, wer zugewiesen hat | Klärung, wer bei einem Vorfall verantwortlich war |
| Konfiguration | MDM-Profil, Verschlüsselung, Updates, wer die Änderung ausgelöst hat | Beleg für „geeignete Maßnahmen“ nach Art. 32 DSGVO |
| Statuswechsel | Gesperrt, verloren gemeldet, Ersatz ausgegeben | Zeitlinie für die Datenpannen-Meldung |
| Remote-Aktionen | Sperren, Löschen, Ortung, mit Zeitstempel und Ausführendem | Beleg, dass die Daten rechtzeitig geschützt wurden |
| Rückgabe und Löschung | Rückgabedatum, Löschverfahren, Zertifikat | Nachweis, dass keine Daten das Haus verlassen haben |
Zwei Einträge fehlen in der Praxis am häufigsten: wer eine Änderung ausgelöst hat und wann das Gerät gelöscht wurde. Beides sind die Fragen, die nach einem Vorfall zuerst kommen.
Was ein Audit-Trail im Verlustfall leistet
Nehmen wir ein Unternehmen mit 120 Angestellten. Eine Vertriebsleiterin meldet an einem Freitagabend ihr Notebook als gestohlen. Am Montag fragt die Datenschutzbeauftragte drei Dinge: Seit wann hatte sie das Gerät, war es verschlüsselt, und wann wurde es aus der Ferne gesperrt?
Ohne Trail suchst du in Tickets, Mails und einem Excel-Blatt. Mit Trail liest du drei Einträge ab: Zuweisung im Januar, Verschlüsselung aktiv seit Auslieferung, Remote-Sperre am Freitag um 19:42 Uhr. Auf dieser Grundlage entscheidest du, ob eine Meldung an die Aufsichtsbehörde nötig ist. Die 72-Stunden-Frist beschreiben wir in Firmenhandy verloren: Die ersten 72 Stunden.
Der Trail verkürzt die Aufklärung von Tagen auf Minuten und ersetzt Vermutungen durch Belege.
So baust du einen Audit-Trail für Unternehmensgeräte auf
- Lege die führende Quelle fest. Ideal ist ein System, das Bestellung, Zuweisung und Verwaltung kennt, statt drei Systeme nachträglich abzugleichen.
- Definiere die Ereignisse. Nimm die Tabelle oben als Ausgangspunkt und streiche, was du nicht brauchst.
- Ordne jedem Eintrag eine Person oder ein System zu. „Status geändert“ reicht nicht. Es muss dastehen, wer oder was es ausgelöst hat.
- Schütze die Einträge. Niemand sollte sie im Nachhinein ändern können. ISO 27001 nennt dafür Unveränderbarkeit und getrennte Speicherung.
- Lege Aufbewahrungsfristen fest. Die DSGVO verlangt Speicherbegrenzung, also keine Ewigkeit. Die Frist richtest du nach Risiko und Rechtslage, und du hältst sie schriftlich fest.
- Regle den Zugriff. Der Trail enthält Personenbezug, nämlich wer welches Gerät hatte. Wer ihn lesen darf, gehört in eine Richtlinie, am besten abgestimmt mit Datenschutz und Betriebsrat.
Der letzte Punkt wird gern vergessen. Ein Audit-Trail darf nicht zur Leistungskontrolle werden. Was zulässig ist, erklärt Firmenhandy-Überwachung: Was Arbeitgeber dürfen.
Audit-Trail bei Device-as-a-Service
Bei Device-as-a-Service übernimmt der Anbieter Aufgaben, die sonst in deiner IT landen. Asset-Management ist inklusive, ebenso die zertifizierte Löschung und das Refurbishment nach der Rückgabe, ohne Extrakosten.
Zwei der heikelsten Stellen im Gerätelebenszyklus, Inventar und Löschnachweis, musst du damit nicht selbst aufbauen.
Das Everphone-Portal und die API arbeiten auf denselben Daten. Was per API bestellt wird, erscheint im Portal, und umgekehrt. Der Trail entsteht damit an einer Stelle statt an zwei.
Löschzertifikate sind bei Everphone klar dokumentiert und pro Gerät mit Datum verknüpft. Sie lassen sich als PDF, als Jahres-ZIP oder per API exportieren. Für den Einzelfall finden Admins es auf der Return-Case-Detailseite unter „Data Erasure“ als PDF. Jedes Zertifikat hat eine Report-UUID und ist mit Seriennummer, IMEI, Stocklist-Item und Return Case verknüpft.
Ein Anbieter ersetzt nicht deine eigene Verantwortung. Die Rechenschaftspflicht nach DSGVO bleibt bei dir. Wie das vertraglich sauber geregelt wird, steht in Ist Device-as-a-Service DSGVO-konform?.
Für wen sich der Aufwand lohnt
Fang jetzt an, wenn du ISO 27001 anstrebst, unter NIS2 fallen könntest oder Geräte mit Kundendaten ausgibst. Das trifft auf die meisten Unternehmen zu, deren Angestellte Laptops oder Smartphones dienstlich nutzen.
Lass es bleiben, solange du kein sauberes Inventar hast. Ein Trail ohne Inventar protokolliert Geräte, die niemand kennt. Fang mit dem Inventar an, dann kommen Zuweisung und Löschung, danach der Rest.
Wenn du wenig Zeit hast, setz zuerst zwei Dinge um: Wer hat welches Gerät, und wann wurde es gelöscht? Damit beantwortest du die meisten Fragen, die nach einem Vorfall kommen.
Häufige Fragen
Ist ein Audit-Trail für Unternehmensgeräte Pflicht?
Es gibt keine Vorschrift, die genau dieses Dokument verlangt. Die DSGVO verlangt aber, dass du die Einhaltung des Datenschutzes nachweisen kannst. NIS2 und ISO 27001 verlangen Inventar und Protokollierung. In der Praxis erfüllst du das nur mit einer nachvollziehbaren Gerätehistorie.
Was ist der Unterschied zwischen Audit-Trail und Log-Datei?
Eine Log-Datei zeichnet technische Ereignisse eines Systems auf. Ein Audit-Trail ordnet Ereignisse einer Person oder einem Auslöser zu, ist gegen nachträgliche Änderung geschützt und für Prüfungen gedacht. Logs sind oft die Rohdaten, aus denen ein Trail entsteht.
Wie lange muss ich Audit-Trail-Daten aufbewahren?
Eine allgemeine Frist für Gerätehistorien gibt es nicht. Du legst sie nach Risikobewertung, gesetzlichen Vorgaben und internen Richtlinien fest. Die DSGVO verlangt dabei Speicherbegrenzung: Daten mit Personenbezug dürfen nicht länger gespeichert werden, als es der Zweck erfordert.
Reicht das MDM als Audit-Trail?
Ein MDM protokolliert Konfiguration und Remote-Aktionen, kennt aber oft weder Beschaffung noch Rückgabe oder Löschnachweis. Für einen vollständigen Trail brauchst du die Historie über den ganzen Lebenszyklus. Wie die Funktionen eines MDM zusammenhängen, erklärt der Artikel MDM-Funktionen.
Wer darf den Audit-Trail einsehen?
Nur ein klar definierter Kreis, etwa IT-Leitung, Datenschutzbeauftragte und Revision. Der Trail enthält Personenbezug und darf nicht zur Leistungskontrolle dienen. Lege den Zugriff schriftlich fest und stimme ihn mit dem Betriebsrat ab, sofern es einen gibt.