Risikomanagement in der Informationssicherheit: Wo seine blinden Flecken liegen (Teil 2)

In unserem letzten Beitrag haben wir aufgezeigt, was Risikomanagement unter anderem leisten kann und warum es dafür die unterschiedlichen Perspektiven im Unternehmen braucht. Gemeinsam entsteht ein belastbareres Lagebild. Doch auch dieses Bild hat Lücken.

Zudem verändert es sich: Neue Anwendungen kommen hinzu, Dienstleister wechseln, Geschäftsprozesse werden umgebaut und Bedrohungen entwickeln sich weiter. Eine Bewertung, die vor einem Jahr plausibel war, kann heute überholt sein.

Risikomanagement muss diese Veränderungen aufnehmen. Sonst beruhen Entscheidungen irgendwann auf einer Situation, die es so nicht mehr gibt.

Verantwortung beginnt an der Spitze

Ein besonders wichtiger Erfolgsfaktor ist die aktive Verantwortungsübernahme durch die Geschäftsleitung.

Risikomanagement funktioniert nicht nachhaltig, wenn es ausschließlich an die Informationssicherheits- oder IT-Abteilung delegiert wird. Die Geschäftsleitung muss den Rahmen setzen, Zuständigkeiten und Entscheidungsbefugnisse klären und die notwendigen Ressourcen bereitstellen. Dazu gehört auch, festzulegen, welche Risiken auf welcher Ebene akzeptiert werden dürfen und wann eine Eskalation erforderlich ist.

Genauso wichtig ist die Zusammenarbeit der Unternehmensbereiche. Kein einzelner Bereich verfügt über alle Informationen, die für ein belastbares Lagebild erforderlich sind. Auch mit klaren Zuständigkeiten und einer guten Methode bleiben deshalb Punkte, die leicht übersehen werden.

Blinder Fleck 1: Unbekannte Risiken tauchen in keinem Risikoregister auf

Die erste Grenze des Risikomanagements liegt bereits im ersten Schritt: Nur Risiken, die erkannt werden, können gezielt bewertet und behandelt werden.

Wer ausschließlich bekannte Risikokataloge abarbeitet, findet vor allem bekannte Risiken. Das ist hilfreich, reicht aber nicht immer aus.

Neue Technologien, veränderte Geschäftsprozesse, neue Dienstleister oder organisatorische Veränderungen können Abhängigkeiten schaffen, die im bestehenden Risikomodell noch gar nicht vorgesehen sind.

Ein typisches Beispiel sind Anwendungen, die ein Fachbereich eigenständig beschafft. Die einzelne Anwendung erscheint zunächst unkritisch. Erst bei genauerer Betrachtung wird deutlich, dass darüber personenbezogene Daten verarbeitet werden, zentrale Vertriebsprozesse laufen oder Schnittstellen zu anderen Systemen bestehen.

Eine technische Schwachstelle muss dafür gar nicht vorliegen. Schon ein Ausfall kann erhebliche Folgen haben, wenn niemand erkannt hat, wie wichtig die Anwendung inzwischen geworden ist, und entsprechende Vorsorge fehlt.

Gutes Risikomanagement benötigt deshalb neben strukturierten Katalogen auch Raum für die Frage: „Was haben wir bisher vielleicht noch nicht betrachtet?“

Blinder Fleck 2: Abhängigkeiten werden unterschätzt

Moderne Unternehmen arbeiten kaum noch isoliert. Cloud-Plattformen, SaaS-Anwendungen, IT-Dienstleister, Rechenzentren, Telekommunikationsanbieter, Softwarehersteller und externe Supportunternehmen sind häufig tief in Geschäftsprozesse integriert.

Dabei entstehen Abhängigkeiten, die im Risikomanagement nicht immer gleich erkennbar sind. Besonders betrifft dies indirekte Abhängigkeiten: Zwei unterschiedliche Anwendungen können beim selben Cloud-Anbieter betrieben werden. Mehrere Dienstleister können denselben Unterauftragnehmer einsetzen. Oder ein vermeintliches Ausweichverfahren benötigt dieselbe technische Infrastruktur wie das Primärverfahren.

Auf dem Papier bestehen dann mehrere unabhängige Lösungen. In der Realität gibt es möglicherweise trotzdem einen gemeinsamen Ausfallpunkt. Ob das tatsächlich der Fall ist, hängt von der konkreten Architektur und den genutzten Diensten ab.

Deshalb sollte Risikomanagement auch die Zusammenhänge zwischen Systemen und Anbietern betrachten. Bei kritischen Leistungen lohnt es sich, gezielt nach gemeinsamen Abhängigkeiten zu fragen und Ausweichverfahren unter realistischen Bedingungen zu testen.

Blinder Fleck 3: Technische Sicherheit wird mit Informationssicherheit verwechselt

Viele Risikoregister konzentrieren sich stark auf technische Szenarien wie Cyberangriffe, Schadsoftware, Schwachstellen oder Systemausfälle.

Diese Risiken sind wichtig. Aber auch organisatorische Abläufe, Berechtigungsprozesse, Dienstleistersteuerung, Gebäude, Verträge oder schlicht fehlende Verantwortlichkeiten können erhebliche Risiken verursachen. Ein System kann technisch gut abgesichert sein und trotzdem problematisch betrieben werden.

Beispiele dafür sind veraltete Berechtigungen, gemeinsam genutzte Konten, unklare Zuständigkeiten für Sicherheitsupdates oder fehlende Prozesse beim Ausscheiden von Mitarbeitenden. Die Ursache liegt dann häufig in der Organisation rund um das System.

Bei der Risikoanalyse lohnt sich deshalb der Blick auf den tatsächlichen Arbeitsablauf: Wer macht was, wer entscheidet und was passiert, wenn die zuständige Person ausfällt?

Blinder Fleck 4: Die Risikomatrix vereinfacht – manchmal zu stark

Viele Unternehmen bewerten Risiken anhand von Eintrittswahrscheinlichkeit und Schadenshöhe. Das ist praktisch und leicht verständlich. Eine Risikomatrix ist jedoch immer eine Vereinfachung.

Zwei völlig unterschiedliche Risiken können am Ende derselben Risikoklasse zugeordnet werden. Werden Zahlenwerte miteinander multipliziert, kann ein häufig eintretendes Ereignis mit geringem Schaden rechnerisch denselben Wert erhalten wie ein seltenes Ereignis mit erheblichen Auswirkungen. Besonders bei bloßen Kategorienummern kann so eine Genauigkeit vorgetäuscht werden, die die zugrunde liegende Einschätzung nicht hergibt.

Für die Entscheidung über Maßnahmen reicht der reine Risikowert deshalb nicht immer aus. Zusätzlich sollte man fragen:

• Wie schnell könnte sich der Schaden ausbreiten?
• Wie lange würde eine Wiederherstellung dauern?
• Sind mehrere Geschäftsprozesse gleichzeitig betroffen?
• Bestehen regulatorische oder vertragliche Folgen?
• Welche Auswirkungen hätte das Ereignis auf Kunden oder Geschäftspartner?

Und eine besonders wichtige Frage: „Wie sicher sind wir eigentlich bei unserer Bewertung?“

Fehlen belastbare Informationen, sollte das sichtbar bleiben. Diese Unsicherheit beeinflusst, wie viel Vertrauen wir in die Bewertung setzen können und ob weitere Informationen oder vorsorgliche Maßnahmen nötig sind.

Blinder Fleck 5: Risikoakzeptanz wird mit Risikobeseitigung verwechselt

Nicht jedes Risiko lässt sich beseitigen. Unternehmen müssen entscheiden, welche Restrisiken sie tragen können und wollen. Dabei spielen der mögliche Schaden, die Kosten weiterer Maßnahmen und die festgelegten Akzeptanzkriterien eine Rolle. Anwendbare rechtliche und vertragliche Anforderungen gehören ebenfalls in diese Entscheidung.

Doch Risikoakzeptanz wird manchmal missverstanden. Mit der Freigabe durch die zuständige entscheidungsbefugte Person verschwindet das Risiko nicht. Es wird bewusst übernommen.

Eine Risikoakzeptanz sollte deshalb nachvollziehbar dokumentieren, welches Risiko verbleibt, warum es akzeptiert wird, wer die Entscheidung getroffen hat und wann oder unter welchen Umständen eine Neubewertung erforderlich ist. Eine Entscheidung kann heute sinnvoll und in einem Jahr bereits überholt sein.

Neue Systeme, neue Bedrohungen, organisatorische Veränderungen oder veränderte Anforderungen können die Ausgangslage verschieben. Auch akzeptierte Risiken gehören deshalb regelmäßig auf den Prüfstand.

Blinder Fleck 6: Eine dokumentierte Maßnahme ist noch keine wirksame Maßnahme

Ein Risiko wurde erkannt, eine Maßnahme wurde definiert und der Risikobehandlungsplan ist vollständig. Damit scheint das Problem gelöst. Wirklich?

Zwischen einer geplanten Sicherheitsmaßnahme und einer tatsächlich wirksamen Sicherheitsmaßnahme liegt häufig ein großer Unterschied. Ein Backup reduziert das Risiko eines Datenverlustes nur dann ausreichend, wenn die benötigten Daten gesichert sind und sich innerhalb der erforderlichen Zeit wiederherstellen lassen. Auch die Sicherung selbst muss gegen die relevanten Ausfallszenarien geschützt sein.

Eine Multi-Faktor-Authentifizierung hilft dort, wo sie wirksam eingerichtet ist und nicht über ungeschützte Zugangswege umgangen werden kann.

Ein Notfallplan hilft, wenn Verantwortlichkeiten bekannt sind und die vorgesehenen Abläufe funktionieren.

Eine Richtlinie entfaltet ihre Wirkung, wenn sie im Arbeitsalltag umgesetzt wird.

Risikomanagement sollte deshalb über die Frage nach der definierten Maßnahme hinausgehen: „Woher wissen wir, dass diese Maßnahme funktioniert?“

Hier treffen Risikomanagement, internes Kontrollsystem, Audits, technische Tests und regelmäßige Reviews aufeinander. Eine erst geplante Maßnahme darf dabei nicht so in die Bewertung einfließen, als wäre sie bereits umgesetzt und nachweislich wirksam.

Blinder Fleck 7: Das Risikoregister wird zur Dokumentationspflicht

Ein Risikoregister kann ein sehr wertvolles Steuerungsinstrument sein. Es kann aber auch zu einer Datei werden, die einmal im Jahr geöffnet wird, weil ein Audit bevorsteht. Dann wird aus Risikomanagement Dokumentationsmanagement.

Typische Symptome sind seit Jahren unveränderte Bewertungen, Maßnahmen ohne konkreten Verantwortlichen, überholte Projektrisiken oder Beschreibungen, die niemand außerhalb der Informationssicherheit versteht.

Ein gutes Risikoregister sollte die tatsächliche Situation des Unternehmens widerspiegeln. Neue Anwendungen, neue Lieferanten, Sicherheitsvorfälle, organisatorische Veränderungen und Erkenntnisse aus Audits müssen deshalb darauf geprüft werden, ob sie bestehende Bewertungen verändern oder neue Risiken aufzeigen.

Dafür braucht es neben regelmäßigen Überprüfungen auch klare Anlässe für eine Aktualisierung. Ein jährlicher Termin allein reicht nicht aus, wenn sich das Unternehmen dazwischen wesentlich verändert.

Risikomanagement braucht unterschiedliche Perspektiven

Viele blinde Flecken entstehen durch eine zu kleine Gruppe von Beteiligten. Die IT sieht andere Risiken als ein Fachbereich, der Einkauf erkennt andere Abhängigkeiten als der Informationssicherheitsbeauftragte und der Datenschutz stellt andere Fragen als die Geschäftsleitung. Ein externer Blick entdeckt manchmal Dinge, die intern längst selbstverständlich geworden sind.

Nicht jede Risikoentscheidung benötigt einen großen Workshop. Aber bei kritischen Prozessen und wesentlichen Veränderungen lohnt sich die Frage, ob wirklich alle relevanten Sichtweisen berücksichtigt wurden. Dazu gehört auch, dass Zweifel an einer Bewertung ausgesprochen werden können. Ein gemeinsames Lagebild wird nicht dadurch besser, dass sich alle möglichst schnell einig sind.

Was am Ende zählt

Risikomanagement schafft Transparenz, Prioritäten und nachvollziehbare Entscheidungen. Unsicherheit bleibt trotzdem bestehen. Es kann nicht jedes zukünftige Ereignis vorhersehen und garantiert nicht, dass definierte Maßnahmen in der Praxis funktionieren.

Deshalb braucht es die Verbindung zu Asset Management, Lieferantenmanagement, Business Continuity Management, Schwachstellenmanagement, Audits und der kontinuierlichen Weiterentwicklung des ISMS. Dort entstehen Informationen, mit denen Bewertungen überprüft und Maßnahmen verbessert werden können.

Das Ziel ist eine Organisation, die ihre wesentlichen Risiken kennt, Entscheidungen bewusst trifft und Veränderungen rechtzeitig erkennt.

Ein gutes Risikomanagement sorgt dafür, dass ein Unternehmen die richtigen Risiken diskutiert – bevor sie zum Problem werden.