Ein Serverausfall, eine verschlüsselte Festplatte, ein falsch versendeter Datensatz: Solche Ereignisse lassen sich nicht vollständig ausschließen. Mit IT-Risikomanagement entscheiden Sie aber vorher, welche Risiken Sie senken, welche Sie absichern und welche Sie bewusst tragen.
Dieser Beitrag erklärt, was IT-Risikomanagement bedeutet, wie das Vorgehen nach dem BSI-Standard 200-3 aussieht und was § 30 BSIG von Unternehmen verlangt, die unter die NIS-2-Regeln fallen. Am Ende finden Sie Hinweise für einen Einstieg, der zu einem kleinen oder mittleren Unternehmen passt.
Was ist IT-Risikomanagement?
IT-Risikomanagement ist ein wiederkehrender Prozess: Risiken für Informationen und IT-Systeme erkennen, einschätzen, bewerten und behandeln. Im Mittelpunkt stehen drei Schutzziele. Verfügbarkeit heißt: Daten und Systeme stehen bereit, wenn sie gebraucht werden. Integrität heißt: Daten sind vollständig und unverändert. Vertraulichkeit heißt: Nur Berechtigte haben Zugriff.
Ein Risiko ergibt sich nach dem BSI-Standard 200-3 aus zwei Größen: wie häufig ein Ereignis zu erwarten ist und wie hoch der Schaden wäre, wenn es eintritt. Typische Ursachen sind zum Beispiel:
- Angriffe wie Schadsoftware oder gefälschte E-Mails (Phishing);
- Ausfälle durch Hardware-Defekte, Softwarefehler, Feuer oder Wasser;
- Fehlbedienung oder versehentliches Löschen;
- Abhängigkeiten von Dienstleistern und Lieferanten;
- rechtliche Risiken, etwa Verstöße gegen den Datenschutz.
Rechtlicher Rahmen: DSGVO und NIS2
Datenschutz-Grundverordnung
Für personenbezogene Daten gilt seit dem 25. Mai 2018 die Datenschutz-Grundverordnung (DSGVO). Sie hat die frühere EU-Datenschutzrichtlinie 95/46/EG abgelöst. Artikel 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Zu berücksichtigen sind unter anderem der Stand der Technik, die Kosten und die Eintrittswahrscheinlichkeit und Schwere des Risikos für die betroffenen Personen. Der Artikel nennt zum Beispiel Verschlüsselung, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Den Text der DSGVO samt Erläuterungen veröffentlicht die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.
NIS2 und § 30 BSIG
NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit. In Deutschland setzt das NIS-2-Umsetzungsgesetz sie um. Es ist laut BSI am 6. Dezember 2025 in Kraft getreten. Die Pflichten für Unternehmen stehen im BSI-Gesetz (BSIG). Die Pflichten gelten für „besonders wichtige“ und „wichtige“ Einrichtungen. Ob ein Unternehmen dazugehört, richtet sich nach § 28 BSIG: nach der Branche laut Anlage 1 oder 2 des Gesetzes und nach der Größe. Als wichtige Einrichtung gilt in diesen Branchen zum Beispiel, wer mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. Ob Ihr Unternehmen betroffen ist, können Sie mit der unverbindlichen NIS-2-Betroffenheitsprüfung des BSI einschätzen.
Betroffene Einrichtungen müssen nach § 30 BSIG geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und deren Einhaltung dokumentieren. Die Maßnahmen sollen dem Stand der Technik entsprechen. Das Gesetz nennt Bereiche, die mindestens abzudecken sind:
- Konzepte zur Risikoanalyse und zur Sicherheit der Informationstechnik
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, etwa Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
- Sicherheit der Lieferkette, einschließlich der Beziehungen zu direkten Anbietern und Dienstleistern
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich des Umgangs mit Schwachstellen
- Konzepte und Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten
- grundlegende Schulungen und Sensibilisierung
- Konzepte für den Einsatz von Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung der IT-Systeme
- Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation
Die Geschäftsleitung muss diese Maßnahmen nach § 38 BSIG umsetzen und ihre Umsetzung überwachen. Sie muss außerdem regelmäßig an Schulungen teilnehmen. Für erhebliche Sicherheitsvorfälle gelten nach § 32 BSIG Meldefristen: eine frühe Erstmeldung spätestens nach 24 Stunden, eine Meldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Diese Pflichten beschreiben wir hier nur. Ob und wie sie für Ihr Unternehmen gelten, ist im Einzelfall rechtlich zu prüfen.
Das Vorgehen nach BSI-Standard 200-3
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt im BSI-Standard 200-3 eine Risikoanalyse auf Basis des IT-Grundschutzes. Für die NIS-2-Risikoanalyse ist die Methode laut BSI frei wählbar. Das BSI empfiehlt aber, sich an bestehenden Standards wie dem BSI-Standard 200-3 zu orientieren.
Vorarbeit: Regeln festlegen
Bevor die eigentliche Analyse beginnt, gibt die Leitung den Rahmen vor. Nach dem Standard verabschiedet sie dazu eine Richtlinie zum Umgang mit Risiken. Darin steht unter anderem, welche Methode eingesetzt wird, wer wofür verantwortlich ist, ab wann ein Risiko akzeptiert werden kann und wann die Analyse zu aktualisieren ist.
Schritt 1: Gefährdungsübersicht erstellen
Für jedes betrachtete Objekt, etwa einen Server, eine Anwendung oder einen Geschäftsprozess, wird zusammengestellt, welche Gefährdungen relevant sind. Ausgangspunkt sind die 47 elementaren Gefährdungen aus dem IT-Grundschutz. Hinzu kommen Gefährdungen, die sich aus dem eigenen Einsatz ergeben.
Schritt 2: Risiken einstufen
Für jede Gefährdung werden Eintrittshäufigkeit und Schadenshöhe eingeschätzt. Der Standard schlägt dafür je vier Kategorien vor:
| Eintrittshäufigkeit | Schadenshöhe |
|---|---|
| selten | vernachlässigbar |
| mittel | begrenzt |
| häufig | beträchtlich |
| sehr häufig | existenzbedrohend |
Aus beiden Werten ergibt sich über eine Matrix die Risikokategorie: gering, mittel, hoch oder sehr hoch. Das BSI weist darauf hin, dass seine Beispielmatrix an die eigenen Bedürfnisse angepasst werden sollte. Ein vereinfachtes Beispiel: Ein Angriff auf die Kundendatenbank kann häufiger zu erwarten sein und einen beträchtlichen Schaden verursachen. Der Ausfall eines internen Testservers ohne wichtige Daten würde dagegen nur einen begrenzten Schaden anrichten. Das erste Risiko wird deshalb höher eingestuft.
Schritt 3: Risiken behandeln
Für die eingestuften Risiken nennt der Standard vier Handlungsoptionen. Geringe Risiken werden laut BSI in der Praxis meist akzeptiert, aber weiter beobachtet.
- Vermeiden: Sie verzichten auf ein riskantes System oder ändern den Ablauf so, dass die Gefährdung entfällt.
- Reduzieren: Sie ergänzen Sicherheitsmaßnahmen, zum Beispiel Datensicherungen, eine Mehr-Faktor-Anmeldung oder eine bessere Netztrennung.
- Übertragen: Sie teilen das Risiko mit anderen, etwa durch einen Versicherungsvertrag oder durch Auslagerung an einen Dienstleister. Mehr dazu lesen Sie in unserem Beitrag zur Cyberversicherung.
- Akzeptieren: Sie tragen ein Risiko bewusst, auf Grundlage einer nachvollziehbaren Faktenlage. Das verbleibende Restrisiko legt der Standard der Leitung zur Zustimmung vor.
Schritt 4: Sicherheitskonzept anpassen
Die neuen Maßnahmen fließen in das Sicherheitskonzept ein. Danach geht die Arbeit in den laufenden Sicherheitsprozess über. Das BSI empfiehlt, die Risikoanalyse zu aktualisieren, zum Beispiel bei organisatorischen Änderungen oder nach Sicherheitsvorfällen.
Typische Hürden und wie Sie damit umgehen
Kümmern sich nur wenige Personen neben anderen Aufgaben um die IT, bleibt ein zu groß angelegtes Risikomanagement leicht liegen. Wir empfehlen deshalb einen schlanken Einstieg:
- Mit den wichtigsten Abläufen beginnen: Welche Systeme braucht Ihr Betrieb jeden Tag, um Aufträge zu bearbeiten, zu liefern und abzurechnen? Diese betrachten Sie zuerst.
- Einfache Kategorien nutzen: Der Standard erlaubt, die Kategorien anzupassen. Laut BSI arbeiten viele Anwender ohnehin mit wenigen Kategorien. Eine kleine, gut verständliche Matrix lässt sich leichter pflegen.
- Verantwortliche benennen: Jedes Risiko und jede Maßnahme bekommt eine verantwortliche Person.
- Grundlagen zuerst umsetzen: Updates, Datensicherung mit Wiederherstellungstest, Mehr-Faktor-Anmeldung und klare Berechtigungen senken viele Risiken gleichzeitig.
- Mitarbeitende einbeziehen: Schulungen helfen, gefälschte E-Mails und ungewöhnliche Anfragen zu erkennen. Sie sind außerdem ein Pflichtbereich nach § 30 BSIG.
- Dokumentieren und wiederholen: Halten Sie Bewertung, Entscheidung und Maßnahmen schriftlich fest. Planen Sie feste Termine für die Überprüfung ein.
Wie Sie Datensicherungen dauerhaft organisieren, beschreibt unser Beitrag zum Backup als Managed Service.
Unterstützung durch die GSL Groß GmbH
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen. Auf unserer Seite zu NIS2 und Risikomanagement lesen Sie, wie wir Sie beim Einordnen und Umsetzen der Anforderungen begleiten. Im Bereich IT-Sicherheit prüfen wir mit Ihnen den Stand Ihrer Systeme. Den laufenden Betrieb mit Updates, Überwachung und Datensicherung können Sie über unsere Managed Services zum monatlichen Festpreis an uns abgeben.
Sie möchten Ihre IT-Risiken strukturiert erfassen und wissen, wo Sie anfangen sollten? Sprechen Sie uns an.