Was ist eine Risikobewertung in ISO 27001?

Übersicht

Eine Risikobewertung in ISO 27001 ist der systematische Prozess zur Identifizierung von Informationssicherheitsrisiken, zur Analyse ihrer potenziellen Auswirkungen und Eintrittswahrscheinlichkeit sowie zur Bewertung, welche Risiken behandelt werden müssen. Sie bildet das Fundament des ISMS, indem sie sicherstellt, dass Sicherheitskontrollen tatsächliche Bedrohungen für Ihr Unternehmen adressieren – und nicht imaginäre oder generische Bedenken.

Was das in der Praxis bedeutet

Die Risikobewertung beantwortet drei entscheidende Fragen:

• Was kann schiefgehen? (Identifizierung von Bedrohungen und Schwachstellen)
• Wie schlimm wäre es? (Bewertung der Auswirkungen)
• Wie wahrscheinlich ist es? (Bewertung der Eintrittswahrscheinlichkeit)

Basierend auf diesen Antworten priorisieren Sie, welche Risiken Kontrollen benötigen, und rechtfertigen Ihre Kontrollauswahl gegenüber Auditoren.

Warum die Risikobewertung für ISO 27001 wichtig ist

Kernanforderung des Standards

ISO 27001 Klausel 6.1.2 verlangt ausdrücklich, dass Organisationen „einen Prozess zur Bewertung von Informationssicherheitsrisiken definieren und anwenden“. Ohne dokumentierte und durchgeführte Risikobewertungen kann keine Zertifizierung erreicht werden.

Begründung der Kontrollauswahl

Ihr Statement of Applicability muss erklären, warum Sie jede Annex-A-Kontrolle einbezogen oder ausgeschlossen haben. Die Risikobewertung liefert diese Begründung – Kontrollen werden ausgewählt, um identifizierte Risiken zu adressieren.

Sicherstellung einer angemessenen Ressourcenallokation

Durch die Quantifizierung von Risiken investieren Sie Sicherheitsressourcen dort, wo sie am wichtigsten sind, anstatt sie gleichmäßig auf alle Bereiche zu verteilen.

Nachweis der Sorgfaltspflicht

Für Aufsichtsbehörden, Kunden und Gerichte zeigt eine dokumentierte Risikobewertung, dass Sie Sicherheitsverpflichtungen systematisch identifiziert und adressiert haben.

Komponenten der ISO-27001-Risikobewertung

Risikobewertungsmethodik

ISO 27001 verlangt, dass Sie definieren und dokumentieren, wie Sie Risikobewertungen durchführen, einschließlich:

• Risikokriterien: Wie Sie die Schwere des Risikos bewerten (z. B. Risikomatrix, Bewertungssystem)
• Risikoakzeptanzkriterien: Schwellenwerte, die bestimmen, welche Risiken behandelt oder akzeptiert werden müssen
• Wiederholbarkeit: Konsistenter Ansatz, der über die Zeit vergleichbare Ergebnisse liefert

Asset-Identifizierung

Erfassen Sie Informationswerte innerhalb des ISMS-Geltungsbereichs. Assets umfassen:

• Informationen: Kundendaten, Finanzunterlagen, geistiges Eigentum, Mitarbeiterakten
• Systeme: Anwendungen, Datenbanken, Cloud-Dienste, Netzwerkinfrastruktur
• Physische Assets: Server, Laptops, Speichermedien, Einrichtungen
• Dienstleistungen: Drittanbieter, Cloud-Plattformen, Managed Services
• Personen: Mitarbeiter mit speziellem Wissen oder Zugriff

Bedrohungsidentifizierung

Identifizieren Sie potenzielle Schadensquellen für Assets:

• Bösartige Bedrohungen: Hacker, Ransomware, Insider-Bedrohungen, Wettbewerber
• Unbeabsichtigte Bedrohungen: Menschliches Versagen, Fehlkonfiguration, unbeabsichtigte Offenlegung
• Umweltbedingte Bedrohungen: Feuer, Überschwemmung, Stromausfall, Naturkatastrophen
• Technische Bedrohungen: Hardwareausfälle, Softwarefehler, Kapazitätsgrenzen

Schwachstellenidentifizierung

Finden Sie Schwachstellen, die von Bedrohungen ausgenutzt werden können:

• Technische Schwachstellen: Nicht gepatchte Software, schwache Passwörter, fehlende Verschlüsselung
• Physische Schwachstellen: Unverschlossene Türen, freiliegende Kabel, fehlende Überwachung
• Organisatorische Schwachstellen: Keine Zugriffsüberprüfungen, fehlende Richtlinien, unzureichende Schulungen
• Prozessuale Schwachstellen: Manuelle Dateneingabefehler, fehlende Change-Control, fehlende Backups

Auswirkungsanalyse

Bewerten Sie die Konsequenzen, falls ein Risiko eintritt, unter Berücksichtigung von:

• Auswirkung auf die Vertraulichkeit: Unbefugte Offenlegung sensibler Informationen
• Auswirkung auf die Integrität: Unbefugte Änderung oder Zerstörung von Informationen
• Auswirkung auf die Verfügbarkeit: Informationen oder Systeme sind bei Bedarf nicht verfügbar

Quantifizieren Sie die Auswirkungen anhand von Skalen wie:

• Finanziell: Direkte Kosten, Umsatzverlust, Bußgelder
• Operativ: Dauer der Dienstunterbrechung, Produktivitätsverlust
• Reputationsbezogen: Kundenverlust, Imageschaden, Medienaufmerksamkeit
• Rechtlich/regulatorisch: Strafen, Klagen, regulatorische Sanktionen

Eintrittswahrscheinlichkeitsbewertung

Schätzen Sie die Wahrscheinlichkeit des Risikoeintritts unter Berücksichtigung von:

• Fähigkeiten der Bedrohung: Wie kompetent oder motiviert ist die Bedrohung?
• Bestehende Kontrollen: Welche Maßnahmen sind bereits vorhanden?
• Schwere der Schwachstelle: Wie einfach ist die Schwachstelle auszunutzen?
• Historische Daten: Ist dies bereits passiert, bei Ihnen oder ähnlichen Organisationen?

Risikobewertung

Kombinieren Sie Auswirkungen und Eintrittswahrscheinlichkeit, um das Risikoniveau zu berechnen, und vergleichen Sie es mit den Akzeptanzkriterien. Gängige Ansätze:

• Risikomatrix: Darstellung der Risiken in einem Eintrittswahrscheinlichkeit × Auswirkungs-Raster (z. B. 5×5-Matrix)
• Numerische Bewertung: Multiplikation von Auswirkungs- und Eintrittswahrscheinlichkeitswerten (z. B. Skala von 1-5)
• Qualitative Kategorien: Niedriges, mittleres, hohes, kritisches Risikoniveau

Gängige Risikobewertungsmethoden

Qualitative Bewertung

Verwendet beschreibende Kategorien (Niedrig, Mittel, Hoch) anstelle von Zahlen. Schneller und intuitiver, aber weniger präzise.

Am besten geeignet für: Kleine bis mittlere Organisationen, initiale Bewertungen, nicht-technische Stakeholder

Quantitative Bewertung

Weist numerische Werte für Eintrittswahrscheinlichkeit und Auswirkungen zu, oft mit Schätzung der finanziellen Belastung. Präziser, erfordert aber mehr Daten und Aufwand.

Am besten geeignet für: Große Organisationen, hochwertige Assets, Kosten-Nutzen-Analyse von Kontrollen

Semi-quantitative Bewertung

Hybrider Ansatz mit numerischen Skalen (1-5), aber qualitativer Interpretation. Balanciert Präzision und Praktikabilität.

Am besten geeignet für: Die meisten Organisationen, guter Kompromiss zwischen Gründlichkeit und Benutzerfreundlichkeit

Szenariobasierte Bewertung

Analysiert spezifische Angriffsszenarien oder Vorfalltypen anstelle einzelner Asset-Bedrohungspaare. Realistischer, kann aber Randfälle übersehen.

Am besten geeignet für: Organisationen mit ausgereiften Sicherheitsprogrammen, Bedrohungsmodellierungsübungen

Häufigkeit von Risikobewertungen

Initiale Risikobewertung

Umfassende Bewertung während der ISMS-Implementierung, die alle Assets und Prozesse im Geltungsbereich abdeckt.

Geplante Überprüfungen

ISO 27001 verlangt geplante Intervalle für Neubewertungen. Gängige Frequenzen:

• Jährlich: Vollständige Aktualisierung der Risikobewertung
• Vierteljährlich: Überprüfung von Hochrisikobereichen oder sich schnell ändernden Umgebungen
• Halbjährlich: Ausgewogener Ansatz für stabile Organisationen

Ausgelöste Neubewertungen

Führen Sie Ad-hoc-Risikobewertungen durch, wenn:

• Größere organisatorische Veränderungen eintreten (Fusionen, neue Produkte, geografische Expansion)
• Erhebliche Sicherheitsvorfälle auftreten
• Neue Bedrohungen entstehen (Zero-Day-Schwachstellen, Ransomware-Kampagnen)
• Regulatorische Anforderungen sich ändern
• Neue Technologien eingeführt werden (Cloud-Migration, neue Anwendungen)
• Prüfungsfeststellungen Lücken aufdecken

Dokumentation der Risikobewertung

Dokumentation der Risikobewertungsmethodik

Beschreibt Ihren Ansatz, einschließlich Risikokriterien, Skalen, Rollen und Verfahren. Dies ist eine verpflichtende dokumentierte Informationsanforderung.

Ergebnisse der Risikobewertung

Dokumentiert identifizierte Risiken, deren Bewertung und getroffene Entscheidungen. Enthält typischerweise:

• Asset-Inventar
• Identifizierte Bedrohungen und Schwachstellen
• Bewertungen von Auswirkungen und Eintrittswahrscheinlichkeit
• Risikobewertungen oder -niveaus
• Zuweisung von Risikoverantwortlichen

Risikoregister

Zentrales Verzeichnis aller identifizierten Risiken mit aktuellem Status, Behandlungsentscheidungen und Verantwortlichkeiten. Wird aktualisiert, wenn sich Risiken ändern oder neue Risiken auftreten.

Risikobehandlungsplan

Verknüpft jedes zu behandelnde Risiko mit spezifischen Kontrollen oder Maßnahmen, einschließlich Zeitplänen und Verantwortlichkeiten für die Umsetzung.

Verknüpfung der Risikobewertung mit Kontrollen

Statement of Applicability

Ihr Statement of Applicability (SoA) listet alle 93 Annex-A-Kontrollen auf und erklärt deren Einbeziehung oder Ausschluss. Die Risikobewertung liefert die Begründung – Sie nehmen Kontrollen auf, die identifizierte Risiken adressieren, und schließen Kontrollen für Risiken aus, die für Ihre Organisation nicht relevant sind.

Logik der Kontrollauswahl

Für jedes zu behandelnde Risiko:

1. Identifizieren Sie Annex-A-Kontrollen, die das Risiko reduzieren könnten
2. Wählen Sie geeignete Kontrollen basierend auf Wirksamkeit und Machbarkeit aus
3. Berücksichtigen Sie zusätzliche Kontrollen außerhalb von Annex A, falls erforderlich
4. Dokumentieren Sie die Begründung in Ihrem SoA

Akzeptanz des Restrisikos

Nach der Implementierung von Kontrollen bewerten Sie die Risiken neu, um die Restrisikoniveaus zu bestimmen. Die Geschäftsführung muss Restrisiken, die über den Akzeptanzschwellen liegen oder die Sie nicht behandeln möchten, formal akzeptieren.

Häufige Fehler bei der Risikobewertung

Verwendung generischer Vorlagen ohne Anpassung

Kopieren eines Vorlagen-Risikoregisters aus dem Internet ohne Anpassung an Ihre tatsächlichen Assets, Bedrohungen und den Kontext. Auditoren erkennen dies sofort.

Übermäßig komplexe Methodiken

Entwicklung aufwendiger Risikobewertungsformeln oder -prozesse, die nicht konsistent gepflegt werden können. Komplexität ist nicht gleichbedeutend mit Compliance.

Einmalige Risikobewertung

Behandlung der Risikobewertung als einmaliges Projekt während der Implementierung statt als kontinuierlichen Prozess. Risiken entwickeln sich weiter, und Bewertungen müssen Schritt halten.

Ignorieren des Geschäftskontexts

Fokussierung ausschließlich auf technische Bedrohungen, während geschäftliche Risiken wie Lieferantenausfälle, regulatorische Änderungen oder Reputationsschäden übersehen werden.

Keine Zuweisung von Risikoverantwortlichen

Fehlende Zuweisung von Verantwortlichkeiten für jedes Risiko. ISO 27001 verlangt Risikoverantwortliche, um sicherzustellen, dass jemand für die Überwachung und das Management jedes Risikos zuständig ist.

Keine Verbindung zur Kontrollauswahl

Risikobewertung und Statement of Applicability stimmen nicht überein – Kontrollen werden ohne klare Verbindung zu identifizierten Risiken ausgewählt, oder hohe Risiken haben keine entsprechenden Kontrollen.

Tools und Techniken für die Risikobewertung

Workshops und Interviews

Sammeln Sie Input von Stakeholdern aus verschiedenen Abteilungen, um Assets, Bedrohungen und Schwachstellen zu identifizieren. Unverzichtbar für das Verständnis des Geschäftskontexts.

Asset-Erkennungstools

Netzwerkscanner, Cloud-Asset-Inventare und Konfigurationsmanagement-Datenbanken helfen, technische Assets systematisch zu identifizieren.

Bedrohungsinformationsquellen

Externe Quellen für Bedrohungsinformationen (Branchen-ISACs, Herstellerberichte, Regierungswarnungen) informieren über die Bewertung der Eintrittswahrscheinlichkeit.

Schwachstellen-Scanning

Automatisierte Tools identifizieren technische Schwachstellen in Systemen und Anwendungen und fließen in die Risikobewertung ein.

Penetrationstest-Ergebnisse

Ergebnisse von Sicherheitstests liefern Nachweise für ausnutzbare Schwachstellen und helfen, die Bewertung der Eintrittswahrscheinlichkeit zu kalibrieren.

Vorfallhistorie

Vergangene Sicherheitsvorfälle und Beinahe-Vorfälle Ihrer Organisation informieren sowohl über die Eintrittswahrscheinlichkeit als auch über die Auswirkungen.

KI-gestützte Bewertung

Tools wie ISMS Copilot können relevante Bedrohungen, Schwachstellen und Kontrollen basierend auf Ihrer Branche, Größe und Technologie-Stack vorschlagen und so die initiale Bewertung beschleunigen.

Präsentation der Risikobewertung für das Management

Executive Summary

Einseitige Übersicht mit den wichtigsten Risiken, der allgemeinen Risikolage und zentralen Empfehlungen. Konzentrieren Sie sich auf die geschäftlichen Auswirkungen, nicht auf technische Details.

Risiko-Heatmap

Visuelle Darstellung der Risiken in einem Eintrittswahrscheinlichkeit × Auswirkungs-Raster. Macht die Risikoverteilung sofort erkennbar.

Top-10-Risiken

Priorisierte Liste der risikoreichsten Punkte, die sofortige Aufmerksamkeit und Investitionsentscheidungen erfordern.

Risikotrendanalyse

Zeigt, wie sich das Risikoprofil seit der letzten Bewertung verändert hat – verbessert, stabil oder verschlechtert.

Ressourcenanforderungen

Übersetzung von Risikobehandlungsentscheidungen in Budgetanfragen, Personalbedarf und Projektzeitpläne.

Verwandte Konzepte

• Risikobehandlung - Der Prozess der Auswahl und Implementierung von Kontrollen zur Behandlung identifizierter Risiken
• Statement of Applicability (SoA) - Dokument, das erklärt, welche Kontrollen welche Risiken adressieren
• Asset - Werte, die Schutz benötigen
• Bedrohung - Mögliche Ursachen für Sicherheitsvorfälle
• Schwachstelle - Schwächen, die ausgenutzt werden können
• Durchführung einer ISO-27001-Risikobewertung mit KI

Hilfe erhalten

Beschleunigen Sie Ihren Risikobewertungsprozess mit ISMS Copilot. Generieren Sie Risikobewertungsvorlagen, identifizieren Sie branchenspezifische Bedrohungen und Schwachstellen und erstellen Sie Dokumentationen, die Auditoren zufriedenstellen.