Risikomanagement · Risikobehandlung
Risikobehandlung: vermeiden, reduzieren, übertragen, akzeptieren
Lesezeit etwa 6 Minuten · Stand Oktober 2026
Risikobehandlung in der Informationssicherheit ist der Schritt, in dem ein Unternehmen für jedes bewertete Risiko entscheidet, wie es damit umgeht: vermeiden, reduzieren, übertragen oder akzeptieren. Aus dieser Entscheidung folgen die passenden Controls aus Anhang A. Die ISO/IEC 27001 regelt den Ablauf in Abschnitt 6.1.3 und verlangt einen dokumentierten Risikobehandlungsplan.
Ein Risiko verschwindet nicht, weil man es bewertet hat.
Erst die Behandlung verändert etwas.
Was ist Risikobehandlung in der Informationssicherheit?
Risikobehandlung ist der Schritt nach der Bewertung, in dem aus Erkenntnis Handlung wird. Für jedes Risiko, das die festgelegte Akzeptanzschwelle übersteigt, trifft das Unternehmen eine bewusste Entscheidung über den Umgang damit und leitet daraus Maßnahmen ab. Die ISO/IEC 27001 verankert diesen Prozess in Abschnitt 6.1.3 als festen Teil der Planung.
Die Grundlage liefert die Bewertung davor. Welche Risiken überhaupt existieren und wie schwer sie wiegen, zeigt die Risikoanalyse in der Informationssicherheit. Erst auf dieser Basis lässt sich sinnvoll entscheiden, wo gehandelt werden muss und wo ein Risiko tragbar ist. Behandlung ohne saubere vorherige Analyse führt zu Aktionismus an den falschen Stellen.
Welche 4 Optionen der Risikobehandlung gibt es?
Für jedes Risiko stehen 4 grundlegende Optionen zur Wahl. Man kann die risikobehaftete Tätigkeit vermeiden, das Risiko durch Controls reduzieren, es an einen Dritten übertragen oder es bewusst akzeptieren. Oft werden Optionen kombiniert, etwa ein Risiko zunächst reduziert und das verbleibende Restrisiko akzeptiert. Die Auswahl richtet sich nach Risikohöhe, Kosten und Nutzen.
| Option | Bedeutung | Beispiel |
|---|---|---|
| Vermeiden | die risikoauslösende Tätigkeit aufgeben oder verändern | einen unsicheren Dienst abschalten |
| Reduzieren | Eintritt oder Auswirkung durch Controls senken | Mehr-Faktor-Authentisierung, Verschlüsselung |
| Übertragen | das Risiko ganz oder teilweise an Dritte geben | Cyber-Versicherung, ausgelagerter Betrieb |
| Akzeptieren | das Risiko bewusst und dokumentiert tragen | geringes Risiko unter der Akzeptanzschwelle |
Keine Option ist per se besser als die andere. Vermeiden ist wirksam, aber oft mit dem Verzicht auf einen Geschäftsnutzen verbunden. Reduzieren ist der Normalfall und stützt sich auf technische und organisatorische Controls. Übertragen verschiebt die finanzielle Last, nicht die Verantwortung. Akzeptieren ist legitim, aber nur als bewusste und dokumentierte Entscheidung der richtigen Ebene.
Wie wählt man die passenden Controls aus Anhang A aus?
Entscheidet sich ein Unternehmen für das Reduzieren, braucht es konkrete Controls. Anhang A der ISO/IEC 27001 liefert dafür einen Katalog von 93 Sicherheitsmaßnahmen in 4 Themengruppen. Für jedes behandelte Risiko wählt man die Controls aus, die seinen Eintritt oder seine Auswirkung wirksam senken. Die Auswahl ist risikogetrieben, nicht umgekehrt.
Das Ergebnis dieser Auswahl hält das Statement of Applicability fest. Dort wird für jedes Control begründet, ob es anwendbar ist und warum. Welche Controls der Anhang A überhaupt umfasst, ordnet der Ratgeber zu ISO 27001 Annex A ein. So entsteht eine nachvollziehbare Kette vom Risiko über die Behandlungsentscheidung bis zum einzelnen Control.
Behandlungsentscheidungen lückenlos dokumentieren
In VANTARIS trägt jedes Risiko seine Behandlungsoption, die zugehörigen Controls und das Restrisiko. Die Demo zeigt, wie Risikoregister und Statement of Applicability aus einer Datenbasis entstehen.
Was bedeutet Restrisiko und wer akzeptiert es?
Das Restrisiko ist der Teil eines Risikos, der nach der Behandlung bestehen bleibt. Kein Control senkt ein Risiko auf null, deshalb gibt es fast immer ein Restrisiko. Es muss von der dafür zuständigen Leitungsebene bewusst und nachvollziehbar akzeptiert werden. Diese Freigabe ist eine Entscheidung mit Verantwortung, kein stilles Hinnehmen.
Wie Akzeptanzschwellen und Risikobewertung methodisch zusammenhängen, vertieft der Leitfaden zur Risikoanalyse. Für die Behandlung zählt vor allem die saubere Dokumentation: Wer hat welches Restrisiko auf welcher Grundlage akzeptiert. Fehlt diese Spur, kann das Unternehmen im Ernstfall nicht belegen, dass die Entscheidung bewusst und auf der richtigen Ebene getroffen wurde.
Was gehört in einen Risikobehandlungsplan?
Der Risikobehandlungsplan ist das Ergebnisdokument der Behandlung. Er hält für jedes relevante Risiko fest, welche Option gewählt wurde, welche Maßnahmen daraus folgen, wer sie verantwortet, bis wann sie umgesetzt sind und welches Restrisiko bleibt. Die ISO/IEC 27001 verlangt ihn in Abschnitt 6.1.3 als dokumentierte Information.
| Bestandteil | Inhalt |
|---|---|
| Risiko | Bezug zur Risikoanalyse, Höhe vor der Behandlung |
| Behandlungsoption | vermeiden, reduzieren, übertragen oder akzeptieren |
| Maßnahmen und Controls | konkrete Vorkehrungen mit Bezug zum Anhang A |
| Verantwortlicher und Frist | eine benannte Person, ein realistischer Termin |
| Restrisiko und Freigabe | verbleibendes Risiko, akzeptiert durch die Leitung |
Der Plan ist die Brücke zur Umsetzung. Aus seinen Einträgen werden terminierte Aufgaben, deren Fortschritt und Wirksamkeit das Maßnahmenmanagement im ISMS verfolgt. So wird aus einer Behandlungsentscheidung keine Absichtserklärung, sondern eine nachweisbar umgesetzte und wirksame Maßnahme.
Wie dokumentiert man Behandlungsentscheidungen im Risikoregister?
Das Risikoregister ist der zentrale Ort, an dem jedes Risiko mit seiner Bewertung, der gewählten Behandlungsoption, den Maßnahmen und dem Restrisiko zusammenläuft. Es verbindet Analyse, Behandlung und Nachweis in einer Sicht. Verstreute Tabellen trennen diese Teile und machen es schwer, die Behandlung lückenlos zu belegen.
Genau dafür ist VANTARIS gebaut: Jedes Risiko trägt seine Behandlungsentscheidung, hängt an den gewählten Controls und speist das Statement of Applicability aus derselben Datenbasis. Ändert sich ein Risiko, ist sofort sichtbar, welche Maßnahmen und welches Restrisiko betroffen sind. Der Nachweis für das Audit entsteht so als Nebenprodukt der laufenden Steuerung.
Vorlage für die strukturierte Risikobehandlung
Unser Whitepaper führt Schritt für Schritt durch die 4 Behandlungsoptionen, die Control-Auswahl und den Risikobehandlungsplan. Jetzt kostenfrei herunterladen und direkt anwenden.
Häufige Fragen zur Risikobehandlung
Was ist der Unterschied zwischen Risikoanalyse und Risikobehandlung?
Die Risikoanalyse erhebt und bewertet Risiken, sie liefert das Lagebild. Die Risikobehandlung entscheidet über den Umgang mit jedem Risiko und leitet Maßnahmen ab. Die Analyse beantwortet die Frage, was gefährdet ist und wie schwer, die Behandlung die Frage, was dagegen getan wird. Beide Schritte gehören zusammen.
Welche 4 Optionen der Risikobehandlung gibt es?
Die 4 Optionen sind vermeiden, reduzieren, übertragen und akzeptieren. Vermeiden gibt die riskante Tätigkeit auf, reduzieren senkt das Risiko durch Controls, übertragen verlagert es etwa auf eine Versicherung und akzeptieren trägt es bewusst. In der Praxis werden sie oft kombiniert, meist wird ein Risiko zuerst reduziert und das Restrisiko dann akzeptiert.
Wann darf man ein Risiko einfach akzeptieren?
Ein Risiko darf akzeptiert werden, wenn es unterhalb der festgelegten Akzeptanzschwelle liegt oder wenn Aufwand und Nutzen einer weiteren Behandlung in keinem Verhältnis stehen. Entscheidend ist, dass die Akzeptanz bewusst erfolgt, von der zuständigen Leitungsebene getragen und dokumentiert wird. Ein unbemerkt hingenommenes Risiko ist keine Akzeptanz, sondern eine Lücke.
Wer entscheidet über die Risikobehandlung?
Die fachliche Vorbereitung übernimmt der Informationssicherheitsbeauftragte zusammen mit den Prozessverantwortlichen. Die Entscheidung über Behandlung und über die Akzeptanz von Restrisiken liegt bei der Leitung, denn sie trägt die Gesamtverantwortung für das ISMS. Je höher das Risiko, desto höher die Ebene, die die Entscheidung verantworten muss.
Deckt eine Cyber-Versicherung das Risiko vollständig ab?
Nein. Eine Versicherung überträgt einen Teil der finanziellen Folgen, nicht aber die Verantwortung oder die rechtlichen Pflichten. Betriebsunterbrechung, Reputationsschaden und Meldepflichten bleiben beim Unternehmen. Übertragen ist deshalb selten eine Alleinlösung, sondern ergänzt das Reduzieren durch Controls. Versicherer setzen zudem ein wirksames Sicherheitsniveau voraus.
Wie hängt die Risikobehandlung mit dem Statement of Applicability zusammen?
Aus der Behandlung ergibt sich, welche Controls aus Anhang A nötig sind. Das Statement of Applicability dokumentiert für jedes Control, ob es anwendbar ist und warum. So bildet es das Ergebnis der Behandlungsentscheidungen ab und macht die Kette vom Risiko über die Maßnahme bis zum Control im Audit nachvollziehbar.
Fakten und Quellen auf einen Blick
- Risikobehandlung wählt für jedes bewertete Risiko eine von 4 Optionen: vermeiden, reduzieren, übertragen oder akzeptieren.
- Normbezug: ISO/IEC 27001, Abschnitt 6.1.3 (Informationssicherheitsrisikobehandlung), mit dokumentiertem Risikobehandlungsplan und Statement of Applicability.
- Reduzieren stützt sich auf die 93 Controls des Anhang A in 4 Themengruppen.
- Das Restrisiko muss die zuständige Leitungsebene bewusst und dokumentiert akzeptieren.
- Quellen: ISO/IEC 27001; ISO/IEC 27005; BSI-Standard 200-3; Stand Oktober 2026.
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.