Nachweis-Checklisten

Warum das zählt

Die meisten Gerätekontrollen beantworten sich von allein. Ihr MDM meldet die Festplattenverschlüsselung, Ihr Identitätsanbieter meldet MFA, und die Compliance-Plattform ruft beides nach Zeitplan ab. Dann fragt der Auditor nach den vier Auftragnehmern, der Designerin mit dem privaten Laptop und dem Berater, dessen Rechner nie im Geltungsbereich des Agenten lag – und die Automatisierung bleibt stumm.

Diese Lücke wird üblicherweise mit einer Tabelle und einem Ordner voller Screenshots im gemeinsamen Speicher geschlossen. Das funktioniert, bis jemand fragt, wer eine bestimmte Kontrolle bestätigt hat, wann der Screenshot entstanden ist und ob er im Prüfungszeitraum noch galt. Bis dahin liegt die Antwort längst begraben in einem Chat-Verlauf.

Eine Nachweis-Checkliste ist ein Schulungsprogramm, dessen Inhalt nicht aus Folien besteht, sondern aus einer Reihe von Geräteeinstellungen. Der Teilnehmer erhält eine Schritt-für-Schritt-Anleitung für sein eigenes Betriebssystem, ändert die Einstellung, lädt einen Beleg hoch und unterschreibt dieselbe rechtsverbindlich formulierte Bestätigungserklärung wie in Ihren übrigen Schulungen. Am Ende steht ein erfasster Abschluss, den ein Auditor akzeptiert.

Checklisten vs. Kurse

Beides sind Schulungsprogramme, und beide enden mit einer unterschriebenen Bestätigungserklärung. Der Unterschied liegt in dem, was dazwischen sitzt.

	Kurs	Checkliste
Inhalt	Folien, danach ein Wissenscheck	Kontrollpunkte, jeder mit Anleitungen pro Plattform
Belegt	Der Stoff wurde verstanden	Der Rechner ist auf eine bestimmte Weise konfiguriert
Abschluss	Jede Folie angesehen, Quiz bestanden, Bestätigungserklärung unterschrieben	Jeder Kontrollpunkt bestätigt, Bestätigungserklärung unterschrieben
Nachweis	Der erfasste Abschluss	Der erfasste Abschluss plus hochgeladene Screenshots

Ein Programm ist entweder das eine oder das andere; das entscheidet die Vorlage, aus der Sie es erzeugen. Alles Übrige – Einladungen, Fristen, Erinnerungen, das Abschlussregister, der Vanta-Export – funktioniert bei beiden identisch.

Die beiden Checklisten-Vorlagen

Endpoint Hardening (Endgeräte-Härtung)

Die sieben Geräteeinstellungen, deren Nachweis ein Auditor von einem Auftragnehmer verlangt:

Kontrollpunkt	Nachweis
Vollständige Festplattenverschlüsselung – FileVault, BitLocker oder LUKS	Screenshot
Bildschirmsperre mit Passwort beim Aufwachen	Screenshot
Automatische Betriebssystem-Updates aktiviert	Screenshot
Schutz vor Schadsoftware aktiv	Screenshot
Passwortmanager im Einsatz	Screenshot
Firewall aktiviert	Screenshot
Gerätepasswort entspricht der Richtlinie	Nur Bestätigung

Das Gerätepasswort ist bewusst ein reiner Bestätigungspunkt: Kein Einstellungsfenster zeigt die Länge Ihres Passworts an, ein Screenshot würde also nichts belegen.

Der Schutz vor Schadsoftware ist der einzige Kontrollpunkt, der keine Gleichwertigkeit über alle Plattformen behauptet. Unter Linux sagt die Anleitung offen, dass ein Desktop ohne echtzeitfähigen Scanner eine normale Antwort ist, und verlangt stattdessen die Aufnahme der ersetzenden Maßnahmen – automatische Updates und eine Host-Firewall, die eingehenden Verkehr grundsätzlich blockiert – sowie einen entsprechenden Hinweis in der Anmerkung. Vorgetäuschte Gleichwertigkeit würde den Nachweis schlechter machen, nicht besser.

Zwei Werte werden als Vorlagenfragen abgefragt statt fest hinterlegt, weil sich die drei großen Compliance-Plattformen uneins sind und am Ende Ihre eigene Richtlinie maßgeblich ist:

• Zeit bis zur Bildschirmsperre, standardmäßig 15 Minuten. Vanta akzeptiert bis zu 60, Drata verlangt ein Passwort 60 Sekunden nach einer Sperre von 15 Minuten, Secureframe prüft auf höchstens 900 Sekunden.
• Minimale Passwortlänge, standardmäßig 8.

Policy Acknowledgment (Richtlinienbestätigung)

Alle 22 SOC-2-Richtlinien als reine Bestätigungspunkte, so gruppiert, dass sie sich in zusammenhängenden Blöcken lesen statt als eine flache Liste: Verhalten, Informationssicherheit, Daten, Resilienz und Governance. Jeder Punkt verlinkt dorthin, wo Ihre Richtlinien abgelegt sind, und die unterschriebene Bestätigungserklärung führt jede Richtlinie namentlich auf – eine pauschale Unterschrift unter „Ich habe die Richtlinien gelesen“ übersteht die Frage nicht, welche das waren.

Eine Checkliste aufbauen

1. Erzeugen Sie das Programm. Klicken Sie im Schulungs-Dashboard auf Aus Vorlage erstellen und wählen Sie Endpoint Hardening oder Policy Acknowledgment. Beantworten Sie die Fragen der Smart-Vorlage – Ihr Firmenname, Ihr Passwortmanager, Ihre Zeit bis zur Bildschirmsperre.
2. Prüfen Sie die Kontrollpunkte. Jeder hat einen Titel, eine Notiz „Warum das wichtig ist“, die der Teilnehmer liest, Nachweisregeln und Anleitungen pro Betriebssystem. Bearbeiten Sie beliebige davon, ergänzen Sie eigene oder ändern Sie die Reihenfolge.
3. Ergänzen Sie Anleitungen für die Plattformen, die Sie brauchen. Die mitgelieferten Vorlagen decken macOS, Windows 11 und Linux ab. Die Linux-Schritte sind bewusst anders geschrieben: Statt eines Klickwegs durch eine Desktop-Umgebung, die wir nicht kennen, benennen sie die Maßnahme und geben einen distributionsunabhängigen Befehl, dessen Ausgabe der Screenshot ist – lsblk mit dem LUKS-crypt-Gerät, systemctl list-timers mit dem Update-Timer, ufw status verbose mit der Standardregel „alles Eingehende ablehnen“. Eine Terminal-Aufnahme ist ohnehin der bessere Nachweis als ein Einstellungsfenster. Ein Teilnehmer auf einer Plattform ohne eigene Anleitung bekommt weiterhin die zuerst verfasste angezeigt statt einer leeren Karte, und der Runner sagt ausdrücklich, welche Plattform-Schritte er gerade liest.
4. Veröffentlichen und einladen. Identisch zu einem Kurs. Eine Checkliste lässt sich erst veröffentlichen, wenn sie mindestens einen Kontrollpunkt und eine Bestätigungserklärung hat.

Was der Teilnehmer sieht

Eine Seite, immer nur eine offene Karte. Kit erkennt das Betriebssystem am Browser und zeigt die passende Anleitung; Teilnehmer können wechseln, und die Wahl bleibt gespeichert.

Jede Karte enthält die nummerierten Schritte, den Grund, warum die Kontrolle wichtig ist, und die Nachweisregeln. Der Teilnehmer macht einen Screenshot, zieht ihn auf die Karte oder fügt ihn dort ein, benennt das Gerät und datiert die Aufnahme. Mit der Bestätigung klappt die Karte zu, und die nächste öffnet sich.

Die Zuordnung der Aufnahme wird eingetippt, nicht fotografiert. Statt den Rechnernamen im Screenshot zu verlangen, fragt Kit die Gerätebezeichnung und das Aufnahmedatum als Felder ab. Diese Angaben sind verschlüsselt, sie sind durchsuchbar, und sie bleiben erhalten, auch nachdem das Bild selbst gelöscht wurde.

Die Hinweistexte bitten die Teilnehmer, vor der Aufnahme Benachrichtigungen stummzuschalten und das Einstellungsfenster als Screenshot festzuhalten, statt den Bildschirm mit dem Handy abzufotografieren. Beides sind die häufigsten Gründe, aus denen ein Auditor Nachweise ablehnt.

Nachweise prüfen

Mit dem Einreichen ist der Kontrollpunkt abgeschlossen. Die Prüfung ist nachgelagerte Triage, kein Freigabeschritt – kein Auftragnehmer wartet auf jemandes Posteingang.

Die Warteschlange führt bestätigte, aber ungeprüfte Einreichungen auf, samt der Zuordnung, die einen Screenshot prüffähig macht: Plattform, Gerätebezeichnung, Aufnahmedatum und wie viele Tage vor der Bestätigung die Aufnahme entstand. Rückdatierte Nachweise werden ausdrücklich benannt, denn genau danach sucht ein Prüfer.

Akzeptieren räumt den Eintrag ab. Ablehnen verlangt eine Anmerkung, öffnet den Kontrollpunkt wieder und schickt dem Teilnehmer eine E-Mail mit Ihrer Begründung. Der erfasste Abschluss wird dabei nicht widerrufen – die Person hat die Schulung tatsächlich abgeschlossen, und das nachträglich umzuschreiben wäre Geschichtsfälschung, nicht die Bitte um einen besseren Screenshot.

Einen Kontrollpunkt wieder zu öffnen bedeutet echten Zugriff, nicht bloß einen neuen Status: Die Checkliste bleibt für jemanden erreichbar, der schon fertig ist, und zeigt Ihre Anmerkung auf genau der Karte, deren Aufnahme wiederholt werden muss. Der neue Screenshot bringt den Kontrollpunkt als frische Einreichung zurück in die Warteschlange. Die Nachweise, die die Person vor Ihrer Prüfung eingereicht hat, bleiben angehängt und lassen sich nicht löschen – genau danach fragt ein Auditor – und werden deshalb neben dem Ersatz angezeigt, als ersetzt gekennzeichnet.

Abgelehnte Nachweise verändern allerdings das Register: Die Person zählt nicht mehr als grün und wandert in den Status Nachweis abgelehnt, der vor allem anderen einsortiert wird. Die Zahl der Personen mit Abschluss ist das, was Sie einem Auditor vorlegen – sie schließt daher jeden aus, bei dem noch Nachweise ausstehen.

Zugriff und Aufbewahrung

Nachweise sehen nur die Schulungs-Administratoren des Kontos, und jeder Download wird protokolliert: wer welche Datei wann geöffnet hat. Dateien werden über kurzlebige, pro Klick erzeugte Links ausgeliefert statt über in die Seite eingebettete URLs – der Zugriff endet also, wenn der Zugang der Person endet.

Nachweise werden nach Zeitplan gelöscht. Jedes Programm hat eine Aufbewahrungsfrist, standardmäßig 395 Tage – ein Jahr plus der Puffer, den der Prüfungszeitraum eines Type-II-Audits braucht. Ein nächtlicher Lauf löscht die Dateien, sobald eine Einreichung die Frist überschreitet. Über evidence_retention_days in training_create_program legen Sie pro Programm eine andere Frist fest.

Der erfasste Abschluss übersteht die Löschung, ebenso Name und Inhalts-Hash jeder Datei. Auch wenn die Screenshots weg sind, können Sie weiterhin belegen, was wann von wem eingereicht wurde – und dass nichts gegen etwas anderes ausgetauscht wurde.

Exportieren

Der Vanta-CSV-Export erhält für Checklisten-Programme zusätzliche Nachweisspalten: Prüfstatus, bestätigte Kontrollpunkte, Kontrollpunkte gesamt, Anzahl der Dateien, Gerätebezeichnung und das Aufnahmefenster. Kurs-Exporte bleiben unverändert, bis aufs Byte – Vanta gleicht exakt über Spaltenreihenfolge und Wortlaut ab.

Das PDF-Register ergänzt unter der Haupttabelle eine eigene Tabelle mit den Nachweisen zu den Kontrollpunkten.

Eine Person, eine Datei

Die Register-Exporte decken alle auf einmal ab. Fragt ein Prüfer nach einer einzelnen Person, nutzen Sie stattdessen Nachweispaket in deren Zeile. Das Paket wird im Hintergrund erstellt, der Download startet, sobald es bereit ist.

Darin liegt alles, was zu dieser Person dokumentiert ist – so umbenannt, dass der Ordner auch ohne Ihre Erklärung lesbar ist:

training-evidence-jane-doe-endpoint-hardening-20260114.zip
└── jane-doe-endpoint-hardening-20260114/
    ├── jane-doe-00-manifest.csv
    ├── jane-doe-01-certificate.pdf
    ├── jane-doe-checkpoint-01-full-disk-encryption-01.png
    ├── jane-doe-checkpoint-02-screen-lock-01.png
    └── jane-doe-checkpoint-02-screen-lock-02-superseded.png

Das Verzeichnis ist der Teil, den ein Prüfer tatsächlich liest: eine Zeile pro Datei mit Plattform, Gerätebezeichnung, Aufnahmedatum, Bestätigungsdatum, Prüfurteil und Prüfnotiz, dazu der ursprüngliche Dateiname und die Prüfsumme. Ein Ordner voller Screenshots ohne dieses Verzeichnis sagt niemandem etwas, der nicht dabei war.

Zwei Zustände werden gekennzeichnet statt verborgen. Nachweise, die vor dem Urteil eines Prüfers eingereicht wurden, liegen mit -superseded im Namen bei: Weglassen verdeckt die Spur, unmarkiert Beilegen suggeriert, sie seien akzeptiert worden. Dateien, die die Aufbewahrungsfrist bereits gelöscht hat, erscheinen als kurze .purged.txt-Notiz genau dort, wo der Screenshot gestanden hätte, mit dem gespeicherten Dateinamen und der Prüfsumme – ein Paket, das sie stillschweigend weglässt, würde die Dokumentation falsch darstellen.

Kursteilnehmer haben keine Screenshots; ihr Paket besteht nur aus Zertifikat und Verzeichnis, und die Schaltfläche heißt entsprechend Zertifikatspaket.

Pakete verfallen nach sieben Tagen, und jeder Download wird protokolliert – wer das Archiv geholt hat und wann, plus ein Eintrag pro Datei in derselben Nachweisspur, die auch ein Einzeldownload schreibt. So bleibt „Wer hat die Screenshots dieser Person je gesehen?” eine einzige vollständige Antwort.

Erinnerungen

Checklisten nutzen dieselbe Erinnerungsstrecke wie Kurse: einen Anstupser nach der Einladung, einen letzten Aufruf, wenn die Frist näher rückt, eine Erinnerung zur Bestätigungserklärung für alle, die die Inhalte abgeschlossen, aber nie unterschrieben haben, und eine Erinnerung nach Fristablauf, begrenzt auf drei Sendungen im Wochenabstand.