Risikoidentifizierung und Risikoregister

Risiko ist die Möglichkeit eines Verlusts oder Schadens, die entsteht, wenn eine Bedrohung eine Schwachstelle ausnutzt. In der Informationssicherheit wird Risiko als Kombination aus Wahrscheinlichkeit (wie wahrscheinlich das Ereignis ist) und Auswirkung (wie schwer der Schaden wäre) beschrieben. Ein Verständnis von Risiken ermöglicht es Unternehmen, fundierte und kosteneffiziente Sicherheitsentscheidungen zu treffen, anstatt jede denkbare Bedrohung beseitigen zu wollen.

Die Risikoidentifizierung beginnt mit drei zentralen Elementen. Ein Asset ist alles, was einen Wert besitzt – etwa Server, Datenbanken, geistiges Eigentum oder der Ruf eines Unternehmens. Eine Bedrohung ist jedes potenzielle Ereignis, das einem Asset schaden könnte, beispielsweise ein Ransomware-Angriff oder ein unzufriedener Mitarbeiter. Eine Schwachstelle ist eine Schwäche, die eine Bedrohung ausnutzen kann, etwa ein nicht gepatchtes System oder eine schwache Passwortrichtlinie. Risiko entsteht dort, wo Bedrohungen auf ungeschützte Assets treffen.

Eine systematische Risikoidentifizierung folgt einem strukturierten Prozess: Zunächst erfasst ein Asset-Inventar alles, was einen Wert besitzt. Anschließend ermittelt die Bedrohungsmodellierung, wer einen Angriff ausführen könnte und wie. Danach findet eine Schwachstellenbewertung Schwächen in Systemen und Prozessen. Abschließend ordnen Analysten Bedrohungen den Schwachstellen zu, um festzustellen, welche Assets tatsächlich gefährdet sind. Dieser Prozess wird üblicherweise jährlich oder nach größeren Änderungen wiederholt.

Die Bewertung von Assets bildet die Grundlage für die Priorisierung. Materielle Assets (Hardware, Softwarelizenzen) haben eindeutige Marktwerte. Immaterielle Assets (Markenreputation, Kundendaten) erfordern eine Einschätzung – Aufsichtsbehörden können beispielsweise einen Wert pro Datensatz für personenbezogene Daten festlegen. Bei der Methode der Wiederbeschaffungskosten wird ermittelt, wie viel die Neuerstellung des Assets kosten würde. Die Geschäftsauswirkung betrachtet, welcher Umsatzverlust entsteht, wenn das Asset 1 Stunde, 1 Tag oder 1 Woche nicht verfügbar ist.

Ein Risikoregister ist ein lebendes Dokument, das alle identifizierten Risiken in einem strukturierten und durchsuchbaren Format erfasst. Jeder Eintrag enthält typischerweise: Risikobeschreibung, betroffene Assets, Bedrohungsquelle, ausgenutzte Schwachstelle, Bewertung der Wahrscheinlichkeit, Bewertung der Auswirkung, Risikowert, bestehende Kontrollen und den zugewiesenen Risikoeigner. Risikoregister dienen als zentrale Referenz für Governance-, Audit- und Maßnahmenverfolgungsaktivitäten.

Die Spalte Wahrscheinlichkeit bewertet, wie wahrscheinlich eine Ausnutzung ist (1=Selten bis 5=Fast sicher). Die Spalte Auswirkung bewertet die Folgen im Hinblick auf finanzielle Verluste, behördliche Sanktionen oder Betriebsausfälle (1=Vernachlässigbar bis 5=Katastrophal). Durch die Multiplikation dieser Werte entsteht ein Risikowert, der zur Priorisierung verwendet wird. Das Feld Restrisiko erfasst das nach Anwendung der Kontrollen verbleibende Risiko und stellt sicher, dass nicht davon ausgegangen wird, es könne auf null sinken.

Jedes Risiko im Register muss einen namentlich benannten Risikoeigner haben – typischerweise einen Geschäfts- oder Systemverantwortlichen, nicht das Sicherheitsteam. Der Risikoeigner ist dafür verantwortlich, dass Kontrollen umgesetzt werden und das Restrisiko innerhalb akzeptabler Grenzwerte bleibt. Das Sicherheitsteam berät und überwacht, kann jedoch nicht für alle Risiken verantwortlich sein, da dadurch eine zentrale Verantwortlichkeit entstünde, die sich nicht auf ein gesamtes Unternehmen skalieren lässt.

Mehrere Frameworks helfen dabei, die Identifizierung von Bedrohungen zu strukturieren. STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) kategorisiert Bedrohungen für jede Systemkomponente. PASTA (Process for Attack Simulation and Threat Analysis) ist eine risikozentrierte Methodik, die Angreiferziele abbildet. DREAD bewertet Bedrohungen anhand von Damage, Reproducibility, Exploitability, Affected users und Discoverability – in der modernen Praxis wird DREAD jedoch seltener verwendet.

Risiken lassen sich nicht identifizieren, ohne zuvor Schwachstellen zu finden. Zu den wichtigsten Quellen gehören: Schwachstellen-Scanner (Nessus, OpenVAS), die Systeme anhand bekannter CVEs prüfen; Berichte zu Penetrationstests, die die Ausnutzbarkeit bestätigen; Konfigurationsprüfungen, die Einstellungen mit CIS-Benchmarks vergleichen; und Threat-Intelligence-Feeds, die auf aktiv ausgenutzte Schwachstellen hinweisen. Interne Auditberichte und Selbsteinschätzungen decken ebenfalls Schwachstellen auf Prozessebene auf, die bei technischen Scans übersehen werden.

Risikoregister müssen sowohl interne Bedrohungen (Mitarbeiter, Auftragnehmer, falsch konfigurierte Systeme) als auch externe Bedrohungen (Hacker, staatliche Akteure, kompromittierte Lieferketten) berücksichtigen. Interne Bedrohungen haben oft größere Auswirkungen, weil Insider bereits Zugriff besitzen – ein unzufriedener Mitarbeiter kann Daten exfiltrieren, ohne Perimeter-Kontrollen auszulösen. Programme gegen Insider-Bedrohungen, die Verhaltensanomalien überwachen, begegnen einer Risikokategorie, die sich nicht allein durch technische Kontrollen eindämmen lässt.

Ein Risikoregister ist kein einmaliges Ergebnis – es muss immer dann überprüft und aktualisiert werden, wenn wesentliche Änderungen eintreten: bei neuen Systembereitstellungen, organisatorischen Umstrukturierungen, neu veröffentlichten CVEs oder Erkenntnissen nach Sicherheitsvorfällen. Die meisten Unternehmen verknüpfen formale Überprüfungen des Risikoregisters mit jährlichen Sicherheitsüberprüfungen, Änderungsmanagementprozessen und Compliance-Audits. Veraltete Risikoregister vermitteln ein falsches Sicherheitsgefühl und können bei schnellen Änderungen an der Infrastruktur dazu führen, dass Risiken nicht mit den erforderlichen Ressourcen behandelt werden.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Risiko kombiniert Eintrittswahrscheinlichkeit und Auswirkung, um Sicherheitsentscheidungen zu priorisieren, Risikoregister dokumentieren Assets, Bedrohungen, Schwachstellen, Bewertungen, Verantwortliche und Restrisiken, und Techniken zur Bedrohungsmodellierung wie STRIDE helfen dabei, systematisch zu ermitteln, was schiefgehen könnte. Als Nächstes beschäftigen wir uns mit qualitativen und quantitativen Methoden der Risikoanalyse.