Risikobewertung nach ISO 27001 in der Praxis

Der Aufbau eines ISO 27001-konformen Informationssicherheits-Managementsystems (ISMS) beginnt und endet mit der richtigen Einschätzung von Risiken. Die Risikobewertung zeigt auf, wo Ihre sensibelsten Werte (Assets) liegen und welche Bedrohungen die größten Schäden anrichten könnten. Doch wie übersetzen Sie die abstrakten Normvorgaben in einen handhabbaren Prozess für den Mittelstand, ohne sich in endlosen Excel-Tabellen zu verlieren?

In diesem Leitfaden erklären wir Ihnen eine klare Schritt-für-Schritt-Methode für die ISO 27001 Risikoanalyse, zeigen die zugrunde liegende Bewertungslogik und geben Ihnen eine beispielhafte Risikomatrix an die Hand.

 

Schritt-für-Schritt-Methode für die Risikobewertung

Die ISO 27001 schreibt keinen starren, detaillierten Bewertungsprozess vor, verlangt aber eine reproduzierbare und nachvollziehbare Methodik. Ein praxiserprobter Ablauf gliedert sich in folgende Phasen:

1. Identifikation der Informationswerte (Assets): Erfassen Sie geschäftskritische Systeme, Daten, Hardware, aber auch Lieferanten und Schlüsselpersonal. Nicht jedes Laptop muss einzeln bewertet werden – fassen Sie gleichartige Assets in Clustern zusammen.
2. Identifikation von Bedrohungen und Schwachstellen: Welche Gefahren (z. B. Ransomware, Phishing, Hardwareausfall, menschliches Versagen) drohen den identifizierten Assets und durch welche internen Schwachstellen (z. B. fehlende Multi-Faktor-Authentifizierung) könnten diese ausgenutzt werden?
3. Risikoanalyse und Risikobewertung: Ordnen Sie jedem Risiko einen konkreten Wert zu, basierend auf der Eintrittswahrscheinlichkeit und der Auswirkung (siehe Bewertungslogik).
4. Priorisierung und Risikobehandlung: Entscheiden Sie anhand der festgelegten Risikotoleranz des Unternehmens, welche Risiken gemindert, vermieden, transferiert oder akzeptiert werden.

 

Die Bewertungslogik: Eintrittswahrscheinlichkeit und Auswirkung

Die objektive Einschätzung eines IT-Risikos erfolgt klassischerweise über die Multiplikation oder Matrix-Addition von zwei Dimensionen:

• Eintrittswahrscheinlichkeit: Wie realistisch ist es, dass eine Bedrohung eintritt und eine Schwachstelle ausnutzt? (z. B. auf einer Skala von 1 bis 5, von “sehr unwahrscheinlich” bis “sehr wahrscheinlich”).
• Auswirkung (Schadenspotenzial): Welcher Schaden entsteht, wenn das Risiko Realität wird? Hierbei werden die Grundwerte der Informationssicherheit betrachtet: Vertraulichkeit, Integrität und Verfügbarkeit (CIA-Triade). (Skala von 1 bis 5, von “vernachlässigbar” bis “existenzbedrohend”).

Der daraus resultierende Risikowert bestimmt, ob ein Risiko tolerierbar ist oder sofortigen Handlungsbedarf auslöst.

 

 

 

Beispielhafte Risikomatrix (5×5)

Eine 5×5 Risikomatrix ist der Standard in der Praxis, da sie genug Granularität bietet, um Risiken sauber zu trennen, ohne unnötig komplex zu sein. Der Risikowert ergibt sich hier aus der Multiplikation: Wahrscheinlichkeit x Auswirkung = Risiko.

Auswirkung \ Wahrscheinlichkeit	1 – Sehr gering	2 – Gering	3 – Mittel	4 – Hoch	5 – Sehr hoch
5 – Existenziell	5 (Mittel)	10 (Hoch)	15 (Kritisch)	20 (Kritisch)	25 (Kritisch)
4 – Gravierend	4 (Gering)	8 (Mittel)	12 (Hoch)	16 (Kritisch)	20 (Kritisch)
3 – Spürbar	3 (Gering)	6 (Mittel)	9 (Mittel)	12 (Hoch)	15 (Kritisch)
2 – Geringfügig	2 (Gering)	4 (Gering)	6 (Mittel)	8 (Mittel)	10 (Hoch)
1 – Vernachlässigbar	1 (Gering)	2 (Gering)	3 (Gering)	4 (Gering)	5 (Mittel)

Ableitung der Maßnahmen:

• 1-4 (Gering): Risikobereitschaft hoch, Risiko wird meist dokumentiert und akzeptiert.
• 5-9 (Mittel): Risikobehandlung ist im normalen Betriebsablauf einzuplanen.
• 10-12 (Hoch): Zeitnahe Implementierung von Maßnahmen (Controls) erforderlich.
• 15-25 (Kritisch): Akuter Handlungsbedarf durch die Geschäftsführung, sofortige Risikominimierung zwingend.

 

Häufige Fehler und wie man sie vermeidet

Bei der Einführung einer ISO 27001-konformen Risikobewertung laufen KMU und IT-Leiter häufig in typische Fallen:

• Analyse-Paralyse (Over-Engineering): Der Versuch, jedes noch so kleine Asset einzeln zu bewerten. Lösung: Clustern Sie Assets (z.B. “Alle Windows-Laptops der Mitarbeiter” statt 50 Einzelgeräte) und bewerten Sie das Cluster als Ganzes.
• Fehlende Einbindung des Managements: IT-Abteilungen bewerten Risiken oft rein technisch. Die wahre geschäftliche Auswirkung (Business Impact) kann jedoch nur das Management beurteilen. Lösung: Nutzen Sie Workshops, um die Geschäftsführung in die Festlegung der Risikotoleranz zu integrieren.
• Statische Listen (Excel-Chaos): Risikomanagement ist ein fortlaufender Prozess. Statische Excel-Tabellen veralten extrem schnell und erzeugen hohen Dokumentationsaufwand für das Audit. Lösung: Nutzen Sie spezialisierte Plattformen zur Dokumentenlenkung und Risikoverwaltung.

 

 

 

Fazit und nächste Schritte zur Umsetzung

Die Risikobewertung nach ISO 27001 muss nicht kompliziert sein, wenn Sie einer klaren Methode folgen und sich auf die wirklich wesentlichen Werte Ihres Unternehmens konzentrieren. Ein strukturiertes Vorgehen schützt vor Audit-Fehlern, entlastet Ihr IT-Team und gibt der Geschäftsführung die nötige Rechtssicherheit für Compliance-Anforderungen.

Um den Spagat zwischen hohem administrativem Aufwand und effektiver Sicherheit zu meistern, empfiehlt sich der Einsatz von spezialisierter Software und Expertenwissen. Wenn Sie den Weg zur Zertifizierung abkürzen und den Dokumentationsaufwand massiv reduzieren wollen, werfen Sie einen Blick auf unsere ISO 27001 Beratung und entdecken Sie, wie TrustSpaceOS Ihre IT-Compliance als zentrale Steuereinheit automatisiert.