IT-Risikoanalyse

Kein Unternehmen kann sich gegen alles gleichzeitig schützen. Die IT-Risikoanalyse klärt deshalb, wo die größten Gefahren liegen und wo Budget und Aufwand am meisten bewirken. Sie ist Kernbestandteil eines ISMS, wird von Normen wie ISO/IEC 27001 verlangt und ist auch in Regelwerken wie NIS2 und der DSGVO angelegt, die Schutzmaßnahmen ausdrücklich am Risiko ausrichten.

Wie funktioniert eine IT-Risikoanalyse?

1. Werte erfassen: Welche Informationen, Systeme und Prozesse sind wichtig, und welchen Schutzbedarf haben sie hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit?
2. Bedrohungen und Schwachstellen ermitteln: etwa Ransomware, Phishing, Hardwaredefekte, Fehlbedienung, Stromausfall oder der Ausfall eines Dienstleisters.
3. Risiken bewerten: Für jedes Szenario werden Eintrittswahrscheinlichkeit und Schadensausmaß eingeschätzt, häufig in einfachen Stufen wie gering, mittel und hoch, und in einer Risikomatrix dargestellt.
4. Risiken behandeln: Für jedes Risiko wird entschieden, ob es durch Maßnahmen verringert, vermieden, etwa über eine Versicherung auf Dritte übertragen oder bewusst akzeptiert wird.
5. Überwachen und wiederholen: Die Analyse wird regelmäßig und bei größeren Änderungen aktualisiert.

Ergebnis ist meist ein Risikoregister, das jedes Risiko mit Bewertung, Maßnahme, verantwortlicher Person und Bearbeitungsstand festhält. Methodisch gibt es qualitative Verfahren, die mit Stufen arbeiten, und quantitative Verfahren, die Schäden in Geldbeträgen schätzen. Für kleine und mittlere Unternehmen sind qualitative Verfahren meist praktikabler. Bekannte Leitfäden sind die Norm ISO/IEC 27005 und der BSI-Standard 200-3.

Typische Beispiele

• Ein Unternehmen stellt fest, dass die gesamte Auftragsabwicklung an einem einzigen Server ohne getestete Wiederherstellung hängt, und priorisiert Backup und Disaster Recovery.
• Vor der Einführung eines KI-Werkzeugs werden Risiken für vertrauliche Daten bewertet und Nutzungsregeln abgeleitet.
• Die Geschäftsleitung akzeptiert ein Restrisiko bewusst und dokumentiert diese Entscheidung.

Worauf Unternehmen achten sollten

• Fachbereiche einbeziehen, weil sie den Wert von Prozessen und Daten am besten einschätzen können.
• Bewertungsmaßstäbe vorab festlegen, damit Ergebnisse vergleichbar sind.
• Ergebnisse in einen konkreten Maßnahmenplan mit Verantwortlichen und Terminen überführen.
• Technische Erkenntnisse aus dem Schwachstellenmanagement laufend einfließen lassen.
• Die Akzeptanz von Restrisiken durch die Geschäftsleitung dokumentieren lassen.

Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.