Schutzbedarf über die Schadensszenarien-Matrix bewerten

Über die Schadensszenarien-Matrix leiten Sie den Schutzbedarf eines Objekts nachvollziehbar aus den möglichen Schadensauswirkungen ab – die Grundlage jeder Risikobewertung und Maßnahmenauswahl im ISMS nach ISO 27001 oder BSI IT-Grundschutz.

Voraussetzungen

• Sie besitzen die Berechtigung, das Dokument zu bearbeiten. Ohne Bearbeitungsrecht werden die Werte nur angezeigt; die Schaltflächen zum Einstufen erscheinen nicht.
• Die teamweite Methodik ist gepflegt – Schutzziele, Schadensszenarien und Bewertungsoptionen. Sind keine Schadensszenarien aktiv, kann die Matrix nicht ausgefüllt werden.
• Sie haben das Objekt geöffnet – ein Asset, ein Datenverarbeitungssystem, ein KI-System, eine Verarbeitungstätigkeit oder eine Verarbeitungstätigkeit im Auftrag – und den Reiter „Schutzbedarf“ aufgerufen.

Schritt für Schritt

1. Klicken Sie im Abschnitt „Schadensszenarien“ oben rechts auf „Bearbeiten“.
2. Der seitliche Bereich „Schutzbedarf bearbeiten“ öffnet sich. Unter „Schadensszenarien“ steht der Hinweis, dass sich Schutzziele und Gesamtergebnis per Maximumprinzip aus der Auswirkungs-Einstufung ableiten.
3. Bewerten Sie je Schadensszenario – etwa „Verstoß gegen Gesetze, Vorschriften oder Verträge“ oder „Beeinträchtigung der Aufgabenerfüllung“ – die Schutzziele „Vertraulichkeit“, „Integrität“ und „Verfügbarkeit“ sowie gegebenenfalls das vierte konfigurierte Schutzziel. Jedes Auswahlfeld bietet die Stufen „Nicht bewertet“, „Normal“, „Hoch“ und „Sehr hoch“.
4. Erfassen Sie je Szenario eine „Begründung“. Wenn Sie eine Kombination über „Normal“ hinaus einstufen, halten Sie dort die Herleitung fest.
5. Klicken Sie auf „Speichern“. Mit „Abbrechen“ verwerfen Sie die Eingabe.

Wie das Ergebnis entsteht

• Maximumprinzip: Unter den Szenario-Zeilen zeigt die Zeile „↑ Maximum — abgeleitete Einstufung“ die höchste Stufe je Spalte, also je Schutzziel. Das „Gesamtergebnis“ im Kopf des Reiters ist wiederum der höchste Schutzbedarf aller Schutzziele.
• Kumulationseffekt: Ist er in den „Bewertungsoptionen“ aktiviert, erscheint zusätzlich die Zeile „↑ Kumulationseffekt — korrigierte Einstufung“. Sie hebt die Einstufung an, wenn viele Objekte mit für sich genommen normalem Schutzbedarf zusammenwirken.
• Vererbung: Wird der Schutzbedarf aus verknüpften Objekten abgeleitet, führt der Abschnitt „Quellen“ jede Quelle mit ihren Stufen auf und wendet Maximumprinzip und Kumulationseffekt darauf an.
• Nach dem Speichern werden Gesamtergebnis, Einstufung der Schutzziele und die Kennzeichnung am Reiter neu berechnet; die Stufe erscheint außerdem als Spalte „Schutzbedarf“ in der Übersichtstabelle des Moduls.

Tipp aus der Praxis: Begründen Sie jede Einstufung, die über „Normal“ hinausgeht. Im Audit ist die nachvollziehbare Herleitung des Schutzbedarfs wichtiger als die Stufe selbst – eine „Sehr hoch“-Einstufung ohne Begründung ist angreifbar.