Eine Risikobewertung für die Informationssicherheit können die meisten KMU und Verwaltungen selbst durchführen. Schwierig ist selten die Methode. Schwierig wird es, wenn Risiken nicht aus echten Befunden stammen, jede Person anders bewertet und beschlossene Massnahmen nie wieder im Risikobild auftauchen. Dieser Leitfaden führt Sie in sieben Schritten von der Abgrenzung über Bewertung und Priorisierung bis zur Auswertung, die der Geschäftsleitung zeigt, was die Massnahmen bewirken.

Warum interne Risikobewertungen oft liegen bleiben

Die Anforderungen sind bekannt, Vorlagen gibt es genug. Trotzdem scheitern interne Bewertungen meist an denselben Stellen:

• Risiken sind zu abstrakt formuliert, etwa «Cyberangriff» oder «Datenverlust», ohne Bezug zu einer tatsächlichen Schwäche.
• Unklar ist, wer bewerten darf und wer entscheidet.
• Massnahmen werden definiert, aber nicht verfolgt.
• Wenn sich Bewertungen ändern, ist später nicht nachvollziehbar, wer was warum geändert hat.

In kleineren Organisationen kommt hinzu, dass das Wissen bei wenigen Personen liegt. Fallen sie aus oder wechseln sie, steht die Risikosteuerung still. Ein interner Ansatz funktioniert deshalb nur, wenn Methode, Bewertungen und Fortschritt dokumentiert sind und nicht in einzelnen Köpfen stecken.

Schritt 1: Den Geltungsbereich festlegen

Legen Sie zuerst fest, was bewertet wird: die ganze Organisation, ein Geschäftsbereich, die kritischen Systeme oder die Anforderungen eines bestimmten Standards. Ohne klare Abgrenzung werden Risiken unscharf und Vergleiche über die Zeit unmöglich.

Für den Start ist ein kleinerer, vollständig erfasster Bereich besser als eine unternehmensweite Bewertung, die nach wenigen Wochen in der Komplexität stecken bleibt. Halten Sie den Geltungsbereich schriftlich fest, damit alle Beteiligten vom Gleichen sprechen.

Schritt 2: Den Ist-Zustand mit einem Assessment erheben

Risiken sollten aus Befunden entstehen, nicht aus Vermutungen. Eine belastbare Bewertung beginnt deshalb mit einem Assessment entlang eines anerkannten Rahmens, etwa ISO 27001, NIST CSF 2.0, dem IKT-Minimalstandard oder für den Einstieg dem kostenlosen Cyber Security Basis Check. Die Fragen lauten: Gibt es definierte Prozesse? Sind die technischen und organisatorischen Massnahmen umgesetzt? Werden Kontrollen nachweisbar betrieben?

Aus den Antworten ergeben sich Lücken, und aus Lücken lassen sich Risiken präzise ableiten. Dabei gilt: Ein Befund ist noch kein Risiko. Eine fehlende Richtlinie wird erst zum Risiko durch ihre mögliche Folge, etwa uneinheitliche Abläufe, unklare Zuständigkeiten oder fehlende Nachweise. Formulieren Sie deshalb jedes Risiko als Szenario mit Ursache, Ereignis und Folge. Wie ein solcher Eintrag mit allen Feldern aussieht, zeigt der Leitfaden Risikoregister Informationssicherheit: Vorlage.

Umgekehrt ist nicht jede Abweichung von einem Standard ein hohes Risiko. Manche Feststellungen betreffen nur die Dokumentation. Unscheinbare Prozesslücken können dagegen schwer wiegen, wenn sie einen kritischen Ablauf betreffen. Wiederholt sich dieselbe Lücke in mehreren Bereichen, deutet das auf ein strukturelles Problem hin, das mehr Aufmerksamkeit verdient als ein Einzelbefund.

Schritt 3: Ein einheitliches Bewertungsmodell festlegen

Für die meisten Organisationen genügen zwei Dimensionen: Eintrittswahrscheinlichkeit und Auswirkung. Entscheidend ist die Vergleichbarkeit. Wird ein Risiko heute nach anderen Kriterien bewertet als in drei Monaten, verliert die Bewertung ihren Wert.

Stufen mit Definitionen

Beschreiben Sie jede Stufe in einem Satz. Die folgende Tabelle ist ein Beispiel, das Sie an Ihre Organisation anpassen:

Stufe	Eintrittswahrscheinlichkeit	Auswirkung
1	Unwahrscheinlich: kein plausibler Angriffsweg, starke Schutzmassnahmen	Gering: kurze Störung, keine sensiblen Daten, kein Aussenbezug
2	Möglich: Angriffsweg denkbar, Schutzmassnahmen teilweise vorhanden	Spürbar: Störung eines Prozesses, interne Daten betroffen
3	Wahrscheinlich: bekannte Schwäche, System von aussen erreichbar	Erheblich: Ausfall eines wichtigen Prozesses, Personendaten betroffen, Meldepflichten möglich
4	Sehr wahrscheinlich: Schwäche wird aktiv ausgenutzt oder ist leicht auszunutzen	Schwer: Betriebsunterbruch, besonders schützenswerte Daten, rechtliche Folgen, Reputationsschaden

Achten Sie darauf, dass «hoch» nicht für eine Person «monatlich» und für eine andere «einmal in fünf Jahren» bedeutet.

Auswirkung am Geschäft messen

Bewerten Sie die Auswirkung entlang der realen Folgen: Betriebsunterbruch, Verlust oder Offenlegung von Daten, finanzielle und rechtliche Folgen, Reputation, Auswirkungen auf Dritte. Für ein KMU kann ein eintägiger Ausfall des ERP-Systems schwerer wiegen als eine Schwachstelle in einer Randanwendung. Für eine Verwaltung kann schon eine Verletzung der Vertraulichkeit kritisch sein, auch wenn der finanzielle Schaden klein bleibt. Wie schützenswert die betroffenen Informationen sind, klären Sie am besten vorab mit einer Schutzbedarfsanalyse.

Wahrscheinlichkeit im Kontext

Dass ein Angriff theoretisch möglich ist, reicht nicht für eine hohe Stufe. Dieselbe Schwachstelle wiegt auf einem Testsystem ohne sensible Daten und ohne Internetzugang anders als auf einem breit zugänglichen produktiven Dienst. Ein hoher Wert aus einem technischen Schwachstellenscan ist ein nützliches Signal, ersetzt aber keine Bewertung im Geschäftskontext.

Risikowert und Matrix

Der Risikowert ist Wahrscheinlichkeit mal Auswirkung. Bei je vier Stufen liegt er zwischen 1 und 16. Die Grenzen zwischen den Risikostufen legen Sie fest. Ein mögliches Schema:

Auswirkung ↓ / Wahrscheinlichkeit →	1	2	3	4
4	4 mittel	8 hoch	12 sehr hoch	16 sehr hoch
3	3 mittel	6 hoch	9 sehr hoch	12 sehr hoch
2	2 niedrig	4 mittel	6 hoch	8 hoch
1	1 niedrig	2 niedrig	3 mittel	4 mittel

Halten Sie zur Matrix fest, was jede Stufe bedeutet: Ab welcher Stufe ist eine Massnahme Pflicht, bis zu welcher Stufe darf ein Risiko akzeptiert werden, und wer darf das entscheiden? Diese Regeln behandelt der Leitfaden Risikoakzeptanz im Unternehmen festlegen.

Schritt 4: Priorisieren

Die naheliegende Regel «das höchste Risiko zuerst» greift zu kurz. Wer nur auf den Risikowert schaut, setzt oft langwierige Grossvorhaben an die Spitze und lässt schnell wirksame Verbesserungen liegen. Bewährt hat sich, den Risikowert mit der Umsetzbarkeit zu kombinieren:

• Lässt sich ein kritisches Risiko mit überschaubarem Aufwand innert Tagen stark senken, gehört es nach oben.
• Massnahmen, die mehrere Risiken zugleich senken, verdienen Vorrang. Typisch sind ein geregeltes Identitäts- und Berechtigungsmanagement, ein verlässlicher Patch-Prozess und eine getestete Wiederherstellung.
• Fristgebundene Nachweise oder ein bevorstehendes Audit sind ein legitimer Grund, etwas vorzuziehen. Halten Sie solche Entscheide fest, sonst wirken Prioritäten beliebig.
• Abhängigkeiten beachten: Fehlt ein Backup-Konzept, ist ein zusätzliches Sicherheitswerkzeug nachrangig.

Für die Arbeit genügen oft drei Prioritätsstufen. Hoch heisst: erhebliche Auswirkung bei ungenügender Kontrolle, eine konkrete Massnahme mit Verantwortlichen und Termin ist nötig, eine Akzeptanz ohne starke Begründung trägt nicht. Mittel heisst: relevant, oft mit teilweise wirksamen Kontrollen, gehört in einen geplanten Verbesserungsprozess. Niedrig heisst: geringe Auswirkung oder Plausibilität, wird dokumentiert und begründet, besonders wenn es akzeptiert wird.

Wenn fast alles als hoch gilt, ist das Modell nutzlos. Priorisierung soll Unterschiede zeigen. Dazu gehört die Bereitschaft, nicht jeden Mangel maximal zu bewerten. Und bewerten Sie nicht allein in der IT: Fachbereiche, Datenschutz und Geschäftsleitung sehen Abhängigkeiten, die technisch nicht sichtbar sind.

Schritt 5: Die Behandlung festlegen

Für jedes bewertete Risiko entscheiden Sie, wie Sie damit umgehen: reduzieren, vermeiden, übertragen oder bewusst akzeptieren. Keine Option ist per se richtig. Eine kleine Organisation muss nicht jede denkbare Kontrolle einführen, sie muss aber begründen können, warum die gewählte Behandlung zu Risiko, Schutzbedarf und Mitteln passt.

Ein Beispiel

Nehmen wir ein Unternehmen, dessen Mitarbeitende über das Internet auf E-Mail, Ablage und einige Fachanwendungen zugreifen, nur mit Benutzername und Passwort. Das Assessment stellt fest, dass Mehrfaktor-Authentisierung fehlt. Der Eintrag könnte so aussehen:

• Risiko: Angreifer übernehmen über Phishing oder wiederverwendete Passwörter Benutzerkonten und greifen auf geschäftskritische Informationen zu.
• Bewertung: Wahrscheinlichkeit hoch, weil Phishing-Versuche regelmässig vorkommen und ein Passwort allein wenig schützt. Auswirkung hoch, weil übernommene Konten für Betrug, Datendiebstahl und weitere Angriffe genutzt werden können.
• Behandlung: Reduzieren.
• Massnahme: Mehrfaktor-Authentisierung für alle von aussen erreichbaren Dienste, Administrationskonten und Konten mit Zugriff auf besonders schützenswerte Daten zuerst; veraltete Anmeldeverfahren abschalten; kurze Anleitung für Mitarbeitende; Ausnahmen nur mit dokumentierter Genehmigung.
• Verantwortung: Leitung IT für die Umsetzung, Informationssicherheit für Vorgaben und Nachweis, Geschäftsleitung für Mittel und Eskalation.
• Frist: zuerst die privilegierten Konten, danach alle übrigen, je mit festem Termin.
• Wirksamkeitsnachweis: Konfigurationsauszug aus dem Identitätsdienst, Liste der abgedeckten Systeme, dokumentierte Ausnahmen, Stichproben bei Anmeldungen.
• Restrisiko: mittel bis niedrig, weil Phishing weiterhin möglich ist und Ausnahmen überwacht werden müssen.

Der Wirksamkeitsnachweis wird am häufigsten vergessen. Eine erledigte Aufgabe belegt nicht, dass das Risiko gesunken ist. Wurde die Mehrfaktor-Authentisierung nur für einen Teil der Anwendungen aktiviert? Gibt es gemeinsam genutzte Konten? Erst die Prüfung des Zielzustands zeigt, ob die Behandlung greift.

Unterstützt eine alte Fachanwendung keine Mehrfaktor-Authentisierung und lässt sie sich nicht sofort ersetzen, kommen kompensierende Massnahmen in Frage: Zugriff nur aus dem internen Netz oder über VPN, eingeschränkte Berechtigungen, engere Überwachung und ein verbindlicher Ablöseplan. Das verbleibende Risiko wird mit Begründung, Gültigkeitsdauer und Genehmigung festgehalten.

Wie Sie aus vielen solchen Einträgen einen Plan mit Fristen und Verantwortlichen machen, beschreibt der Leitfaden Massnahmenplan Informationssicherheit erstellen.

Schritt 6: Die Risikoauswertung lesen

Eine Bewertung wird erst dann zur Entscheidungsgrundlage, wenn sie zeigt, was die Massnahmen bewirken. Dazu vergleichen Sie zwei Bilder: das Risiko vor den Massnahmen und das Restrisiko danach.

Die Geschäftsleitung braucht dafür wenige Zahlen:

• wie viele Positionen bewertet sind und wie viele noch nicht,
• wie viele vor den Massnahmen hoch oder sehr hoch sind und wie viele danach,
• wie viele Positionen durch Massnahmen um mindestens eine Stufe gesenkt werden,
• wie viele Positionen noch kein Restrisiko haben, also noch ohne Aussage dazu, was nach der Massnahme bleibt,
• welche Bereiche nach den Massnahmen noch hohe Risiken tragen.

Dazu kommen zwei Matrizen nebeneinander, Risiko und Restrisiko. Sie zeigen auf einen Blick, ob sich die Positionen aus der rechten oberen Ecke nach links unten bewegen. Wandern sehr hohe Risiken nur um ein Feld, lohnt sich ein zweiter Blick auf die Massnahmen. Bleiben Positionen trotz abgeschlossener Massnahme im roten Bereich, stimmt entweder die Massnahme oder die Bewertung nicht.

Wichtig: Eine abgeschlossene Massnahme senkt das Restrisiko erst, wenn ihre Wirkung belegt ist. Sonst zeigt die Auswertung ein zu gutes Bild.

Schritt 7: Regelmässig überprüfen

Eine Risikobewertung ist eine Momentaufnahme. Neue Systeme, personelle Wechsel, eine veränderte Bedrohungslage oder neue Anforderungen verändern das Bild. Für viele Organisationen ist ein quartalsweiser Review praktikabel, bei kritischen Umgebungen oder laufenden Umbauprojekten ein engerer Takt. Prüfen Sie dabei offene Fristen, die Wirkung abgeschlossener Massnahmen, neue Befunde und ablaufende Akzeptanzen. Einmal im Jahr lohnt sich eine vollständige Neubewertung auf Basis eines neuen Assessments.

Wann externe Unterstützung trotzdem sinnvoll ist

Ohne Berater heisst nicht, dass Sie nie jemanden fragen. Punktuelle Unterstützung lohnt sich, wenn Sie erstmals ein ISMS aufbauen, stark reguliert sind, kurz vor einer Zertifizierung stehen oder intern keine Einigkeit über Bewertungslogik und Prioritäten besteht. Oft genügen dafür wenige gezielte Klärungen statt eines langen Mandats. Die Abwägung beschreibt der Leitfaden ISMS-Software oder Beratungsprojekt?.

Risikobewertung und Risikoauswertung in SCMC

SCMC gibt die Struktur vor, die interne Teams sonst selbst bauen müssten. Risiken entstehen aus den Fragen eines Assessments, und ein Klick auf den Code einer Frage führt zurück zur zugehörigen Antwort. Das Modul Cyber-Risikomanagement geht von einem BSI-orientierten Risiko-Framework aus und erlaubt eigene Bedrohungsszenarien. Auch die Framework-Module wie ISO 27001 enthalten Massnahmen und Risikobewertung.

Bewerten. Jede Position erhält Wahrscheinlichkeit und Auswirkung, ihr Wert ist Wahrscheinlichkeit mal Auswirkung, höchstens 16, und die Farbe zeigt die Risikostufe. Im Profil wählen Sie, ob Sie als Kacheln, als Zeilen mit beiden Werten nebeneinander oder direkt in einer Risikomatrix erfassen, in der ein Klick beide Werte zugleich setzt. Zu jeder Position gehört ein Restrisiko und die Massnahme mit Frist, Verantwortlichen und eigener Validierung. Erinnerungen gehen per E-Mail hinaus, und «Meine Aufgaben» zeigt jeder Person, was auf sie läuft. Der Verlauf zeigt je Position, was sich wann geändert hat.

Auswerten. Die Risikoauswertung zeigt eine ganze Bewertung auf einer Seite. Oben stehen die Zahlen: bewertete Positionen, hohe und sehr hohe Risiken vor und nach den Massnahmen, um mindestens eine Stufe gesenkte Positionen und Positionen ohne Restrisiko. Die Bereiche lassen sich einzeln wählen, und der «Stufenwechsel» zeigt, von welcher Risikostufe zu welcher die Massnahmen führen. Risiko- und Restrisikomatrix stehen nebeneinander: Ein Klick in ein Feld zeigt in der anderen Matrix, wohin diese Positionen gewandert sind oder woher sie kamen. Jede Position in der Liste darunter hat eine kleine Matrix mit dem Weg vom Risiko zum Restrisiko und dem Stand ihrer Massnahme.

Weitergeben. Die Risikoanalyse gibt es als bearbeitbares Word-Dokument mit Kennzahlen, Stufenwechsel, beiden Matrizen und allen Positionen absteigend nach Risiko samt Massnahme. Wer lieber gemeinsam in Excel arbeitet, exportiert die Bewertung und liest sie wieder ein. Fürs nächste Jahr dupliziert ein Klick die Bewertung mit allen Antworten, Massnahmen und Risiken.

Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich). Die Preise der Module finden Sie unter Preise, Anleitungen im Hilfe-Center.