Kurzdefinition: Die Risikoanalyse identifiziert, bewertet und priorisiert die Risiken für die Informationssicherheit — welche Bedrohungen auf welche Werte wirken, wie wahrscheinlich und wie schwerwiegend. Sie ist der Ausgangspunkt jeder verhältnismäßigen Maßnahmenauswahl nach § 30 BSIG.
Was ist eine Risikoanalyse?
Die systematische Ermittlung und Bewertung von Risiken. Sie verbindet Werte (Assets), Bedrohungen und Schwachstellen zu einem Bild, das Eintrittswahrscheinlichkeit und Schadensausmaß abschätzt.
Warum ist sie der Ausgangspunkt?
Weil Maßnahmen risikobasiert sein müssen. Ohne zu wissen, welche Risiken bestehen und wie schwer sie wiegen, lässt sich nicht verhältnismäßig entscheiden, was zu tun ist.
Wie hängt sie mit der Verhältnismäßigkeit zusammen?
Direkt. § 30 BSIG verlangt geeignete und verhältnismäßige Maßnahmen — der Maßstab dafür ergibt sich aus der Risikolage, die die Risikoanalyse bestimmt.
Was braucht eine Risikoanalyse als Grundlage?
Ein vollständiges Asset-Inventar. Man kann nur die Risiken der Werte bewerten, die man kennt. Asset-Management und Risikoanalyse gehören zusammen.
Wie oft ist sie zu wiederholen?
Regelmäßig und anlassbezogen. Bei neuen Bedrohungen, Systemen oder Geschäftsprozessen ändert sich die Risikolage — die Analyse ist fortzuschreiben.
Häufige Fehlannahmen
- „Risiken kann man aus dem Bauch bewerten.“ Nein. Es braucht eine strukturierte Analyse.
- „Maximale Sicherheit überall ist das Ziel.“ Nein. Ziel ist ein risikoangemessenes Niveau.
- „Eine einmalige Analyse genügt.“ Nein. Sie ist fortzuschreiben.
- „Ohne Inventar geht es auch.“ Kaum. Man bewertet nur, was man kennt.
- „Die Risikoanalyse ist reine Formsache.“ Nein. Sie steuert alle weiteren Maßnahmen.
Was die Geschäftsleitung tun sollte
- Werte erfassen. Auf Basis des Asset-Inventars starten.
- Risiken bewerten. Wahrscheinlichkeit und Schaden abschätzen.
- Priorisieren. Maßnahmen risikobasiert ableiten.
- Fortschreiben. Bei Änderungen aktualisieren.
Für die Geschäftsleitung
Die Risikoanalyse ist der Kompass der Cybersicherheit: Sie zeigt, welche Risiken wie schwer wiegen, und begründet, welche Maßnahmen nach § 30 BSIG verhältnismäßig sind. Ohne sie bleibt jede Maßnahmenauswahl Zufall.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
