Was ist eine Bewertung von Cybersicherheitsrisiken?

Eine umfassende Bewertung von Cybersicherheitsrisiken bewertet mehrere Ebenen des Sicherheitsstatus einer Organisation, von der technischen Infrastruktur bis zu menschlichen Faktoren. So können Organisationen Risiken systematisch identifizieren und gezielte Strategien entwickeln, um sie zu minimieren.

Kernelemente einer Bewertung von Cybersicherheitsrisiken

Eine gut strukturierte Risikobewertung umfasst mehrere wesentliche Schritte:

1. Den Umfang definieren

Eine Bewertung von Cybersicherheitsrisiken beginnt mit der Festlegung des Umfangs. Das bedeutet, genau zu identifizieren, welcher Teil der Organisation bewertet wird – eine bestimmte Unternehmenseinheit, eine Anwendung oder die gesamte IT-Umgebung des Unternehmens. Ein klarer Umfang verhindert blinde Flecken und hilft dabei, den Fokus zu behalten. Das sollte Folgendes umfassen:
 

• Physische Infrastruktur wie Server, Desktops, mobile Geräte und IoT-Endpunkte.
• Softwaresysteme wie interne Tools, Cloudplattformen, Anwendungen von Drittanbietern und Datenbanken.
• Die Vermittlungsschicht, einschließlich Segmentierung, Remotezugriff und extern erreichbarer Dienste.
• Personen, einschließlich Benutzerrollen, Zugriffsebenen und digitaler Aktivitäten von Mitarbeitern, Auftragnehmern und Lieferanten.
   

2. Ressourcen identifizieren

Sobald der Umfang festgelegt ist, besteht der nächste Schritt darin, Ressourcen zu identifizieren. Dabei wird alles von Wert innerhalb des definierten Umfangs katalogisiert, das den Geschäftsbetrieb unterstützt. Zu den Ressourcen gehören:
 

• Physische Hardware wie Laptops, Server, Router und Speichergeräte.
• Softwaresysteme wie Betriebssysteme, branchenspezifische Anwendungen, Sicherheitstools und benutzerdefinierter Code.
• Netzwerkinfrastruktur, einschließlich WLAN-Zugriffspunkten, VPNs, Firewalls und DNS-Systemen.
• Personen, wie Mitarbeiter, Admins, externe Benutzer und die zugehörigen Anmeldeinformationen für Identität und Zugriff.
   

Jede Ressource sollte danach klassifiziert werden, wie wichtig sie für das Unternehmen ist.

3. Bedrohungen erkennen

Eine Bedrohung ist jedes potenzielle Ereignis, jeder Akteur oder jede Bedingung, die Schaden verursachen könnte, indem ein Sicherheitsrisiko in einem System, einem Netzwerk, einer Anwendung oder einem Prozess ausgenutzt wird. Das ist der "Was könnte schiefgehen"-Teil eines Risikoszenarios.

Bedrohungen können sein:

• Absichtlich, z. B. ein Cyberkrimineller, der einen Phishing-Angriff startet, oder ein interner Benutzer, der den Zugriff falsch verwendet.
• Versehentlich, z. B. eine falsch konfigurierte Firewall oder ein Mitarbeiter, der vertrauliche Daten an die falsche Person sendet.
• Umweltbedingt, einschließlich Bränden, Überschwemmungen oder Stromausfällen, die den Betrieb unterbrechen oder Geräte beschädigen.

Das Ziel kann Hardware sein (etwa durch den Diebstahl eines Laptops), aber auch Software (etwa durch das Ausnutzen einer Schwachstelle in einer Anwendung), Netzwerke (etwa durch das Abfangen von nicht verschlüsseltem Datenverkehr) oder Personen (etwa indem Benutzer dazu gebracht werden, Kennwörter weiterzugeben).

4. Sicherheitsrisiken bewerten

Ein Sicherheitsrisiko ist eine Schwäche in einem System, einer Anwendung, einem Prozess oder im menschlichen Verhalten, die eine Bedrohung ausnutzen könnte, um Schaden oder unbefugte Ergebnisse zu verursachen. Das ist der "Wie könnte etwas schiefgehen"-Teil eines Risikoszenarios.

Sicherheitsrisiken können sich auf viele Arten zeigen:
 

• Hardware. Unverschlüsselte Laptops, veraltete Firmware oder nicht gesicherte Ports.
• Software. Nicht gepatchte Anwendungen, Standardanmeldeinformationen oder Code, der nicht sicher ist.
• Netzwerke. Offene Ports, schwache Verschlüsselung oder eine unzureichende Segmentierung.
• Menschliche Faktoren. Wiederverwendete Kennwörter, fehlende Schulungen oder zu übermäßige Zugriffsberechtigungen.
   

Ein Sicherheitsrisiko führt nicht automatisch zu einem Vorfall, aber zusammen mit einer relevanten Bedrohung öffnet sie die Tür für ein Risiko. Beispielsweise ist ein Webserver mit veralteter Software anfällig. Wenn ein Bedrohungsakteur nach diesem Sicherheitsrisiko sucht und es ausnutzt, könnte es zu einem Datenleck kommen.

5. Vorhandene Kontrollen bewerten

Sobald Bedrohungen und Sicherheitsrisiken identifiziert sind, ist es an der Zeit, die vorhandenen Kontrollen zu bewerten, mit denen sie reduziert werden. Kontrollen lassen sich in drei allgemeine Typen einteilen:
 

• Präventiv. Beispielsweise Firewalls, Antivirensoftware und Multi-Faktor-Authentifizierung.
• Detektiv. Dazu zählen Systeme zur Erkennung von Eindringversuchen sowie SIEM-Tools (Security Information & Event Management).
• Korrektiv. Beispiele hierfür sind Sicherungen und Notfallwiederherstellungspläne.
   

Wichtig ist, die Abdeckung in folgenden Bereichen zu bewerten:
 

• Hardware. Gibt es physische Sicherheitsmaßnahmen wie Badge-Zugriff, Geräteverschlüsselung oder sichere Entsorgungsverfahren?
• Software. Sind Patchverwaltungs- und sichere Entwicklungspraktiken vorhanden?
• Netzwerke. Wird Datenverkehr segmentiert, ordnungsgemäß protokolliert und TLS für die verschlüsselte Kommunikation verwendet?
• Personen. Sind die Mitarbeiter im Erkennen von Phishing geschult? Folgen die Zugriffsrichtlinien dem Prinzip der geringsten Berechtigungen?
   

Diese Bewertung gibt Aufschluss darüber, wie wirksam die aktuellen Abwehrmaßnahmen sind und wo noch Lücken bestehen.

6. Wahrscheinlichkeit und Auswirkungen ermitteln

Schätzen Sie für jedes identifizierte Risikoszenario Folgendes:
 

• Wahrscheinlichkeit. Wie wahrscheinlich ist die Bedrohung angesichts der aktuellen Kontrollen?
• Auswirkungen. Was würde im Erfolgsfall passieren – finanzieller Verlust, Datenoffenlegung, Downtime?
   

Berücksichtigen Sie Geschäftsunterbrechungen, behördliche Strafen, Reputationsschäden und Betriebskosten. Hardware- oder Netzwerkausfälle könnten beispielsweise weitreichende Ausfälle verursachen, während ein Phishing-Angriff durch kompromittierte Anmeldeinformationen zu Datenverlust führen könnte.

7. Risiko berechnen

Kombinieren Sie jetzt Wahrscheinlichkeit und Auswirkungen, um für jedes Szenario eine Risikobewertung zu ermitteln.

Beispiele:

Risikoszenario	Wahrscheinlichkeit	Auswirkungen	Risikostufe
Ransomware auf veralteten Servern	Hoch	Hoch	Kritisch
Falsch konfigurierte Firewallregel	Mittel	Mittel	Mäßig
Phishing-E-Mail, die Filter umgeht	Hoch	Niedrig	Mäßig

So können Sie priorisieren, welche Probleme sofortige Aufmerksamkeit erfordern und welche akzeptabel oder tolerierbar sind.

8. Gegenmaßnahmen empfehlen

Schlagen Sie für jedes hohe oder kritische Risiko Maßnahmen vor, um es zu verringern. Empfehlungen können Folgendes umfassen:
 

• Hardware. Setzen Sie verschlüsselte Speicherung, Einstellungen für einen sicheren Start und das Sperren ungenutzter Ports durch.
• Software. Implementieren Sie regelmäßige Patches, und verwenden Sie Code-Scan-Tools in der Entwicklungspipeline.
• Netzwerke. Führen Sie Netzsegmentierung ein, und stellen Sie Eindringschutzsysteme bereit.
• Personen. Erweitern Sie Schulungen zum Sicherheitsbewusstsein, und setzen Sie strengere Zugriffssteuerungen sowie Identitätsüberprüfungen durch.
   

Empfehlungen sollten Risikominderung, Kosten, Komplexität und die Auswirkungen auf die Benutzerfreundlichkeit ausbalancieren.

9. Dokumentieren und berichten

Eine gründliche Risikobewertung sollte klar dokumentiert und mit den Beteiligten auf mehreren Ebenen geteilt werden. Der Bericht enthält in der Regel eine allgemeine Zusammenfassung für Führungskräfte, detaillierte technische Erkenntnisse für IT- und Sicherheitsteams sowie priorisierte Aktionen. Visuelle Elemente wie Heatmaps, Architekturdiagramme und Tabellen helfen häufig dabei, komplexe Risiken wirkungsvoller zu vermitteln. Die Dokumentation sollte ein Inventar der Ressourcen, identifizierte Bedrohungen und Sicherheitsrisiken, aktuelle Kontrollen, Risikobewertungen und empfohlene Gegenmaßnahmen enthalten. Der Bericht sollte auch angeben, wer für die jeweilige Aktion verantwortlich ist und wann Folgebewertungen geplant sind. Transparenz und Klarheit helfen, Unterstützung zu sichern und Teams aufeinander abzustimmen.

10. Überprüfen und wiederholen

Risikobewertungen sind keine einmalige Sache – sie sind Teil eines fortlaufenden Zyklus. Technologie entwickelt sich weiter, Geschäftsprozesse verändern sich, und neue Bedrohungen entstehen ständig. Hier sind einige Tipps, die helfen, resilient und gut vorbereitet zu bleiben.
 

• Planen Sie regelmäßige Bewertungen ein (vierteljährlich, jährlich oder nach größeren Änderungen).
• Automatisieren Sie, wo immer es sinnvoll ist (kontinuierliche Überprüfung auf Sicherheitsrisiken, Endpunktüberwachung).
• Passen Sie Ihre Kontrollen an, wenn neue Risiken entstehen – besonders im Zusammenhang mit mobiler Arbeit, Abhängigkeiten in der Lieferkette oder generativen KI-Tools.

Eine Bewertung von Cybersicherheitsrisiken ist nur so stark wie der Prozess dahinter. Bewährte Methoden helfen dabei, dass Bewertungen wirksam, wiederholbar und auf geschäftliche Prioritäten abgestimmt sind.

Mit klaren Zielen beginnen

Bevor es losgeht, sollten Sie festlegen, was die Bewertung erreichen soll. Das kann bedeuten, kritische Ressourcen und potenzielle Bedrohungen zu identifizieren, Compliance-Anforderungen zu erfüllen, die Wahrscheinlichkeit von Vorfällen zu senken oder künftige Sicherheitsinvestitionen zu steuern. Klar definierte Ziele am Anfang helfen dabei, dass die Bewertung während des gesamten Prozesses fokussiert, relevant und umsetzbar bleibt.

Die richtigen Beteiligten einbeziehen

Eine Risikobewertung ist nicht nur eine IT-Aufgabe – dafür braucht es Input aus der gesamten Organisation. Sicherheits- und IT-Teams bringen das technische Fachwissen ein, während Rechts- und Compliance-Teams Orientierung zu regulatorischen Risiken geben. Betrieb und Personalmanagement können auf Prozess- und Personalaspekte hinweisen, während die Geschäftsleitung für die Ausrichtung an den Geschäftszielen verantwortlich ist. Das Einbeziehen mehrerer Perspektiven hilft dabei, dass die Bewertung ein breites Spektrum an Risiken erfasst – von Software-Fehlkonfigurationen bis hin zum menschlichen Verhalten.

Zwischen interner und externer Bewertung entscheiden

Es gibt nicht nur einen optimalen Ansatz für die Durchführung einer Risikobewertung. Interne Bewertungen sind in der Regel kosteneffizienter und profitieren von internem Wissen, können aber blinde Flecken übersehen, oder es fehlen spezialisierte Tools. Externe Bewertungen bieten eine frische, unvoreingenommene Perspektive und tiefere Expertise, können aber teurer sein. Außerdem sind die Personen, die die Bewertung durchführen, meist mit den internen Systemen weniger vertraut. Viele Organisationen entscheiden sich für einen hybriden Ansatz: Interne Teams übernehmen regelmäßige Überprüfungen, und externe Fachleute kommen für umfangreichere Analysen hinzu oder wenn die Compliance es verlangt.

Die richtige Strategie zur Risikobehandlung auswählen

Sobald Risiken identifiziert sind, müssen Organisationen entscheiden, wie sie darauf reagieren. Einige Risiken können akzeptiert werden, wenn sie innerhalb der Toleranz des Unternehmens liegen. Andere lassen sich möglicherweise ganz vermeiden, indem das System oder die Aktivität entfernt wird, durch die sie entstehen. Risiken können auch an Dritte übertragen werden, beispielsweise durch Versicherungen oder vertragliche Vereinbarungen. In den meisten Fällen entscheiden sich Organisationen dafür, Risiken zu minimieren, indem sie Kontrollen anwenden, die die Wahrscheinlichkeit oder die Auswirkungen auf ein akzeptables Maß reduzieren. Die richtige Strategie hängt von den Geschäftszielen, der Risikobereitschaft und den verfügbaren Ressourcen ab.

Alles dokumentieren

Eine genaue Dokumentation ist entscheidend für den kurz- und langfristigen Erfolg. Sie hilft Organisationen dabei, Branchenvorschriften einzuhalten, Änderungen und Trends im Laufe der Zeit nachzuverfolgen und schnellere, bessere Entscheidungen zu treffen. Eine gute Dokumentation optimiert außerdem Überprüfungen, vereinfacht Sicherheitsüberprüfungen und sorgt für Kontinuität, auch wenn sich Teams oder Systeme weiterentwickeln.

Auf die Ergebnisse reagieren

Der Nutzen einer Risikobewertung zeigt sich darin, wie die Ergebnisse eingesetzt werden. Sicherheitslücken mit hohem Risiko sollten zuerst behoben werden, und die Schritte zur Behebung sollten auf die übergeordneten Sicherheitsziele abgestimmt sein. Weisen Sie die Verantwortung für jede Aktion zu, verfolgen Sie den Fortschritt nach, und führen Sie regelmäßig neue Bewertungen durch, um sicherzustellen, dass Verbesserungen nachhaltig sind. Betrachten Sie die Ergebnisse als Teil eines kontinuierlichen Prozesses, nicht als einmalige Übung, und verankern Sie das konsequente Umsetzen in Ihrer Sicherheitskultur.

Mit der richtigen Häufigkeit bewerten

Technologie entwickelt sich schnell, und das gilt auch für Bedrohungsaktivitäten. Das bedeutet, dass Risikobewertungen häufiger als einmal pro Jahr erfolgen sollten, besonders in Umgebungen mit hohem Risiko. Branchen wie Finanz- und Gesundheitswesen führen häufig vierteljährlich oder halbjährlich neue Bewertungen durch. Kleinere Unternehmen tun das vielleicht jährlich oder nach größeren Änderungen an der Infrastruktur. Cloud-First- oder schnell wachsende Unternehmen benötigen möglicherweise sogar häufigere Bewertungen, um mit sich verändernden Angriffsflächen Schritt zu halten. Es ist auch sinnvoll, nach großen Ereignissen wie Fusionen, Sicherheitsvorfällen oder regulatorischen Aktualisierungen neue Bewertungen durchzuführen.

Um neuen Bedrohungen einen Schritt voraus zu sein und Cybersicherheit in übergreifende Geschäftsentscheidungen einzubeziehen, sollten Sie eine regelmäßige Bewertung von Cybersicherheitsrisiken in Ihre Security Operations integrieren. Mehrere Lösungen können Ihnen dabei helfen, einen effektiven Prozess einzurichten. SIEM-Lösungen (Security Information and Event Management) wie Microsoft SentinelMicrosoft Sentinel helfen, Ereignisse zu korrelieren, Anomalien zu identifizieren und Warnungen mit integrierten Analysen und Threat Intelligencezu priorisieren. XDR-Lösungen (Extended Detection and Response) bieten umfassende Einblicke in potenzielle Angriffspfade über Endpunkte, Identitäten, E-Mails und Cloud-Apps hinweg. Wenn SIEM und XDR in einer einheitlichen SecOps-Lösung zusammengeführt werden, können Mitarbeiter Risiken in der gesamten digitalen Umgebung erkennen und schneller koordiniert reagieren. Lösungen für KI für Cybersicherheit wie Microsoft Security Copilot helfen dabei, Signale zu interpretieren, Erkenntnisse zu gewinnen und die nächsten Schritte zu empfehlen.