Risikobehandlung: Akzeptieren, übertragen, mindern, vermeiden

Nachdem Risiken identifiziert und analysiert wurden, müssen Unternehmen entscheiden, wie sie damit umgehen. Risikobehandlung ist der Prozess, für jedes Risiko auf Grundlage seiner Eintrittswahrscheinlichkeit, Auswirkung und der Kosten für die Behebung eine Reaktion auszuwählen und umzusetzen. Es gibt vier allgemein anerkannt Behandlungsmöglichkeiten: akzeptieren, übertragen, mindern und vermeiden. Keine einzelne Option ist immer richtig – die geeignete Wahl hängt vom geschäftlichen Kontext, der Risikobereitschaft und den verfügbaren Ressourcen ab.

Risikominderung reduziert die Eintrittswahrscheinlichkeit oder Auswirkung eines Risikos durch die Implementierung von Sicherheitskontrollen. Dies ist die häufigste Behandlungsmöglichkeit. Beispiele sind die Bereitstellung einer Firewall zur Verringerung der Wahrscheinlichkeit eines Netzwerkeinbruchs, das Einspielen von Patches zum Schließen bekannter Schwachstellen oder die Implementierung von MFA zur Verringerung der Auswirkungen eines Diebstahls von Zugangsdaten. Durch Risikominderung wird das Risiko nicht vollständig beseitigt – es entsteht ein Restrisiko, das nach der Anwendung der Kontrollen erneut bewertet werden muss.

Bei der Risikoübertragung werden die finanziellen Folgen eines Risikos auf einen Dritten verlagert. Cyberversicherung ist das häufigste Beispiel: Das Unternehmen zahlt eine Prämie, und der Versicherer übernimmt die Verluste aus versicherten Vorfällen. Risiken können auch vertraglich übertragen werden: Service Level Agreements (SLAs) mit Cloud-Anbietern können die Haftung für Datenschutzverletzungen dem Anbieter auferlegen, und Freistellungsklauseln in Verträgen können die Haftung auf Geschäftspartner übertragen. Wichtig ist, dass durch die Übertragung nicht das Risiko selbst beseitigt wird – nur die finanzielle Belastung.

Risikoakzeptanz bedeutet, ein Risiko bewusst zu tolerieren, ohne zusätzliche Kontrollen zu implementieren, weil die Kosten der Risikominderung den erwarteten Verlust übersteigen oder das Risiko unterhalb der Risikoschwelle des Unternehmens liegt. Die Akzeptanz muss eine dokumentierte, bewusste Entscheidung einer zuständigen Stelle sein (typischerweise des Risikoverantwortlichen oder einer Führungskraft). Eine undokumentierte, implizite Akzeptanz – ein Risiko zu ignorieren, weil sich niemand um seine Behebung gekümmert hat – ist nicht dasselbe wie eine formelle Akzeptanz und führt zu Audit-Feststellungen.

Risikovermeidung beseitigt das Risiko vollständig, indem die Aktivität, die das Risiko verursacht, nicht ausgeführt wird. Beispielsweise könnte ein Unternehmen beschließen, Zahlungskartendaten nicht direkt zu speichern und dadurch den PCI-DSS-Geltungsbereich vollständig zu vermeiden, indem es die gesamte Kartenverarbeitung an einen Tokenisierungsdienst eines Drittanbieters delegiert. Eine Vermeidung ist angemessen, wenn das Risiko unvertretbar hoch ist und keine kosteneffektive Möglichkeit zur Minderung oder Übertragung besteht. Sie kann jedoch auch bedeuten, dass eine Geschäftsmöglichkeit nicht wahrgenommen wird.

Bei der Auswahl einer Behandlungsmöglichkeit werden Risikoexposition und Kosten der Reaktion verglichen. Wenn die ALE 50.000 $ beträgt und die Risikominderung 10.000 $ pro Jahr kostet, ist die Risikominderung eindeutig kosteneffektiv. Wenn die ALE 5.000 $ beträgt und die Risikominderung 30.000 $ pro Jahr kostet, können Akzeptanz oder Übertragung sinnvoller sein. Unternehmen berücksichtigen außerdem die Risikobereitschaft – das Risikoausmaß, das die Unternehmensleitung zu tolerieren bereit ist – und die Risikotoleranz, also die akzeptable Abweichung von der Risikobereitschaft für bestimmte Risikokategorien.

Die Risikobereitschaft bezeichnet das allgemeine strategische Risikoausmaß, das ein Unternehmen zur Erreichung seiner Ziele zu akzeptieren bereit ist – häufig wird es vom Aufsichtsrat festgelegt. Die Risikotoleranz bezeichnet die akzeptable Abweichung innerhalb bestimmter Risikokategorien. Ein Unternehmen kann insgesamt eine geringe Risikobereitschaft, aber eine höhere Toleranz gegenüber Reputationsrisiken in einer bestimmten Produktlinie haben. Diese Schwellenwerte bestimmen, wann eine Risikoakzeptanz angemessen ist und wann eine Eskalation erforderlich wird.

Wenn die ideale Risikominderung aufgrund von Kosten, technischen Einschränkungen oder Altsystemen nicht implementiert werden kann, bietet eine kompensierende Kontrolle eine alternative Risikoreduzierung. Wenn ein altes System beispielsweise MFA nicht unterstützt, können verstärkte Überwachung, Netzwerkisolierung und zusätzliche Protokollierung dies ausgleichen. Kompensierende Kontrollen werden in PCI-DSS und anderen Frameworks formell als gültige Risikobehandlung anerkannt, wenn sie mit einer Begründung dokumentiert und von der zuständigen Stelle genehmigt wurden.

Nach der Anwendung einer Risikobehandlung bleibt fast immer ein gewisses Risiko bestehen. Das Restrisiko ist das Risiko, das nach der Implementierung der Kontrollen verbleibt. Es muss vom Risikoverantwortlichen formell anerkannt und akzeptiert werden. Wenn das Restrisiko weiterhin über dem akzeptablen Schwellenwert liegt, sind zusätzliche Kontrollen erforderlich. Entscheidungen zur Risikobehandlung und die Höhe des Restrisikos sollten im Risikoregister festgehalten und in festgelegten Abständen überprüft werden, insbesondere bei Änderungen der Bedrohungslage.

Compliance-Frameworks schränken ein, welche Optionen zur Risikobehandlung zulässig sind. HIPAA erlaubt es nicht, die Verarbeitung geschützter Gesundheitsinformationen zu vermeiden — Unternehmen müssen das Risiko mindern oder übertragen. PCI-DSS schreibt bestimmte Kontrollen unabhängig von einer Kosten-Nutzen-Analyse vor. Das Verständnis dieser Einschränkungen verhindert Situationen, in denen die bevorzugte Behandlungsoption eines Unternehmens (z. B. eine Kontrolllücke zu akzeptieren) gegen eine regulatorische Vorgabe verstößt, die zu Geldstrafen oder dem Verlust der Berechtigung zur Kartenverarbeitung führen kann.

Die Risikobehandlung gilt auch für Risiken durch Dritte und in der Lieferkette. Wenn Anbieter oder Partner Zugriff auf Ihre Systeme oder Daten haben, wird deren Sicherheitsniveau zu einem Teil Ihres Risikoprofils. Zu den Behandlungsoptionen gehören: vertragliche Kontrollen (Übertragung), Sicherheitsbewertungen von Anbietern (Minderung), die Auswahl alternativer Anbieter (Vermeidung) oder die formelle Akzeptanz des Risikos mit regelmäßigen Überprüfungen. Angriffe auf die Lieferkette (SolarWinds, XZ Utils) zeigen, warum das Management von Risiken durch Dritte für die Security+-Prüfung besonders wichtig ist.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion für CompTIA Security+ (SY0-701).

In dieser Lektion haben Sie gelernt: Risikominderung verringert durch Kontrollen die Wahrscheinlichkeit oder die Auswirkungen eines Risikos, Risikotransfer verlagert die finanziellen Folgen auf Dritte wie Versicherer, Risikoakzeptanz ist eine dokumentierte Entscheidung, ein Risiko zu tolerieren, und Risikovermeidung beseitigt das Risiko, indem die betreffende Aktivität nicht durchgeführt wird. Als Nächstes sehen wir uns wichtige Security-Frameworks an: NIST RMF, ISO 27001 und CIS Controls.