Risikobewertung Informationssicherheit: kostenloses Tool

Mit dem IT Risiko Generator können Sie:

• Bedrohungen erfassen: Geben Sie verschiedene Bedrohungen ein, die für Ihr Unternehmen relevant sind, und bewerten Sie diese nach Wahrscheinlichkeit und Auswirkung.
• Risikobewertungen durchführen: Erhalten Sie eine klare Übersicht über die ermittelten Risiken, sortiert nach deren Schwere, und identifizieren Sie prioritäre Handlungsfelder.
• Risikominderungsstrategien entwickeln: Nutzen Sie die Ergebnisse, um gezielte Maßnahmen zur Risikominderung zu planen und umzusetzen.
• Compliance unterstützen: Erfüllen Sie die Anforderungen von Standards wie ISO 27001 und erhöhen Sie Ihre Chancen auf eine bessere Cyber Security Versicherung durch eine detaillierte Dokumentation Ihrer IT-Risiken.

Durch die einfache Benutzeroberfläche und die strukturierte Eingabe der Bedrohungen und Bewertungen stellt der IT Risiko Generator sicher, dass keine wichtigen Details übersehen werden. Dies erleichtert nicht nur das Management Ihrer IT-Sicherheit, sondern auch die Kommunikation mit Versicherungen und Auditoren.

Wie bewertet man ein Risiko?

Der Score entsteht aus zwei Schätzungen: Wie wahrscheinlich tritt das Ereignis ein, und wie stark trifft es uns, wenn es eintritt. Beide werden auf derselben Skala eingeordnet und multipliziert. Wichtig ist weniger die Genauigkeit der einzelnen Zahl als die Vergleichbarkeit: Alle Risiken müssen nach denselben Maßstäben bewertet werden, sonst ist die Reihenfolge am Ende zufällig.

Stufe	Eintrittswahrscheinlichkeit	Auswirkung
1 – gering	Kein bekannter Fall, theoretisch denkbar	Kaum spürbar, interner Mehraufwand
2 – mittel	In der Branche gelegentlich beobachtet	Einzelne Prozesse gestört, Aufwand überschaubar
3 – hoch	Kommt regelmäßig vor, auch bei uns denkbar	Wesentliche Prozesse stehen, Kunden merken es
4 – sehr hoch	Ist bereits passiert oder wird aktiv versucht	Existenzgefährdend, meldepflichtig, öffentlich sichtbar

Ob du vier oder fünf Stufen nimmst, ist zweitrangig – wichtig ist, dass die Stufen beschrieben sind. Eine Skala von 1 bis 5 ohne Definition führt dazu, dass jeder Beteiligte etwas anderes meint, und genau daran scheitern die meisten Risikoanalysen.

Was du mit dem Ergebnis machst

Eine bewertete Liste ist noch keine Entscheidung. Für jedes Risiko oberhalb eurer Akzeptanzschwelle gibt es genau vier Möglichkeiten – und eine davon muss dokumentiert gewählt werden:

• Vermeiden – die risikobehaftete Tätigkeit oder Technik wird eingestellt
• Vermindern – technische oder organisatorische Maßnahmen senken Wahrscheinlichkeit oder Auswirkung
• Übertragen – Versicherung oder vertragliche Weitergabe an einen Dienstleister
• Akzeptieren – bewusst, begründet und von der Leitung freigegeben

„Akzeptieren“ ist dabei kein Schummeln, sondern eine legitime und normkonforme Entscheidung – solange sie schriftlich getroffen wird und die richtige Person sie trifft. Nicht dokumentierte Akzeptanz ist dagegen der häufigste Auditbefund in diesem Bereich.

Typische Fehler

Aus der Praxis: Die längste Risikoliste gewinnt nicht. Wer 300 Zeilen erfasst, behandelt am Ende keine davon, weil die Liste unbenutzbar wird und nach dem ersten Jahr niemand sie mehr pflegt. Zwanzig gut beschriebene Risiken, die zu echten Entscheidungen führen, sind einer erschöpfenden Sammlung deutlich überlegen.

• Risiken sind zu vage formuliert. „Cyberangriff“ lässt sich nicht bewerten. „Verschlüsselung der Fileserver über ein kompromittiertes Administratorkonto“ schon – und die Maßnahme ergibt sich fast von selbst.
• Es wird nur die IT gefragt. Die schmerzhaftesten Ausfälle betreffen Geschäftsprozesse, nicht Systeme. Ohne die Fachbereiche fehlt die Auswirkungsseite.
• Die Bewertung erfolgt einmalig. Ein Risikoregister ohne Wiedervorlage ist ein Projektartefakt, kein Steuerungsinstrument. Setz dir einen festen Überprüfungstermin, bevor du die Liste anlegst.
• Maßnahmen ohne Verantwortlichen und Termin. Beides gehört in dieselbe Zeile wie das Risiko, sonst passiert nichts.

Bezug zu ISO 27001

Die Risikobeurteilung ist der Kern der Norm. Kapitel 6.1.2 verlangt ein festgelegtes und wiederholbares Verfahren, 6.1.3 die dokumentierte Risikobehandlung, und 8.2 die Durchführung in geplanten Abständen sowie bei wesentlichen Änderungen. Ausdrücklich gefordert ist außerdem die Freigabe der verbleibenden Restrisiken durch die Risikoeigentümer – nicht durch die IT.

Für Versicherungen ist eine nachvollziehbare Risikobewertung inzwischen ebenfalls Standard: Cyber-Policen setzen eine dokumentierte Auseinandersetzung mit den eigenen Risiken meist voraus, bevor überhaupt ein Angebot erstellt wird.

Häufige Fragen

Werden meine Eingaben irgendwo gespeichert?

Nein. Das Tool läuft vollständig in deinem Browser. Über den Export als CSV oder JSON nimmst du deine Daten mit – ohne Export sind sie beim Schließen weg.

Schlägt das Tool Maßnahmen vor?

Nein – es erfasst, bewertet, priorisiert und stellt die Verteilung in einer Matrix dar. Welche Maßnahme angemessen ist, hängt von eurem Kontext ab und lässt sich nicht automatisiert ableiten.

Wie viele Risiken sind angemessen?

Für den Einstieg reichen die 15 bis 30 Risiken, die euch tatsächlich beschäftigen. Wächst das ISMS, wächst die Liste mit – aber gesteuert, nicht auf Vorrat.

Weiter zum Thema

• ISMS in 11 Schritten – wo die Risikoanalyse im Gesamtbild steht
• ISMS einführen: Aufwand, Kosten und typische Fehler
• Datensicherungskonzept – die häufigste Maßnahme gegen die teuersten Risiken
• IT-Notfallplan – für die Risiken, die sich nicht vermeiden lassen