Risikobewertung nach ISO 27001: Leitfaden für Informationssicherheit und Compliance

In einer zunehmend digitalisierten Wirtschaftslandschaft ist der Schutz von Unternehmensdaten nicht mehr nur eine IT-Herausforderung, sondern eine geschäftskritische Managementaufgabe. Die internationale Norm ISO/IEC 27001 bietet hierfür den weltweit anerkannten Rahmen zum Aufbau und Betrieb eines Information Security Management Systems (ISMS). Das absolute Herzstück dieses Standards bildet das Risikomanagement. Ohne eine fundierte Ermittlung und Bewertung von Gefahren lässt sich kein verlässliches Sicherheitsniveau etablieren. Dieser Artikel beleuchtet die Bedeutung, den methodischen Aufbau und die praktische Durchführung der Risikobewertung im Kontext der ISO 27001.

Definition: Was ist eine Risikobewertung?

Die Risikobewertung (engl. Risk Assessment) ist ein strukturierter, systematischer Prozess zur Identifikation, Analyse und Evaluierung von Risiken, die die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in einer Organisation bedrohen. Gemäß ISO 27001 (insbesondere Kapitel 6.1.2) zielt sie darauf ab, potenzielle Schadensszenarien frühzeitig zu erkennen und diese anhand vorab definierter Kriterien messbar sowie vergleichbar zu machen.

Oftmals werden die Begriffe Risikoanalyse und Risikobewertung synonym verwendet. Streng genommen nach der ISO-Normenreihe (insbesondere im Zusammenspiel mit der ISO 27005) ist die Analyse jedoch ein Teilschritt der übergeordneten Bewertung: Sie liefert die Daten, auf deren Basis im Anschluss die eigentliche Evaluierung – also der Abgleich mit der Risikobereitschaft des Unternehmens – stattfindet.

Die Bedeutung für das ISMS und die Compliance

Die ISO 27001 verfolgt einen streng risikobasierten Ansatz. Das bedeutet: Sicherheitsmaßnahmen (Controls) dürfen nicht pauschal oder nach dem Gießkannenprinzip implementiert werden. Stattdessen fordert die Norm, dass jede technische oder organisatorische Maßnahme das direkte Resultat eines identifizierten Risikos ist.

Dieser Ansatz schont nicht nur personelle und finanzielle Ressourcen, sondern stellt auch eine lückenlose Compliance sicher. Gegenüber Auditoren, Geschäftspartnern und Aufsichtsbehörden dient eine methodisch saubere Dokumentation als Nachweis dafür, dass das Unternehmen seine Bedrohungslage kennt und angemessen steuert.

Der Prozess der Risikobewertung: Eine Schritt-für-Schritt-Anleitung

Die Norm schreibt keine spezifische Methodik vor, fordert jedoch, dass der Prozess konsistent, valide und reproduzierbar ist. In der Praxis hat sich folgender Ablauf etabliert:

1. Kriterien festlegen (Risk Acceptance Criteria)

Bevor der eigentliche Prozess beginnt, muss das Management definieren, welche Risiken für das Unternehmen tragbar sind und ab welchem Schwellenwert gehandelt werden muss. Zudem wird die Methode zur Risikoeinschätzung (meist qualitativ oder quantitativ) festgelegt.

2. Risikoidentifikation

In diesem Schritt werden die schützenswerten Werte (Assets) des Unternehmens erfasst – von Servern und Laptops über Software bis hin zu Personal und physischen Räumlichkeiten. Anschließend werden potenziellen Bedrohungen (Threats, z. B. Hackerangriffe, Feuer, menschliches Versagen) und Schwachstellen (Vulnerabilities, z. B. ungepatchte Systeme, fehlende Schulungen) identifiziert, die diese Assets gefährden könnten.

3. Risikoanalyse

Nun wird ermittelt, wie hoch das Risiko tatsächlich ist. Ein Risiko entsteht aus dem Zusammenspiel von Eintrittswahrscheinlichkeit und potenzieller Schadenshöhe. Hierbei werden bestehende Sicherheitsmaßnahmen (Current Controls) bereits berücksichtigt, um das „Restrisiko“ (Residual Risk) zu ermitteln.

4. Risikoevaluierung

Die in der Analyse ermittelten Werte werden mit den vorab definierten Akzeptanzkriterien abgeglichen. Das Ergebnis zeigt priorisiert auf, welche Risiken dringend behandelt werden müssen und welche vorerst hingenommen werden können.

5. Risikobehandlung (Risk Treatment)

Für inakzeptable Risiken muss eine Behandlungsstrategie gewählt werden. Die ISO 27001 kennt hierfür vier Optionen:

• Modifikation (Mitigation): Implementierung von Sicherheitsmaßnahmen (aus dem Anhang A der Norm), um das Risiko zu senken.
• Vermeidung (Avoidance): Die Aktivität, die das Risiko verursacht, wird eingestellt (z. B. Abschaltung eines unsicheren Legacy-Systems).
• Transfer (Sharing): Das Risiko wird an Dritte ausgelagert (z. B. durch Cyber-Versicherungen oder Outsourcing).
• Akzeptanz (Retention): Das Risiko wird vom Management bewusst getragen, sofern es unterhalb der Akzeptanzschwelle liegt oder die Kosten der Behebung den potenziellen Schaden übersteigen.

Die Risikomatrix: Eintrittswahrscheinlichkeit × Schadenshöhe

Das gängigste Werkzeug zur Veranschaulichung in der Praxis ist die Risikomatrix. Sie multipliziert die zu erwartende Schadenshöhe (Auswirkungen auf Finanzen, Reputation, Betriebsabläufe) mit der Eintrittswahrscheinlichkeit (Wie oft tritt das Ereignis voraussichtlich auf?).

Meist wird eine 3×3, 4×4 oder 5×5 Matrix verwendet. Ein simples Beispiel:

• Eintrittswahrscheinlichkeit: 1 (Sehr unwahrscheinlich) bis 5 (Sehr wahrscheinlich)
• Schadenshöhe: 1 (Geringfügig) bis 5 (Kritisch/Existenzbedrohend)

Ein Schadenspotenzial von 4 multipliziert mit einer Wahrscheinlichkeit von 3 ergibt den Risikowert 12. Liegt die zuvor definierte Akzeptanzgrenze bei 10, besteht sofortiger Handlungsbedarf.

Ein praktisches Unternehmensbeispiel

Ein mittelständisches Unternehmen bewertet das Risiko „Verlust eines unverschlüsselten Firmen-Laptops durch Diebstahl auf einer Geschäftsreise“.

• Asset: Firmen-Laptop und darauf gespeicherte Kundendaten.
• Bedrohung: Diebstahl.
• Schwachstelle: Fehlende Festplattenverschlüsselung.
• Eintrittswahrscheinlichkeit: Mittel (3).
• Schadenshöhe: Hoch (4), da DSGVO-Strafen und Reputationsverlust drohen.
• Risikowert: 12 (Inakzeptabel).
• Behandlung: Das Unternehmen entscheidet sich für die Risikomodifikation und rollt zentral eine Mobile Device Management (MDM) Lösung zur Festplattenverschlüsselung (Maßnahme nach Annex A) aus. Der Risikowert sinkt nach der Implementierung auf einen akzeptablen Wert von 3 (Wahrscheinlichkeit bleibt, aber Schadenshöhe sinkt drastisch, da Daten unlesbar sind).

Digitale Unterstützung: Software und Plattformen

Der Versuch, das Risikomanagement eines mittelständischen oder großen Unternehmens dauerhaft in einfachen Tabellenkalkulationen wie Excel abzubilden, stößt schnell an Grenzen hinsichtlich Versionierung, Nachvollziehbarkeit und Fehlern. Für die strukturierte, revisionssichere Umsetzung setzen Organisationen daher zunehmend auf professionelle Anbieter. Unternehmen wie DataGuard stellen dafür beispielsweise eine dedizierte Informationssicherheits Plattform zur Verfügung. Solche Systeme zentralisieren das Asset-Register, automatisieren Workflows und verknüpfen erkannte Bedrohungen direkt mit den Norm-Anforderungen. Durch den Einsatz solcher Tools lässt sich die kontinuierliche Dokumentation und Aktualisierung der Risikobewertung erheblich vereinfachen und eine ständige Audit-Bereitschaft sicherstellen.

Typische Fehler bei der Risikobewertung vermeiden

Bei der Etablierung des Risikomanagement-Prozesses sollten IT-Verantwortliche folgende häufige Fallstricke meiden:

• Fehlender Business-Kontext: Risiken werden rein aus technischer IT-Sicht bewertet, ohne die tatsächlichen Auswirkungen auf Geschäftsprozesse und Unternehmensziele einzubeziehen.
• Einmaliges Projekt: Die Bewertung wird kurz vor dem Zertifizierungsaudit durchgeführt und danach nicht mehr gepflegt. Die ISO 27001 fordert jedoch einen kontinuierlichen Verbesserungsprozess (KVP); Bewertungen müssen bei signifikanten Veränderungen (neue Software, Standortwechsel) aktualisiert werden.
• Zu hohe Komplexität: Der Versuch, von Beginn an jedes theoretisch denkbare Risiko bis ins kleinste Detail quantitativ berechnen zu wollen, führt oft zu Projektstillstand. Ein pragmatischer, iterativer Ansatz ist anfangs meist zielführender.

Vorteile einer systematischen Vorgehensweise

Neben der reinen Erlangung des ISO 27001 Zertifikats bietet eine methodische Risikoanalyse handfeste geschäftliche Mehrwerte. Sie ermöglicht eine objektive Priorisierung von IT-Budgets, da Investitionen gezielt dorthin fließen, wo der größte Return on Security Investment (ROSI) erzielt wird. Zudem stärkt sie das Bewusstsein (Awareness) auf Management-Ebene, da technische Schwachstellen in betriebswirtschaftliche Risiken übersetzt werden, die Geschäftsführer und Vorstände verstehen und verantworten können.

Checkliste: Sind Sie bereit für das Audit?

• [ ] Ist die Methodik der Risikoermittlung schriftlich dokumentiert und für Dritte nachvollziehbar?
• [ ] Sind die Kriterien für die Risikoakzeptanz durch die oberste Leitung freigegeben?
• [ ] Gibt es ein aktuelles Asset-Inventar als Basis für die Analyse?
• [ ] Wurde für jedes inakzeptable Risiko ein Risk Treatment Plan (Risikobehandlungsplan) erstellt?
• [ ] Sind die ausgewählten Sicherheitsmaßnahmen (Controls) im Statement of Applicability (SoA) dokumentiert?
• [ ] Wurden die Verantwortlichkeiten (Risk Owner) für jedes Risiko klar zugewiesen?

Häufig gestellte Fragen (FAQ)

Wie oft muss eine Risikobewertung nach ISO 27001 durchgeführt werden? Die Norm schreibt keine festen Zeitintervalle wie „einmal jährlich“ vor. Sie fordert jedoch, dass die Bewertung in „geplanten Abständen“ sowie bei signifikanten Veränderungen der Organisation, der Geschäftsabläufe oder der IT-Infrastruktur wiederholt oder aktualisiert wird. In der Praxis hat sich ein jährlicher Rhythmus als Standard etabliert.

Wer ist für die Risikobewertung im Unternehmen verantwortlich? Der Prozess wird in der Regel vom Chief Information Security Officer (CISO) oder dem Informationssicherheitsbeauftragten (ISB) koordiniert. Die eigentliche Bewertung und die Verantwortung für spezifische Risiken (Risk Ownership) liegen jedoch bei den jeweiligen Fachabteilungsleitern oder Prozessverantwortlichen, da diese ihre Assets und Prozesse am besten kennen.

Was ist der Unterschied zwischen einer qualitativen und einer quantitativen Bewertung? Bei der qualitativen Methode werden Risiken anhand von relativen Skalen (z. B. niedrig, mittel, hoch oder 1 bis 5) eingestuft, basierend auf Expertenwissen und Erfahrungswerten. Die quantitative Methode versucht, Risiken konkrete monetäre Werte zuzuordnen (z. B. „Ausfall des Webshops kostet 5.000 Euro pro Stunde“). Für den Einstieg in die ISO 27001 wählen die meisten Unternehmen zunächst den qualitativen Ansatz.