---
title: "Change Management: Definition und Compliance-Leitfaden"
description: "Erfahren Sie, wie Sie Change Management implementieren, das ISO 27001, SOC 2, NIS2 und DORA erfüllt. Umfasst Change-Control-Prozesse, CAB-Reviews, Risikobewertung, Rollback-Planung und Compliance-Nachweise."
canonical: https://www.orbiqhq.com/de/glossar/change-management
html: https://www.orbiqhq.com/de/glossar/change-management
publisher: Orbiq GmbH
language: en
---
# Change Management: Definition und Compliance-Leitfaden

Erfahren Sie, wie Sie Change Management implementieren, das ISO 27001, SOC 2, NIS2 und DORA erfüllt. Umfasst Change-Control-Prozesse, CAB-Reviews, Risikobewertung, Rollback-Planung und Compliance-Nachweise.


## Was ist Change Management?

Change Management ist der strukturierte Prozess zur Steuerung von Änderungen an IT-Systemen, Anwendungen, Infrastruktur und Konfigurationen. Es stellt sicher, dass Änderungen geplant, geprüft, genehmigt, getestet und dokumentiert werden, bevor sie implementiert werden, und minimiert so das Risiko von Sicherheitsvorfällen, Betriebsstörungen und Compliance-Verstößen.

Für compliance-orientierte Organisationen ist Change Management eine Kernkontrolle, die von ISO 27001, SOC 2, NIS2 und DORA gefordert wird. Auditoren prüfen spezifisch Change-Records, Genehmigungsworkflows, Testnachweise und Rollback-Verfahren.

## Change-Typen

| Typ | Beschreibung | Genehmigung | Beispiele |
| --- | --- | --- | --- |
| **Standard** | Vorab genehmigte, risikoarme, routinemäßige Änderungen | Vorab genehmigtes Modell | Genehmigte Patches, Benutzerbereitstellung, Backup-Änderungen |
| **Normal** | Geplante Änderungen mit Bewertung und Genehmigung | CAB oder benannter Genehmiger | Neue Anwendungsbereitstellung, Infrastrukturänderungen |
| **Emergency** | Dringende Änderungen zur Behebung kritischer Probleme | Emergency-Change-Autorität | Kritische Sicherheitspatches, Incident-Response-Änderungen |

## Change-Management-Prozess

| Phase | Aktivitäten | Ergebnis |
| --- | --- | --- |
| **Anfrage** | Change Request mit Geschäftsbegründung einreichen | Change-Request-Datensatz |
| **Bewertung** | Risiko, Auswirkung und Abhängigkeiten evaluieren | Risikobewertung und Kategorisierung |
| **Überprüfung** | Technische Überprüfung und Sicherheitsbewertung | Überprüfungsergebnisse und Empfehlungen |
| **Genehmigung** | CAB oder benannte Autorität genehmigt oder lehnt ab | Genehmigungsentscheidung mit Bedingungen |
| **Planung** | Implementierung planen, Rollback-Plan vorbereiten | Implementierungsplan mit Rollback-Verfahren |
| **Test** | In Nicht-Produktionsumgebung testen | Testergebnisse und Freigabe |
| **Implementierung** | Änderung während genehmigtem Fenster durchführen | Implementierungslogs |
| **Verifizierung** | Erfolg der Änderung bestätigen, keine negativen Auswirkungen | Post-Implementierungs-Review |
| **Abschluss** | Ergebnis dokumentieren, CMDB aktualisieren, Ticket schließen | Abgeschlossener Change-Record |

## Change-Risikobewertung

| Risikofaktor | Niedrig | Mittel | Hoch |
| --- | --- | --- | --- |
| **Betroffene Systeme** | Einzelnes unkritisches System | Mehrere Systeme oder ein kritisches System | Kerninfrastruktur oder mehrere kritische Systeme |
| **Betroffene Benutzer** | < 10 Benutzer | 10-100 Benutzer | > 100 Benutzer oder alle Benutzer |
| **Rollback-Komplexität** | Einfacher, automatisierter Rollback | Manueller Rollback mit dokumentierten Schritten | Komplexer Rollback mit erweiterter Ausfallzeit |
| **Testabdeckung** | Vollständig getestet, bewährtes Verfahren | In Staging getestet | Begrenzte oder keine Tests möglich |
| **Change-Fenster** | Standard-Wartungsfenster | Erweitertes Wartungsfenster | Kein geeignetes Wartungsfenster |

## Funktionstrennung

| Rolle | Verantwortung | Kann nicht gleichzeitig sein |
| --- | --- | --- |
| **Change-Antragsteller** | Reicht Änderung ein und begründet sie | Genehmiger derselben Änderung |
| **Change-Prüfer** | Bewertet technisches Risiko und Auswirkung | Alleiniger Implementierer ohne Prüfung |
| **Change-Genehmiger** | Autorisiert die Implementierung | Antragsteller derselben Änderung |
| **Change-Implementierer** | Führt die genehmigte Änderung durch | Genehmiger derselben Änderung |
| **Change-Verifizierer** | Bestätigt erfolgreiche Implementierung | Alleiniger Implementierer ohne Verifizierung |

## Compliance-Anforderungen

### Framework-Zuordnung

| Anforderung | ISO 27001 | SOC 2 | NIS2 | DORA |
| --- | --- | --- | --- | --- |
| Change-Management-Prozess | A.8.32 | CC8.1 | Art. 21(2)(e) | Art. 9(4)(e) |
| Funktionstrennung | A.5.3 | CC6.1 | Art. 21(2)(i) | Art. 9(4) |
| Tests vor Bereitstellung | A.8.29 | CC8.1 | Art. 21(2)(e) | Art. 9(4)(e) |
| Rollback-Verfahren | A.8.32 | CC8.1 | Art. 21(2)(e) | Art. 9(4)(e) |
| Change-Dokumentation | A.8.32 | CC8.1 | Art. 21(2)(e) | Art. 9(4)(e) |

### Auditnachweise

| Nachweistyp | Beschreibung | Framework |
| --- | --- | --- |
| Change-Management-Richtlinie | Dokumentierter Prozess mit Rollen und Genehmigungsworkflows | Alle Frameworks |
| Change-Records | Vollständige Historie aller Änderungen mit Genehmigungen | Alle Frameworks |
| CAB-Sitzungsprotokolle | Dokumentation der Änderungsüberprüfung und Genehmigungsentscheidungen | Alle Frameworks |
| Testergebnisse | Nachweis der Tests vor Bereitstellung | Alle Frameworks |
| Rollback-Verfahren | Dokumentierte Rollback-Pläne für jede wesentliche Änderung | Alle Frameworks |
| Post-Implementierungs-Reviews | Nachweis der Verifizierung nach Änderungsbereitstellung | ISO 27001, SOC 2 |
| Emergency-Change-Records | Nachträgliche Dokumentation von Emergency Changes | Alle Frameworks |

## Change-Management-Metriken

| Metrik | Ziel | Beschreibung |
| --- | --- | --- |
| **Change-Erfolgsrate** | > 95% | Prozentsatz der ohne Vorfall implementierten Änderungen |
| **Emergency-Change-Rate** | < 10% | Prozentsatz der als Emergency klassifizierten Änderungen |
| **Änderungsbedingte Vorfälle** | < 5% | Prozentsatz der durch Änderungen verursachten Vorfälle |
| **Mittlere Implementierungszeit** | Gemäß SLA | Durchschnittliche Zeit von Genehmigung bis Implementierung |
| **Rollback-Rate** | < 5% | Prozentsatz der Änderungen, die Rollback erfordern |
| **Dokumentationsvollständigkeit** | 100% | Prozentsatz der Änderungen mit vollständigen Records |

## Häufige Fehler

| Fehler | Risiko | Lösung |
| --- | --- | --- |
| Kein formaler Change-Prozess | Unkontrollierte Änderungen führen zu Schwachstellen | Dokumentierten Change-Management-Prozess implementieren |
| Genehmigung aus Bequemlichkeit umgehen | Nicht autorisierte Änderungen verursachen Vorfälle | Genehmigungsworkflows durchsetzen, Ausnahmen verfolgen |
| Keine Rollback-Planung | Fehlgeschlagene Änderungen verursachen verlängerte Ausfälle | Rollback-Plan für jede wesentliche Änderung erfordern |
| Gleiche Person beantragt und genehmigt | Keine Aufsicht, Verstoß gegen Funktionstrennung | Funktionstrennung im Change-Workflow durchsetzen |
| Kein Post-Implementierungs-Review | Fehlgeschlagene Änderungen bleiben unentdeckt | Verifizierung für alle Änderungen erfordern |
| Emergency Changes nicht dokumentiert | Audit-Lücken, nicht nachverfolgbare Systemmodifikationen | Nachträgliche Dokumentation innerhalb von 24-48 Stunden |

## Wie Orbiq Change-Management-Compliance unterstützt

Orbiq hilft Ihnen, Change-Management-Kontrollen nachzuweisen:

- **Nachweissammlung** — Zentralisieren Sie Change-Richtlinien, Genehmigungsaufzeichnungen und Testergebnisse
- **Kontinuierliches Monitoring** — Verfolgen Sie Change-Management-Metriken und Compliance
- **Trust Center** — Teilen Sie Ihre Change-Management-Postur über Ihr [Trust Center](/de/glossar/trust-center)
- **Compliance-Mapping** — Ordnen Sie Change-Kontrollen ISO 27001, SOC 2, NIS2 und DORA zu
- **Audit-Bereitschaft** — Vorgefertigte Nachweispakete für Auditorenprüfungen

## Weiterführende Informationen

- [Patch-Management](/de/glossar/patch-management) — Change Control für Sicherheitspatches
- [DevSecOps](/de/glossar/devsecops) — Automatisiertes Change Management in CI/CD
- [Incident Response](/de/glossar/incident-response) — Emergency Changes bei Vorfällen
- [Risikomanagement-Frameworks](/de/glossar/risikomanagement-frameworks) — Risikobewertung für Änderungen
- [Kontinuierliches Monitoring](/de/glossar/continuous-monitoring) — Überwachung der Change-Compliance