Firewalls, Backups, Mehr-Faktor-Authentifizierung und Endpoint-Schutz sind wichtige Bestandteile moderner IT-Sicherheit. Doch welche Systeme benötigen welchen Schutz? Welche Risiken müssen zuerst behandelt werden? Und wo sollte eine Organisation ihre begrenzten finanziellen und personellen Ressourcen einsetzen?

Genau hier setzt das Risikomanagement an.

NIS-2 verfolgt einen risikobasierten Ansatz. Unternehmen und öffentliche Einrichtungen sollen Sicherheitsmaßnahmen nicht nach dem Gießkannenprinzip einführen, sondern Risiken systematisch identifizieren, bewerten, behandeln und regelmäßig neu beurteilen.

Ein funktionierendes Risikomanagement bildet deshalb das Fundament praktisch aller weiteren NIS-2-Maßnahmen.

In Teil 4 unserer Serie zeigen wir Schritt für Schritt, wie eine solche Betrachtung aufgebaut werden kann.

Was bedeutet Risikomanagement?

Risikomanagement ist ein kontinuierlicher Prozess zur Identifikation, Bewertung und Behandlung möglicher Gefahren.

Vereinfacht lässt sich der Ablauf so darstellen:

Werte und Prozesse erfassen → Schutzbedarf bestimmen → Bedrohungen und Schwachstellen analysieren → Risiken bewerten → Maßnahmen festlegen → Wirksamkeit kontrollieren → erneut bewerten

Dabei sollte nicht nur klassische IT betrachtet werden.

Zu berücksichtigen sind beispielsweise:

• Server
• Netzwerkkomponenten
• Clients
• mobile Geräte
• Anwendungen
• Cloud-Dienste
• Daten
• Geschäftsprozesse
• externe Dienstleister
• Kommunikationsverbindungen
• Gebäude und technische Infrastruktur

Entscheidend ist letztlich die Frage:

Was könnte passieren, wie wahrscheinlich ist es und welche Folgen hätte es für unsere Organisation?

Schritt 1: Die Risikoanalyse

Am Anfang steht eine strukturierte Risikoanalyse.

Bevor Risiken bewertet werden können, muss zunächst bekannt sein, welche Systeme, Informationen und Prozesse überhaupt geschützt werden sollen.

Dafür benötigt eine Organisation eine möglichst vollständige Übersicht ihrer relevanten Assets.

Dazu gehören beispielsweise:

• Server und virtuelle Maschinen
• Arbeitsplatzcomputer
• Netzwerkkomponenten
• Firewalls
• Anwendungen und Fachverfahren
• Datenbanken
• Cloud-Plattformen
• Backup-Systeme
• Kommunikationssysteme
• externe Schnittstellen
• Dienstleister

Ebenso wichtig sind die damit verbundenen Geschäftsprozesse.

Ein einzelner Server ist beispielsweise möglicherweise technisch unspektakulär. Läuft darauf jedoch ein Fachverfahren, ohne das ein zentraler Geschäftsprozess nicht durchgeführt werden kann, besitzt das System eine erheblich größere Bedeutung.

Eine Risikoanalyse sollte daher nicht ausschließlich aus technischer Perspektive durchgeführt werden.

Schritt 2: Schutzbedarf feststellen

Nachdem die relevanten Systeme, Daten und Prozesse bekannt sind, muss deren Schutzbedarf bestimmt werden.

Eine einfache Klassifizierung kann beispielsweise aus drei Stufen bestehen:

Normal

Ein Ausfall oder eine Beeinträchtigung verursacht begrenzte Auswirkungen.

Hoch

Ein Ausfall verursacht erhebliche organisatorische, finanzielle oder operative Auswirkungen.

Sehr hoch

Ein Ausfall kann existenzielle, sicherheitsrelevante oder anderweitig besonders schwerwiegende Folgen verursachen.

Für die Schutzbedarfsfeststellung werden typischerweise verschiedene Schutzziele betrachtet.

Vertraulichkeit

Informationen dürfen nur von berechtigten Personen eingesehen werden.

Besonders relevant ist dies beispielsweise bei:

• personenbezogenen Daten
• Personalinformationen
• Gesundheitsdaten
• Zugangsdaten
• Geschäftsgeheimnissen
• vertraulichen Verwaltungsinformationen

Ein Verlust der Vertraulichkeit bedeutet beispielsweise, dass ein Angreifer sensible Daten kopiert und veröffentlicht.

Integrität

Daten und Systeme dürfen nicht unbemerkt oder unberechtigt verändert werden.

Das betrifft beispielsweise:

• Finanzdaten
• Konfigurationen
• Benutzerkonten
• Datenbanken
• Verwaltungsdaten
• Produktionsparameter

Manipulierte Daten können unter Umständen sogar gefährlicher sein als verlorene Daten, weil Veränderungen zunächst unentdeckt bleiben können.

Verfügbarkeit

Systeme und Informationen müssen dann zur Verfügung stehen, wenn sie benötigt werden.

Ein Ausfall kann insbesondere bei kritischen Dienstleistungen erhebliche Folgen verursachen.

Beispiele sind:

• zentrale Netzwerkdienste
• Kommunikationssysteme
• Produktionsanlagen
• Fachverfahren
• Authentifizierungsdienste
• Cloud-Plattformen

Die notwendige Verfügbarkeit kann sich dabei von System zu System erheblich unterscheiden.

Authentizität und Nachvollziehbarkeit

Zusätzlich können weitere Schutzziele relevant sein.

Authentizität stellt beispielsweise sicher, dass Benutzer, Systeme oder Informationen tatsächlich die behauptete Identität besitzen.

Nachvollziehbarkeit ermöglicht dagegen die spätere Rekonstruktion wichtiger Vorgänge.

Gerade deshalb spielen Protokollierung und zentrale Log-Systeme in modernen Sicherheitskonzepten eine wichtige Rolle.

Schritt 3: Bedrohungen identifizieren

Nachdem der Schutzbedarf bekannt ist, werden mögliche Bedrohungen untersucht.

Dabei sollte keinesfalls nur an Hacker gedacht werden.

Typische Bedrohungen sind beispielsweise:

Cyberangriffe

• Ransomware
• Phishing
• Malware
• Exploits
• DDoS-Angriffe
• Credential Theft

Technische Ausfälle

• Hardwaredefekte
• Speicherausfälle
• Netzwerkprobleme
• Stromausfälle
• defekte Klimatisierung

Menschliche Fehler

• Fehlkonfigurationen
• versehentliches Löschen
• falsche Berechtigungen
• unsichere Passwörter

Externe Risiken

• Ausfall eines Cloud-Anbieters
• kompromittierte Dienstleister
• fehlerhafte Softwareupdates
• Lieferkettenangriffe

Physische Gefahren

• Feuer
• Wasser
• Einbruch
• Sabotage
• Naturereignisse

Eine gute Bedrohungsanalyse betrachtet somit technische, organisatorische, personelle und physische Gefahren.

Bedrohung und Schwachstelle sind nicht dasselbe

Diese Unterscheidung ist für die Risikoanalyse wichtig.

Eine Bedrohung beschreibt eine mögliche Gefahr.

Eine Schwachstelle ermöglicht oder erleichtert deren erfolgreiche Ausnutzung.

Ein Beispiel:

Ransomware stellt eine Bedrohung dar.

Fehlende Sicherheitsupdates, schwache Passwörter oder ungeschützte Remote-Zugänge können dagegen Schwachstellen sein.

Treffen relevante Bedrohungen auf vorhandene Schwachstellen und schützenswerte Werte, entsteht ein Risiko.

Schritt 4: Eintrittswahrscheinlichkeit bewerten

Nun muss eingeschätzt werden, wie wahrscheinlich ein bestimmtes Szenario ist.

Eine einfache Bewertung kann beispielsweise vier Stufen verwenden:

• sehr unwahrscheinlich
• unwahrscheinlich
• wahrscheinlich
• sehr wahrscheinlich

Die Bewertung sollte möglichst nachvollziehbar erfolgen.

Ein öffentlich erreichbarer Server mit ungepatchten kritischen Sicherheitslücken besitzt beispielsweise ein deutlich höheres Risiko als ein vollständig isoliertes internes Testsystem.

Für die Einschätzung können verschiedene Informationen verwendet werden:

• bisherige Sicherheitsvorfälle
• Schwachstellenberichte
• Herstellerinformationen
• Bedrohungsinformationen
• Erfahrungen anderer Organisationen
• Ergebnisse von Penetrationstests
• SIEM- und Monitoring-Daten
• Brancheninformationen

Wichtig ist, Eintrittswahrscheinlichkeiten nicht als scheinbar exakte Wissenschaft zu behandeln.

Eine nachvollziehbare qualitative Einschätzung ist häufig sinnvoller als eine mathematisch beeindruckende, aber kaum belastbare Prozentangabe.

Schritt 5: Auswirkungen bewerten

Die Eintrittswahrscheinlichkeit allein sagt noch wenig über die tatsächliche Bedeutung eines Risikos aus.

Ebenso wichtig ist die Frage:

Was passiert, wenn dieses Ereignis tatsächlich eintritt?

Mögliche Auswirkungen sind:

• Betriebsunterbrechungen
• finanzielle Schäden
• Datenverlust
• Datenschutzverletzungen
• Produktionsstillstand
• Reputationsschäden
• Vertragsverletzungen
• Beeinträchtigung öffentlicher Dienstleistungen
• Gefährdung von Menschen
• regulatorische Konsequenzen

Auch Abhängigkeiten zwischen Systemen müssen berücksichtigt werden.

Der Ausfall eines zentralen Authentifizierungsdienstes kann beispielsweise zahlreiche Anwendungen gleichzeitig unbenutzbar machen.

Die Risikomatrix

Ein verbreitetes Hilfsmittel ist eine Risikomatrix.

Dabei werden Eintrittswahrscheinlichkeit und Schadensauswirkung miteinander kombiniert.

Ein Szenario mit hoher Wahrscheinlichkeit und gravierenden Auswirkungen erhält entsprechend eine hohe Priorität.

Beispielsweise:

Risiko: Ransomware-Angriff auf zentrale Server

Eintrittswahrscheinlichkeit: hoch

Auswirkung: sehr hoch

Gesamtrisiko: kritisch

Ein anderes Szenario könnte dagegen so bewertet werden:

Risiko: Ausfall eines nicht produktiven Testservers

Eintrittswahrscheinlichkeit: mittel

Auswirkung: gering

Gesamtrisiko: niedrig

Dadurch können Sicherheitsmaßnahmen sinnvoll priorisiert werden.

Schritt 6: Maßnahmen planen

Nach der Bewertung muss entschieden werden, wie mit den Risiken umgegangen wird.

Grundsätzlich bestehen mehrere Möglichkeiten.

Risiko vermeiden

Der verursachende Prozess wird verändert oder vollständig eingestellt.

Beispielsweise könnte ein nicht mehr benötigter öffentlich erreichbarer Dienst abgeschaltet werden.

Risiko reduzieren

Durch Sicherheitsmaßnahmen werden Eintrittswahrscheinlichkeit oder Auswirkungen verringert.

Beispiele:

• MFA einführen
• Systeme patchen
• Netzwerk segmentieren
• Backups verbessern
• EDR einsetzen
• Benutzerrechte reduzieren
• Mitarbeitende schulen

Risiko übertragen

Bestimmte finanzielle Folgen können beispielsweise über Versicherungen oder vertragliche Regelungen übertragen werden.

Die Verantwortung für ein angemessenes Sicherheitsniveau lässt sich dadurch allerdings nicht einfach vollständig auslagern.

Risiko akzeptieren

Nicht jedes Risiko lässt sich wirtschaftlich sinnvoll beseitigen.

Ein Restrisiko kann bewusst akzeptiert werden, wenn es innerhalb der definierten Risikotoleranz liegt.

Diese Entscheidung sollte jedoch nachvollziehbar dokumentiert und von einer entsprechend verantwortlichen Stelle getroffen werden.

Ein praktisches Beispiel

Nehmen wir einen zentralen Fileserver.

Auf diesem befinden sich wichtige Unternehmensdaten.

Die Analyse ergibt:

Schutzbedarf: hoch

Bedrohung: Ransomware

Schwachstellen: fehlende MFA für administrative Zugänge und unzureichende Netzwerksegmentierung

Eintrittswahrscheinlichkeit: wahrscheinlich

Auswirkung: sehr hoch

Daraus ergibt sich ein entsprechend hohes Risiko.

Als Maßnahmen könnten festgelegt werden:

• MFA für administrative Konten
• Netzwerksegmentierung
• konsequentes Patchmanagement
• EDR
• getrennte Administrationskonten
• Immutable Backups
• zentrale Protokollierung
• regelmäßige Restoretests

Nach der Umsetzung wird das Risiko erneut bewertet.

Genau dieser letzte Schritt ist entscheidend.

Maßnahmen brauchen Verantwortliche und Termine

Ein häufiger Fehler besteht darin, die Risikoanalyse mit einer langen Liste notwendiger Maßnahmen abzuschließen.

Das reicht nicht.

Für jede relevante Maßnahme sollte mindestens festgelegt werden:

Was muss gemacht werden?

Wer ist verantwortlich?

Bis wann erfolgt die Umsetzung?

Welche Priorität besitzt die Maßnahme?

Wie wird die erfolgreiche Umsetzung nachgewiesen?

Welches Restrisiko verbleibt anschließend?

Dadurch wird aus einer theoretischen Risikoanalyse ein konkreter Maßnahmenplan.

Das Risikoregister

Die Ergebnisse sollten zentral dokumentiert werden.

Hierfür eignet sich ein Risikoregister.

Ein Eintrag kann beispielsweise folgende Informationen enthalten:

• Risiko-ID
• betroffenes Asset oder Verfahren
• Risikobeschreibung
• Bedrohung
• Schwachstelle
• Eintrittswahrscheinlichkeit
• Schadensauswirkung
• Risikoklasse
• vorhandene Schutzmaßnahmen
• zusätzliche Maßnahmen
• verantwortliche Person
• Zieltermin
• Restrisiko
• Status
• Datum der letzten Bewertung

Das Risikoregister entwickelt sich damit zu einem zentralen Werkzeug des Informationssicherheitsmanagements.

Schritt 7: Regelmäßige Neubewertung

Eine Risikoanalyse ist keine einmalige Aufgabe.

IT-Infrastrukturen verändern sich permanent.

Neue Systeme werden eingeführt, Cloud-Dienste hinzugefügt, Sicherheitslücken entdeckt und neue Angriffsmethoden entwickelt.

Deshalb müssen Risiken regelmäßig neu bewertet werden.

Eine Überprüfung sollte insbesondere stattfinden:

• in festgelegten regelmäßigen Abständen
• nach schweren Sicherheitsvorfällen
• nach größeren Infrastrukturänderungen
• bei Einführung neuer Systeme
• bei Wechsel wichtiger Dienstleister
• nach Bekanntwerden kritischer Schwachstellen
• bei wesentlichen organisatorischen Veränderungen

Aus dem Risikomanagement entsteht dadurch ein kontinuierlicher Kreislauf.

Der Risikomanagement-Kreislauf

In der Praxis kann der Prozess folgendermaßen aussehen:

1. Assets und Prozesse erfassen

↓

2. Schutzbedarf bestimmen

↓

3. Bedrohungen und Schwachstellen identifizieren

↓

4. Eintrittswahrscheinlichkeit bewerten

↓

5. Auswirkungen bewerten

↓

6. Risiko bestimmen

↓

7. Maßnahmen priorisieren und umsetzen

↓

8. Restrisiko bewerten

↓

9. Wirksamkeit kontrollieren

↓

10. Erneut analysieren

Danach beginnt der Prozess wieder von vorne.

Genau dieser kontinuierliche Ansatz ist entscheidend für nachhaltige Informationssicherheit.

Was sollte dokumentiert werden?

Für eine nachvollziehbare Umsetzung sollten insbesondere folgende Informationen dokumentiert werden:

• verwendete Bewertungsmethode
• betrachtete Systeme und Prozesse
• festgestellter Schutzbedarf
• identifizierte Bedrohungen
• bekannte Schwachstellen
• Eintrittswahrscheinlichkeiten
• mögliche Auswirkungen
• Risikobewertungen
• bestehende Sicherheitsmaßnahmen
• geplante Maßnahmen
• Verantwortlichkeiten
• Fristen
• Restrisiken
• Freigaben und Risikoakzeptanzen
• Ergebnisse regelmäßiger Neubewertungen

Dabei gilt:

Eine einfache Methode, die konsequent angewendet und gepflegt wird, ist meist wertvoller als ein hochkomplexes Verfahren, das nach der ersten Analyse niemand mehr aktualisiert.

Risikomanagement ist keine reine Aufgabe der IT

Eine weitere wichtige Erkenntnis lautet:

Die IT-Abteilung kann Risiken nicht allein bewerten.

Ein Administrator weiß beispielsweise, welche technischen Folgen der Ausfall eines Servers hat. Wie kritisch der dadurch unterbrochene Geschäftsprozess tatsächlich für die Organisation ist, kann jedoch häufig nur die zuständige Fachabteilung beurteilen.

Deshalb sollten unter anderem beteiligt werden:

• Geschäfts- oder Behördenleitung
• Informationssicherheitsverantwortliche
• IT-Abteilung
• Fachbereiche
• Datenschutz
• Notfallmanagement
• Einkauf
• Gebäudemanagement
• gegebenenfalls externe Dienstleister

Informationssicherheit wird damit zu einer organisationsweiten Aufgabe.

Typische Fehler beim Risikomanagement

In der Praxis treten immer wieder ähnliche Probleme auf:

• Es existiert kein vollständiges Asset-Verzeichnis.
• Nur technische Risiken werden betrachtet.
• Fachabteilungen werden nicht eingebunden.
• Eintrittswahrscheinlichkeiten werden willkürlich vergeben.
• Auswirkungen werden ausschließlich finanziell bewertet.
• Abhängigkeiten zwischen Systemen bleiben unberücksichtigt.
• Maßnahmen besitzen keine Verantwortlichen.
• Maßnahmen erhalten keine verbindlichen Termine.
• Restrisiken werden nicht bewertet.
• Die Risikoanalyse wird nach ihrer Erstellung nicht mehr aktualisiert.

Besonders der letzte Punkt ist problematisch.

Ein mehrere Jahre altes Risikoregister bildet eine moderne IT-Infrastruktur kaum noch realistisch ab.

Von der Pflicht zum praktischen Nutzen

Risikomanagement sollte nicht lediglich als Dokumentationspflicht für NIS-2 betrachtet werden.

Richtig umgesetzt beantwortet es eine für jede IT-Abteilung entscheidende Frage:

Wo bringt der nächste investierte Euro beziehungsweise die nächste Arbeitsstunde den größten Sicherheitsgewinn?

Vielleicht ist die Anschaffung einer weiteren Sicherheitssoftware weniger dringend als die Absicherung administrativer Konten mit MFA.

Vielleicht ist ein neuer Backup-Server wichtiger als eine zusätzliche Firewall.

Oder eine Analyse zeigt, dass ein einzelner externer Dienstleister ein wesentlich größeres Risiko darstellt als bislang angenommen.

Ein gutes Risikomanagement hilft, genau solche Prioritäten sichtbar zu machen.

Risikomanagement gehört zu den zentralen Bausteinen einer erfolgreichen NIS-2-Umsetzung. Organisationen müssen verstehen, welche Systeme, Informationen und Prozesse besonders schützenswert sind, welchen Bedrohungen sie ausgesetzt sind und welche Auswirkungen erfolgreiche Angriffe oder technische Ausfälle verursachen können.

Daraus entsteht ein kontinuierlicher Prozess aus Risikoanalyse, Schutzbedarfsfeststellung, Bedrohungsanalyse, Bewertung, Maßnahmenplanung und regelmäßiger Neubewertung.

Entscheidend ist dabei nicht, jedes denkbare Risiko vollständig zu beseitigen. Vielmehr müssen Risiken nachvollziehbar bewertet, angemessen behandelt und verbleibende Restrisiken bewusst gesteuert werden.

Wer diesen Prozess konsequent etabliert, schafft nicht nur eine wichtige Grundlage für NIS-2, sondern gewinnt gleichzeitig ein leistungsfähiges Werkzeug für die gesamte Informationssicherheit der eigenen Organisation.