Eine Bedrohung ist zunächst eine mögliche Ursache für einen Schaden. Eine Schwachstelle ist eine ausnutzbare Schwäche. Erst ein plausibles Gefährdungsszenario verbindet beides mit einem konkreten Unternehmenswert oder Prozess. Zum Risiko wird dieses Szenario durch die Bewertung seiner Eintrittsmöglichkeit und seiner Auswirkungen. Diese Begriffe sauber zu trennen, klingt etwas akademisch, verhindert in der Praxis aber erstaunlich viele falsche Prioritäten.
Bedrohung, Schwachstelle und Risiko unterscheiden
Eine Bedrohung kann von außen oder innen entstehen. Dazu gehören beispielsweise Cyberkriminelle, technische Ausfälle, Fehlbedienung, Brand, Stromausfall oder ein Dienstleister, dessen Systeme kompromittiert wurden. Eine Bedrohung beschreibt damit, was grundsätzlich einen Schaden verursachen könnte. Sie sagt noch nicht, ob das eigene Unternehmen dafür tatsächlich anfällig ist.
Eine Schwachstelle ist eine konkrete Schwäche in Technik, Organisation oder Arbeitsweise. Das kann eine bekannte Softwarelücke sein, aber auch eine falsche Konfiguration, ein unklarer Freigabeprozess oder ein Konto mit unnötig weitreichenden Berechtigungen. Eine Schwachstelle allein ist noch kein Schaden. Sie eröffnet lediglich eine Möglichkeit, die unter bestimmten Bedingungen genutzt werden kann.
Ein Gefährdungsszenario beschreibt diesen Zusammenhang konkret: Eine bestimmte Bedrohung nutzt eine bestimmte Schwachstelle und beeinträchtigt dadurch ein schützenswertes System, einen Prozess oder Datenbestand. Das Risiko bewertet anschließend, wie relevant dieses Szenario für das Unternehmen ist. Dabei werden mindestens die Eintrittsmöglichkeit und die mögliche Schadwirkung betrachtet.
Aus einer allgemeinen Gefahr wird ein konkretes Szenario
Die Aussage „Ransomware ist gefährlich“ ist richtig, hilft bei einer Entscheidung aber nur begrenzt. Interessanter wird es, wenn der Zusammenhang beschrieben wird: Kriminelle nutzen gestohlene Zugangsdaten für einen Fernwartungszugang ohne Mehrfaktor-Authentisierung, gelangen in das interne Netz und verschlüsseln Systeme, die für die Auftragsbearbeitung benötigt werden. Jetzt ist erkennbar, wo die Bedrohung ansetzt, welche Schwäche sie nutzt und welche Leistung betroffen wäre.
Ein brauchbares Gefährdungsszenario muss weder dramatisch noch möglichst kompliziert formuliert sein. Es sollte nachvollziehbar beantworten, wer oder was einen Schaden auslösen kann, welchen Angriffsweg oder Fehlerzustand es gibt und welcher Wert betroffen wäre. Allgemeine Formulierungen erzeugen allgemeine Maßnahmen. Ein konkretes Szenario ermöglicht dagegen eine konkrete Entscheidung.
Dabei ist nicht jede technisch mögliche Kette gleich relevant. Ein aufwendig konstruierter Angriff auf ein unwichtiges Testsystem kann weniger dringlich sein als ein schlichtes gestohlenes Passwort für die zentrale E-Mail-Umgebung. Technische Raffinesse ist kein eigener Geschäftsschaden. Für die Priorisierung zählt, was realistisch eintreten kann und welche Folgen damit verbunden wären.
Risiko entsteht erst durch Bewertung
Ein Risiko ist nicht einfach ein anderes Wort für Bedrohung. Es ist das bewertete Ergebnis eines konkreten Szenarios. Häufig werden dafür Eintrittswahrscheinlichkeit und Schadenshöhe verwendet. In der Informationssicherheit ist eine scheinbar genaue Wahrscheinlichkeit allerdings mit Vorsicht zu behandeln. Angreifer folgen keinem verlässlichen Fahrplan, und für viele Unternehmen fehlen belastbare eigene Daten.
Trotzdem ist eine strukturierte Bewertung möglich. Statt vorgetäuschter Genauigkeit können nachvollziehbare Stufen genutzt werden: Ist das Szenario unter den vorhandenen Bedingungen leicht, mit Aufwand oder nur unter besonderen Voraussetzungen umsetzbar? Gibt es bereits bekannte Angriffsaktivitäten? Welche Schutzmaßnahmen bestehen, und funktionieren sie nachweislich? So entsteht keine mathematische Wahrheit, aber eine belastbare Grundlage für Entscheidungen.
Bei der Schadwirkung sollte nicht nur auf die IT geschaut werden. Ein Ausfall kann Produktion, Lieferfähigkeit, Kommunikation oder Abrechnung treffen. Hinzu kommen mögliche Auswirkungen auf Menschen, Vertragspflichten, Datenschutz und Vertrauen. Manchmal ist ein System technisch in wenigen Stunden wiederhergestellt, während die fachliche Aufarbeitung deutlich länger dauert. Der Server läuft dann wieder; der Betrieb diskutiert trotzdem noch eine Weile darüber.
Risiken verändern sich außerdem. Eine neue Schnittstelle, ein anderer Dienstleister, eine veröffentlichte Schwachstelle oder ein veränderter Geschäftsprozess kann die Bewertung verschieben. Deshalb ist ein Risikoregister kein Dokument für den Schrank, sondern eine Momentaufnahme mit Wiedervorlage.
Ein realistisches Beispiel aus dem Unternehmen
Ein Unternehmen betreibt eine zentrale Anwendung für Aufträge und Produktionsplanung. Für den Support besitzt ein externer Dienstleister einen Fernzugang. Der Zugang ist notwendig und gehört zur Angriffsfläche. Bei der Prüfung fällt auf, dass das zugehörige Konto keine Mehrfaktor-Authentisierung nutzt und mehr Systeme erreichen kann, als für die Wartung erforderlich sind.
Die Bedrohung besteht darin, dass Kriminelle Zugangsdaten stehlen oder erraten und den Fernzugang missbrauchen. Die Schwachstellen sind die fehlende zusätzliche Absicherung und die zu weitreichende Berechtigung. Das Gefährdungsszenario lautet: Gestohlene Zugangsdaten werden genutzt, um über den Dienstleisterzugang auf interne Systeme zuzugreifen und die zentrale Anwendung zu manipulieren oder zu verschlüsseln.
Für die Risikobewertung wird nun nicht geraten, ob der Angriff am nächsten Dienstag um 14 Uhr stattfindet. Stattdessen wird geprüft, wie leicht der Zugang nutzbar wäre, welche Erkennungsmöglichkeiten bestehen und wie stark Auftragsbearbeitung und Produktion vom System abhängen. Gibt es keine alternative Arbeitsweise und dauert eine Wiederherstellung mehrere Tage, ist die mögliche Auswirkung erheblich. Daraus ergibt sich eine hohe Priorität für zusätzliche Authentisierung, begrenzte Rechte, Überwachung und einen getesteten Wiederanlauf.
Dasselbe technische Problem kann in einem anderen Zusammenhang anders bewertet werden. Ein vergleichbares Konto zu einem isolierten, nicht produktiven Testsystem hätte möglicherweise eine geringere Schadwirkung. Die Schwachstelle bleibt unschön, aber die Reihenfolge der Maßnahmen darf sich unterscheiden. Risikomanagement bedeutet gerade, nicht alles gleichzeitig zur höchsten Priorität zu erklären.
Gefährdungsszenarien sinnvoll priorisieren
Am Anfang steht die Frage, welche Leistungen, Informationen und Systeme für das Unternehmen wirklich wichtig sind. Danach werden relevante Bedrohungen und vorhandene Schwachstellen zusammengeführt. Aus dieser Verbindung entstehen Szenarien, die sich vergleichen und priorisieren lassen. Eine überschaubare Zahl gut beschriebener Szenarien ist dabei wertvoller als eine lange Liste allgemeiner Gefahren.
Für jedes wesentliche Szenario sollten fünf Punkte festgehalten werden:
- Welcher Geschäftsprozess, welches System oder welche Information wäre betroffen?
- Welche Bedrohung und welche konkrete Schwachstelle wirken zusammen?
- Welche bestehenden Maßnahmen verringern Eintritt oder Auswirkung tatsächlich?
- Welche betrieblichen, finanziellen, rechtlichen oder persönlichen Folgen wären möglich?
- Wer entscheidet über Behandlung, Akzeptanz und erneute Prüfung des Risikos?
Die Behandlung kann unterschiedliche Formen haben. Eine Schwachstelle lässt sich beseitigen, ein Zugang stärker absichern oder ein Prozess so gestalten, dass die Schadwirkung sinkt. Ein Risiko kann auch bewusst akzeptiert werden, wenn weitere Maßnahmen unverhältnismäßig wären. Diese Entscheidung sollte dann allerdings benannt und dokumentiert sein. „Das haben wir bisher immer so gemacht“ ist eine Erklärung, aber noch keine Risikobehandlung.
Maßnahmen sollten außerdem an der Ursache des Szenarios ansetzen. Eine weitere Schulung hilft wenig, wenn das eigentliche Problem ein ungeschützter technischer Zugang ist. Ein neues Sicherheitsprodukt löst umgekehrt keine unklaren Zuständigkeiten. Alles hängt mit allem zusammen, aber deshalb muss nicht jede Maßnahme für jedes Problem zuständig sein.
Nach der Umsetzung folgt die Prüfung: Wurde die Schwachstelle wirklich reduziert? Funktionieren Erkennung und Wiederherstellung? Hat sich der Prozess inzwischen verändert? Erst diese Rückkopplung macht aus einer Risikobewertung laufende Steuerung statt einer einmaligen Tabellenübung.
Kurz gesagt
Eine Bedrohung ist eine mögliche Schadensursache, eine Schwachstelle eine ausnutzbare Schwäche und ein Gefährdungsszenario ihre konkrete Verbindung mit einem schützenswerten Ziel. Das Risiko entsteht durch die Bewertung, wie plausibel dieses Szenario ist und welche Auswirkungen es hätte. Wer diese Schritte trennt, kann Maßnahmen nachvollziehbar priorisieren und Verantwortung klar zuordnen. Im nächsten Teil der Reihe geht es deshalb um die Schadwirkung: Was bedeutet ein erfolgreicher Angriff für Betrieb, Menschen und Unternehmen tatsächlich?
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: