.svg)
Das Risikomanagement im Bereich der Informationssicherheit ist ein zentraler Bestandteil einer wirksamen Sicherheitsstrategie, wird jedoch in der Praxis oft vernachlässigt. Wir wissen, dass dies nicht daran liegt, dass Unternehmen Risiken gänzlich ignorieren würden. Vielmehr ist das Risikomanagement zwar in den Prozessen vorhanden, fließt jedoch nicht in die tatsächlichen Entscheidungen ein.
Um zu verstehen, wo Teams Schwierigkeiten haben, ist es hilfreich, zunächst zu verstehen, was Informationssicherheitsrisiken sind und warum das Management von Informationssicherheitsrisiken so wichtig ist. Nachdem wir die Grundlagen verstanden haben, ist es an der Zeit, uns anzuschauen, warum Risikomanagement in der Praxis häufig scheitert, wie Sie die Anzeichen dafür erkennen können und wie Teams ihren Kurs ändern können, um ein besseres Risikomanagement zu erreichen.
1. Risikomanagement als einmalige Maßnahme betrachten
Risikomanagement wird oft als einmalige Maßnahme betrachtet, die in der Regel einmal jährlich kurz vor einer Prüfung durchgeführt wird . Es wird eine formelle Risikobewertung durchgeführt, dokumentiert und dann bis zum nächsten Prüfungszyklus nicht mehr berührt. In der Zwischenzeit entwickelt sich das Unternehmen weiter, neue Tools werden eingeführt und Arbeitsweisen ändern sich, aber die Risiken bleiben dieselben.
Das merkt man sogar an dem allzu bekannten Gedanken: „Wir werden das nächstes Jahr aktualisieren.“
Um eine Richtungsänderung zu erreichen, muss das Risikomanagement kontinuierlich und ereignisorientiert erfolgen. Risiken sollten immer dann neu bewertet werden, wenn sich etwas in der Organisation ändert, und nicht nur, wenn es laut Kalender an der Zeit ist. So bleiben Risikobewertungen relevant und es wird sichergestellt, dass Sicherheitsentscheidungen auf der aktuellen Realität basieren und nicht auf Annahmen aus dem Vorjahr.
2. Zu viel Fokus auf Dokumentation, zu wenig auf Entscheidungen
Beim Risikomanagement wird oft mehr Wert auf die Dokumentation als auf die Entscheidungsfindung gelegt. Teams erstellen ausgefeilte Risikoregister und detaillierte Beschreibungen, aber es ist unklar, was tatsächlich anders gemacht werden sollte. Probleme entstehen, wenn Maßnahmen nicht klar definiert sind, keine Entscheidungen getroffen werden und die Nachverfolgung fehlt. Das bekannte Anzeichen dafür ist, dass das Risikomanagement Dokumente produziert, aber keine Ergebnisse.
Risikomanagement sollte dazu dienen, Entscheidungen zu unterstützen. Die Dokumentation sollte Teams dabei helfen, Entscheidungen zu treffen und zu verfolgen, anstatt sie zu ersetzen.
3. Alle Risiken sind letztendlich „hoch“.
Es kommt einfach zu oft vor, dass jedes identifizierte Risiko letztendlich als hoch eingestuft wird. Es gibt keine echte Priorisierung, die Risikobewertung verliert ihre Bedeutung, und am Ende steht das Management ohne klare Entscheidungsgrundlage da, was uns wiederum zum Problem des vorherigen Punktes zurückführt. Wenn alles dringend ist, ist nichts wirklich dringend.
Dies ist ein Zeichen dafür, dass das Risikomodell nicht wirklich hilfreich ist. Die Priorisierung sollte Kompromisse ermöglichen und deutlich zeigen, welche Risiken sofortige Aufmerksamkeit erfordern und welche später behandelt werden können.
4. Keine klare Risikoverantwortung
Ein weiteres häufiges Problem ist die unklare Zuständigkeit für Risiken. Risiken werden vage der „IT“ oder der „Sicherheit“ zugeordnet, ohne dass eine bestimmte Person für Entscheidungen verantwortlich ist. Die Risikoakzeptanz erfolgt, wenn überhaupt, informell, und niemand kann mit Sicherheit sagen, wer für ein bestimmtes Risiko verantwortlich ist.
Um hier weiterzukommen, braucht jedes Risiko einen echten Verantwortlichen, jemanden, der den Kontext versteht und die Befugnis hat, die erforderlichen Entscheidungen zu treffen.
5. Entscheidungen zur Risikobehandlung sind nicht explizit
Manchmal ist unklar, welche Entscheidung tatsächlich in Bezug auf ein Risiko getroffen wurde. Es werden Kontrollen eingeführt, aber niemand hat klar dargelegt, warum sie ausgewählt wurden. Die Risikoakzeptanz wird nicht dokumentiert und das Restrisiko wird nicht überprüft. Sicherheitsmaßnahmen werden durchgeführt, aber das Risiko bleibt unverändert bestehen.
Risikomanagement funktioniert besser, wenn die Risikobehandlung als klare Entscheidung behandelt und als solche schriftlich festgehalten wird, anstatt als Annahme zu verbleiben.
6. Das Risikomanagement ist vom Tagesgeschäft abgekoppelt.
Risikomanagement sollte Teil der täglichen Arbeit sein. In der Praxis werden jedoch häufig neue Systeme ohne Risikoprüfung eingeführt, Lieferanten ohne Bewertung aufgenommen und Änderungen ohne Berücksichtigung von Risiken durchgeführt. Risiken tauchen letztendlich nur in Sicherheitsdokumenten auf.
Wie kann man das ändern? Das Risikomanagement muss in die täglichen Abläufe eingebettet werden, damit das Risikodenken ganz natürlich ausgelöst wird, wenn sich etwas ändert.
7. Zu viele Maßnahmen zur Risikobehandlung
Wir haben viel beschlossen, aber nichts hat sich tatsächlich geändert.
In Risikoworkshops einigen sich Teams oft auf mehrere Maßnahmen. Auf dem Papier sieht alles proaktiv aus, aber sobald die tägliche Arbeit wieder aufgenommen wird, werden die meisten Maßnahmen nie umgesetzt. Die Nachverfolgung lässt nach, und es ändert sich eigentlich nichts.
Das bedeutet in der Regel, dass zu viele Maßnahmen ergriffen werden. Weniger, gut ausgewählte Risikobehandlungen sind weitaus effektiver als lange Listen, die nie abgearbeitet werden.
8. Die Risiken sind zu allgemein, um Maßnahmen zu ergreifen.
Einige Risiken werden so allgemein beschrieben, dass es unmöglich ist, darauf zu reagieren. Bezeichnungen wie „Datenverletzung“, „Systemausfall“ oder „Cyberangriff“ erklären nicht, was tatsächlich passieren würde, wie es dazu kommen könnte oder welche Auswirkungen dies hätte. Gutes Risikomanagement konzentriert sich auf realistische Szenarien, die Menschen verstehen und auf die sie reagieren können, anstatt auf abstrakte Bedrohungsbezeichnungen.
9. Compliance treibt das Risikomanagement voran und nicht umgekehrt.
In einigen Organisationen bestimmt die Compliance letztendlich die Risikoprioritäten. Rahmenwerk-Checklisten bestimmen Entscheidungen, Risiken werden rückentwickelt, um sie an Kontrollen anzupassen, und neue Bedrohungen werden übersehen. Es entsteht die Annahme: „Wir sind konform, also müssen wir sicher sein.“
Das Risikomanagement sollte die Compliance leiten – und nicht durch sie eingeschränkt werden.
10. Keine Lernschleife aus der ISMS-Arbeit
Schließlich fehlt vielen Organisationen eine Lernschleife in ihrem Risikomanagement. Vorfälle werden separat behandelt, Prüfungsergebnisse führen nicht zu einer Aktualisierung der Risiken und das Feedback der Mitarbeiter fließt nicht in die Bewertungen ein. Infolgedessen wiederholen sich dieselben Probleme im Laufe der Zeit.
Das sollte umgekehrt funktionieren: Das Risikomanagement sollte kontinuierlich aus Vorfällen, Audits und praktischen Erfahrungen lernen, um relevant und effektiv zu bleiben.
Was sollten Sie also beachten?
Die meisten Fehler beim Risikomanagement im Bereich der Informationssicherheit entstehen nicht dadurch, dass Risiken völlig ignoriert werden. Sie entstehen dadurch, dass das Risikomanagement zu schwerfällig ist, zu weit vom Arbeitsalltag entfernt ist oder sich zu sehr auf die Dokumentation statt auf Entscheidungen konzentriert.
Gutes Risikomanagement ist praxisorientiert. Es hilft Menschen dabei, Entscheidungen zu treffen, statt nur Vorlagen auszufüllen. Es ist kontinuierlich, leicht zu aktualisieren und eng mit der tatsächlichen Arbeitsweise der Organisation verbunden. Wenn Risikomanagement gut umgesetzt wird, unterstützt es die Priorisierung, das Lernen und eine klare Verantwortungsverteilung. Es macht Risiken zum richtigen Zeitpunkt sichtbar und hilft Teams dabei, sich auf das zu konzentrieren, was wirklich wichtig ist – und nicht nur auf das, was auf dem Papier gut aussieht.
Wenn man diese Grundsätze beherzigt, lässt sich das Risikomanagement viel leichter von einer formalen Anforderung zu einem echten Motor für mehr Informationssicherheit machen.
