Beispieldokument: Die Bewertungsmaßstäbe, finanziellen Auswirkungen, Fristen und Akzeptanzbefugnisse sind Beispielwerte für eine fiktive „Muster GmbH“. Sie müssen vor der Freigabe an Größe, Geschäftstätigkeit, Kundenanforderungen und Risikotragfähigkeit des tatsächlichen Unternehmens angepasst werden.
| Feld | Wert |
|---|---|
| Dokumenten-ID | ISMS-MA-02-01 |
| Dokumentenart | Methodik / Verfahren |
| Wiki.js-Pfad | /ISMS/02-Risiken-und-Compliance/Methodik-Risikobewertung |
| Verantwortlich | ISMS-Beauftragte/r |
| Fachlich geprüft durch | Geschäftsführung, IT-Leitung und Risikoverantwortliche |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf |
| Version | 0.1 |
| Stand | 23.07.2026 |
| Gültig ab | Nach Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe |
| Schutzklasse | Vertraulich |
| ISO-Bezug | ISO/IEC 27001:2022, insbesondere Kapitel 6.1.2, 6.1.3, 8.2 und 8.3 |
| VDA-ISA-Bezug | ISA 6.0.3, Kapitel 1.4 „IS Risk Management“ |
Diese Methodik legt fest, wie Informationssicherheitsrisiken:
werden.
Sie stellt sicher, dass unterschiedliche Bereiche Risiken nach nachvollziehbaren und vergleichbaren Kriterien bewerten. Die Ergebnisse bilden eine Grundlage für Sicherheitsmaßnahmen, Informationssicherheitsziele, das Statement of Applicability, Notfallvorsorge, Audits und Managemententscheidungen.
Die Methodik gilt für alle Informationen, Prozesse, Assets, Standorte, Projekte, Lieferanten und Dienstleistungen innerhalb des unter Geltungsbereich und Standorte festgelegten ISMS-Scopes.
Sie ist insbesondere anzuwenden bei:
Für die Risikobewertung gelten folgende Grundsätze:
| Begriff | Bedeutung |
|---|---|
| Asset | Information, Prozess, Anwendung, System, Gerät, Dienst, Person, Standort oder sonstiger schützenswerter Wert |
| Bedrohung | Mögliche Ursache eines unerwünschten Ereignisses |
| Schwachstelle | Eigenschaft oder Lücke, die durch eine Bedrohung ausgenutzt werden kann |
| Risiko | Auswirkung von Unsicherheit auf die Informationssicherheitsziele |
| Risikoszenario | Nachvollziehbare Beschreibung von Asset, Bedrohung, Schwachstelle und möglicher Auswirkung |
| Eintrittswahrscheinlichkeit | Einschätzung, wie wahrscheinlich das beschriebene Szenario im Bewertungszeitraum eintritt |
| Auswirkung | Erwartetes Schadensausmaß bei Eintritt des Szenarios |
| Bruttorisiko | Risiko vor Berücksichtigung bestehender Maßnahmen |
| Restrisiko | Verbleibendes Risiko nach Berücksichtigung wirksamer Maßnahmen |
| Risikoeigentümer | Rolle mit Verantwortung und Entscheidungskompetenz für das Risiko |
| Maßnahmenverantwortliche/r | Rolle, die eine Behandlungsmaßnahme umsetzt und nachweist |
| Risikoakzeptanz | Dokumentierte Entscheidung, ein Restrisiko innerhalb festgelegter Grenzen zu tragen |
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Methodik und Risikoakzeptanzkriterien freigeben; kritische und gegebenenfalls hohe Risiken entscheiden |
| ISMS-Beauftragte/r | Prozess koordinieren, Qualität und Konsistenz prüfen, Gesamtstatus berichten |
| Risikoeigentümer/in | Risiko bewerten, Behandlung festlegen, Ressourcen anfordern und Restrisiko verantworten |
| Asset-/Informationsverantwortliche/r | Assets, Schutzbedarf, Abhängigkeiten und Auswirkungen fachlich bewerten |
| Maßnahmenverantwortliche/r | Maßnahmen fristgerecht umsetzen und Nachweise bereitstellen |
| IT-/Systemverantwortliche/r | Technische Bedrohungen, Schwachstellen und Maßnahmen bewerten |
| Prozessverantwortliche/r | Geschäftsfolgen, Schnittstellen und betriebliche Anforderungen bewerten |
| Einkauf/Service Owner | Lieferanten- und Outsourcingrisiken erfassen und steuern |
| Datenschutzfunktion | Datenschutzfolgen und rechtliche Melde-/Prüfpflichten bewerten |
| Interne Revision/Audit | Anwendung der Methodik und Wirksamkeit der Behandlung unabhängig prüfen |
Risikoeigentümer und Maßnahmenverantwortliche können unterschiedliche Personen sein. Die Verantwortung für das Risiko wird durch die Delegation einer Maßnahme nicht übertragen.
Risiken können bewertet werden für:
| Quelle | Beispiele |
|---|---|
| Asset- und Prozessinformationen | Asset-Inventar, Prozesslandkarte, Datenflüsse, Abhängigkeiten |
| Schutzanforderungen | Klassifizierung, Kundenverträge, TISAX-Bewertungsziele |
| Bedrohungsinformationen | Warnmeldungen, Herstellerinformationen, CERT-/Brancheninformationen |
| Schwachstelleninformationen | Scans, Penetrationstests, Konfigurationsprüfungen, Audits |
| Betriebserfahrungen | Incidents, Störungen, Support- und Monitoringdaten |
| Externe Abhängigkeiten | Lieferantenbewertungen, SLA, Zertifikate, Ausfallinformationen |
| Compliance | Rechts-/Vertragskataster, Datenschutzbewertungen, Behördenanforderungen |
| Veränderung | Projekte, Changes, neue Standorte, neue Technologien |
Jedes Risiko wird als konkretes Szenario dokumentiert:
Aufgrund von [Bedrohung] kann unter Ausnutzung von [Schwachstelle] das Asset/der Prozess [Bewertungsobjekt] beeinträchtigt werden. Dies kann zu [Auswirkung auf Vertraulichkeit, Integrität, Verfügbarkeit oder weitere Geschäftsziele] führen.
Beispiel:
Aufgrund kompromittierter Zugangsdaten kann ein externer Angreifer bei fehlender Mehrfaktor-Authentisierung unberechtigt auf das CAD-System zugreifen. Dadurch können vertrauliche Kundenzeichnungen offengelegt oder verändert werden.
Zu allgemeine Einträge wie „Cyberangriff“, „Datenschutz“ oder „Serverausfall“ sind ohne konkretes Szenario nicht ausreichend bewertbar.
Der Schutzbedarf unterstützt die Szenariobildung, ersetzt aber nicht die Risikobewertung. Für jedes relevante Szenario werden die Auswirkungen mindestens in folgenden Dimensionen betrachtet:
| Dimension | Leitfrage |
|---|---|
| Vertraulichkeit | Welche Folgen hat eine unberechtigte Offenlegung? |
| Integrität | Welche Folgen hat eine unberechtigte oder fehlerhafte Veränderung? |
| Verfügbarkeit | Welche Folgen hat ein Ausfall oder eine Verzögerung? |
| Recht/Datenschutz/Vertrag | Welche gesetzlichen, behördlichen oder vertraglichen Folgen entstehen? |
| Kunden und Leistungserbringung | Welche Auswirkungen bestehen auf Qualität, Termine und Kundenbeziehungen? |
| Finanzen | Welche direkten und indirekten Kosten sind plausibel? |
| Reputation und Strategie | Welche Vertrauens-, Markt- oder strategischen Schäden entstehen? |
| Sicherheit von Personen/Umwelt | Können Personen oder Umwelt beeinträchtigt werden? |
Für die Bewertung wird grundsätzlich die höchste plausibel begründete Auswirkung verwendet. Eine schwerwiegende Folge darf nicht durch Mittelwertbildung mit weniger betroffenen Dimensionen abgeschwächt werden.
Der Betrachtungszeitraum beträgt grundsätzlich zwölf Monate. Bei langfristigen Projekten, strategischen Risiken oder seltenen Großschäden kann ein abweichender Zeitraum verwendet werden; er ist zu dokumentieren.
| Wert | Bezeichnung | Orientierung für zwölf Monate | Beurteilung |
|---|---|---|---|
| 1 | Sehr unwahrscheinlich | Unter vergleichbaren Bedingungen kaum bekannt; nur bei außergewöhnlicher Verkettung | Eintritt erscheint nur in Ausnahmefällen plausibel |
| 2 | Unwahrscheinlich | Einzelne vergleichbare Fälle bekannt; wirksame Hürden bestehen | Eintritt ist möglich, aber nicht zu erwarten |
| 3 | Möglich | Vergleichbare Ereignisse treten gelegentlich auf; relevante Angriffsfläche besteht | Eintritt ist im Betrachtungszeitraum realistisch |
| 4 | Wahrscheinlich | Ereignisse oder Vorstufen treten wiederholt auf; Schwachstellen sind leicht nutzbar | Mit einem Eintritt ist zu rechnen |
| 5 | Sehr wahrscheinlich | Ereignis tritt regelmäßig auf oder steht unmittelbar bevor | Mehrfacher oder kurzfristiger Eintritt ist zu erwarten |
Die Bewertung berücksichtigt insbesondere:
Die nachfolgenden finanziellen Werte sind Platzhalter und vor Freigabe durch die Geschäftsführung anzupassen.
| Wert | Bezeichnung | Mögliche Auswirkungen |
|---|---|---|
| 1 | Gering | Kurzfristige lokale Beeinträchtigung; kein meldepflichtiger oder vertraglich relevanter Vorfall; finanzieller Schaden beispielhaft unter 5.000 EUR |
| 2 | Begrenzt | Überschaubare Prozessstörung; begrenzte interne oder einzelne externe Auswirkung; finanzieller Schaden beispielhaft 5.000 bis unter 25.000 EUR |
| 3 | Wesentlich | Spürbare Betriebs- oder Kundenbeeinträchtigung; mögliche Vertrags-, Datenschutz- oder Reputationsfolge; finanzieller Schaden beispielhaft 25.000 bis unter 100.000 EUR |
| 4 | Schwerwiegend | Längerer Ausfall, erheblicher Kunden-/Vertragsverstoß, meldepflichtiger Vorfall oder größerer Vertrauensverlust; finanzieller Schaden beispielhaft 100.000 bis unter 500.000 EUR |
| 5 | Kritisch | Existenzgefährdende oder langfristige Auswirkungen, erhebliche Gefährdung von Personen, Verlust zentraler Geschäftsbeziehungen oder finanzieller Schaden beispielhaft ab 500.000 EUR |
Für die Einstufung genügt das Erreichen eines Merkmals. Finanzielle Schwellenwerte begrenzen nicht die Bewertung rechtlicher, sicherheitsbezogener, kundenbezogener oder strategischer Schäden.
Der Risikowert wird wie folgt berechnet:
Risikowert = Eintrittswahrscheinlichkeit × Auswirkung
| Risikowert | Risikoklasse | Grundsätzliche Behandlung |
|---|---|---|
| 1–4 | Niedrig | Beobachten; Behandlung nach Aufwand und Nutzen |
| 5–9 | Mittel | Behandlung prüfen und Entscheidung dokumentieren |
| 10–14 | Hoch | Behandlung erforderlich; Managementinformation |
| 15–25 | Kritisch | Unverzügliche Eskalation und priorisierte Behandlung |
| Eintrittswahrscheinlichkeit \ Auswirkung | 1 Gering | 2 Begrenzt | 3 Wesentlich | 4 Schwerwiegend | 5 Kritisch |
|---|---|---|---|---|---|
| 5 Sehr wahrscheinlich | 5 Mittel | 10 Hoch | 15 Kritisch | 20 Kritisch | 25 Kritisch |
| 4 Wahrscheinlich | 4 Niedrig | 8 Mittel | 12 Hoch | 16 Kritisch | 20 Kritisch |
| 3 Möglich | 3 Niedrig | 6 Mittel | 9 Mittel | 12 Hoch | 15 Kritisch |
| 2 Unwahrscheinlich | 2 Niedrig | 4 Niedrig | 6 Mittel | 8 Mittel | 10 Hoch |
| 1 Sehr unwahrscheinlich | 1 Niedrig | 2 Niedrig | 3 Niedrig | 4 Niedrig | 5 Mittel |
Die mathematische Berechnung unterstützt eine konsistente Priorisierung. Sie ersetzt nicht die fachliche Bewertung. Bei besonderen gesetzlichen, vertraglichen, personenbezogenen oder sicherheitskritischen Auswirkungen kann die Geschäftsführung eine höhere Behandlungsklasse festlegen.
Das Bruttorisiko beschreibt das Szenario ohne Berücksichtigung der risikomindernden Wirkung vorhandener Maßnahmen. Es zeigt die grundsätzliche Bedeutung des Szenarios und verhindert, dass Risiken allein wegen behaupteter, aber nicht geprüfter Maßnahmen zu niedrig bewertet werden.
Bestehende Maßnahmen werden nur berücksichtigt, wenn:
Das Restrisiko wird nicht durch einen pauschalen prozentualen Abschlag berechnet. Eintrittswahrscheinlichkeit und Auswirkung werden unter Berücksichtigung der nachgewiesenen Maßnahmen erneut begründet und bewertet.
Das Restrisiko ist:
| Behandlungsoption | Bedeutung | Beispiel |
|---|---|---|
| Vermeiden | Risikoverursachende Tätigkeit wird nicht begonnen oder beendet | Unsicheren Dienst nicht einsetzen |
| Reduzieren | Wahrscheinlichkeit oder Auswirkung wird durch Maßnahmen gesenkt | MFA, Segmentierung, Backup, Schulung |
| Übertragen/Teilen | Teile der finanziellen oder operativen Folgen werden vertraglich geteilt | Versicherung oder vertragliche Leistungsregelung |
| Akzeptieren | Begründete Entscheidung, das Restrisiko zu tragen | Niedriges Restrisiko mit dokumentierter Freigabe |
Übertragung oder Versicherung beseitigt nicht automatisch die Verantwortung für Informationssicherheit, Datenschutz, Kundenanforderungen oder Betriebsfähigkeit.
Für behandlungsbedürftige Risiken werden mindestens dokumentiert:
| Feld | Inhalt |
|---|---|
| Risiko-ID | Eindeutige Kennzeichnung, beispielsweise RIS-2026-001 |
| Maßnahme | Konkrete, überprüfbare Aktivität |
| Ziel | Erwartete Änderung von Wahrscheinlichkeit oder Auswirkung |
| Maßnahmeverantwortliche/r | Umsetzungsverantwortliche Rolle |
| Ressourcen/Budget | Erforderliche personelle, technische und finanzielle Mittel |
| Zieltermin | Verbindlicher Fertigstellungstermin |
| Zwischenziele | Kontrollpunkte bei längeren Maßnahmen |
| Nachweis | Erwarteter Umsetzungs- und Wirksamkeitsnachweis |
| SoA-Bezug | Betroffene ISO-27001-Annex-A-Maßnahmen |
| ISA-Bezug | Betroffene VDA-ISA-Kontrollen |
| Status | Offen, in Bearbeitung, zur Wirksamkeitsprüfung oder wirksam abgeschlossen |
Eine Maßnahme gilt erst als wirksam abgeschlossen, wenn Umsetzung und Wirkung nachvollziehbar geprüft wurden.
Die folgenden Befugnisse sind Beispielwerte und vor Freigabe an die tatsächliche Unternehmensorganisation anzupassen:
| Restrisikoklasse | Akzeptanzbefugnis | Maximale Gültigkeit | Mindestanforderung |
|---|---|---|---|
| Niedrig | Risikoeigentümer/in | Bis zur nächsten Regelprüfung | Begründung im Risikoregister |
| Mittel | Bereichsleitung und Risikoeigentümer/in | Höchstens zwölf Monate | Begründung, vorhandene Maßnahmen und Prüftermin |
| Hoch | Geschäftsführung nach Stellungnahme des ISMS | Höchstens sechs Monate | Behandlungsplan, Ersatzmaßnahmen und engmaschige Überwachung |
| Kritisch | Keine reguläre Dauerakzeptanz | Nur befristete Notentscheidung durch Geschäftsführung | Soforteskalation, Notmaßnahmen, dokumentierter Entscheid und kurzfristige Neubewertung |
Eine Akzeptanz enthält mindestens:
Abgelaufene Akzeptanzen gelten nicht stillschweigend weiter.
Jeder Risikoeintrag enthält mindestens:
Das Risikoregister ist die führende Übersicht. Detailnachweise können in geschützten Ablagen geführt und verlinkt werden.
| Feld | Beispiel |
|---|---|
| Risiko-ID | RIS-2026-001 |
| Bewertungsobjekt | CAD-System und vertrauliche Kundenzeichnungen |
| Bedrohung | Externer Angreifer verwendet kompromittierte Zugangsdaten |
| Schwachstelle | Fehlende Mehrfaktor-Authentisierung und zu weitreichende Zugriffsrechte |
| Mögliche Auswirkung | Offenlegung oder Veränderung vertraulicher Kundeninformationen |
| Betroffene Schutzziele | Vertraulichkeit und Integrität |
| Risikoeigentümer/in | Leitung Entwicklung |
| Bewertung | Wert | Begründung |
|---|---|---|
| Wahrscheinlichkeit | 3 | Kontoübernahmen sind realistisch; System ist extern erreichbar |
| Auswirkung | 5 | Verlust streng vertraulicher Kundeninformationen mit erheblichen Vertrags- und Reputationsfolgen |
| Bruttorisiko | 15 – Kritisch | Unverzügliche Behandlung erforderlich |
Bestehende Maßnahmen:
Diese Maßnahmen reduzieren das Szenario, beseitigen die Schwachstellen jedoch nicht vollständig.
| Bewertung | Wert | Begründung |
|---|---|---|
| Restrisikowahrscheinlichkeit | 2 | Zentrale Kontensteuerung und Monitoring erschweren den Angriff, MFA fehlt jedoch |
| Restrisikoauswirkung | 5 | Bei erfolgreichem Zugriff bleibt die mögliche Auswirkung kritisch |
| Restrisiko | 10 – Hoch | Weitere Behandlung und Managementinformation erforderlich |
Geplante Maßnahmen:
Das Risiko darf im Beispiel nicht als „wirksam abgeschlossen“ bewertet werden, solange die Maßnahmen und ihre Wirkung nicht nachgewiesen sind.
| Risikoklasse | Mindestturnus der Statusprüfung | Mindestturnus der formalen Neubewertung |
|---|---|---|
| Kritisch | Mindestens wöchentlich bis zur Reduzierung | Nach jeder wesentlichen Maßnahme, spätestens monatlich |
| Hoch | Mindestens monatlich | Mindestens vierteljährlich |
| Mittel | Mindestens vierteljährlich | Mindestens halbjährlich |
| Niedrig | Bei relevanten Änderungen | Mindestens jährlich |
Unabhängig vom Turnus wird neu bewertet bei:
Vor Freigabe oder Akzeptanz eines Risikos wird geprüft:
| Prüffrage | Mindestanforderung |
|---|---|
| Ist das Szenario konkret? | Asset, Bedrohung, Schwachstelle und Auswirkung sind beschrieben |
| Ist der Scope eindeutig? | Standorte, Prozesse, Systeme und Informationsarten sind abgegrenzt |
| Sind Bewertungen begründet? | Werte beruhen auf dokumentierten Annahmen und Quellen |
| Wurde die höchste relevante Auswirkung berücksichtigt? | Keine unzulässige Abschwächung durch Mittelwertbildung |
| Sind bestehende Maßnahmen wirksam? | Umsetzung und Wirkung sind nachgewiesen |
| Ist das Restrisiko neu bewertet? | Kein pauschaler rechnerischer Abschlag |
| Ist der Risikoeigentümer befugt? | Verantwortung und Entscheidungskompetenz sind vorhanden |
| Sind Maßnahmen überprüfbar? | Verantwortliche, Termine und Nachweise sind festgelegt |
| Ist die Akzeptanz gültig? | Befugnis, Begründung, Datum und Befristung sind dokumentiert |
| Sind SoA und ISA-Mapping konsistent? | Relevante Zuordnungen wurden aktualisiert |
Für Managementbewertung und ISMS-Steuerung werden mindestens betrachtet:
Widersprüchliche Werte, überfällige Maßnahmen und nicht erreichte Ziele werden nicht durch einen pauschalen positiven Gesamtstatus verdeckt.
| Offener Punkt | Verantwortung | Status |
|---|---|---|
| Finanzielle Auswirkungsschwellen an Risikotragfähigkeit anpassen | Geschäftsführung / Controlling | Offen |
| Akzeptanzbefugnisse mit Organisationsstruktur abgleichen | Geschäftsführung | Offen |
| Prüf- und Eskalationsfristen bestätigen | ISMS / Geschäftsführung | Offen |
| Bewertungsmatrix mit vorhandenen Kundenanforderungen abgleichen | TISAX-Koordination | Offen |
| Risikoregister und Behandlungsplan auf die Methodik abstimmen | ISMS-Beauftragte/r | Offen |
| Methodik an einem repräsentativen Risikosatz pilotieren | Risikoeigentümer/innen | Offen |
| Formale Freigabe dokumentieren | Geschäftsführung | Offen |
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.1 | 23.07.2026 | Beispielmethodik einschließlich 5×5-Matrix, Restrisiko und Akzeptanzregeln erstellt | ISMS-Beauftragte/r | Ausstehend | – |