Risikobewertungsmethodik
ISMS Copilot verwendet eine strukturierte, wiederholbare Risikobewertungsmethodik, um Informationssicherheitsrisiken zu identifizieren, zu bewerten, zu evaluieren und zu behandeln. Diese…
ISMS Copilot verwendet eine strukturierte, wiederholbare Risikobewertungsmethodik, um Informationssicherheitsrisiken zu identifizieren, zu bewerten, zu evaluieren und zu behandeln. Diese Methodik erfüllt die Anforderungen der ISO 27001 (Klauseln 6.1.1, 6.1.2, 6.1.3, 8.2, 8.3) und liefert konsistente, vergleichbare Ergebnisse über Bewertungszyklen hinweg.
Diese Seite beschreibt unsere Risikobewertungsmethodik — wie wir Risiken identifizieren, bewerten und behandeln. Die tatsächlichen Inhalte des Risikoregisters sind vertraulich und werden in unserem sicheren Repository gepflegt.
Risikokategorien
Wir bewerten Risiken in vier Kategorien, die das gesamte Spektrum der Bedrohungen für unsere Plattform und Nutzer abdecken:
- Sicherheitsrisiken — Unbefugter Zugriff, Datenpannen, Kompromittierung von Anmeldedaten, Systemmanipulation
- Betriebliche Risiken — Dienstverfügbarkeit, Abhängigkeiten von Drittanbietern, Geschäftskontinuität, Kapazität
- Compliance-Risiken — Verstöße gegen Vorschriften, Vertragsverletzungen, Zertifizierungslücken, Audit-Feststellungen
- KI-spezifische Risiken — LLM-Halluzinationen, Prompt-Injection, KI-Datenverarbeitung, Modellverzerrung, Anbieter-Governance
Risikobewertungsprozess
Unsere Risikobewertung folgt einem fünfstufigen Prozess:
- Kontextprüfung — Überprüfung des organisatorischen Kontexts, der Bedrohungslage, der Vorfallhistorie und von Plattformänderungen (Klausel 4)
- Risikoidentifikation — Identifikation gefährdeter Assets, Bedrohungen, Schwachstellen und möglicher Folgen (Klausel 6.1.2)
- Risikoanalyse — Bewertung jedes Risikos nach Eintrittswahrscheinlichkeit und Auswirkung anhand der folgenden Skalen (Klausel 6.1.2)
- Risikoevaluierung — Berechnung des Risikowerts und Klassifizierung des Schweregrads (Klausel 6.1.2)
- Risikobehandlung — Auswahl der Behandlungsoption und Implementierung von Kontrollen (Klausel 6.1.3)
Eintrittswahrscheinlichkeit-Skala
| Score | Stufe | Definition | Indikative Häufigkeit |
|---|---|---|---|
| 1 | Selten | Kann nur unter außergewöhnlichen Umständen eintreten | Weniger als einmal alle 5 Jahre |
| 2 | Unwahrscheinlich | Kann eintreten, wird aber nicht erwartet | Einmal alle 1-5 Jahre |
| 3 | Möglich | Kann irgendwann eintreten | Einmal pro Jahr |
| 4 | Wahrscheinlich | Wird unter den meisten Umständen erwartet | Mehrmals pro Jahr |
| 5 | Fast sicher | Wird häufig erwartet oder tritt bereits ein | Monatlich oder häufiger |
Berücksichtigte Faktoren: Ob der Bedrohungsvektor in ähnlichen Plattformen aktiv ausgenutzt wird, vorhandene Kontrollen, die die Eintrittswahrscheinlichkeit verringern, historische Vorfalldaten, Motivation und Fähigkeiten des Angreifers.
Auswirkungs-Skala
| Score | Stufe | Definition | Beispiele |
|---|---|---|---|
| 1 | Vernachlässigbar | Minimale oder keine Auswirkung | Kosmetisches Problem, kurzzeitige Unannehmlichkeit für einen Nutzer |
| 2 | Geringfügig | Begrenzte Auswirkung; schnell behebbar | Kurze Dienstbeeinträchtigung, geringfügige Dateninkonsistenz (keine Datenpanne) |
| 3 | Mäßig | Bemerkbare Auswirkung; erfordert Aufwand zur Behebung | Teilausfall für mehrere Stunden, Verlust einer nicht kritischen Funktion |
| 4 | Schwerwiegend | Erhebliche Auswirkung auf Betrieb, Daten oder Reputation | Längerer Ausfall, Datenpanne mit Auswirkungen auf mehrere Nutzer, Meldepflicht gegenüber Aufsichtsbehörden |
| 5 | Katastrophal | Schwere Auswirkung, die die Geschäftsfähigkeit bedroht | Massive Datenpanne, vollständiger Dienstausfall, aufsichtsrechtliche Maßnahmen |
Berücksichtigte Faktoren: Anzahl der betroffenen Nutzer oder Datensätze, ob vertrauliche oder eingeschränkte Daten offengelegt werden, Meldepflichten gegenüber Aufsichtsbehörden, Wiederherstellungszeit und -kosten, Auswirkungen auf das Kundenvertrauen.
Risikomatrix
Risikowert = Eintrittswahrscheinlichkeit x Auswirkung (Skala von 1-25)
| Score-Bereich | Risikostufe | Erforderliche Maßnahmen |
|---|---|---|
| 20-25 | Kritisch | Sofortige Maßnahmen erforderlich; CEO-Genehmigung für jede Verzögerung |
| 15-19 | Hoch | Innerhalb von 48 Stunden behandeln; Behandlungsplan erforderlich |
| 8-14 | Mittel | Innerhalb von 1-2 Wochen behandeln; für nächsten Sprint einplanen |
| 1-7 | Niedrig | Überwachen und prüfen; bei Gelegenheit behandeln |
Risikowerte werden automatisch aus unseren strukturierten Risikodefinitionen berechnet, um manuelle Fehler zu reduzieren und die Konsistenz über Bewertungszyklen hinweg zu gewährleisten.
Optionen zur Risikobehandlung
Für jedes Risiko oberhalb der akzeptablen Schwelle wählen wir eine von vier Behandlungsoptionen aus:
| Behandlung | Definition | Wann verwendet |
|---|---|---|
| Minderung | Implementierung von Kontrollen zur Verringerung der Eintrittswahrscheinlichkeit und/oder Auswirkung | Standardoption; die meisten Risiken werden so behandelt |
| Akzeptanz | Anerkennung des Risikos und Überwachung ohne zusätzliche Kontrollen | Wenn die Kosten der Minderung den potenziellen Schaden übersteigen oder das Restrisiko innerhalb der Toleranz liegt |
| Übertragung | Verlagerung des Risikos auf einen Dritten | Wenn ein Anbieter besser in der Lage ist, das Risiko zu managen |
| Vermeidung | Beseitigung des Risikos durch Entfernung der Aktivität oder des Assets | Wenn das Risiko inakzeptabel ist und nicht angemessen gemindert werden kann |
Kriterien für die Risikoakzeptanz
- Niedrige Risiken (1-7) können vom Engineering Lead akzeptiert werden
- Mittlere Risiken (8-14) erfordern die Kenntnisnahme des CEO; können mit dokumentierter Begründung akzeptiert werden
- Hohe und kritische Risiken (15+) erfordern eine ausdrückliche Genehmigung des CEO mit dokumentierter Rechtfertigung, kompensierenden Kontrollen und einem Überprüfungsdatum
Struktur des Risikoregisters
Alle Risiken werden als strukturierte Datendateien dokumentiert, die nach Kategorie (Sicherheit, Betrieb, Compliance, KI-spezifisch) organisiert sind. Jeder Risikoeintrag erfasst:
- Eindeutige Kennung, Kategorie und betroffenes Asset
- Risikobeschreibung und Bedrohungsvektor
- Eintrittswahrscheinlichkeit und Auswirkungsbewertung
- Zugewiesener Risikoverantwortlicher
- Minderungsstrategie und implementierte Kontrollen
- Überprüfungsdatum und Status
- Ausrichtung auf Frameworks (ISO 27001, SOC 2)
Die Inhalte des Risikoregisters — einschließlich spezifischer identifizierter Risiken, Bewertungen und Behandlungsdetails — sind vertraulich. Diese Seite beschreibt unsere Methodik; das tatsächliche Register wird in unserem sicheren, versionskontrollierten Repository mit eingeschränktem Zugriff gepflegt.
Häufigkeit der Risikoüberprüfung
| Aktivität | Häufigkeit |
|---|---|
| Validierung des Risikoregisters | Wöchentlich (automatisiert) |
| Überprüfung hoher/kritischer Risiken | Zweiwöchentlich |
| Vollständige Überprüfung des Risikoregisters | Vierteljährlich |
| Ereignisbasierte Bewertung | Bei Ereignissen (Vorfall, neue Funktion, Architekturänderung, regulatorische Änderung) |
Restrisiko
Nach Anwendung der Kontrollen hat jedes Risiko ein Restrisiko, das mit derselben Methodik bewertet wird, jedoch den Zustand nach der Kontrolle widerspiegelt. Das Restrisiko wird im Risikoregister dokumentiert, im Management-Review berichtet, und jedes Restrisiko oberhalb der Stufe „Mittel“ erfordert eine dokumentierte Akzeptanz mit einem Überprüfungsdatum.
Abstimmung mit der Vorfallschwere
Unsere Risikobewertung ist mit unserer Klassifizierung der Vorfallschwere abgestimmt, um eine konsistente Reaktion zu gewährleisten:
| Risikowert | Risikostufe | Vorfallschwere | Reaktions-SLA |
|---|---|---|---|
| 20-25 | Kritisch | S0 | Eindämmung und Minderung am selben Tag |
| 15-19 | Hoch | S1 | Minderung innerhalb von 48 Stunden |
| 8-14 | Mittel | S2 | 1-2 Wochen |
| 1-7 | Niedrig | S3 | Backlog / Überwachung |