Wie bewertet man IT Risiken im Unternehmen?

Warum eine strukturierte Bewertung sinnvoll ist

In vielen Unternehmen wird IT Risiko nach Bauchgefühl eingeschätzt: Was zuletzt ein Problem verursacht hat, wird als dringend empfunden, unabhängig davon, wie wahrscheinlich es erneut auftritt oder wie groß der tatsächliche Schaden wäre. Eine strukturierte Bewertung macht Risiken vergleichbar und hilft, Maßnahmen dort zuerst umzusetzen, wo sie den größten Effekt haben.

Zwei Dimensionen: Wahrscheinlichkeit und Auswirkung

Ein verbreiteter und nachvollziehbarer Ansatz bewertet jedes Risiko entlang zweier Dimensionen: Wie wahrscheinlich ist es, dass ein bestimmtes Ereignis eintritt, zum Beispiel ein Serverausfall oder ein erfolgreicher Phishing-Angriff, und wie groß wäre der Schaden, wenn es eintritt. Beide Dimensionen werden häufig auf einer Skala von 1 bis 5 bewertet und miteinander multipliziert. Das Ergebnis ist ein Risikoscore, der Risiken in Kategorien wie gering, erhöht, hoch und sehr hoch einteilt.

Was in die Bewertung einfließen sollte

• Welche Systeme und Daten überhaupt betroffen wären.
• Wie lange ein Ausfall realistisch dauern würde, bis der Betrieb wieder normal läuft.
• Welche finanziellen, rechtlichen oder operativen Folgen ein Ausfall nach sich ziehen würde.
• Ob bereits Maßnahmen bestehen, die die Wahrscheinlichkeit oder die Auswirkung reduzieren, etwa Backups, Redundanzen oder Monitoring.

Aus der Bewertung werden Maßnahmen

Eine Risikobewertung ist kein Selbstzweck. Sie dient dazu, Prioritäten zu setzen: Risiken mit hohem Score werden zuerst technisch adressiert, während Risiken mit geringem Score bewusst zurückgestellt werden können. Wichtig ist, die Bewertung in regelmäßigen Abständen zu wiederholen, da sich sowohl die eingesetzten Systeme als auch die Bedrohungslage verändern.