Nachweis-Checklisten

Warum das zählt

Die meisten Gerätekontrollen beantworten sich von allein. Ihr MDM meldet die Festplattenverschlüsselung, Ihr Identitätsanbieter meldet MFA, und die Compliance-Plattform ruft beides nach Zeitplan ab. Dann fragt der Auditor nach den vier Auftragnehmern, der Designerin mit dem privaten Laptop und dem Berater, dessen Rechner nie im Geltungsbereich des Agenten lag, und die Automatisierung bleibt stumm.

Diese Lücke wird üblicherweise mit einer Tabelle und einem Ordner voller Screenshots im gemeinsamen Speicher geschlossen. Das funktioniert, bis jemand fragt, wer eine bestimmte Kontrolle bestätigt hat, wann der Screenshot entstanden ist und ob er im Prüfungszeitraum noch galt. Bis dahin liegt die Antwort längst begraben in einem Chat-Verlauf.

Eine Nachweis-Checkliste ist ein Schulungsprogramm, dessen Inhalt nicht aus Folien besteht, sondern aus einer Reihe von Geräteeinstellungen. Der Teilnehmer erhält eine Schritt-für-Schritt-Anleitung für sein eigenes Betriebssystem, ändert die Einstellung, lädt einen Beleg hoch und unterschreibt dieselbe rechtsverbindlich formulierte Bestätigungserklärung wie in Ihren übrigen Schulungen. Kit erfasst die Bestätigungen und den Abschluss des Programms. Ob das als Audit-Nachweis ausreicht, hängt vom Prüfungsumfang und der Einschätzung des Auditors ab.

Checklisten vs. Kurse

Beides sind Schulungsprogramme, und beide enden mit einer unterschriebenen Bestätigungserklärung. Der Unterschied liegt in dem, was dazwischen sitzt.

	Kurs	Checkliste
Inhalt	Folien, danach ein Wissenscheck	Kontrollpunkte, jeder mit Anleitungen pro Plattform
Erfasst	Angesehene Inhalte und Quiz-Ergebnisse	Die Erklärungen des Teilnehmers und hochgeladene Nachweise zu Geräteeinstellungen
Abschluss	Jede Folie angesehen, Quiz bestanden, Bestätigungserklärung unterschrieben	Jeder Kontrollpunkt bestätigt, Bestätigungserklärung unterschrieben
Nachweis	Der erfasste Abschluss	Der erfasste Abschluss plus hochgeladene Screenshots

Ein Programm ist entweder das eine oder das andere; das entscheidet die Vorlage, aus der Sie es erzeugen. Alles Übrige (Einladungen, Fristen, Erinnerungen, das Abschlussregister, der Vanta-Export) funktioniert bei beiden identisch.

Die beiden Checklisten-Vorlagen

Endpoint Hardening (Endgeräte-Härtung)

Die Checkliste deckt sieben Geräteeinstellungen ab:

Kontrollpunkt	Nachweis
Vollständige Festplattenverschlüsselung (FileVault, BitLocker oder LUKS)	Screenshot
Bildschirmsperre mit Passwort beim Aufwachen	Screenshot
Automatische Betriebssystem-Updates aktiviert	Screenshot
Schutz vor Schadsoftware aktiv	Screenshot
Passwortmanager im Einsatz	Screenshot
Firewall aktiviert	Screenshot
Gerätepasswort entspricht der Richtlinie	Nur Bestätigung

Das Gerätepasswort ist bewusst ein reiner Bestätigungspunkt: Kein Einstellungsfenster zeigt die Länge Ihres Passworts an, ein Screenshot würde also nichts belegen.

Der Schutz vor Schadsoftware ist der einzige Kontrollpunkt, der keine Gleichwertigkeit über alle Plattformen behauptet. Unter Linux sagt die Anleitung offen, dass ein Desktop ohne echtzeitfähigen Scanner eine normale Antwort ist, und verlangt stattdessen die Aufnahme der ersetzenden Maßnahmen (automatische Updates und eine Host-Firewall, die eingehenden Verkehr grundsätzlich blockiert) sowie einen entsprechenden Hinweis in der Anmerkung. Vorgetäuschte Gleichwertigkeit würde den Nachweis schlechter machen, nicht besser.

Zwei Werte werden als Vorlagenfragen abgefragt statt fest hinterlegt, damit Sie sie an Ihre Unternehmensrichtlinie anpassen können:

• Zeit bis zur Bildschirmsperre, standardmäßig 15 Minuten.
• Minimale Passwortlänge, standardmäßig 8.

Policy Acknowledgment (Richtlinienbestätigung)

Die Vorlage enthält 22 Richtlinien als reine Bestätigungspunkte, gruppiert in Verhalten, Informationssicherheit, Daten, Resilienz und Governance. Jeder Punkt verlinkt auf Ihre Richtliniendokumente, und die unterschriebene Bestätigungserklärung führt jede Richtlinie namentlich auf.

Eine Checkliste aufbauen

1. Erzeugen Sie das Programm. Klicken Sie im Schulungs-Dashboard auf Aus Vorlage erstellen und wählen Sie Endpoint Hardening oder Policy Acknowledgment. Beantworten Sie die Fragen der Smart-Vorlage: Ihr Firmenname, Ihr Passwortmanager, Ihre Zeit bis zur Bildschirmsperre.
2. Prüfen Sie die Kontrollpunkte. Jeder hat einen Titel, eine Notiz „Warum das wichtig ist“, die der Teilnehmer liest, Nachweisregeln und Anleitungen pro Betriebssystem. Bearbeiten Sie beliebige davon, ergänzen Sie eigene oder ändern Sie die Reihenfolge.
3. Ergänzen Sie Anleitungen für die Plattformen, die Sie brauchen. Die mitgelieferten Vorlagen decken macOS, Windows 11 und Linux ab. Die Linux-Schritte sind bewusst anders geschrieben: Statt eines Klickwegs durch eine Desktop-Umgebung, die wir nicht kennen, benennen sie die Maßnahme und geben einen distributionsunabhängigen Befehl, dessen Ausgabe der Screenshot ist: lsblk mit dem LUKS-crypt-Gerät, systemctl list-timers mit dem Update-Timer, ufw status verbose mit der Standardregel „alles Eingehende ablehnen“. Eine Terminal-Aufnahme ist ohnehin der bessere Nachweis als ein Einstellungsfenster. Ein Teilnehmer auf einer Plattform ohne eigene Anleitung bekommt weiterhin die zuerst verfasste angezeigt statt einer leeren Karte, und der Runner sagt ausdrücklich, welche Plattform-Schritte er gerade liest.
4. Veröffentlichen und einladen. Identisch zu einem Kurs. Eine Checkliste lässt sich erst veröffentlichen, wenn sie mindestens einen Kontrollpunkt und eine Bestätigungserklärung hat.

Was der Teilnehmer sieht

Eine Seite, immer nur eine offene Karte. Kit erkennt das Betriebssystem am Browser und zeigt die passende Anleitung; Teilnehmer können wechseln, und die Wahl bleibt gespeichert.

Jede Karte enthält die nummerierten Schritte, den Grund, warum die Kontrolle wichtig ist, und die Nachweisregeln. Der Teilnehmer macht einen Screenshot, zieht ihn auf die Karte oder fügt ihn dort ein, benennt das Gerät und datiert die Aufnahme. Mit der Bestätigung klappt die Karte zu, und die nächste öffnet sich.

Die Zuordnung der Aufnahme wird eingetippt, nicht fotografiert. Statt den Rechnernamen im Screenshot zu verlangen, fragt Kit die Gerätebezeichnung und das Aufnahmedatum als Felder ab. Diese Angaben sind verschlüsselt, sie sind durchsuchbar, und sie bleiben erhalten, auch nachdem das Bild selbst gelöscht wurde.

Die Hinweistexte bitten die Teilnehmer, vor der Aufnahme Benachrichtigungen stummzuschalten und das Einstellungsfenster als Screenshot festzuhalten, statt den Bildschirm mit dem Handy abzufotografieren. So bleiben die Aufnahmen lesbar, und es landen weniger beiläufige personenbezogene Informationen darauf.

Nachweise prüfen

Mit dem Einreichen ist der Kontrollpunkt abgeschlossen. Die Prüfung ist nachgelagerte Triage, kein Freigabeschritt; kein Auftragnehmer wartet auf jemandes Posteingang.

Die Warteschlange führt bestätigte, aber ungeprüfte Einreichungen auf, samt der Zuordnung, die einen Screenshot prüffähig macht: Plattform, Gerätebezeichnung, Aufnahmedatum und wie viele Tage vor der Bestätigung die Aufnahme entstand. Rückdatierte Nachweise werden ausdrücklich benannt, denn genau danach sucht ein Prüfer.

Akzeptieren räumt den Eintrag ab. Ablehnen verlangt eine Anmerkung, öffnet den Kontrollpunkt wieder und schickt dem Teilnehmer eine E-Mail mit Ihrer Begründung. Der erfasste Abschluss wird dabei nicht widerrufen. Die Person hat die Schulung abgeschlossen, und das nachträglich umzuschreiben wäre Geschichtsfälschung, nicht die Bitte um einen besseren Screenshot.

Einen Kontrollpunkt wieder zu öffnen bedeutet echten Zugriff, nicht bloß einen neuen Status: Die Checkliste bleibt für jemanden erreichbar, der schon fertig ist, und zeigt Ihre Anmerkung auf der Karte, deren Aufnahme wiederholt werden muss. Der neue Screenshot bringt den Kontrollpunkt als frische Einreichung zurück in die Warteschlange. Die Nachweise, die die Person vor Ihrer Prüfung eingereicht hat, bleiben angehängt und lassen sich nicht löschen (danach fragt ein Auditor) und werden deshalb neben dem Ersatz angezeigt, als ersetzt gekennzeichnet.

Abgelehnte Nachweise verändern allerdings das Register: Die Person zählt nicht mehr als grün und wandert in den Status Nachweis abgelehnt, der vor allem anderen einsortiert wird. Die Zahl der Personen mit Abschluss ist das, was Sie einem Auditor vorlegen; sie schließt daher jeden aus, bei dem noch Nachweise ausstehen.

Zugriff und Aufbewahrung

Administratoren des Schulungsmoduls greifen im Admin-Bereich des Kontos auf Nachweise zu. Kit protokolliert dort jede Download-Anfrage, einschließlich Person, Zeitpunkt und Datei. Ein Klick erzeugt einen Link, der 90 Sekunden gültig ist. Werden Berechtigungen entzogen, entstehen keine neuen Links mehr; ein bestehender Link kann aber bis zu seinem Ablauf gültig bleiben, und heruntergeladene Kopien verbleiben bei ihren Empfängern.

Nachweise werden nach Zeitplan gelöscht. Jedes Programm hat eine Aufbewahrungsfrist, standardmäßig 395 Tage. Ein nächtlicher Lauf löscht die Dateien, sobald eine Einreichung die Frist überschreitet. Über evidence_retention_days in training_create_program legen Sie pro Programm eine andere Frist fest.

Der erfasste Abschluss übersteht die Löschung, ebenso Name und Inhalts-Hash jeder Datei. Nach der Löschung bleiben die Metadaten der Einreichung erhalten. Mit dem Hash lässt sich eine anderswo aufbewahrte Kopie gegen die erfasste Datei prüfen; das Bild rekonstruieren oder die Richtigkeit seines Inhalts belegen kann er nicht.

Exportieren

Der Vanta-CSV-Export erhält für Checklisten-Programme zusätzliche Nachweisspalten: Prüfstatus, bestätigte Kontrollpunkte, Kontrollpunkte gesamt, Anzahl der Dateien, Gerätebezeichnung und das Aufnahmefenster. Kurs-Exporte bleiben unverändert, bis aufs Byte; Vanta gleicht exakt über Spaltenreihenfolge und Wortlaut ab.

Das PDF-Register ergänzt unter der Haupttabelle eine eigene Tabelle mit den Nachweisen zu den Kontrollpunkten.

Eine Person, eine Datei

Die Register-Exporte decken alle auf einmal ab. Fragt ein Prüfer nach einer einzelnen Person, nutzen Sie stattdessen Nachweispaket in deren Zeile. Das Paket wird im Hintergrund erstellt, der Download startet, sobald es bereit ist.

Darin liegt alles, was zu dieser Person dokumentiert ist, so umbenannt, dass der Ordner auch ohne Ihre Erklärung lesbar ist:

training-evidence-jane-doe-endpoint-hardening-20260114.zip
└── jane-doe-endpoint-hardening-20260114/
    ├── jane-doe-00-manifest.csv
    ├── jane-doe-01-certificate.pdf
    ├── jane-doe-checkpoint-01-full-disk-encryption-01.png
    ├── jane-doe-checkpoint-02-screen-lock-01.png
    └── jane-doe-checkpoint-02-screen-lock-02-superseded.png

Das Verzeichnis ist der Teil, den ein Prüfer liest: eine Zeile pro Datei mit Plattform, Gerätebezeichnung, Aufnahmedatum, Bestätigungsdatum, Prüfurteil und Prüfnotiz, dazu der ursprüngliche Dateiname und die Prüfsumme. Ein Ordner voller Screenshots ohne dieses Verzeichnis sagt niemandem etwas, der nicht dabei war.

Zwei Zustände werden gekennzeichnet statt verborgen. Nachweise, die vor dem Urteil eines Prüfers eingereicht wurden, liegen mit -superseded im Namen bei: Weglassen verdeckt die Spur, unmarkiert Beilegen suggeriert, sie seien akzeptiert worden. Dateien, die die Aufbewahrungsfrist bereits gelöscht hat, erscheinen als kurze .purged.txt-Notiz dort, wo der Screenshot gestanden hätte, mit dem gespeicherten Dateinamen und der Prüfsumme; ein Paket, das sie stillschweigend weglässt, würde die Dokumentation falsch darstellen.

Kursteilnehmer haben keine Screenshots; ihr Paket besteht nur aus Zertifikat und Verzeichnis, und die Schaltfläche heißt entsprechend Zertifikatspaket.

Pakete verfallen nach sieben Tagen. Kit protokolliert, wer den Download eines Archivs wann angefordert hat, mit einem Eintrag für jede enthaltene Datei. Das erfasst Downloads über Kit, nicht die spätere Weitergabe heruntergeladener Kopien.

Erinnerungen

Checklisten nutzen dieselbe Erinnerungsstrecke wie Kurse: einen Anstupser nach der Einladung, einen letzten Aufruf, wenn die Frist näher rückt, eine Erinnerung zur Bestätigungserklärung für alle, die die Inhalte abgeschlossen, aber nie unterschrieben haben, und eine Erinnerung nach Fristablauf, begrenzt auf drei Sendungen im Wochenabstand.