Risikomanagement im ISMS: Risiken strukturiert und ohne Excel-Chaos steuern

Risikomanagement im ISMS dient nicht primär der Dokumentation, sondern der strukturierten Steuerung von Informationssicherheitsrisiken. Ziel ist es, kritische Risiken frühzeitig sichtbar zu machen, nachvollziehbar zu bewerten und geeignete Maßnahmen wirksam umzusetzen.

In vielen Unternehmen wird Risikomanagement bzw. der Referenzrahmen für Informationssicherheitsrisikomanagement nach der Norm ISO 27005 noch immer mit Excel organisiert. Das wirkt zunächst pragmatisch, stößt aber schnell an Grenzen: Informationen sind verteilt, Verantwortlichkeiten nicht eindeutig, Abhängigkeiten schwer nachvollziehbar und der Pflegeaufwand steigt kontinuierlich. Statt Transparenz entsteht zusätzlicher Abstimmungsaufwand.

Ein wirksames Risikomanagement im ISMS schafft hier Struktur. Es unterstützt dabei, informationssicherheitsrelevante Risiken systematisch zu erfassen, zu bewerten und zu behandeln. Gleichzeitig sorgft es dafür, dass Risiken nicht isoliert betrachtet werden, sondern im Zusammenhang mit Prozessen, Systemen, Standorten und Verantwortlichkeiten.

Warum Risikomanagement mehr leisten muss als Dokumentation

Informationssicherheitsrisiken betreffen nicht nur einzelne IT-Systeme. Sie wirken sich auf Abläufe, Zuständigkeiten und im Ernstfall auf die Handlungsfähigkeit des Unternehmens aus. Deshalb muss Risikomanagement mehr leisten als die reine Erfüllung formaler Anforderungen.

Informationssicherheitsrisiken entstehen dabei selten isoliert auf Systemebene. Entscheidend ist vielmehr, welche Auswirkungen Sicherheitsvorfälle auf Geschäftsprozesse, Verfügbarkeiten, Verantwortlichkeiten und betriebliche Abläufe haben. Genau deshalb muss Risikomanagement organisatorische und technische Zusammenhänge gemeinsam betrachten.

Ein funktionierender Risikomanagementprozess hilft dabei,

• kritische Assets und Abhängigkeiten sichtbar zu machen,
• Risiken nachvollziehbar zu priorisieren,
• Maßnahmen gezielt zu steuern,
• Verantwortlichkeiten klar zuzuordnen und
• den Überblick über Umsetzungsstände zu behalten.

So wird Risikomanagement zu einem Werkzeug, das Entscheidungen unterstützt und nicht nur Auditanforderungen bedient.

Was im Risikomanagement betrachtet werden muss

Grundlage jedes Risikomanagements ist die strukturierte Erfassung der relevanten Unternehmenswerte. Dazu gehören unter anderem Prozesse, Anwendungen, Systeme, Netzwerke und Standorte. Diese Assets bilden die Basis für die weitere Analyse. Im nächsten Schritt werden Risiken im Hinblick auf die Schutzziele der Informationssicherheit betrachtet:

• Verfügbarkeit
  Informationen und Systeme müssen bei Bedarf nutzbar sein.
• Integrität
  Informationen dürfen nicht unberechtigt verändert werden und müssen vollständig und korrekt bleiben.
• Vertraulichkeit
  Informationen dürfen nur autorisierten Personen und Stellen zugänglich sein. Erst wenn klar ist, welche Assets betroffen sind, welche Schwachstellen bestehen und welche Auswirkungen ein Ausfall oder eine Kompromittierung hätte, lässt sich der tatsächliche Handlungsbedarf bewerten.

Die Bewertung sollte dabei nicht isoliert auf einzelne Systeme reduziert werden. Entscheidend sind insbesondere Abhängigkeiten zwischen Prozessen, Anwendungen, Standorten, Dienstleistern und Verantwortlichkeiten.

Von der Risikoidentifikation zur Risikobehandlung

Der Umgang mit Risiken hängt von der gewählten Risikomanagementmethode ab. In Deutschland hat sich insbesondere der BSI-Standard 200-3 als etablierter Ansatz für das Risikomanagement im Informationssicherheitsumfeld etabliert. International wird häufig auf ISO 27005 zurückgegriffen. Für ein effektives und effizientes Risikomanagement müssen jedoch die Anforderungen des Unternehmens individuell geprüft werden. Gesetzliche Vorgaben, vertragliche Verpflichtungen oder sonstige Anforderungen variieren von Unternehmen zu Unternehmen und von Branche zu Branche. Auch die Höhe der Anforderungen ist nicht für jedes Unternehmen gleich.

Ein strukturierter Risikomanagementprozess umfasst mehrere aufeinander aufbauende Schritte:

1. Risiken identifizieren
   Relevante Risiken werden systematisch erfasst. Dabei geht es nicht nur um technische Schwachstellen, sondern auch um organisatorische und prozessuale Abhängigkeiten.
2. Risiken analysieren und bewerten
   Eintrittswahrscheinlichkeit und Schadenspotenzial werden bewertet, um Risiken transparent und vergleichbar zu machen.
3. Maßnahmen ableiten
   Je nach Bewertung werden Risiken vermieden, reduziert, übertragen oder bewusst akzeptiert.
4. Umsetzung überwachen
   Maßnahmen, Fristen, Zuständigkeiten und Umsetzungsstände müssen nachvollziehbar dokumentiert und regelmäßig überprüft werden.

In der Praxis zeigt sich schnell: Der eigentliche Aufwand entsteht nicht bei der einmaligen Erfassung, sondern in der laufenden Pflege, Abstimmung und Nachverfolgung. Genau hier geraten manuelle Lösungen häufig an ihre Grenzen.

Warum Excel im Risikomanagement oft nicht ausreicht

Excel ist in vielen Unternehmen gewachsen und verfügbar. Für einzelne Listen oder erste Übersichten kann das sinnvoll sein. Sobald Risiken jedoch regelmäßig bewertet, Maßnahmen nachverfolgt, Verantwortliche eingebunden und Berichte erstellt werden müssen, wird Excel zum Engpass.

Typische Probleme ohne ein integriertes Tool sind:

• uneinheitliche Datenstände,
• hoher manueller Pflegeaufwand,
• fehlende Transparenz über Zuständigkeiten,
• aufwendige Nachverfolgung von Maßnahmen,
• eingeschränkte Auswertungs- und Reportingmöglichkeiten.

Damit steigt nicht nur der Aufwand. Es wächst auch das Risiko, dass relevante Informationen im Alltag untergehen oder zu spät aktualisiert werden. Es sollten dabei folgende Informationssicherheitsrisiken betrachtet werden: 

Vertraulichkeit: Eigenschaft, dass Informationen unberechtigten Personen, Einheiten oder Prozessen nicht verfügbar gemacht oder enthüllt werden. 

Verfügbarkeit: Eigenschaft eines Wertes, einer Einheit auf Verlangen zugänglich und nutz-bar zu sein. 

Integrität: Eigenschaft der Absicherung von Richtigkeit und Vollständigkeit von Werten. Im Besonderen zählt dazu die Eigenschaft, dass Informationen nicht unberechtigt verändert werden. 

Ziel ist es, alle relevanten Assets des Unternehmens zu erfassen und für eine effiziente Weiterverarbeitung in bestimmte Klassen zu gruppieren. So ist es z.B. nicht sinnvoll, jeden Laptop einzeln zu erfassen, sondern vielmehr Gruppen von gleichartigen Laptops hinsichtlich Bedrohung und Schwachstelle zu bilden. Darüber hinaus müssen verantwortliche Personen, sogenannte Risikoeigner, definiert werden. 

Warum Risikomanagement in der Praxis oft scheitert

Die größte Herausforderung im Risikomanagement liegt selten in der initialen Risikoanalyse. Kritisch wird vielmehr die dauerhafte Pflege und Nachvollziehbarkeit.

In vielen Unternehmen verändern sich:

• Prozesse,
• Verantwortlichkeiten,
• Anwendungen,
• Dienstleister
• und regulatorische Anforderungen kontinuierlich.

Werden Risiken, Maßnahmen und Zuständigkeiten dabei nicht konsistent aktualisiert, verliert das Risikomanagement schnell an Aussagekraft.

Genau deshalb stoßen isolierte Listen und manuelle Pflegeprozesse in der Praxis häufig an ihre Grenzen.

Toolgestütztes Risikomanagement mit GRASP

Lohnt sich ein ISMS-Tool?

Eine GRC-Plattform wie GRASP German GRC unterstützt Unternehmen dabei, Risikomanagement strukturiert, nachvollziehbar und effizient umzusetzen. Statt verteilter Listen entsteht eine zentrale Arbeitsgrundlage, in der Risiken, Maßnahmen, Verantwortlichkeiten und Auswertungen zusammengeführt werden.

GRASP unterstützt unter anderem dabei,

• Risiken und Assets strukturiert zu erfassen,
• Rollen und Verantwortlichkeiten eindeutig abzubilden,
• Maßnahmen über Workflows nachzuverfolgen,
• Informationen zielgerichtet bereitzustellen,
• Berichte und Dashboards für Management und Audits zu erstellen.

Gleichzeitig lassen sich einmal erfasste Informationen auch für weitere Managementsysteme nutzen, etwa im Business Continuity Management (BCM) oder in angrenzenden Governance- und Compliance-Prozessen. Das reduziert Doppelarbeit und schafft Konsistenz. In der Risikoanalyse werden die Assets untersucht, die Risiken bewertet und mit Maßnahmen hinterlegt. Häufig wird dabei auf einen bestehenden Risiko- oder Gefährdungskatalog, z.B. aus dem IT-Grundschutz des BSI, zurückgegriffen. Dies erleichtert die Arbeit und bietet als Rahmenwerk die Sicherheit, strukturiert an alles zu denken. 

Die Risikobewertung ermöglicht eine Gewichtung und Bewertung der identifizierten Risiken nach Eintrittswahrscheinlichkeit und Schadenshöhe. Die anschließende Einstufung des Risikos in die entsprechende Risikoklasse gering, mittel, hoch oder sehr hoch bildet den Abschluss der Risikobewertung. 

Weniger Verwaltungsaufwand, mehr Handlungsfähigkeit

Risikomanagement ist kein statisches Projekt, sondern ein fortlaufender Prozess. Risiken verändern sich, Rahmenbedingungen entwickeln sich weiter und Maßnahmen müssen regelmäßig überprüft werden. Umso wichtiger ist eine Lösung, die nicht zusätzlichen Aufwand erzeugt, sondern Verantwortliche im Alltag entlastet.

Der Mehrwert eines strukturierten, toolgestützten Risikomanagements liegt deshalb nicht nur in sauberer Dokumentation. Er liegt vor allem darin, Transparenz zu schaffen, Prioritäten klar zu machen und die Umsetzung von Maßnahmen beherrschbar zu halten. So wird Risikomanagement vom Tabellenmanagement zu einem wirksamen Instrument, um kritische Prozesse und Informationswerte nachhaltig abzusichern.

Wie groß der Unterschied zwischen manueller Verwaltung und einem strukturierten ISMS in der Praxis sein kann, zeigt sich oft erst im konkreten Vergleich. Wer Aufwand, Einsparpotenziale und wirtschaftlichen Nutzen für das eigene Unternehmen besser einschätzen möchte, kann dies mit dem kostenlosen ISMS-ROI-Rechner von GRASP direkt nachvollziehen.

Ihre ISMS-Einsparungen im Detail

Was ein strukturiertes ISMS Ihrem Unternehmen konkret spart: Lassen Sie sich mit 4 Eingaben berechnen, wie Ihnen die ISMS-Software konkrete Einsparungen bringt.