Zum Hauptinhalt springen

Risikoanalyse nach BSI-Standard 200-3 durchführen – Teil 8 der BSI-Reihe

Teil 8 der Video-Reihe „BSI IT-Grundschutz mit preeco“: fehlende Risikobetrachtungen finden, Risiken mit elementaren Gefährdungen anlegen und bewerten, behandeln oder akzeptieren und Maßnahmen in den IT-Grundschutz-Check zurückführen.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video analysieren Sie Risiken nach BSI-Standard 200-3 – von der Gefährdung bis zum Restrisiko. Eine Risikoanalyse ist Pflicht bei hohem oder sehr hohem Schutzbedarf, wenn kein Baustein passt oder ein Objekt untypisch eingesetzt wird. Öffnen Sie unter ‚Risiken‘ das Risikomanagement. Im Tab ‚Risikoregister‘ wählen Sie den Filter ‚Hoher Schutzbedarf ohne Risiko‘. Diese Liste zeigt, wo eine Risikobetrachtung fehlt: Assets mit hohem Schutzbedarf ohne Risiko. Bei der Datensicherheit GmbH betrifft das unter anderem den Virtualisierungscluster und das Backup-System. Ein Klick auf die Zeile legt ein neues Risiko an, mit dem Asset als Bezug. Benennen Sie das Szenario und beschreiben Sie, was passiert. Jedes Risiko braucht eine Eigentümerin oder einen Eigentümer, hier Jonas Brandt. Unter ‚Gefährdungen (BSI)‘ wählen Sie aus dem BSI-Katalog: G 0.26, Fehlfunktion von Geräten oder Systemen. Die elementare Gefährdung hängt jetzt am Risiko. Ergänzen Sie Bedrohungsquelle und Schwachstelle: ein Firmware-Fehler im Storage, kein zweiter Standort. Der Bezug ist schon gesetzt: der Virtualisierungscluster. preeco führt Sie Schritt für Schritt. Als Nächstes bewerten Sie das Risiko. Bewerten Sie zuerst brutto, also ohne zusätzliche Maßnahmen. Mittlere Häufigkeit, existenzbedrohender Schaden: Das Risiko ist hoch und erreicht die Akzeptanzschwelle. Ab der Schwelle zählt ein Risiko als offen und braucht eine formale Akzeptanzentscheidung. Darunter genügt die Bestätigung der Eigentümerin oder des Eigentümers. Betroffen sind Verfügbarkeit und Integrität. BSI-Standard 200-3 kennt vier Wege: vermeiden, vermindern, übertragen oder akzeptieren. Hier wählen wir ‚Vermindern‘. Mit Begründung, Verantwortung, Frist und Ressourcen wird daraus ein Arbeitsauftrag. Verknüpfen Sie die Maßnahme: Zweiter Cluster-Standort für kritische VMs. Legen Sie ihre Wirkung fest: Der zweite Standort senkt das Schadensausmaß um eine Stufe. Das Ergebnis: Netto bleibt das Risiko hoch, bis die Maßnahme umgesetzt ist. Das Zielrisiko danach ist mittel. Das Risiko steht jetzt im Register. Ein zweites Beispiel: G 0.15, Abhören, bei Microsoft 365. Selten und mit begrenztem Schaden: gering. Das liegt unter der Akzeptanzschwelle. Wählen Sie ‚Akzeptieren‘ mit Begründung: Transportverschlüsselung und Mehrfaktor-Anmeldung sind umgesetzt. Unter der Schwelle genügt die Bestätigung der Eigentümerin oder des Eigentümers. Hier: freigegeben. Bei der BSI-Musterfirma RECPLAST wird genau dieses Risiko akzeptiert, weil die vorhandenen Maßnahmen es vertretbar machen. Im Board sehen Sie jedes Risiko auf seinem Weg: von identifiziert bis Restrisiko entschieden. Die Top-Risiken zeigen, was nach allen Maßnahmen noch am schwersten wiegt. Virtualisierungscluster und Microsoft 365 sind von der Liste verschwunden. Das Backup-System steht noch darauf. Die Arbeit geht weiter, bis jedes Asset mit hohem Schutzbedarf betrachtet ist. Der Auditor prüft im Zertifizierungsaudit fünf Maßnahmen aus Ihrer Risikoanalyse. Neue Maßnahmen gehören zurück in den IT-Grundschutz-Check. Verknüpfen Sie sie im Cockpit mit ihren Anforderungen: Ab 80 % Umsetzung senkt eine TOM das Netto-Risiko. Im letzten Teil: das Audit vorbereiten.

Eine Risikoanalyse nach BSI-Standard 200-3 ist Pflicht, wenn ein Objekt hohen oder sehr hohen Schutzbedarf hat, kein Baustein passt oder es untypisch eingesetzt wird. In preeco | informationssicherheit führen Sie sie im Risikomanagement durch – von der elementaren Gefährdung bis zur Entscheidung über das Restrisiko. Dieser Artikel ist Teil 8 der Video-Reihe „BSI IT-Grundschutz mit preeco“.

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für die Informationssicherheit (ISMS).
  • Die Risikomethodik ist auf die Vorlage „BSI 200-3“ eingestellt und der BSI-Gefährdungskatalog aktiv (Teil 3 der Reihe).
  • Der Schutzbedarf Ihrer Assets ist eingestuft (Teil 5 der Reihe).

Fehlende Risikobetrachtungen finden

  1. Öffnen Sie unter „Risiken“ das „Risikomanagement“.
  2. Wählen Sie im Tab „Risikoregister“ den Filter „Hoher Schutzbedarf ohne Risiko“. Die Liste zeigt alle Assets mit hohem Schutzbedarf, für die noch keine Risikobetrachtung existiert.

Risiko anlegen und bewerten

  1. Ein Klick auf die Zeile legt ein neues Risiko an, mit dem Asset als Bezug. Benennen und beschreiben Sie das Szenario.
  2. Wählen Sie unter „Gefährdungen (BSI)“ die elementare Gefährdung aus dem BSI-Katalog, etwa G 0.26 „Fehlfunktion von Geräten oder Systemen“.
  3. Ergänzen Sie Bedrohungsquelle, Schwachstelle und Risikoeigentümer:in.
  4. Klicken Sie auf „Risiko bewerten“. Wählen Sie die betroffenen Schutzziele und bewerten Sie brutto, also ohne zusätzliche Maßnahmen: Eintrittswahrscheinlichkeit mal Schadensausmaß.

Ab der Akzeptanzschwelle zählt ein Risiko als offen und braucht eine formale Akzeptanzentscheidung. Darunter genügt die Bestätigung der Eigentümerin oder des Eigentümers.

Risiko behandeln

  1. BSI-Standard 200-3 kennt vier Wege: vermeiden, vermindern, übertragen oder akzeptieren. Wählen Sie die Behandlung, zum Beispiel „Vermindern“.
  2. Tragen Sie Begründung, Verantwortung, Frist und Ressourcen ein. So wird daraus ein Arbeitsauftrag.
  3. Verknüpfen Sie die Maßnahme und legen Sie ihre Wirkung fest, etwa: Ein zweiter Standort senkt das Schadensausmaß um eine Stufe.
  4. preeco zeigt das resultierende Netto-Risiko und das Zielrisiko. Netto bleibt das Risiko hoch, bis die Maßnahme umgesetzt ist.

Risiko akzeptieren

  1. Liegt ein Risiko unter der Akzeptanzschwelle – etwa G 0.15 „Abhören“ mit seltener Häufigkeit und begrenztem Schaden –, wählen Sie „Akzeptieren“ mit Begründung, zum Beispiel umgesetzte Transportverschlüsselung und Mehrfaktor-Anmeldung.
  2. Unter „Restrisiko entscheiden“ wird das Restrisiko freigegeben.

Überblick und Rückführung

  • Im Board sehen Sie jedes Risiko auf seinem Weg, von identifiziert bis Restrisiko entschieden. Die Top-Risiken zeigen, was nach allen Maßnahmen noch am schwersten wiegt.
  • Arbeiten Sie die Liste „Hoher Schutzbedarf ohne Risiko“ ab, bis jedes Asset mit hohem Schutzbedarf betrachtet ist.
  • Neue Maßnahmen gehören zurück in den IT-Grundschutz-Check: Verknüpfen Sie sie im Cockpit mit ihren Anforderungen. Ab 80 % Umsetzung senkt eine TOM das Netto-Risiko.

Der Auditor prüft im Zertifizierungsaudit fünf Maßnahmen aus Ihrer Risikoanalyse.

Alle Teile der Reihe

← Teil 7: IT-Grundschutz-Check im Cockpit · Teil 9: Audit vorbereiten →

  1. Auftakt: IT-Grundschutz in neun Schritten
  2. Teil 1: Initiierung – Leitung, ISB und Leitlinie
  3. Teil 2: Schutzbedarf-Methodik festlegen
  4. Teil 3: Risikomethodik nach BSI-Standard 200-3
  5. Teil 4: Strukturanalyse
  6. Teil 5: Schutzbedarfsfeststellung
  7. Teil 6: Modellierung
  8. Teil 7: IT-Grundschutz-Check im Cockpit
  9. Teil 8: Risikoanalyse nach BSI-Standard 200-3 (dieser Artikel)
  10. Teil 9: Audit vorbereiten

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Audit nach IT-Grundschutz vorbereiten – Teil 9 der BSI-Reihe Bausteine nach IT-Grundschutz modellieren – Teil 6 der BSI-Reihe BSI IT-Grundschutz in neun Schritten umsetzen – Auftakt der Video-Reihe ISMS initiieren – Leitung, ISB und Leitlinie festlegen (Teil 1 der BSI-Reihe)

Passende Glossarbegriffe

BSI IT-Grundschutz Risikobehandlung Risikomanagement Restrisiko
Zurück zu den Kurzanleitungen