Informationssicherheitsrisiko verständlich erklären

Problem in der Praxis

Viele Risikoregister sind technisch korrekt, aber für die Geschäftsführung schwer nutzbar. Sie enthalten Einträge wie "veraltete Software", "fehlende MFA", "unvollständige Logs" oder "kritische CVEs". Das sind wichtige Befunde, aber sie beantworten noch nicht, was für das Unternehmen auf dem Spiel steht.

Management fragt anders: Welcher Prozess könnte ausfallen? Welche Kunden wären betroffen? Welche Vertragsfolgen drohen? Wie wahrscheinlich ist das Szenario ungefähr? Welche Optionen haben wir? Was kostet es, nichts zu tun?

Wenn Risiken nicht in dieser Sprache beschrieben werden, bleiben Entscheidungen implizit. Dann entscheidet faktisch der lauteste Befund, das größte Auditrisiko oder das verfügbare Budget, aber nicht eine bewusste Risikopriorisierung.

CISO-Einordnung

Der CISO sollte Risiko als Entscheidungsvorlage verstehen. Ein Risiko ist nicht nur eine Zahl und nicht nur eine Matrixposition. Es ist eine begründete Aussage über Unsicherheit und mögliche Wirkung.

Eine praxistaugliche Risikobeschreibung enthält:

• ein plausibles Szenario,
• den betroffenen Informationswert oder Prozess,
• die mögliche geschäftliche Auswirkung,
• bestehende Schutzmaßnahmen,
• eine Einschätzung der verbleibenden Unsicherheit,
• empfohlene Handlungsoptionen,
• einen Owner und eine Entscheidungsfrist.

Diese Struktur ist kein Ersatz für eine Normmethodik. Sie ist eine Managementhilfe. Sie verhindert, dass Risikoarbeit zu einer abstrakten Bewertungsübung wird.

Umsetzungsperspektive

Ein CISO kann die Qualität des Risikomanagements stark verbessern, indem er technische Findings konsequent in Szenarien übersetzt.

Aus "fehlende Mehrfaktor-Authentisierung" wird zum Beispiel: "Ein kompromittiertes Passwort könnte Zugriff auf ein System ermöglichen, das Kundendaten oder administrative Funktionen enthält. Die mögliche Auswirkung liegt in Datenabfluss, Betriebsunterbrechung, Meldepflichten, Kundenvertrauensverlust und Aufwand für Krisenreaktion."

Danach folgt die Entscheidung: Soll MFA priorisiert eingeführt werden? Für welche Nutzergruppen zuerst? Gibt es technische Hürden? Welche Ausnahmefälle werden akzeptiert? Bis wann ist die Maßnahme umzusetzen?

So entsteht aus Sicherheitsarbeit ein Managementprozess. Risiken werden nicht nur bewertet, sondern führen zu Entscheidungen, Maßnahmen und Nachverfolgung.

Für eine Zertifizierungsvorbereitung ist wichtig, dass diese Entscheidungskette nachvollziehbar bleibt: vom Befund über das Risiko und die gewählte Behandlungsoption bis zur konkreten Maßnahme, zum benannten Owner und zur dokumentierten Akzeptanz des Restrisikos. Welche Maßnahmen aus der Risikobehandlung folgen und warum bestimmte Maßnahmen aufgenommen oder bewusst ausgeschlossen werden, wird üblicherweise im Statement of Applicability begründet. Auditoren prüfen weniger die Risikozahl selbst als diese Nachvollziehbarkeit. Methodische Details hierzu liefert die jeweilige Originalnorm.

Typische Fehler

1. Technische Schwachstellen werden direkt als Risiken eingetragen.
2. Risikowerte werden diskutiert, ohne das Szenario zu klären.
3. Risiken haben keinen Owner oder nur einen technischen Bearbeiter.
4. Akzeptierte Risiken werden nicht durch Managemententscheidung dokumentiert.
5. Risikoregister werden selten aktualisiert und verlieren den Bezug zur aktuellen Lage.

Risiken und Trade-offs

Zu einfache Risikobewertung kann wichtige Abhängigkeiten übersehen. Zu komplexe Bewertung kann das Unternehmen lähmen. Ein gutes Verfahren ist ausreichend nachvollziehbar, aber nicht mathematisch überladen.

Ein weiterer Trade-off betrifft Quantifizierung. Zahlen können Entscheidungen verbessern, wenn sie ehrlich und belastbar sind. Sie können aber auch Scheingenauigkeit erzeugen. Gerade im Mittelstand ist eine klare qualitative Entscheidung oft wertvoller als eine aufwendige, aber unsichere Berechnung.

Auch Risikoakzeptanz ist anspruchsvoll. Sie ist legitim, wenn sie bewusst, befristet und verantwortet erfolgt. Sie ist gefährlich, wenn sie nur dadurch entsteht, dass niemand eine Maßnahme finanziert.

Entscheidungspunkte

• Welche Risiken müssen auf Geschäftsführungsebene entschieden werden?
• Welche Risikokategorien passen zur Unternehmensrealität?
• Welche Kriterien bestimmen Priorität: Kundenauswirkung, rechtliche Folgen, Betriebsunterbrechung, finanzielle Wirkung oder Reputationsschaden?
• Wer darf Restrisiken akzeptieren?
• Welche Akzeptanzkriterien oder -schwellen sind vorab vereinbart, damit Risikoakzeptanz nachvollziehbar gemessen wird und nicht im Einzelfall beliebig erfolgt?
• Wie oft werden Risiken aktualisiert und mit Vorfällen, Audits und Veränderungen abgeglichen?

Praktische Empfehlungen

1. Formulieren Sie jedes Top-Risiko als Szenario mit geschäftlicher Auswirkung.
2. Trennen Sie Befund, Risiko, Maßnahme und Entscheidung sauber.
3. Führen Sie Risikoakzeptanz nur mit benanntem Owner, Begründung und Wiedervorlage.
4. Begrenzen Sie das Risikoregister auf steuerbare Einträge; technische Detailbefunde gehören in operative Backlogs.
5. Nutzen Sie Management-Reviews, um Top-Risiken, Trends und offene Entscheidungen sichtbar zu machen.

Relevante Normreferenzen

• ISO/IEC 27005: Referenz für Informationssicherheitsrisikomanagement.
• ISO 31000: übergeordneter, branchenneutraler Referenzrahmen für Risikomanagement mit gemeinsamer Risikoterminologie, an dem sich ISO/IEC 27005 orientiert.
• ISO/IEC 27001: Referenz für ISMS-Kontext und risikobasierte Steuerung.