Risikomanagement · ISMS
Risikoanalyse Informationssicherheit: Methoden, Ablauf und Vorlage
Lesezeit etwa 13 Minuten · Stand August 2026
Eine Risikoanalyse in der Informationssicherheit ist ein strukturierter Prozess, der Werte, Bedrohungen und Schwachstellen erfasst, Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe bewertet und daraus priorisierte Maßnahmen ableitet. Sie ist das Fundament jedes ISMS und die Grundlage für die Anwendbarkeitserklärung nach ISO 27001. Dieser Leitfaden zeigt Methoden, Ablauf und eine praxistaugliche Vorlage.
Wer seine Risiken nicht kennt, verwaltet Sicherheit nach Bauchgefühl.
Die Risikoanalyse macht aus Vermutung eine belegbare Entscheidung.
Was ist eine Risikoanalyse in der Informationssicherheit?
Die Risikoanalyse beantwortet drei Fragen: Was ist schützenswert, was kann passieren und wie schwer wäre der Schaden? Sie ist ein Teilschritt des Risikomanagements und in einem Informationssicherheits-Managementsystem (ISMS) verpflichtend. Die Norm ISO/IEC 27001 fordert in Klausel 6.1.2 einen definierten Prozess zur Risikobeurteilung, macht aber bewusst keine Vorgabe zur konkreten Methode. Wichtig ist, dass er wiederholbar ist und zu vergleichbaren Ergebnissen führt.
Fachlich trennt man drei Ebenen. Die Risikobeurteilung umfasst Identifikation, Analyse und Bewertung. Die Risikoanalyse im engeren Sinn schätzt Eintrittswahrscheinlichkeit und Schadenshöhe je Risiko. Das Risikomanagement ist der übergeordnete Regelkreis aus Beurteilung, Behandlung und laufender Überwachung. Wer diese Begriffe sauber trennt, spart sich im Audit viele Rückfragen.
Einen anerkannten Methodenrahmen liefert ISO/IEC 27005, für die BSI-Welt der BSI-Standard 200-3. Wer eine ISO 27001 Zertifizierung anstrebt, braucht eine nachvollziehbar dokumentierte Risikoanalyse als Grundlage der Anwendbarkeitserklärung. Ohne sie fehlt der Zertifizierung das Fundament.
Von der Risikoanalyse abzugrenzen ist die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO. Beide bewerten Risiken, doch die Folgenabschätzung schaut aus Sicht der betroffenen Personen auf deren Rechte und Freiheiten, während die Risikoanalyse im ISMS die Werte des Unternehmens in den Mittelpunkt stellt. In der Praxis speisen sich beide aus derselben Datenbasis, verfolgen aber unterschiedliche Schutzziele. Wer das trennt, vermeidet doppelte Arbeit und widersprüchliche Bewertungen.
Warum ist die Risikoanalyse das Herzstück jedes ISMS?
Weil sie darüber entscheidet, wofür begrenzte Zeit und begrenztes Budget eingesetzt werden. Eine gute Risikoanalyse verhindert, dass ein Unternehmen viel Geld in unwichtige Kontrollen steckt und die echten Einfallstore offen lässt. Sie übersetzt ein diffuses Unsicherheitsgefühl in eine priorisierte Liste, an der sich die gesamte Sicherheitsarbeit ausrichtet.
Die Risikoanalyse ist außerdem die Nahtstelle zu fast allen anderen ISMS-Prozessen. Sie speist die Auswahl der Maßnahmen, begründet die Anwendbarkeitserklärung und liefert die Kennzahlen für die Managementbewertung. In VANTARIS ist die Risikoanalyse mit dem Maßnahmen- und Nachweismanagement verbunden, sodass aus jedem bewerteten Risiko direkt eine nachverfolgbare Maßnahme mit Verantwortlichem und Frist wird. So bleibt sichtbar, ob ein Risiko wirklich sinkt oder nur auf dem Papier behandelt ist. Wie das im Gesamtaufbau zusammenspielt, zeigt der Leitfaden ISMS einführen.
Für die Geschäftsführung ist die Risikoanalyse zugleich ein Instrument der Sorgfaltspflicht. Wer nachweisen kann, dass Risiken systematisch erhoben, bewertet und behandelt wurden, steht bei einem Vorfall deutlich besser da als jemand, der auf Zuruf entschieden hat. Regulierungen wie NIS2 verlangen genau diesen risikobasierten Ansatz ausdrücklich. Die Risikoanalyse ist damit nicht nur ein technisches Werkzeug, sondern ein Beleg verantwortungsvoller Unternehmensführung.
Risikoanalyse nach ISO 27001 oder BSI IT-Grundschutz?
Beide Wege führen zu einer belastbaren Risikoanalyse, gehen aber unterschiedlich vor. ISO 27001 ist durchgängig risikobasiert: Sie starten mit den Werten, leiten Risiken ab und wählen daraus die passenden Maßnahmen. Der BSI IT-Grundschutz beginnt maßnahmenorientiert mit einem Katalog von Standardanforderungen und ergänzt nur für hohen Schutzbedarf eine gezielte Risikoanalyse nach dem BSI-Standard 200-3.
Für den Mittelstand heißt das: Wer flexibel und international anschlussfähig bleiben will, fährt mit dem risikobasierten Ansatz der ISO gut. Wer eine sehr konkrete Schritt-für-Schritt-Anleitung bevorzugt und viele typische IT-Systeme betreibt, findet im Grundschutz einen bewährten Startpunkt. Eine ausführliche Gegenüberstellung liefert der Ratgeber ISO 27001 oder BSI IT-Grundschutz. Wichtig ist in beiden Fällen, dass die Risikoanalyse dokumentiert, nachvollziehbar und aktuell bleibt.
Welche Methoden der Risikoanalyse gibt es?
Im Kern unterscheidet man qualitative und quantitative Verfahren, ergänzt um asset-basierte und szenariobasierte Blickwinkel. Für den Mittelstand hat sich die qualitative, asset-basierte Analyse durchgesetzt: Sie ist schnell, nachvollziehbar und kommt ohne belastbare Schadensstatistik aus. Quantitative Modelle lohnen sich dort, wo Schäden gut in Geld messbar sind, etwa bei hochverfügbaren Produktionssystemen.
| Methode | Vorgehen | Stärke | Grenze |
|---|---|---|---|
| Qualitativ | Skalen wie gering, mittel, hoch | schnell und für alle verständlich | weniger präzise, subjektiv |
| Quantitativ | Geldwerte, erwarteter Jahresschaden | belastbare Priorisierung nach Kosten | datenhungrig und aufwendig |
| Asset-basiert | je Wert nach Bedrohungen fragen | vollständig, gut auditierbar | bei vielen Assets aufwendig |
| Szenariobasiert | von einem Ereignis her denken | zeigt Ketten über Assets hinweg | blinde Flecken bei seltenen Fällen |
Die Methode muss zur Organisation passen, nicht umgekehrt. Ein kleiner Betrieb fährt mit einer qualitativen Skala von 1 bis 5 je Achse gut. Entscheidend ist weniger die Wahl des Verfahrens als die Konsequenz, mit der es über die Jahre gleich angewendet wird. Nur dann werden Ergebnisse vergleichbar und Trends sichtbar.
Häufig lohnt ein zweistufiges Vorgehen. Zunächst filtert eine schnelle qualitative Einschätzung die vielen Werte auf die wenigen mit hohem Schutzbedarf. Erst für diese kritischen Fälle folgt eine vertiefte Betrachtung, bei Bedarf mit quantitativen Elementen. So fließt der Aufwand dorthin, wo er den größten Nutzen bringt, und die Analyse bleibt trotzdem vollständig. Dieses Prinzip der abgestuften Tiefe empfiehlt auch der BSI-Standard 200-3 für den Umgang mit hohem und sehr hohem Schutzbedarf.
Wie läuft eine Risikoanalyse Schritt für Schritt ab?
Eine belastbare Risikoanalyse folgt sechs Schritten, die aufeinander aufbauen. Am Anfang steht nicht die Bedrohung, sondern der Rahmen: Welche Kriterien gelten, ab wann ist ein Risiko inakzeptabel und wer entscheidet darüber?
- Kontext und Kriterien festlegen: Geltungsbereich, Skalen und Akzeptanzkriterien bestimmen. Diese Entscheidung trifft die Leitung.
- Werte erfassen: Informationen, Systeme, Prozesse und Lieferanten inventarisieren und den Schutzbedarf je Wert bestimmen.
- Bedrohungen und Schwachstellen identifizieren: je Wert überlegen, was ihn gefährdet und welche Lücke ausgenutzt werden könnte.
- Risiken analysieren: Eintrittswahrscheinlichkeit und Schadenshöhe schätzen und zu einem Risikowert verrechnen.
- Risiken bewerten und priorisieren: die Werte den Akzeptanzkriterien gegenüberstellen und eine Reihenfolge bilden.
- Dokumentieren und übergeben: Ergebnisse im Risikoregister festhalten und in die Risikobehandlung überführen.
Die Schritte 2 bis 4 sind das eigentliche Handwerk, die Schritte 1 und 5 sind Führungsaufgaben. Ein häufiger Fehler ist, die Kriterien erst am Ende festzulegen, wenn die Ergebnisse schon vorliegen. Dann bewertet man unbewusst so, dass das gewünschte Ergebnis herauskommt.
Ein realistischer Zeitrahmen hilft, den Prozess nicht abreißen zu lassen. Für einen klar umrissenen Geltungsbereich lässt sich eine erste vollständige Risikoanalyse in wenigen Wochen erstellen, wenn die Werte bekannt sind und die Fachbereiche mitwirken. Der Erstaufwand ist höher als die spätere Pflege, denn ab der zweiten Runde geht es nur noch um Fortschreibung. Wer die Analyse gleich als wiederkehrenden Termin plant, statt sie als einmaliges Projekt zu behandeln, hält das Risikobild dauerhaft aktuell.
Wo steht Ihr Risikomanagement heute?
Der Reifegrad-Check von VANTARIS zeigt in wenigen Minuten, wie belastbar Ihre Risikoanalyse bereits ist und wo die größten Lücken liegen.
Wie identifiziere ich Werte, Bedrohungen und Schwachstellen?
Am robustesten ist der asset-basierte Weg: Zuerst die Werte, dann je Wert die passenden Bedrohungen und Schwachstellen. Ein Wert ist alles, was für das Unternehmen einen Nutzen hat und schützenswert ist, also Kundendaten, Quellcode, Produktionssysteme, aber auch Wissen und Reputation. Für jeden Wert wird der Schutzbedarf in den drei Zielen Vertraulichkeit, Integrität und Verfügbarkeit bestimmt.
Bedrohungen und Schwachstellen muss niemand von Null erfinden. Anerkannte Kataloge liefern eine solide Grundlage, etwa der Anhang von ISO/IEC 27005 oder die Elementaren Gefährdungen des BSI. Typische Bedrohungen sind Schadsoftware, Fehlbedienung, Diebstahl, Ausfall von Dienstleistern und gezielte Angriffe. Eine Schwachstelle ist die Lücke, die eine Bedrohung erst wirksam macht, etwa ein fehlender Patch oder ein zu weit gefasstes Zugriffsrecht.
Praktisch bewährt sich eine Gruppierung der Werte, damit die Analyse nicht ausufert. Statt jeden einzelnen Rechner zu bewerten, fasst man gleichartige Systeme zu einer Gruppe zusammen und betrachtet sie gemeinsam. So bleiben die Zahl der Risiken beherrschbar und der Aufwand im Rahmen. Ein Interview mit den Fachbereichen fördert dabei oft Werte zutage, die in keinem Systemplan stehen, etwa das Erfahrungswissen einzelner Mitarbeiter oder eine über Jahre gewachsene Kundenbeziehung.
Wie bewerte ich Risiken mit einer Risikomatrix?
Die Risikomatrix multipliziert Eintrittswahrscheinlichkeit und Schadenshöhe zu einem Risikowert und ordnet ihn einer Klasse zu. Üblich sind Skalen von 1 bis 5 je Achse, woraus sich Werte von 1 bis 25 ergeben. Die Klassen legen fest, wie dringend reagiert werden muss und wer eingebunden wird.
| Risikowert | Klasse | Empfohlene Reaktion |
|---|---|---|
| 1 bis 4 | gering | akzeptieren und beobachten |
| 5 bis 9 | mittel | terminiert reduzieren |
| 10 bis 16 | hoch | zeitnah reduzieren, Verantwortlichen benennen |
| 17 bis 25 | sehr hoch | sofort behandeln, Leitung einbinden |
Die Grenzen zwischen den Klassen sind eine bewusste Entscheidung, keine Naturkonstante. Sie sollten zur Risikobereitschaft der Organisation passen und einmal festgelegt stabil bleiben. Wer die Schwellen laufend verschiebt, macht die eigene Historie unbrauchbar.
Wie schätze ich Wahrscheinlichkeit und Schadenshöhe realistisch ein?
Die ehrliche Antwort lautet: mit Erfahrung, Kriterien und einem festen Bezugsrahmen, nicht mit dem Anspruch auf die zweite Nachkommastelle. Eine Schätzung wird belastbar, wenn hinter jeder Stufe eine greifbare Beschreibung steht. Statt abstrakt hoch zu sagen, hilft ein Anker wie mehrmals pro Jahr zu erwarten für die Wahrscheinlichkeit oder Produktionsstillstand über mehrere Tage für den Schaden.
Für die Schadenshöhe lohnt der Blick über den reinen IT-Schaden hinaus. Ein Vorfall kann Betriebsunterbrechung, Vertragsstrafen, Meldepflichten, Reputationsverlust und den Aufwand der Wiederherstellung auslösen. Wer diese Dimensionen einzeln durchgeht, kommt zu einer runderen Einschätzung als bei einem Bauchwert. Bei der Wahrscheinlichkeit zählen sowohl die Häufigkeit der Bedrohung als auch die Wirksamkeit bereits vorhandener Kontrollen. Ein hohes Grundrisiko kann durch gute Schutzmaßnahmen deutlich sinken, und genau dieser Effekt gehört ins Register.
Was gehört in ein Risikoregister?
Das Risikoregister ist das lebende Herzstück der Analyse. Es hält jedes Risiko mit Bewertung, Behandlungsentscheidung und Status fest und ist das erste Dokument, das ein Auditor sehen will. Eine gute Vorlage hat feste Spalten, damit nichts vergessen wird und die Einträge vergleichbar bleiben.
| Spalte | Inhalt |
|---|---|
| ID | eindeutige Kennung des Risikos |
| Wert | betroffenes Asset oder Prozess |
| Bedrohung und Schwachstelle | Ursache des Risikos |
| Wahrscheinlichkeit und Schaden | Einstufung je Achse |
| Risikowert und Klasse | Ergebnis der Matrix |
| Behandlungsoption | vermeiden, reduzieren, übertragen oder akzeptieren |
| Maßnahme und Verantwortlicher | wer bis wann was tut |
| Restrisiko und Status | verbleibendes Risiko, akzeptiert durch die Leitung |
Wichtig ist die Verknüpfung: Jede Zeile sollte auf die zugehörige Maßnahme und das passende Control verweisen. In einer Tabelle geht das mühsam, in einer ISMS-Plattform entsteht die Verbindung automatisch. So lässt sich auf Knopfdruck zeigen, welche Risiken noch offen sind und welche wirksam behandelt wurden.
Wie viele Risiken sind für den Mittelstand sinnvoll?
Es gibt keine Zielzahl, aber eine gute Faustregel: so wenige wie möglich, so viele wie nötig, um die relevanten Gefahren abzudecken. Für einen mittelständischen Geltungsbereich sind oft 30 bis 60 aussagekräftige Risiken handhabbar und aussagekräftig zugleich. Wer auf mehrere hundert Einzelrisiken kommt, hat meist zu fein aufgeteilt und verliert den Überblick, statt ihn zu gewinnen.
Qualität schlägt Menge. Ein Risiko, das klar beschrieben, sauber bewertet und mit einer wirksamen Maßnahme verknüpft ist, bringt mehr als zehn vage Einträge. Sinnvoll ist, mit den wichtigsten Werten und den offensichtlichsten Bedrohungen zu beginnen und die Analyse in den Folgejahren gezielt zu verfeinern. So wächst das Risikobild mit der Reife der Organisation, statt sie von Beginn an zu überfordern.
Wie verbindet sich die Risikoanalyse mit SoA und Maßnahmen?
Aus jedem nicht akzeptierten Risiko entsteht eine Behandlungsentscheidung: vermeiden, reduzieren, übertragen oder akzeptieren. Reduzierte Risiken werden auf Controls aus Annex A der ISO 27001 abgebildet. Genau diese Zuordnung dokumentiert die Anwendbarkeitserklärung, kurz SoA. Sie hält fest, welche der 93 Controls anwendbar sind und warum.
Damit schließt sich der Kreis von der Analyse zur Umsetzung. Der Risikobehandlungsplan bündelt alle Maßnahmen, die aus der Risikoanalyse folgen, mit Verantwortlichen und Terminen. Wer diesen roten Faden von Risiko über Control zu Maßnahme sauber führt, besteht das Zertifizierungsaudit ohne böse Überraschungen, weil jede Entscheidung begründet und belegt ist.
Dieselbe Datenbasis trägt auch andere Normen. Die Maßnahmen, die aus der Risikoanalyse folgen, decken zugleich große Teile der Anforderungen aus NIS2, TISAX oder der DSGVO ab. Genau hier liegt der Effizienzgewinn eines ISMS: Ein Risiko wird einmal erfasst und bewertet, die daraus abgeleitete Maßnahme zahlt aber auf mehrere Nachweise gleichzeitig ein. Wer die Risikoanalyse sauber führt, muss sie für jede weitere Norm nicht neu erfinden, sondern nur um die jeweils spezifische Sicht ergänzen.
Welche Fehler treten bei der Risikoanalyse häufig auf?
Die meisten Probleme entstehen nicht durch die falsche Methode, sondern durch Nachlässigkeit im Prozess. Diese fünf Fehler kosten am meisten:
- Die Analyse bleibt einmalig. Sie wird zum Aufbau erstellt und danach nie wieder angefasst. Ein Risikobild altert schnell.
- Kein Bezug zu Werten. Es werden abstrakte Bedrohungen bewertet, ohne zu wissen, was überhaupt geschützt wird.
- Bewertung nach Bauchgefühl. Ohne dokumentierte Kriterien wird jedes Ergebnis angreifbar.
- Zu fein granuliert. Hunderte Einzelrisiken erschlagen die Analyse, statt Prioritäten zu schaffen.
- Keine Anbindung an Maßnahmen. Risiken werden bewertet, aber nie in nachverfolgbare Maßnahmen überführt.
Der gemeinsame Nenner dieser Fehler ist fehlende Verbindlichkeit. Eine Risikoanalyse entfaltet ihren Wert erst, wenn sie regelmäßig gepflegt wird, an den Werten des Unternehmens ausgerichtet ist und in konkrete Maßnahmen mündet. Dann wird aus einem Pflichtdokument ein echtes Steuerungsinstrument, das der Geschäftsführung zeigt, wo das Unternehmen steht und wohin die nächste Investition fließen sollte.
Vorlage für Ihre Risikoanalyse
Laden Sie die Risikoanalyse-Whitepaper mit Risikomatrix und Risikoregister herunter und starten Sie mit einer sauberen Struktur statt mit einem leeren Blatt.
Häufige Fragen zur Risikoanalyse
Was ist der Unterschied zwischen Risikoanalyse und Risikobewertung?
Die Risikoanalyse schätzt Eintrittswahrscheinlichkeit und Schadenshöhe je Risiko. Die Risikobewertung vergleicht das Ergebnis anschließend mit den zuvor festgelegten Akzeptanzkriterien und entscheidet, welche Risiken behandelt werden müssen. Beide Schritte gehören zur Risikobeurteilung nach ISO 27001 Klausel 6.1.2.
Schreibt ISO 27001 eine bestimmte Methode vor?
Nein. ISO/IEC 27001 verlangt in Klausel 6.1.2 lediglich einen definierten, wiederholbaren Prozess mit dokumentierten Akzeptanzkriterien. Welche Methode Sie wählen, ob qualitativ oder quantitativ, bleibt Ihnen überlassen. Einen praxisnahen Leitfaden bietet ISO/IEC 27005, für die BSI-Methodik der Standard 200-3.
Wie oft muss die Risikoanalyse wiederholt werden?
Mindestens einmal jährlich und zusätzlich bei wesentlichen Änderungen: neue Systeme, veränderte Bedrohungslage, ein Sicherheitsvorfall oder ein Umbau der Organisation. Wichtig ist, dass die Aktualisierung dokumentiert wird, denn Auditoren prüfen, ob das Risikobild lebt oder auf dem Stand des ersten Aufbaus stehen geblieben ist.
Was ist ein akzeptables Restrisiko?
Ein Restrisiko ist der Anteil eines Risikos, der nach den Maßnahmen verbleibt. Akzeptabel ist es dann, wenn es innerhalb der von der Leitung festgelegten Kriterien liegt. Die Akzeptanz eines Restrisikos ist eine bewusste Entscheidung der Geschäftsleitung und gehört nachvollziehbar ins Risikoregister.
Reicht Excel oder brauche ich eine Software?
Für den Start reicht eine strukturierte Tabelle. Mit wachsender Zahl an Assets, Risiken und Maßnahmen wird die Pflege in Excel jedoch fehleranfällig, weil Verknüpfungen und Historie fehlen. Eine ISMS-Plattform hält Risiken, Controls und Maßnahmen konsistent zusammen und macht Änderungen revisionssicher nachvollziehbar.
Wie hängt die Risikoanalyse mit dem Statement of Applicability zusammen?
Die Risikoanalyse liefert die Begründung für die Anwendbarkeitserklärung. Für jedes behandelte Risiko wählen Sie passende Controls aus Annex A. Die SoA hält fest, welche der 93 Controls anwendbar sind und warum. Ohne belastbare Risikoanalyse bleibt die SoA eine unbegründete Behauptung.
Was ist der Unterschied zwischen asset-basierter und szenariobasierter Analyse?
Die asset-basierte Analyse geht von den Werten aus und fragt je Asset nach Bedrohungen und Schwachstellen. Die szenariobasierte Analyse denkt in Ereignissen, etwa einem Ransomware-Angriff, und verfolgt dessen Auswirkungen über mehrere Assets hinweg. In der Praxis kombinieren viele Organisationen beide Blickwinkel.
Wer ist im Unternehmen für die Risikoanalyse verantwortlich?
Die Durchführung koordiniert in der Regel der Informationssicherheitsbeauftragte gemeinsam mit den Fachbereichen, die ihre Werte und Prozesse am besten kennen. Die Akzeptanzkriterien und die Annahme von Restrisiken bleiben jedoch Sache der Geschäftsleitung. Sie trägt die Gesamtverantwortung und kann diese Entscheidung nicht delegieren.
Die wichtigsten Fakten auf einen Blick
| Aspekt | Kernaussage |
|---|---|
| Norm-Grundlage | ISO/IEC 27001:2022, Klausel 6.1.2 und 6.1.3 |
| Methodenrahmen | ISO/IEC 27005:2022 und BSI-Standard 200-3 |
| Bewertungsgrößen | Eintrittswahrscheinlichkeit und Schadenshöhe |
| Ergebnis | priorisiertes Risikoregister und Risikobehandlungsplan |
| Häufigkeit | mindestens jährlich und bei wesentlichen Änderungen |
Quellen: ISO/IEC 27001, ISO/IEC 27005, BSI-Standard 200-3.
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.