Welche IT-Risiken sind für Ihr Unternehmen wirklich gefährlich – und welche Schutzmaßnahmen lohnen sich? Diese Fragen beantwortet eine IT-Risikoanalyse. Dafür gibt es zwei grundlegende Methoden: die qualitative und die quantitative Risikoanalyse. In diesem Beitrag erklären wir beide an einem Beispiel und zeigen, welche Methode für kleine und mittlere Unternehmen sinnvoll ist.
Was ist eine IT-Risikoanalyse?
Eine IT-Risikoanalyse ist ein strukturiertes Verfahren, um Bedrohungen für die IT eines Unternehmens zu erkennen, zu bewerten und zu priorisieren. Für jedes Risiko werden zwei Fragen gestellt:
- Wie wahrscheinlich ist es, dass das Ereignis eintritt?
- Wie groß wäre der Schaden, wenn es eintritt?
Aus beidem ergibt sich, wie dringend ein Risiko behandelt werden muss. Die Risikoanalyse ist damit die Grundlage für ein sinnvolles Sicherheitskonzept – und für Unternehmen, die unter NIS-2 fallen, inzwischen auch gesetzlich gefordert.
Die qualitative Risikoanalyse
Bei der qualitativen Methode werden Wahrscheinlichkeit und Schaden in Stufen eingeschätzt, etwa „selten – mittel – häufig – sehr häufig“ und „gering – begrenzt – beträchtlich – existenzbedrohend“. Grundlage sind Erfahrung, Gespräche mit den Fachabteilungen und Fachwissen über typische Bedrohungen.
Das Ergebnis wird in einer Risikomatrix dargestellt: Auf der einen Achse steht die Wahrscheinlichkeit, auf der anderen das Schadensausmaß. Jedes Risiko landet in einem Feld – grün für geringe, gelb für mittlere und rot für hohe Risiken.
Beispiel: Risikomatrix für einen Betrieb mit 25 Arbeitsplätzen
- Verschlüsselungstrojaner legt Server lahm: Wahrscheinlichkeit mittel, Schaden existenzbedrohend → hohes Risiko
- Phishing-Mail führt zu gestohlenem E-Mail-Konto: Wahrscheinlichkeit häufig, Schaden beträchtlich → hohes Risiko
- Notebook geht verloren: Wahrscheinlichkeit mittel, Schaden begrenzt (Gerät ist verschlüsselt) → mittleres Risiko
- Internetausfall für einen Tag: Wahrscheinlichkeit selten, Schaden begrenzt → geringes Risiko
Vor- und Nachteile
- Vorteile: schnell, kostengünstig, ohne umfangreiche Daten durchführbar, gut verständlich für die Geschäftsführung
- Nachteile: subjektiv, keine Aussage in Euro, schwer zu vergleichen, wenn verschiedene Personen bewerten
Die quantitative Risikoanalyse
Bei der quantitativen Methode werden Wahrscheinlichkeit und Schaden in Zahlen ausgedrückt – der Schaden in Euro, die Wahrscheinlichkeit als erwartete Häufigkeit pro Jahr. Daraus ergibt sich der erwartete jährliche Schaden. Die gängige Formel lautet:
Erwarteter Jahresschaden = Schaden pro Vorfall × erwartete Vorfälle pro Jahr
Beispielrechnung: Verschlüsselungstrojaner
Die folgenden Zahlen sind ein vereinfachtes Rechenbeispiel:
- Ausfall des Betriebs für drei Tage à 5.000 € = 15.000 €
- Wiederherstellung durch einen IT-Dienstleister = 10.000 €
- Schaden pro Vorfall: 25.000 €
- Erwartete Häufigkeit: einmal in fünf Jahren = 0,2 pro Jahr
- Erwarteter Jahresschaden: 25.000 € × 0,2 = 5.000 €
Nun wird eine Schutzmaßnahme bewertet – etwa ein besseres Backup mit Kopie außer Haus und ein moderner Endpoint-Schutz für zusammen 2.000 € pro Jahr. Angenommen, dadurch sinkt die Häufigkeit auf einmal in 20 Jahren (0,05) und der Schaden pro Vorfall auf 8.000 €, weil die Daten schneller zurück sind:
- Neuer erwarteter Jahresschaden: 8.000 € × 0,05 = 400 €
- Ersparnis: 5.000 € – 400 € = 4.600 € pro Jahr
- Die Maßnahme kostet 2.000 € und spart rechnerisch 4.600 € – sie lohnt sich.
Vor- und Nachteile
- Vorteile: Ergebnisse in Euro, gute Grundlage für Budgetentscheidungen, Schutzmaßnahmen lassen sich direkt vergleichen
- Nachteile: aufwendig, braucht belastbare Zahlen, die in kleinen Unternehmen oft fehlen – die Genauigkeit ist daher häufig nur scheinbar
Welche Methode passt zu Ihrem Unternehmen?
Für die meisten kleinen und mittleren Unternehmen ist eine Kombination der sinnvollste Weg:
- Zuerst qualitativ: Alle wichtigen Risiken in einer Risikomatrix erfassen und bewerten. Das gibt in kurzer Zeit einen Überblick.
- Dann quantitativ für die roten Felder: Für die wenigen hohen Risiken grob in Euro rechnen, um Schutzmaßnahmen zu begründen und Budgets zu planen.
So bleibt der Aufwand überschaubar, und die Geschäftsführung bekommt trotzdem belastbare Zahlen für die wichtigsten Entscheidungen.
Standards und Hilfsmittel
- BSI-Standard 200-3: die Methode des Bundesamts für Sicherheit in der Informationstechnik zur Risikoanalyse auf Basis des IT-Grundschutzes. Sie arbeitet qualitativ mit Häufigkeits- und Schadenskategorien und eignet sich gut als Vorlage für deutsche Unternehmen.
- ISO/IEC 27005: der internationale Leitfaden zum Risikomanagement in der Informationssicherheit, passend zu einer Zertifizierung nach ISO 27001.
- CyberRisikoCheck nach DIN SPEC 27076: ein vereinfachter, standardisierter Einstieg für kleine Unternehmen. Mehr dazu in unserem Beitrag Was ist ein IT-Sicherheitsaudit?
So läuft eine IT-Risikoanalyse ab
- Werte erfassen: Welche Systeme, Daten und Abläufe sind für das Unternehmen wichtig? Eine IT-Infrastrukturanalyse liefert diesen Überblick.
- Bedrohungen sammeln: Was kann passieren – Angriffe, Ausfälle, Bedienfehler, Diebstahl, Brand?
- Risiken bewerten: Wahrscheinlichkeit und Schaden einschätzen, qualitativ oder quantitativ.
- Maßnahmen festlegen: Für jedes hohe Risiko entscheiden – reduzieren, vermeiden, versichern oder bewusst tragen.
- Regelmäßig wiederholen: mindestens einmal im Jahr und nach größeren Veränderungen.
IT-Risikoanalyse mit masedo
Die masedo IT-Systemhaus GmbH unterstützt Unternehmen in Dortmund und im Ruhrgebiet bei der Risikoanalyse ihrer IT. Wir erfassen Systeme und Bedrohungen, bewerten die Risiken gemeinsam mit Ihnen in einer verständlichen Risikomatrix und rechnen für die wichtigsten Risiken durch, welche Schutzmaßnahmen sich lohnen. Die Umsetzung – von Backup über Endpoint-Schutz bis zum Notfallplan – übernehmen wir auf Wunsch gleich mit.
Häufige Fragen zur IT-Risikoanalyse
Was ist der Unterschied zwischen qualitativer und quantitativer Risikoanalyse?
Die qualitative Analyse bewertet Risiken in Stufen wie „gering“, „mittel“ und „hoch“. Die quantitative Analyse drückt Risiken in Zahlen aus, meist als erwarteten Schaden in Euro pro Jahr.
Welche Methode ist besser?
Keine ist grundsätzlich besser. Für KMU hat sich bewährt, zuerst qualitativ einen Überblick zu schaffen und dann die wichtigsten Risiken quantitativ zu rechnen.
Was ist eine Risikomatrix?
Eine Tabelle, die Wahrscheinlichkeit und Schadensausmaß gegenüberstellt. Jedes Risiko wird einem Feld zugeordnet – farblich markiert von gering bis hoch.
Ist eine IT-Risikoanalyse Pflicht?
Für Unternehmen, die unter NIS-2 fallen, ja. Auch die DSGVO verlangt, dass Schutzmaßnahmen dem Risiko angemessen sind – was ohne Risikobewertung kaum nachweisbar ist. Für eine Datenschutz-Folgenabschätzung ist eine Risikobewertung ebenfalls zentral; mehr dazu in unserem Beitrag zur Datenschutz-Folgenabschätzung.
Wie oft sollte eine Risikoanalyse durchgeführt werden?
Mindestens einmal im Jahr und zusätzlich nach größeren Veränderungen, etwa der Einführung neuer Systeme oder nach einem Sicherheitsvorfall.
