Wenn der Sicherheits-Berater über Risikoanalysen schreibt, dann geht es um Analysen, die die Grundlage einer folgenden Sicherheitskonzeption bilden sollen. Es geht also nicht um die Gesamtdarstellung des Risikos aus der wirtschaftlichen Tätigkeit eines Unternehmens gegenüber der Finanzaufsicht oder um die ingenieurmäßige Bewertung von Bauteilen eines komplizierten technischen Apparats zur Identifikation von Single-Points-of-Failure. Solche Fragestellungen erfordern besondere Vorgehensweisen zur Analyse und vielleicht auch spezielle Tools. Die für das Thema Risikoanalyse zuständige Norm ISO 31010 listet über 30 Verfahren zur Risikoanalyse und zu vielen wird es besondere Werkzeuge geben.
Die hier betrachtete Risikoanalyse soll aus einer großen Zahl von zu betrachtenden Risiken diejenigen identifizieren, die einer besonderen Beachtung bedürfen oder auch die individuelle Risikosituation von vergleichbaren Objekten darstellen. Damit ist nur ein recht einfaches aus den vielen in der Norm beschriebenen Verfahren gefragt, nämlich die weitverbreitete Aufstellung einer Risikomatrix. Dahinter verbirgt sich die wohlbekannte Multiplikation eines Kennwertes für das Schadensausmaß mit dem Kennwert der Eintrittswahrscheinlichkeit für die jeweils betrachtete Gefährdung. Das lässt sich bestens mit Excel oder LibreOffice bewerkstelligen.
Risikomatrix
Quelle: Bundesamt für Sicherheit in der Informationstechnik
Mit diesen Feststellungen endet aber auch der einfache Teil des Themas Werkzeug zur Risikoanalyse. Das Werkzeug muss nämlich vor dem Einsatz passgenau eingestellt werden. Passgenau, weil eine Risikoanalyse als Grundlage einer Sicherheitskonzeption die Grundlage für folgende Entscheidungen und Investitionen ist. Sie muss also hohe Anforderungen an die Vollständigkeit der betrachteten Einzelthemen und vor allem an die Nachvollziehbarkeit erfüllen. Hier fängt es an, schwierig zu werden. Um die identifizierten Gefährdungen, die in der Analyse betrachtet werden, in eine Risikomatrix einzuordnen, müssen Skalierungen für die Eintrittswahrscheinlichkeit einer betrachteten Gefährdung und für die Schadenshöhe im Falle eines Falles gefunden werden.
Da es üblicherweise kein belastbares Zahlenmaterial zur Häufigkeit von Schaden bringenden Ereignissen gibt, ist eine quantitative Betrachtung von Risiken im Normalfall nicht möglich. Das gleiche gilt für die Schadenshöhe, denn oft ist eine rein monetäre Betrachtung weder machbar noch spiegelt sie das ganze Schadensspektrum wider (Wie bewertet man z. B. einen Imageschaden?) Folglich muss eine qualitative Analyse erfolgen, die z. B. dann aussagen kann, wo besondere Schutzmaßnahmen ratsam oder gar zwingend erforderlich sind oder wo Stärken oder Defizite von Objekten liegen.
Um Vergleichbarkeit oder eine Wertung herzustellen, sollte die Skalierung nicht zu fein sein. Bewährt hat es sich, bei der Eintrittswahrscheinlichkeit vier Stufen zu betrachten, beginnend bei „selten“ (zum Beispiel höchstens alle 10 Jahre) bis hin zu „sehr häufig“ (mehrfach pro Jahr). Vier Stufen genügen auch für die Skalierung des Schadensausmaßes.
Eine Hilfestellung, an welche Arten von Schäden und zugehörigem Schadensausmaß man denken könnte, gibt – wie so häufig – das Bundesamt für Sicherheit in der Informationstechnik, BSI. Im Grundschutzstandard 2002 sind Schutzbedarfskategorien beschrieben, die verschiedene, in Betracht zu ziehende Arten von Schäden beschreiben. So ist zum Beispiel bei der Betrachtung eines Rechenzentrums die finanzielle Auswirkung eines mehrstündigen Ausfalls sehr schwer zu bestimmen. Mit einer Schadenskategorie „Unterbrechung von Anwendungen und IT-Diensten“ und der Untergliederung in vier Klassen (maximal zwei Stunden, maximal sechs Stunden, maximal 24 Stunden, länger als 24 Stunden), kann man die zugesicherten oder geplanten Servicelevel der IT abbilden und wird eher zu einer abgestimmten Bewertung kommen als beim Umweg über den finanziellen Schaden eines Ausfalls von x Stunden. Andere Schadenskategorien könnten Verstöße gegen Gesetze oder Verträge, Beeinträchtigungen der Aufgabenerfüllung, eine negative Außenwirkung und natürlich auch Gefahren für Leib und Leben von Mitarbeitern oder Kunden sein.
Nach der Skalierung von Wahrscheinlichkeit und Schadens- oder Auswirkungsklassen folgt die schwierigste Übung. Es muss eine zur Aufgabe passende Liste der zu betrachtenden Gefährdungen zusammengestellt werden. Wiederum kann das BSI eine gute Orientierungshilfe anbieten. Die Liste der „elementaren Gefährdungen“ des Grundschutzkompendiums gibt einen guten und vollständigen Rahmen für alle Arten von Gefährdungen, die bei allgemeinen Risikobetrachtungen und der Untersuchung von Risiken rund um IT-Themen zu prüfen sind.
Das BSI gibt hier aber zu vielen Themen nur einen Rahmen vor. Als Beispiel herangezogen sei die Gefährdung G.03 „Wasser“. Die Erläuterung im Grundschutzkompendium führt das Thema aus, fokussiert aber auf die Haustechnik.
Ein Ausschnitt aus Risikobetrachtungen für Kunden zeigt einen erweiterten Blick auf das Thema:
In den Kommentaren ist angedeutet, dass der Gefährdungskatalog auf die eigentliche Fragestellung zugeschnitten sein muss. Wenn z. B. auf Grundlage der Analyse aus einer Auswahl von Grundstücken der risikoärmste Standort für ein Rechenzentrum ausgewählt werden soll, sind Gefährdungen, die erst im Betrieb auftreten können, noch nicht relevant. Wenn dagegen für ein Bestandsgebäude eine Risikobetrachtung vorgenommen wird, sind geplante betriebliche Abläufe dagegen entscheidender Teil der Analyse und Bewertung.
Erst wenn die Klassifikation für Eintrittswahrscheinlichkeit und Schadensausmaß gefunden und abgestimmt ist und wenn eine detaillierte Kriterienliste für Risikogruppen und Einzelrisiken aufgestellt wurde, ist das Werkzeug für die Risikobetrachtung einsatzbereit.
