Informationssicherheits-Risikobewertung: Risiken erfassen, bevor sie zu Vorfällen werden

Beim Aufbau oder der Pflege eines kleinen Systems bin ich oft versucht, sofort nach Werkzeugen zu suchen: eine neue Firewall installieren, einen Scanner einschalten oder Zugriffsregeln ergänzen. All das ist nützlich, doch eine Frage sollte früher kommen: Welche Bereiche brauchen den größten Schutz? Ohne diese Antwort wird Sicherheit leicht zu einer geschäftigen Sammlung von Funktionen, die nicht immer relevant sind.

Hier hilft eine Risk Assessment der Informationssicherheit. Sie ist kein dickes Dokument, das nur für große Unternehmen oder Auditoren geeignet ist. Für Freelancer, kleine Teams, Website-Betreiber und Besitzer von Heimservern ist sie ein einfacher Weg, mögliche Probleme zu erkennen, bevor sie zu einer ungünstigen Stunde Aufmerksamkeit verlangen.

Risiko verstehen, nicht nur Schwachstellen

Sicherheitslücken und Risiken werden oft gleichbedeutend verwendet, obwohl sie nicht dasselbe sind. Eine Schwachstelle ist eine Schwäche, etwa ein wiederverwendetes Admin-Passwort oder eine nicht aktualisierte Anwendung. Das Risiko ist die Wahrscheinlichkeit, dass diese Schwäche ausgenutzt wird, und die Auswirkung auf das, was uns wichtig ist.

Stellen wir uns ein Haus mit einem nicht verschlossenen Fenster vor. Das Fenster ist die Schwachstelle. Das Risiko unterscheidet sich zwischen einem leeren Schuppen und einem Raum mit wichtigen Dokumenten. Die Lage des Hauses, wer Zugang zu diesem Bereich hat und welchen Wert die Dinge darin haben, bestimmen die Priorität mit. In digitalen Systemen ist die Denkweise ähnlich.

Praktisch lässt sich Risiko mit der folgenden einfachen Formel festhalten:

Risiko = kemungkinan kejadian x dampak kejadian

Die Zahlen in dieser Formel müssen nicht sehr präzise sein. Niedrig, mittel und hoch reichen als Anfang. Das Ziel ist nicht, die Zukunft perfekt vorherzusagen, sondern Sicherheitsentscheidungen vernünftiger und nachvollziehbarer zu machen.

Mit den wirklich wichtigen Werten beginnen

Ein häufiger Fehler am Anfang ist, sofort eine Liste von Angriffen zu erstellen. Besser ist es, mit den Werten zu beginnen, also mit Dingen, deren Wert wir schützen wollen. Werte sind nicht immer Server. Kundendaten, E-Mail-Konten, Domains, Code-Repositories, Backup-Konfigurationen, Laptops und der Ruf eines Dienstes gehören ebenfalls dazu.

Ich teile sie gewöhnlich anhand von drei Fragen ein, die den CIA-Prinzipien nahestehen: Müssen die Daten vertraulich (confidentiality), korrekt (integrity) und bei Bedarf verfügbar (availability) bleiben? Eine Datenbank mit Kundenkontakten kann bei der Vertraulichkeit hoch eingestuft werden. Eine statische Profilseite ist vielleicht nicht besonders vertraulich, doch ihre Verfügbarkeit bleibt wichtig, wenn sie der Zugang zum Geschäft ist.

Erstellen Sie eine kurze Bestandsaufnahme und versuchen Sie nicht, alles auf einmal zu erfassen. Eine kleine Website kann zum Beispiel mit diesen fünf Werten beginnen:

• Die Website-Datenbank und Nutzerdaten.
• Das Konto beim Domain-Registrar und DNS.
• Administrator-Konten für CMS und Hosting.
• Backups, die sich wiederherstellen lassen.
• Das Code-Repository und Konfigurationsdateien.

Diese Bestandsaufnahme öffnet oft die Augen. Viele Menschen konzentrieren sich stark auf den Schutz des Servers, vergessen aber, dass die Übernahme des Registrar-Kontos eine Domain an einen anderen Ort umleiten kann, ohne den Server überhaupt anzufassen.

Werte mit Bedrohungen und Schwächen verbinden

Sobald wir wissen, was wertvoll ist, fragen wir, was passieren kann und warum es passieren könnte. Eine Bedrohung ist eine Quelle für Ereignisse, zum Beispiel Phishing, Ransomware, Fehlkonfiguration oder ein defektes Gerät. Eine Schwachstelle ist die Bedingung, die einer Bedrohung Erfolg ermöglicht, etwa fehlende MFA, nie getestete Backups oder ein zum Internet offener Administrationsport.

Hören Sie nicht bei externen Bedrohungen auf. Ein Festplattenausfall, das versehentliche Löschen einer Datei, ein API-Token, der ungewollt in ein öffentliches Repository gelangt, und ein Update, das eine Konfiguration beschädigt, sind ebenfalls erwähnenswert. Informationssicherheitsrisiken erzählen nicht nur von maskierten Angreifern; oft entstehen sie aus alltäglichen Prozessen, die noch keine Leitplanken haben.

Eine einfache Tabelle macht diese Zusammenhänge gut lesbar:

Wahrscheinlichkeit und Auswirkung bewerten, ohne sich in Zahlen zu verlieren

Bewerten Sie für jedes Szenario Wahrscheinlichkeit und Auswirkung von 1 bis 3. Niedrige Wahrscheinlichkeit bedeutet, dass besondere Bedingungen nötig sind oder vorhandene Kontrollen bereits stark sind. Hohe Wahrscheinlichkeit bedeutet, dass es leicht geschehen kann oder schon einmal geschehen ist. Eine niedrige Auswirkung unterbricht die Arbeit vielleicht nur kurz; eine hohe Auswirkung kann Datenverlust, Wiederherstellungskosten, Datenschutzverletzungen oder verlorenes Nutzervertrauen verursachen.

Multiplizieren Sie die beiden Werte. Punkte von 6 bis 9 können die erste Priorität sein, 3 bis 4 kommen in die Warteschlange für Verbesserungen, während 1 bis 2 ausreichen, um sie zu beobachten. Diese Methode ist zwar einfach, doch gerade diese Einfachheit macht sie dauerhaft anwendbar. Eine kleine Tabelle ist nützlicher als ein umfassendes Framework, das nie fertig ausgefüllt wird.

Wichtig ist, die Begründung hinter jeder Bewertung aufzuschreiben. Zwei Personen können unterschiedliche Werte vergeben, und die Diskussion über das Warum ist viel wertvoller als die Debatte, ob das Ergebnis 6 oder 8 sein soll. Im Kontext von Audits oder Zertifizierungen zeigen diese Notizen auch, dass Entscheidungen auf Grundlage des Kontexts und nicht durch Raten getroffen wurden.

Für jedes Risiko eine Behandlung wählen

Ein hohes Risiko bedeutet nicht immer, eine teure Lösung kaufen zu müssen. Es gibt vier grundlegende Möglichkeiten: das Risiko verringern, vermeiden, übertragen oder akzeptieren. Verringern heißt, Kontrollen wie MFA, regelmäßige Updates, Verschlüsselung oder Offsite-Backups hinzuzufügen. Vermeiden heißt, eine zu riskante Aktivität einzustellen, etwa ein Admin-Panel nicht mehr im Internet bereitzustellen.

Risiken lassen sich durch Dienste Dritter, Verträge oder Versicherungen übertragen, auch wenn die Verantwortung für Daten dadurch nicht einfach verschwindet. Ein Risiko zu akzeptieren ist eine legitime Wahl, wenn die Auswirkung gering und die Kosten der Minderung unverhältnismäßig sind. Diese Akzeptanz muss jedoch bewusst und dokumentiert sein, nicht dadurch entstehen, dass eine Prüfung vergessen wurde.

Beim Beispiel des Registrar-Kontos sind die wirksamsten Maßnahmen meist einfach:

1. Gunakan password unik dari password manager.
2. Aktifkan MFA dengan authenticator atau security key.
3. Simpan recovery code di tempat aman.
4. Aktifkan notifikasi perubahan DNS dan kontak akun.

Diese vier Schritte senken das Risiko nicht auf null, doch sie reduzieren die Wahrscheinlichkeit einer Kontoübernahme drastisch. Das ist das Ziel guter Kontrollen: Sie sollen dem Wert des Schutzguts angemessen und leicht zu pflegen sein.

Die Risikobewertung zur Gewohnheit machen

Eine Risikobewertung ist keine einmalige Aufgabe. Systeme ändern sich, wenn wir Anwendungen hinzufügen, Konten erstellen, Hosting umziehen oder neue Daten erhalten. Planen Sie alle drei oder sechs Monate eine kurze Überprüfung und führen Sie sie auch nach großen Änderungen oder kleinen Vorfällen durch. Kleine Vorfälle sind oft günstige Warnsignale, bevor teure Probleme entstehen.

Bewahren Sie die Risikoliste an einem Ort auf, auf den die verantwortlichen Personen zugreifen können, einschließlich eines Maßnahmenverantwortlichen und eines Prüftermins. Es besteht kein Grund, vor dem Start auf ein formales Format wie ISO 27001 zu warten. Gerade die Gewohnheit, Werte, Prioritätsgründe und Nachweise von Verbesserungen zu dokumentieren, ist die Grundlage, die es leichter macht, wenn Compliance-Anforderungen eines Tages ernster werden.

Schlussgedanken

Informationssicherheit bedeutet nicht, jede Möglichkeit auszuschließen, denn das ist unrealistisch. Sie ähnelt eher der Vorbereitung eines Hauses vor der Regenzeit: Wir prüfen das Dach, reinigen die Abflüsse und lagern wichtige Dinge sicher, weil wir wissen, welche Bereiche am anfälligsten sind. Eine Risikobewertung hilft uns, dasselbe für digitale Systeme zu tun.

Beginnen Sie mit dem wichtigsten Wert, erstellen Sie drei bis fünf Risikoszenarien und erledigen Sie diese Woche die Maßnahme mit der größten Wirkung. Wiederholen Sie das anschließend regelmäßig. Wenn Sie eine einfache Methode haben, Risiken in einem Projekt oder auf einem Heimserver zu erfassen, teilen Sie sie in den Kommentaren, damit wir voneinander lernen können.