Risiko- und Gefährdungsanalyse
Vorgehen der Risikoanalyse
Risikomanagement folgt ISO 31000: Kontext, Risikoidentifikation, Risikoanalyse, Risikobewertung, Risikobehandlung, Kommunikation und Überwachung. In der Gefährdungsanalyse werden Bedrohungen, Verwundbarkeiten und Schutzobjekte systematisch gegenübergestellt. Methoden: qualitative Verfahren (Szenarioanalyse, Delphi, Risikomatrix) und quantitative Verfahren (Fehlerbaumanalyse FTA, Ereignisbaumanalyse ETA, Bow-Tie, HAZOP). Für Informationssicherheit eignen sich Bedrohungs- und Schwachstellenkataloge, für physische Sicherheit Rundgänge, Kriminalitätsstatistiken und Szenarien.
Risikomatrix und Bewertung
In der Risikomatrix werden Eintrittswahrscheinlichkeit (z. B. 1–5) und Schadensausmaß (1–5) multipliziert. Akzeptanzgrenzen (Risikoakzeptanzkriterien) trennen „akzeptabel“, „ALARP“ (as low as reasonably practicable) und „nicht akzeptabel“. Die ALARP-Logik ist zentral: Maßnahmen müssen verhältnismäßig sein, nicht maximal.
Schutzbedarfsfeststellung
Vor der Maßnahmenwahl steht die Schutzbedarfsfeststellung: Welches Schutzobjekt braucht welches Schutzniveau? Schadensszenarien werden nach Personen-, Sach- und Imageschaden bewertet. Erst danach folgt die Maßnahmenauswahl nach Wirksamkeit, Kosten und Nebenwirkungen.
Typische Fallen
Häufig werden Eintrittswahrscheinlichkeit und Ausmaß addiert statt multipliziert; Restrisiken ignoriert; nur technische, nicht organisatorische Maßnahmen betrachtet; oder die Analyse ohne Beteiligung der Betroffenen durchgeführt. Ein weiterer Klassiker: Die Gefährdungsanalyse wird einmalig erstellt und nie aktualisiert. Sie ist ein fortlaufender Prozess.
Worked Example
Ein Serverraum: Wahrscheinlichkeit Wasserschaden 0,1/Jahr, Schaden 500.000 € → Erwartungswert 50.000 €/Jahr. Eine Wasserwarnanlage kostet 5.000 €/Jahr und senkt die Wahrscheinlichkeit auf 0,02 → Erwartungswert 10.000 €. Einsparung 40.000 € > Kosten 5.000 € → Maßnahme wirtschaftlich sinnvoll.