Risikomanagement

Warum es wichtig ist

Sicherheitsressourcen sind endlich, Bedrohungen nicht. Risikomanagement übersetzt Bedrohungen und Schwachstellen in Geschäftsentscheidungen: wo investieren, was akzeptieren, was eskalieren. Ohne es jagt das Team dem lautesten Alarm hinterher statt dem folgenreichsten Risiko.

Vorstände erwarten Cyber-Reporting in Risikogrößen ausgerichtet auf Compliance wie SEC-Cybervorgaben, NIS2 und DORA. Versicherer fordern strukturierte Risikoprogramme. Aufsichtsbehörden messen Reife an der Prozessstrenge, nicht an der Zahl installierter Kontrollen.

Der Risikomanagement-Lebenszyklus

1. Identifizieren

Risiken über Asset-Inventare, Threat Modeling, Schwachstellenbewertungen, Pentests, Threat Intelligence, Audits, Vorfälle und Prozessreviews katalogisieren. Zentrales Register pflegen.

2. Bewerten

Wahrscheinlichkeit und Impact schätzen:

3. Priorisieren

Risiken gegen Toleranzschwellen einordnen. Eine Risiko-Heatmap kreuzt Wahrscheinlichkeit und Impact; das obere rechte Quadrant wird zuerst behandelt. FAIR-Programme priorisieren nach erwartetem annualisiertem Verlust.

4. Behandeln

Vermeiden  - Aktivitaet vollstaendig einstellen
Mindern    - Kontrollen zur Reduktion von Wahrscheinlichkeit/Impact
Uebertragen - Versicherung, vertragliche Freistellung, Outsourcing
Akzeptieren - Genehmigung dokumentieren, Restrisiko akzeptieren

Jedes behandelte Risiko hat Eigentümer, Plan, Frist, Budget.

5. Überwachen

Risiken ändern sich mit Bedrohungen, Schwachstellen, Kontrollen und Geschäftskontext. Reviews in Intervallen, nach Vorfällen, nach materiellen Änderungen.

6. Kommunizieren

Adressatengerecht: technische Tiefe für Engineers, finanzieller Impact für Executives, regulatorische Exposition für Recht, strategische Implikationen für den Vorstand.

Wesentliche Frameworks

• NIST RMF (SP 800-37): bundesstaatlicher Lebenszyklus
• NIST CSF 2.0: Govern, Identify, Protect, Detect, Respond, Recover
• ISO 31000: internationaler Risikomanagementstandard
• ISO 27005: Informationssicherheits-Risikomanagement
• BSI IT-Grundschutz: deutscher Ansatz
• FAIR: quantitative Cyberrisikoanalyse

Quantitativ vs. Qualitativ

Programm aufbauen

1. Risikoappetit definieren mit Geschäftsleitung.
2. Framework adoptieren (NIST RMF oder ISO 31000).
3. Governance mit Risikokomitee und Eskalationspfaden.
4. Lebendes Register integriert mit Schwachstellen und Vorfällen.
5. Regelmäßige Bewertungen, mindestens jährlich.
6. Hochwertige Risiken quantifizieren mit FAIR.
7. Kontrollen validieren durch Pentesting und Red Teaming.
8. Konsistent berichten in geschäftsausgerichteten Dashboards.

Häufige Fallstricke

• Risikomanagement als Compliance-Häkchen statt Entscheidungsstütze
• Subjektive Bewertungen ohne konsistente Definitionen
• Statische Register
• Wahrscheinlichkeit mit Frequenz verwechseln
• Drittpartei- und Supply-Chain-Risiko ignorieren
• Keine klare Verantwortung

Verwandte Konzepte

• Compliance
• Schwachstellenbewertung
• Threat Modeling
• Sicherheits-Framework