Jedes Unternehmen hat IT-Risiken – die Frage ist nur, ob diese bekannt und bewertet sind oder ob sie still im Hintergrund schlummern, bis es zu spät ist. Eine strukturierte IT-Risikobewertung, auch IT Risk Assessment genannt, macht diese Risiken sichtbar und gibt dir die Grundlage, um fundierte Entscheidungen über Schutzmaßnahmen zu treffen.
- IT Risk Assessment identifiziert, analysiert und bewertet Risiken für IT-Systeme, Daten und Prozesse eines Unternehmens
- Der Prozess folgt einem klaren Schema: Assets identifizieren → Bedrohungen ermitteln → Schwachstellen prüfen → Risikowert berechnen → Maßnahmen ableiten
- Risiken werden nach Eintrittswahrscheinlichkeit und Schadensausmaß bewertet – das Ergebnis ist eine priorisierte Risikoliste
- Frameworks wie ISO 27005, NIST SP 800-30 oder BSI-Grundschutz bieten bewährte Methoden für die Durchführung
- Ein Risk Assessment ist kein Einmalvorgang – es muss regelmäßig wiederholt und aktualisiert werden
Was ist IT-Risikobewertung?
IT-Risikobewertung (englisch: IT Risk Assessment) ist ein systematischer Prozess zur Identifikation und Bewertung von Risiken, die IT-Systeme, Daten und Infrastruktur eines Unternehmens betreffen. Sie ist ein zentraler Bestandteil des Informationssicherheits-Managements und bildet die Grundlage für alle Entscheidungen rund um IT-Sicherheitsmaßnahmen.
Ohne Risikobewertung entscheidest du nach Bauchgefühl oder reagierst nur auf bereits eingetretene Ereignisse. Mit einer strukturierten Bewertung weißt du, welche Risiken real und relevant sind, und kannst deine Ressourcen gezielt einsetzen.
Warum ist IT-Risikobewertung wichtig?
Drei Gründe, die in der Praxis regelmäßig unterschätzt werden:
Ressourcen sind begrenzt. Kein Unternehmen kann alle denkbaren Risiken gleichzeitig maximal absichern. Eine Priorisierung auf Basis bewerteter Risiken hilft dir, dort zu investieren, wo der Schutz am dringendsten gebraucht wird.
Compliance-Anforderungen. Viele Regularien – von DSGVO über ISO 27001 bis KRITIS – fordern explizit eine dokumentierte Risikobewertung als Nachweis angemessener Schutzmaßnahmen.
Versicherungsanforderungen. Cyber-Versicherungen verlangen zunehmend nachweisbare Risikomanagement-Prozesse als Voraussetzung für die Deckung.
Der Prozess der IT-Risikobewertung
Schritt 1: Assets identifizieren
Was soll geschützt werden? Das Inventar aller schützenswerten IT-Assets ist die Grundlage: Server, Datenbanken, Applikationen, Netzwerkkomponenten, Endgeräte, Cloud-Dienste, aber auch immaterielle Assets wie proprietäre Daten, Kundendaten oder geistiges Eigentum.
Jedes Asset bekommt eine Bewertung seiner Kritikalität: Wie wichtig ist es für den Geschäftsbetrieb? Was ist sein finanzieller oder strategischer Wert?
Schritt 2: Bedrohungen ermitteln
Welche Bedrohungen können die identifizierten Assets gefährden? Relevante Kategorien:
- Technische Bedrohungen (Malware, Ransomware, DDoS, Zero-Day-Exploits)
- Menschliche Fehler (Fehlkonfiguration, versehentliches Löschen, Phishing)
- Insider-Threats (böswillige oder kompromittierte Mitarbeiter)
- Physische Bedrohungen (Hardwareausfall, Naturkatastrophen, Diebstahl)
- Abhängigkeitsrisiken (Ausfall von Cloud-Anbietern, Lieferkettenproblemen)
Schritt 3: Schwachstellen analysieren
Bedrohungen allein richten keinen Schaden an – sie brauchen eine Schwachstelle, um wirksam zu sein. Typische Schwachstellen: ungepatchte Software, schwache Passwörter, fehlende Netzwerksegmentierung, mangelnde Mitarbeiterschulungen, ungesicherte Remote-Zugänge.
Tools wie Vulnerability Scanner (z.B. Nessus, OpenVAS) oder Penetrationstests helfen dabei, technische Schwachstellen systematisch aufzudecken.
Schritt 4: Risikowert berechnen
Der klassische Ansatz kombiniert zwei Faktoren:
- Eintrittswahrscheinlichkeit: Wie wahrscheinlich ist es, dass diese Bedrohung diese Schwachstelle ausnutzt? (z.B. niedrig / mittel / hoch)
- Schadensausmaß: Welcher Schaden entsteht, wenn das Risiko eintritt? (z.B. finanziell, operativ, reputationsbezogen)
Das Ergebnis: Risiko = Eintrittswahrscheinlichkeit × Schadensausmaß. In der Praxis wird oft eine Risikomatrix (Heat Map) genutzt, die Risiken visuell nach Priorität ordnet.
Schritt 5: Maßnahmen ableiten und dokumentieren
Für jedes bewertete Risiko gibt es vier grundlegende Reaktionsmöglichkeiten:
- Vermeiden: Die risikobehaftete Aktivität wird nicht durchgeführt
- Reduzieren: Technische oder organisatorische Maßnahmen senken Wahrscheinlichkeit oder Ausmaß
- Transferieren: Das Risiko wird auf Dritte übertragen (z.B. Cyber-Versicherung, Outsourcing)
- Akzeptieren: Das Restrisiko wird bewusst getragen, wenn Kosten der Maßnahme den Nutzen übersteigen
Relevante Frameworks
ISO/IEC 27005: Der internationale Standard für IT-Risikomanagement im Rahmen von ISO 27001. Klarer Prozess, international anerkannt.
NIST SP 800-30: Framework des amerikanischen National Institute of Standards and Technology – besonders im US-amerikanischen und international ausgerichteten Umfeld verbreitet.
BSI-Grundschutz: Das Bundesamt für Sicherheit in der Informationstechnik bietet ein umfassendes Rahmenwerk speziell für den deutschen Markt – mit konkreten Maßnahmen-Katalogen und Zertifizierungsoption.
Häufige Fehler bei der IT-Risikobewertung
- Risk Assessment wird einmalig durchgeführt und danach nicht aktualisiert
- Assets werden nicht vollständig erfasst – Shadow-IT oder neue Cloud-Dienste bleiben unberücksichtigt
- Risiken werden nach Intuition bewertet statt nach strukturierten Kriterien
- Maßnahmen werden definiert, aber nicht umgesetzt oder auf Wirksamkeit geprüft
- Das Ergebnis wird nicht dokumentiert – und ist damit im Zweifelsfall nicht nachweisbar
Fazit
IT-Risikobewertung ist keine Schreibtischübung für Compliance-Dokumente – sie ist das Fundament für jede sinnvolle Entscheidung über IT-Sicherheitsmaßnahmen. Wer seine Risiken kennt, kann seine Ressourcen gezielt einsetzen und nachweisen, dass er angemessene Schutzmaßnahmen getroffen hat.
Der Aufwand für eine erste Bewertung ist hoch – aber er ist eine einmalige Investition, die sich jedes Mal auszahlt, wenn eine bekannte Bedrohung durch eine bereits implementierte Maßnahme abgewehrt wird.
FAQ
Was ist der Unterschied zwischen Risk Assessment und Risk Management?
Das Risk Assessment ist ein Teil des Risk Managements. Es identifiziert und bewertet Risiken. Risk Management ist der übergeordnete Prozess: Er umfasst die Bewertung (Assessment), die Entscheidung über Maßnahmen (Treatment), deren Umsetzung und die kontinuierliche Überwachung.
Wie oft muss ein IT Risk Assessment wiederholt werden?
Mindestens jährlich, bei größeren Infrastrukturveränderungen oder nach sicherheitsrelevanten Vorfällen auch häufiger. Neue Systeme, neue Dienste oder neue Bedrohungslagen erfordern eine Aktualisierung der Bewertung.
Müssen kleine Unternehmen ein Risk Assessment durchführen?
Wenn sie personenbezogene Daten verarbeiten, sind sie unter der DSGVO verpflichtet, ein dem Risiko angemessenes Schutzkonzept nachzuweisen – ein Risk Assessment ist dafür die Grundlage. Für ISO 27001 oder KRITIS-Anforderungen gilt das umso mehr.
Was ist eine Risikomatrix?
Eine Risikomatrix (auch Heat Map) stellt Risiken grafisch nach Eintrittswahrscheinlichkeit und Schadensausmaß dar. Risiken in der oberen rechten Ecke (hohe Wahrscheinlichkeit, großer Schaden) haben höchste Priorität. Sie macht es einfacher, die Risikolandschaft auf einen Blick zu erfassen.