Evidence Management Software für Compliance und Audits

Compliance nicht nur dokumentieren. Sondern beweisen.

Digitales Nachweismanagement für Compliance und Audits: Mit Complaica verwalten Sie Compliance-Nachweise, etwa für ISO 27001 und BSI IT-Grundschutz, im Zusammenhang mit Anforderungen, Risiken und Maßnahmen. Relevante Änderungen werden automatisch erfasst; registrierte Nachweise bleiben historisch nachvollziehbar und unabhängig überprüfbar. Eine kryptografisch verkettete Evidence Chain und qualifizierte eIDAS-Zeitstempel sichern ausgewählte Zustände ab — vom ersten Scope bis zum Audit.

01Eine durchgängige Evidence Chain über den gesamten Compliance-Lebenszyklus
02Automatische Nachweise aus Scope, Schutzbedarf, Risiken und Maßnahmen
03Konfigurierbare Ereignisregeln und qualifizierte eIDAS-Zeitstempel
04Kryptografisch überprüfbare Integrität und vollständige Historie
05Unabhängige Verifikation und exportierbare Audit-Nachweise

Trial-Konto anfragen Preisliste anfragen

Evidence Chain

Evidence Chain Compliance-Konzept ISMS 2026

#1288 Audit abgeschlossen Internes Audit ISMS 2026 b5a7b218…a964 eIDAS
#1287 Finding geschlossen F-07 Patchmanagement 7cc5e4d5…cd40
#1283 Restrisiko akzeptiert R-12 Unbefugter Zugriff 1b17a798…bf7f eIDAS
#1280 Terraform-Konfiguration registriert fw-dmz.tf 3a1424f5…d73a
#1279 Maßnahme abgeschlossen M-114 Netzsegmentierung DMZ 32bf5712…c47c

Chain verifiziert 1.288 Events Letzter Checkpoint 12.10.2026

EVIDENCE 01

Eine Evidence Chain für jedes Compliance-Konzept

Mit der Erstellung eines Compliance-Konzepts beginnt in Complaica auch dessen Evidence Chain.

Sie dokumentiert relevante Zustände, Entscheidungen und Änderungen über den gesamten Lebenszyklus. Jedes registrierte Ereignis referenziert die betroffenen Objekte und wird kryptografisch mit der bisherigen Historie verbunden.

Die Chain wird damit zur überprüfbaren Chronologie des Compliance-Konzepts — von seiner initialen Struktur über die Risikobewertung und Maßnahmenumsetzung bis zum Audit.

Die Organisation legt selbst fest, welche Ereignisse automatisch registriert werden und wann qualifizierte elektronische Zeitstempel erzeugt werden.

EVIDENCE 02

Compliance-Nachweise für ISO 27001 und BSI IT-Grundschutz

Normen wie ISO 27001 und der IT-Grundschutz des BSI verlangen dokumentierte Nachweise: für Risikobehandlung, Maßnahmen, interne Audits und die Managementbewertung. Ein Beispiel aus einem ISMS-Konzept zeigt, wie aus einer Risikoentscheidung ein Nachweis wird, den ein Auditor prüfen kann.

Beispiel aus einem ISMS-Konzept

01 Risikobehandlung freigeben R-12 Unbefugter Zugriff Die Geschäftsführung gibt die Behandlung des Risikos frei. Complaica registriert Entscheidung, Akteur und Zeitpunkt als Evidence Event.
02 Maßnahme umsetzen M-114 Netzsegmentierung DMZ Der IT-Betrieb setzt die Maßnahme um. Statusänderungen und der Terraform-Commit aus der Pipeline landen in derselben Chain.
03 Technischen Nachweis registrieren Pentest-Bericht_DMZ_2026-Q3.pdf Der Bericht des externen Prüfdienstleisters wird mit Hash registriert und mit Maßnahme, Risiko und A.8.20 verknüpft.
04 Zustand zeitlich verankern Checkpoint · eIDAS Ein qualifizierter Zeitstempel bestätigt den Zustand der Chain zu diesem Zeitpunkt. An den Vertrauensdiensteanbieter geht nur der Hashwert.
05 Verification Package exportieren verification-package_ISMS-2026_1288.zip Für das Audit exportiert der ISB ein Paket mit Event-Daten, Hashwerten, Verkettungsnachweisen und dem Zeitstempel.

Das sehen die Verantwortlichen

Für jede Anforderung den aktuellen Stand und die Nachweise, auf die er sich stützt
Wer eine Entscheidung getroffen oder eine Maßnahme abgeschlossen hat — und wann
Wo Nachweise fehlen oder älter sind als vorgesehen

Das erhält der Auditor

Die Historie zur Anforderung: Bewertung, Risikoentscheidung, Maßnahme, Nachweis
Ein Verification Package, dessen Integrität und Zeitstempel sich ohne Zugriff auf Complaica prüfen lassen
Die Grundlage für sein Urteil — ob ein Nachweis fachlich ausreicht, entscheidet weiterhin er

Weitere Beispiele: von der Anforderung bis zum Audit

ISO 27001 · 8.3 Informationssicherheitsrisikobehandlung
1. Risikobehandlungsplan
2. Freigabe der Restrisiken
3. Maßnahmen mit Verantwortlichen
4. Historie der Entscheidungen
5. Prüfung im Audit
ISO 27001 · 9.3 Managementbewertung
1. Eingaben der Managementbewertung
2. Protokoll und Beschlüsse
3. Abgeleitete Maßnahmen
4. Checkpoint mit eIDAS-Zeitstempel
5. Prüfung im Audit
IT-Grundschutz · Schutzbedarfsfeststellung (BSI-Standard 200-2)
1. Schutzbedarf der Geschäftsprozesse
2. Vererbung auf Anwendungen und IT-Systeme
3. Freigabe der Bewertung
4. Historie der Änderungen
5. Prüfung im Audit
IT-Grundschutz · NET.1.1 Netzarchitektur und -design
1. Modellierung des Netzes
2. IT-Grundschutz-Check der Anforderungen
3. Firewall-Konfiguration aus Terraform
4. Pentest-Bericht
5. Prüfung im Audit

Complaica hält fest, was entschieden, umgesetzt und belegt wurde, und macht diese Historie überprüfbar. Normkonform wird eine Organisation dadurch nicht automatisch.

Preisliste anfragen

… oder einfach per WhatsApp fragen.

EVIDENCE 03

Compliance-Nachweise über den gesamten Lebenszyklus verwalten

Sechs Phasen, eine Chain. In jeder Phase registriert Complaica die Ereignisse, die später zeigen, was zu welchem Zeitpunkt galt und wer es entschieden hat.

01
01 · Scope Management

Der Geltungsbereich wird nachvollziehbar.
Complaica dokumentiert den Geltungsbereich eines Compliance-Konzepts einschließlich seiner organisatorischen und technischen Strukturen.
Relevante Änderungen werden in der Evidence Chain registriert und bleiben historisch nachvollziehbar.

Nachweisbarer Nutzen

Es lässt sich nachvollziehen, welche Organisationseinheiten, Prozesse und Assets zu einem bestimmten Zeitpunkt zum Geltungsbereich gehörten.
Typische Evidence Events
- e428690 Compliance-Konzept erstellt Qualifizierter Zeitstempel (eIDAS)
- 82069a0 Scope definiert oder geändert
- af5cdda Organisationseinheit aufgenommen oder entfernt
- fe96c5f Geschäftsprozess dem Scope zugeordnet
- 8009ee1 Asset aufgenommen oder geändert
- 221a257 Strukturversion freigegeben
02
02 · Schutzbedarf und Klassifizierung

Bewertungen mit nachvollziehbarer Grundlage.
Schutzbedarfsfeststellungen und Klassifizierungen werden mit den betroffenen Objekten verknüpft und historisch dokumentiert.

Nachweisbarer Nutzen

Nicht nur das aktuelle Bewertungsergebnis ist sichtbar, sondern auch die Entwicklung der Bewertungen und ihre zeitliche Einordnung.
Typische Evidence Events
- 7b56aef Schutzbedarf eines Assets bewertet
- 2fd5ca4 Bewertung geändert
- 0da7c18 Vererbter Schutzbedarf aktualisiert
- 5591da7 Kritikalität eines Geschäftsprozesses angepasst
- 90b0551 Bewertung bestätigt oder freigegeben Qualifizierter Zeitstempel (eIDAS)
03
03 · Anforderungen und Compliance-Bewertungen

Jede Bewertung im Kontext ihrer Anforderungen.
Complaica verbindet Anforderungen aus unterschiedlichen Standards mit Kontrollen, Maßnahmen und ihren Bewertungen.

Nachweisbarer Nutzen

Für jede Anforderung lässt sich nachvollziehen, welche Bewertung zu welchem Zeitpunkt vorlag und auf welche Evidenzen sie sich stützte.
Typische Evidence Events
- 3d397df Anforderung bewertet
- 25e20e2 Erfüllungsstatus geändert
- 4391a42 Begründung aktualisiert
- 206115a Nachweis zugeordnet
- 159098b Abweichung festgestellt
- 34c0416 Bewertung freigegeben
04
04 · Risikomanagement

Von der Risikoidentifikation zur überprüfbaren Entscheidung.
Risiken, Bewertungen und Behandlungsentscheidungen werden im Zusammenhang mit den betroffenen Assets, Prozessen und Anforderungen dokumentiert.

Nachweisbarer Nutzen

Risikobezogene Entscheidungen lassen sich über ihren gesamten Lebenszyklus nachvollziehen.
Typische Evidence Events
- 6ec6b44 Risiko identifiziert
- 7fb0e35 Eintrittswahrscheinlichkeit oder Auswirkung bewertet
- 068095c Risikobewertung geändert
- 95da879 Risikobehandlung beschlossen
- 572681e Restrisiko akzeptiert Qualifizierter Zeitstempel (eIDAS)
- 19b8fcc Risiko erneut bewertet
05
05 · Maßnahmen und technische Umsetzung

Vom Beschluss zur tatsächlichen Umsetzung.
Complaica verbindet Maßnahmen mit Anforderungen, Risiken und den Nachweisen ihrer Umsetzung.
Die Evidence Chain dokumentiert relevante Änderungen und Freigaben. Über Integrationen lassen sich auch externe technische Artefakte und Ereignisse erfassen.

Nachweisbarer Nutzen

Die Verbindung zwischen fachlicher Anforderung, organisatorischer Entscheidung und technischer Umsetzung wird sichtbar.
Typische Evidence Events
- ecf3934 Maßnahme angelegt oder geändert
- e4ebdce Verantwortlicher zugewiesen
- f85c5f2 Umsetzungsstatus aktualisiert
- ff4cad8 Maßnahme abgeschlossen
- f3e74e3 Implementierungsnachweis hinzugefügt
- bb6522c Terraform-Konfiguration registriert
- 5019ad1 Deployment-Ergebnis erfasst
- e08c42f Technische Konfiguration verifiziert
Beispiel einer zusammenhängenden Nachweiskette
1. Sicherheitsanforderung
2. Maßnahme
3. Change Request
4. Terraform-Commit
5. Firewall-Konfiguration
6. Verifikation
06
06 · Audits und kontinuierliche Verbesserung

Auditbereit — mit einer überprüfbaren Historie.
Audits greifen auf den aktuellen Stand der Compliance-Daten und die dokumentierte Historie relevanter Ereignisse zu.

Nachweisbarer Nutzen

Auditoren können nachvollziehen, welche Bewertungen, Maßnahmen und Nachweise zu einem bestimmten Zeitpunkt registriert waren.
Typische Evidence Events
- 53fe039 Audit gestartet
- 980f257 Audit-Scope festgelegt
- 2bb0a72 Nachweise geprüft
- 185949e Finding registriert
- d06539c Korrekturmaßnahme definiert
- 6e11303 Finding geschlossen
- 561fbb7 Audit abgeschlossen Qualifizierter Zeitstempel (eIDAS)
- d19f1a9 Qualifizierter Evidence Checkpoint erzeugt Qualifizierter Zeitstempel (eIDAS)

EVIDENCE 04

Nachweise automatisch im Arbeitsprozess erfassen

Die Evidence Chain wird nicht manuell nachträglich zusammengestellt. Complaica registriert relevante Ereignisse direkt bei ihrer Entstehung.

Über konfigurierbare Regeln wird festgelegt:

01Welche Objekttypen überwacht werden.
02Welche Änderungen als Evidence Event gelten.
03Welche Zustandsänderungen ignoriert werden.
04Welche Metadaten und Objektzustände erfasst werden.
05Welche Ereignisse automatisch einen qualifizierten Zeitstempel auslösen.

Trial-Konto anfragen

Ereignisregeln

Compliance-Konzept ISMS 2026

Regel hinzufügen

Objekt	Ereignis	Evidence Chain	Qualifizierter Zeitstempel
Compliance-Konzept	Erstellt	Automatisch	Ja
Scope	Geändert	Automatisch	Nein
Asset	Schutzbedarf freigegeben	Automatisch	Ja
Risiko	Bewertung geändert	Automatisch	Nein
Risiko	Restrisiko akzeptiert	Automatisch	Ja
Maßnahme	Abgeschlossen	Automatisch	Nein
Audit	Abgeschlossen	Automatisch	Ja

EVIDENCE 05

Externe Dokumente und technische Nachweise registrieren

Nicht alle relevanten Nachweise entstehen innerhalb von Complaica. Benutzer können jederzeit zusätzliche Objekte, Dokumente oder technische Artefakte in der Evidence Chain registrieren.

Bei der Registrierung werden der kryptografische Hash, die Objektidentität, die Quelle, der Zeitpunkt und die zugehörigen Metadaten erfasst. Die Registrierung kann mit Anforderungen, Risiken, Maßnahmen, Assets oder Audits verknüpft werden.

Beispiele

Informationssicherheitsrichtlinie als PDF
Genehmigtes Sicherheitskonzept
Externer Auditbericht
Penetrationstest-Ergebnis
Firewall-Konfigurationsdatei
Terraform-Manifest
SIEM Incident Report
Lieferantenzertifikat

Nachweis registrieren

Datei

Pentest-Bericht_DMZ_2026-Q3.pdf PDF · 2,4 MB · SHA-256 71f82950…3231

Verknüpfen mit

M-114 Netzsegmentierung DMZ

R-12 Unbefugter ZugriffA.8.20 Netzwerksicherheit

Quelle

Externer Prüfdienstleister

Beschreibung

Penetrationstest der DMZ nach Abschluss der Netzsegmentierung, Abschlussbericht.

Qualifizierten Zeitstempel erstellen An den Vertrauensdiensteanbieter geht nur der Hashwert.

Abbrechen Registrieren

EVIDENCE 06

Evidence Chain mit qualifizierten eIDAS-Zeitstempeln

Jedes Evidence Event wird kryptografisch mit der vorherigen Historie verknüpft. Dadurch werden nachträgliche Veränderungen erkennbar.

Für ausgewählte Zustände können qualifizierte elektronische Zeitstempel nach eIDAS erzeugt werden. Sie bestätigen den kryptografischen Zustand der Chain zu einem bestimmten Zeitpunkt und ermöglichen eine unabhängige Überprüfung ihrer zeitlichen Verankerung.

Evidence Hash

Identifiziert den registrierten Inhalt beziehungsweise Zustand.

Evidence Chain

Verknüpft die registrierten Ereignisse kryptografisch miteinander.

Qualified Timestamp

Bestätigt unabhängig, dass ein bestimmter Zustand der Chain spätestens zum angegebenen Zeitpunkt existierte.

Ein Checkpoint deckt die gesamte bis dahin registrierte Historie ab.

Event 001 d56bc121 eIDAS
Event 002 dfe4f0b6
Event 003 c256f59f eIDAS
Event 004 e6e64286
Event 005 e9a8facd eIDAS

Checkpoint an Event 001

Checkpoint an Event 003 · deckt Event 001⁠–⁠003 ab

Checkpoint an Event 005 · deckt Event 001⁠–⁠005 ab

Die Zeitstempel werden durch einen qualifizierten Vertrauensdiensteanbieter ausgestellt. Die Daten und Dokumente selbst müssen dafür nicht an den Anbieter übertragen werden.

Konto erhalten

… oder einfach per WhatsApp fragen.

EVIDENCE 07

Audit-Nachweise im Evidence Chain Explorer nachvollziehen

Complaica bietet eine navigierbare Darstellung der Evidence Chain.

Benutzer können

01Ereignisse chronologisch durchsuchen.
02Einzelne Blocks öffnen.
03Hashwerte und Verknüpfungen einsehen.
04Zu den ursprünglichen Complaica-Objekten navigieren.
05Externe Dokumente und technische Artefakte aufrufen, soweit verfügbar und berechtigt.
06Qualifizierte Zeitstempel und Verifikationsstatus prüfen.
07Historische Zustände nachvollziehen.
08Zusammengehörige Ereignisse und Nachweise untersuchen.

Evidence Chain Explorer

Evidence Chain Explorer Hash, Objekt oder Akteur suchen

Block #1279

Maßnahme abgeschlossen

Hash: 32bf57129b9e9c283bcfcb8f0fc16ed23d168283af8bd558a3c6f33d7abfc47c
Vorheriger Hash: 241fabff52eff6ea9854e96fda0f0fc912f2684bf7ccde289a7ccc042eb39a99
Quellobjekt: M-114 Netzsegmentierung DMZ
Akteur: T. Yilmaz
Zeitpunkt: 08.10.2026, 14:02 UTC
Verifikation: Integrität verifiziert
Qualifizierter Zeitstempel: Keiner — abgedeckt durch den nächsten Checkpoint