Unternehmen sind im Geschäftsalltag auf funktionierende IT-Systeme und geschützte Daten angewiesen. Fällt ein System aus oder werden Informationen offengelegt, kann das zentrale Geschäftsabläufe beeinträchtigen. Das IT-Risikomanagement ordnet mögliche Gefahren nach ihrer Eintrittswahrscheinlichkeit und ihren Folgen. So erkennen KMU, welche Risiken zuerst bearbeitet und welche Schutzmaßnahmen geprüft werden müssen.
IT-Risikomanagement: Das Wichtigste in Kürze
- IT-Risikomanagement erfasst technische, organisatorische und personelle Gefahren für den Geschäftsbetrieb.
- Eine einheitliche Bewertung zeigt, welche Risiken zuerst behandelt werden müssen.
- Zuständigkeiten, Fristen und Prüfnachweise machen Schutzmaßnahmen nachvollziehbar.
- Vije prüft bestehende IT-Strukturen und begleitet KMU bei der Umsetzung vereinbarter Maßnahmen.
Was ist IT-Risikomanagement und wann gilt es?
Das IT-Risikomanagement ist ein fortlaufender Prozess. Mithilfe dieses Prozesses können Unternehmen Gefahren für ihre IT-Infrastruktur sowie mögliche Folgen für den Geschäftsbetrieb bewerten.
Eine ausdrückliche Pflicht zum Risikomanagement kann sich aus NIS-2, DORA oder anderen Branchenregeln ergeben. Auch die Datenschutz-Grundverordnung (DSGVO) kann nach organisatorischen Schutzmaßnahmen wie dem IT-Risikomanagement verlangen.
Die Betroffenheit hängt von der Tätigkeit, dem Sektor und der Unternehmensgröße ab. Welche Vorgaben gelten, muss für jedes Unternehmen gesondert geprüft werden.
Praxisfall: Die Versandschnittstelle erhält mehr Rechte als nötig
Ein Großhändler installiert eine Versanderweiterung in seinem Onlineshop. Beim Verbinden fordert die Erweiterung Rechte zum Lesen von Kunden- und Bestelldaten sowie zum Ändern des Bestellstatus an. Der Shop-Administrator bestätigt das gesamte Berechtigungspaket. Daraufhin erstellt das Shopsystem ein API-Token, mit dem der Versanddienst dauerhaft auf diese Bereiche zugreifen kann.
Für ein Versandetikett werden lediglich Name, Anschrift und Bestellnummer benötigt. Das freigegebene Token kann jedoch auf die gesamte über die API erreichbare Kundendatenbank zugreifen. Dazu können Kontaktdaten, Zahlungshinweise und interne Service-Vermerke gehören. Außerdem kann das Token Bestellinformationen verändern.
Wird der Versanddienst angegriffen und das dort gespeicherte Token entwendet, sind diese Zugriffe ohne eine erneute Anmeldung im Onlineshop möglich.
Nach Artikel 32 DSGVO muss der Großhändler prüfen, ob der Umfang dieser Rechte zum tatsächlichen Zweck und Risiko passt. Dazu gehören begrenzte API-Berechtigungen, eine geschützte Speicherung des Tokens, protokollierte Zugriffe und regelmäßige Kontrollen.
Die Lösung: IT-Risikomanagement. Es macht sichtbar, welche Daten eine Schnittstelle tatsächlich benötigt, welche Rechte sie erhalten hat und welche Folgen ein Missbrauch hätte.
Welche IT-Risiken betreffen Unternehmen?
IT-Risiken entstehen überall dort, wo der Geschäftsbetrieb von Daten, Geräten, Anwendungen oder externen Anbietern abhängt. Für eine vollständige Bestandsaufnahme sollten KMU mehrere Risikogruppen betrachten:
- Cyberangriffe: Phishing, Schadsoftware, Ransomware und manipulierte Benutzerkonten
- Technische Ausfälle: Defekte Server, fehlerhafte Updates, überlastete Systeme oder unterbrochene Internetverbindungen
- Menschliche Fehler: Falsch versendete Daten, schwache Passwörter oder unbeabsichtigt gelöschte Dateien
- Cloud- und Schnittstellenrisiken: Fehlkonfigurationen, unsichere Freigaben oder fehlerhafte Datenübertragungen
- Homeoffice-Risiken: Private Geräte, offene WLAN-Netze oder ungeschützte Zugänge zum Firmennetz
- Risiken durch externe Anbieter: Ausfälle, Sicherheitslücken oder unklare Zuständigkeiten bei IT- und Cloud-Anbietern
- Projektbezogene Risiken: Fehlende Sicherheitsprüfungen bei neuen Systemen, Migrationen oder Softwareeinführungen
Risiken aus IT-Projekten sollten bereits vor dem Start bewertet werden. Die Projektverantwortlichen halten fest, welche Systeme, Daten und Geschäftsabläufe betroffen sind. So lassen sich Schutzmaßnahmen, Tests und Freigaben frühzeitig einplanen.
Häufige Fehler aus dem Arbeitsalltag
- Ein kompromittiertes Microsoft-365-Konto ermöglicht den Zugriff auf vertrauliche E-Mails.
- Eine ausgefallene Warenwirtschaft stoppt Bestellungen und Rechnungen.
- Ein ehemaliger Mitarbeiter verfügt weiterhin über aktive Zugriffsrechte.
- Ein fehlerhaftes Update legt mehrere Arbeitsplätze gleichzeitig still.
Wie funktioniert IT-Risikomanagement?
Der Prozess hinter dem IT-Risikomanagement folgt einem wiederkehrenden Ablauf. Jeder Schritt baut auf dokumentierten Ergebnissen auf und endet mit einer klaren Zuständigkeit.
Schritt | Aufgabe | Ergebnis |
1. Rahmen festlegen | Geltungsbereich, Geschäftsabläufe und Schutzziele bestimmen | Festgelegter Prüfbereich |
2. Werte erfassen | Systeme, Daten, Geräte, Cloud-Dienste und Anbieter dokumentieren | Geordnete Bestandsaufnahme |
3. Risiken erkennen | Gefahren, Schwachstellen und mögliche Auslöser beschreiben | Risikoregister |
4. Risiken bewerten | Eintrittswahrscheinlichkeit und Geschäftsfolgen einstufen | Priorisierte Risiken |
5. Maßnahmen festlegen | Schutzmaßnahmen, Zuständigkeiten und Termine definieren | Maßnahmenplan |
6. Wirkung prüfen | Nachweise kontrollieren und Restrisiken neu bewerten | Aktualisierter Risikostand |
Die abschließende Prüfung führt zurück zum Beginn des Prozesses. Nach der Umsetzung wird kontrolliert, ob die Schutzmaßnahmen wirken, welche Restrisiken bestehen und ob sich Systeme oder Geschäftsabläufe verändert haben. Die Ergebnisse fließen in das Risikoregister und die nächste Bewertung ein. So wird das IT-Risikomanagement fortlaufend aktualisiert.
IT-RISIKEN IM UNTERNEHMEN PRÜFEN LASSEN
- Bestandsaufnahme kritischer Systeme und Schnittstellen
- Bewertung von Ausfallrisiken und Abhängigkeiten
- Maßnahmenplan mit Zuständigkeiten und Prüfterminen
Welche Standards unterstützen das IT-Risikomanagement?
Im IT-Risikomanagement sorgen Standards für einheitliche Bewertungen und nachvollziehbare Prüfschritte. Welcher Rahmen passt, hängt von bestehenden Vorgaben, der Unternehmensgröße und der bisherigen Sicherheitsorganisation ab.
BSI-Standard 200-3
Der BSI-Standard 200-3 beschreibt eine Risikoanalyse auf Grundlage des IT-Grundschutzes. Er eignet sich für Unternehmen, die bereits mit den BSI-Standards arbeiten oder ein entsprechendes Sicherheitskonzept aufbauen.
ISO/IEC 27001
Die ISO/IEC 27001 enthält Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS). Unternehmen legen darin fest, wie Risiken erfasst, behandelt, dokumentiert und regelmäßig überprüft werden. Der Standard eignet sich für Unternehmen, die Informationssicherheit dauerhaft in festen Verantwortlichkeiten und Prüfzyklen organisieren oder eine Zertifizierung anstreben.
ISO/IEC 27005
Die ISO/IEC 27005 ergänzt die ISO/IEC 27001 um konkrete Hinweise zur Identifikation, Bewertung, Behandlung und Überwachung von Informationssicherheitsrisiken. Sie eignet sich für Unternehmen, die ihre Risikoanalyse an der ISO/IEC 27001 ausrichten oder ein bestehendes ISMS um einen detaillierten Risikoprozess ergänzen möchten.
CyberRisikoCheck nach DIN SPEC 27076
Der CyberRisikoCheck nach DIN SPEC 27076 richtet sich an kleine und Kleinstunternehmen, die ihre IT-Sicherheitslage erstmals strukturiert prüfen lassen möchten. In einem ein- bis zweistündigen Gespräch werden 27 Anforderungen aus sechs Themenbereichen bewertet. Das Unternehmen erhält anschließend einen Bericht mit Punktwerten und Handlungsempfehlungen für jede nicht erfüllte Anforderung.
Welcher Rahmen passt zu Ihrem Unternehmen?
Welcher Standard passt, hängt von der Branche sowie gesetzlichen und vertraglichen Vorgaben ab. Unser Tipp: Lassen Sie zunächst durch Datenschutzbeauftragte, IT-Verantwortliche oder externe Fachleute prüfen, welche Schutz- und Nachweispflichten für Ihr Unternehmen gelten. Auf dieser Grundlage lässt sich einordnen, welcher der vorgestellten Standards den passenden Rahmen bietet.
Welche Fehler treten beim IT-Risikomanagement häufig auf?
Viele Schwächen entstehen durch unklare Abläufe, fehlende Zuständigkeiten oder Bewertungen ohne feste Kriterien. Die folgenden Fehler treten in KMU besonders häufig auf:
- Vorlagen ersetzen die Bestandsaufnahme: Eine kopierte Risikoliste kennt Ihre Ausfallkosten und technischen Abhängigkeiten nicht. Verknüpfen Sie jedes Risiko mit einem Geschäftsablauf und einer konkreten Folge.
- Fachbereiche bleiben außen vor: Die IT kennt Systeme und Schutzmaßnahmen. Die Fachbereiche kennen Fristen, Kundenfolgen und mögliche Ersatzabläufe.
- Bewertungen bleiben beliebig: Begriffe wie niedrig, mittel und hoch brauchen feste Kriterien. Ohne Grenzwerte lassen sich Risiken kaum vergleichen.
- Verantwortliche und Fristen fehlen: Ein Eintrag ohne Namen und Termin bleibt häufig unbearbeitet. Jede Maßnahme braucht eine zuständige Person und einen Prüftermin.
- Restrisiken verschwinden aus der Dokumentation: Auch nach einer Schutzmaßnahme bleibt ein Teil des Risikos bestehen. Die Geschäftsleitung muss dessen Übernahme nachvollziehbar festhalten.
- Dienstleister bleiben ungeprüft: Klären Sie Meldewege, Zugriffsrechte, Datenexport, Wiederanlauf und die Rückgabe von Konten bereits bei der Beauftragung.
- Schutzmaßnahmen werden nicht getestet: Ein Backup, ein Notfallkontakt oder eine Vertretungsregel entfalten ihren Nutzen erst bei einer praktischen Prüfung.
Tipp: In jedem Risikoeintrag sollte bereits der nächste Prüftermin stehen. Systemänderungen, neue Dienstleister oder Sicherheitsvorfälle lösen zusätzlich eine vorgezogene Neubewertung aus.
So wird Ihr IT-Risikomanagement nachvollziehbar und prüfbar
Ein nachvollziehbares IT-Risikomanagement verbindet jedes Risiko mit einer Zuständigkeit, einer Frist und einem Prüfnachweis. Änderungen an Systemen, Cloud-Diensten oder Geschäftsabläufen lösen eine neue Bewertung aus. Vije prüft Ihre IT-Struktur, ordnet technische Lücken und begleitet vereinbarte Maßnahmen über Support und Betreuung.
Ihre Vorteile mit Vije
- Strukturierte Bestandsaufnahme
- Nachvollziehbare Prioritäten
- Klare Zuständigkeiten
- Laufende Prüfung der Maßnahmen
IT-RISIKOMANAGEMENT MIT VIJE AUFBAUEN
- Prüfung der bestehenden IT-Struktur
- Priorisierung technischer Risiken
- Begleitung und Kontrolle vereinbarter Maßnahmen
IT-Risikomanagement – Häufige Fragen und Antworten
Wie häufig müssen IT-Risiken neu bewertet werden?
Eine vollständige Prüfung sollte mindestens einmal pro Jahr erfolgen. Zusätzliche Bewertungen sind nach größeren Systemänderungen, neuen Cloud-Diensten, Sicherheitsvorfällen, Unternehmenszukäufen oder neuen gesetzlichen Vorgaben erforderlich.
Wer ist für das IT-Risikomanagement verantwortlich?
Die Geschäftsleitung trägt die Gesamtverantwortung. Die IT bewertet technische Ursachen und Schutzmaßnahmen. Die Fachbereiche beurteilen die Folgen für ihre Geschäftsabläufe. Für jedes Risiko sollte eine Person benannt werden, die Maßnahmen und Prüftermine verfolgt.
Welche Unterlagen benötigt Vije für eine erste Prüfung?
Hilfreich sind Systemübersichten, Benutzer- und Rechtekonzepte, Backup-Berichte, Verträge mit IT-Anbietern, frühere Prüfberichte und vorhandene Notfallpläne. Fehlende Unterlagen können während der Bestandsaufnahme erfasst werden.
Unterstützt Vije auch Unternehmen ohne eigene IT-Abteilung?
Ja. Vije kann die technische Bestandsaufnahme, die Bewertung vorhandener Schutzmaßnahmen und die laufende Kontrolle vereinbarter Aufgaben begleiten. Zuständigkeiten und Freigaben verbleiben transparent bei Ihrem Unternehmen.
Ist IT-Risikomanagement für jedes Unternehmen verpflichtend?
Eine allgemeine Pflicht mit identischem Umfang besteht nicht für jedes Unternehmen. Konkrete Anforderungen können sich aus NIS-2, DORA, der DSGVO, Branchenregeln, Kundenverträgen oder Versicherungsbedingungen ergeben. Die Betroffenheit muss anhand der Tätigkeit, der Unternehmensgröße und der verarbeiteten Daten geprüft werden.
