Was Schadwirkung in der Informationssicherheit bedeutet

Ein Sicherheitsvorfall ist zunächst ein technisches oder organisatorisches Ereignis. Für ein Unternehmen wird er durch seine Folgen relevant. Genau diese Folgen beschreibt die Schadwirkung: Was passiert mit dem Geschäftsbetrieb, den Daten, den Menschen und dem Vertrauen, wenn eine Gefährdung tatsächlich wirksam wird?

In meinem Modell der fünf Dimensionen folgt die Schadwirkung auf Bedrohung, Angriffsfläche und Gefährdung. Die ersten drei Dimensionen helfen zu verstehen, was passieren könnte und wo ein Angriff ansetzen kann. Die Schadwirkung richtet den Blick darauf, was dann konkret auf dem Spiel steht. Das ist ein wichtiger Unterschied, denn nicht jede technische Störung hat dieselbe Bedeutung für das Unternehmen.

Ein ausgefallener interner Kalender ist unangenehm. Ein ausgefallenes Produktionssystem kann den Betrieb zum Stillstand bringen. Derselbe technische Fehler kann daher sehr unterschiedliche Folgen haben – abhängig davon, welches System betroffen ist, wann der Vorfall eintritt und welche Prozesse davon abhängen.

Schadwirkung beginnt bei den wichtigen Unternehmenswerten

Bevor sich eine Schadwirkung bewerten lässt, muss klar sein, welche Werte geschützt werden sollen. Dazu gehören nicht nur Server und Anwendungen. Entscheidend sind die Leistungen, die ein Unternehmen erbringen muss: produzieren, ausliefern, abrechnen, kommunizieren, Entscheidungen treffen oder gesetzliche Pflichten erfüllen.

Hinter diesen Leistungen stehen Systeme, Daten, Dienstleister und Menschen. Ein Warenwirtschaftssystem kann technisch verfügbar sein und trotzdem wenig helfen, wenn die angebundene Logistik nicht funktioniert. Eine Datensicherung kann vorhanden sein und dennoch wertlos werden, wenn niemand weiß, wie lange die Wiederherstellung dauert. Alles hängt mit allem zusammen – bei einer Schadensanalyse wird dieser Satz erfreulich praktisch.

Für die Bewertung helfen zunächst die klassischen Schutzziele der Informationssicherheit. Bei der Vertraulichkeit geht es um die Folgen einer unbefugten Offenlegung. Bei der Integrität wird betrachtet, was manipulierte oder unvollständige Daten auslösen. Bei der Verfügbarkeit lautet die Frage, was geschieht, wenn ein System, ein Prozess oder eine Information nicht rechtzeitig nutzbar ist.

  • Operative Folgen: Welche Leistungen, Prozesse oder Entscheidungen fallen aus?
  • Finanzielle Folgen: Welche Kosten, Erlösausfälle oder vertraglichen Konsequenzen können entstehen?
  • Rechtliche Folgen: Welche Prüf-, Melde- oder Nachweispflichten können berührt sein?
  • Folgen für Menschen: Entstehen Überlastung, Unsicherheit oder sogar Gefahren für Gesundheit und Sicherheit?
  • Strategische Folgen: Gehen Vertrauen, Wissen, Marktposition oder zukünftige Handlungsmöglichkeiten verloren?

Nicht jede Kategorie ist bei jedem Vorfall gleich wichtig. Die Liste dient dazu, Zusammenhänge sichtbar zu machen und blinde Flecken zu vermeiden. Eine Tabelle mit vielen roten Feldern ist noch keine Analyse. Sie ist zunächst nur eine farblich ambitionierte Tabelle.

Risiken vereinfachen, ohne sie kleinzurechnen

Für eine erste Priorisierung wird Risiko häufig vereinfacht als Verbindung von Eintrittswahrscheinlichkeit und möglicher Schadenshöhe betrachtet. Als Arbeitsmodell kann man schreiben: Risiko = Wahrscheinlichkeit × Schadwirkung. Diese Darstellung ist bewusst vereinfacht. Sie ist keine universelle Rechenformel und liefert keine mathematisch exakte Wahrheit.

Schon die Eintrittswahrscheinlichkeit lässt sich bei seltenen oder neuen Angriffen oft nur grob einschätzen. Auch die Schadwirkung ist nicht immer in Euro ausdrückbar. Wie bewertet man den Verlust von Vertrauen, den Abfluss von Wissen oder die monatelange Belastung eines Teams? Eine scheinbar genaue Zahl kann deshalb mehr Sicherheit vortäuschen, als tatsächlich vorhanden ist.

Trotzdem ist die vereinfachte Betrachtung nützlich. Sie zwingt dazu, Annahmen offenzulegen und Risiken miteinander zu vergleichen. Ein unwahrscheinlicher Vorfall mit existenziellen Folgen kann hohe Aufmerksamkeit verdienen. Ebenso kann ein regelmäßig auftretender kleiner Schaden relevant werden, wenn er dauerhaft Zeit, Geld und Konzentration bindet.

Ein realistisches Schadensszenario durchspielen

Nehmen wir ein mittelständisches Unternehmen, dessen Aufträge, Lagerbestände und Liefertermine über ein zentrales System gesteuert werden. Durch einen kompromittierten Zugang wird das System vorsorglich abgeschaltet. Noch ist nicht klar, ob Daten verändert oder abgeflossen sind.

Die unmittelbare technische Störung ist schnell beschrieben. Die Schadwirkung reicht weiter: Neue Aufträge können nur eingeschränkt bearbeitet werden, der Lagerbestand ist nicht zuverlässig sichtbar und Liefertermine müssen manuell geprüft werden. Mitarbeitende bauen Übergangslösungen auf, die später wieder zusammengeführt werden müssen. Kunden erhalten verzögerte oder widersprüchliche Auskünfte, während die Geschäftsleitung Entscheidungen auf unvollständiger Grundlage treffen soll.

Hinzu kommen mögliche Prüf- und Meldepflichten, externe Unterstützung, Wiederherstellungsarbeiten und die Frage, ob Daten als vertrauenswürdig gelten können. Der tatsächliche Schaden hängt davon ab, wie lange die Einschränkung dauert, ob Ersatzverfahren funktionieren und wie transparent das Unternehmen kommunizieren kann. Ein pauschaler Geldbetrag wäre an dieser Stelle bequem, aber ohne konkrete Unternehmensdaten nicht seriös.

Das Szenario zeigt auch, wo sinnvolle Maßnahmen ansetzen. Eine belastbare Wiederherstellung, dokumentierte Ersatzverfahren, erreichbare Entscheider und vorbereitete Kommunikation begrenzen die Folgen. Die Schadwirkung wird damit zur Verbindung zwischen Risikobewertung und Resilienz.

Schadwirkungen für Entscheidungen nutzbar machen

Eine brauchbare Bewertung muss nicht jeden denkbaren Schaden bis zur zweiten Nachkommastelle berechnen. Sie sollte deutlich machen, welche Geschäftsleistungen kritisch sind, wie lange eine Unterbrechung vertretbar ist und welche Abhängigkeiten den Schaden vergrößern. Ebenso wichtig ist die Frage, welche Annahmen noch ungeklärt sind.

Daraus lassen sich Prioritäten ableiten. Systeme mit hoher möglicher Schadwirkung benötigen angemessene Schutz- und Wiederherstellungsmaßnahmen. Bei weniger kritischen Bereichen kann eine einfachere Lösung ausreichen. Informationssicherheit bedeutet nicht, überall denselben Aufwand zu betreiben. Sie bedeutet, den Aufwand nachvollziehbar an der tatsächlichen Bedeutung auszurichten.

Die Bewertung sollte überprüft werden, wenn neue Anwendungen, Dienstleister oder Geschäftsprozesse hinzukommen. Auch eine Reorganisation kann Abhängigkeiten verändern, ohne dass sich technisch etwas sichtbar ändert. Wer nur auf die Technik schaut, übersieht leicht, dass der Schaden meistens im Geschäft entsteht.

Kurz gesagt

Die Schadwirkung beschreibt, welche konkreten Folgen ein Sicherheitsvorfall für Betrieb, Daten, Menschen und Zukunftsfähigkeit haben kann. Sie macht aus einem abstrakten Risiko eine Entscheidungsgrundlage. Wer kritische Leistungen und ihre Abhängigkeiten versteht, kann Schutzmaßnahmen sinnvoll priorisieren und sich gezielt auf den Ernstfall vorbereiten. Im nächsten Teil geht es deshalb um Resilienz: die Fähigkeit, trotz eines Vorfalls handlungsfähig zu bleiben.

Quellen und weiterführende Informationen

Zuletzt fachlich geprüft:

Passend zum Thema