Risikoanalyse nach BSI im Grundschutz++: ein Risikofall vom Anlass bis zur Behandlung

Bei normalem Schutzbedarf, hinreichend abgedeckten Assets und erfüllten Anforderungen gibt es keinen Anlass; für eingeplante, noch nicht erfüllte SOLLTE-Anforderungen bleibt die Restrisikobetrachtung aus der letzten Zeile. Wie sich diese Pflicht aus Kap. 2.11 zu Kap. 4.1.2 verhält, das für die temporäre Nichterfüllung keine Risikobetrachtung vorsieht, ist eine offene Auslegungsfrage. Die Initiierung der Risikobetrachtung gehört aber zu Prozessschritt 1 und ist damit für jede Institution Teil des ISMS-Aufbaus (Kap. 2.11).

Bevor das erste Risiko bewertet wird, braucht die Institution einen Rahmen auf drei Ebenen (300-1, Kap. 2.11). Strategisch: wie viel Risiko sie eingehen will und ab welchem Niveau ein Risiko hinnehmbar ist. Methodisch: nach welchem Verfahren und mit welchen Skalen sie Risiken findet, bewertet und behandelt, und ob sie dabei von Gefährdungen oder von Szenarien ausgeht. Organisatorisch: wer welche Rolle hat und wer als Risikoeigentümer entscheidet.

Diesen Rahmen setzt die Institutionsleitung in Kraft (Anhang 3, Kriterium 9). Ohne diese Autorisierung fehlt dem ersten bewerteten Risiko der Maßstab. Ob Ihr Rahmen alle Vorgaben aus Anhang 3 abdeckt, prüfen Sie Kriterium für Kriterium auf der Seite Risiko-Mindestkriterien. Bei der Wahl des Verfahrens dürfen Sie auf gängige Standards wie ISO/IEC 27005 oder ISO 31000 zurückgreifen (Kap. 2.11).

Ein fiktives Landesamt bearbeitet Beihilfeanträge von Beschäftigten. Papieranträge mit Arztrechnungen digitalisiert ein externer Scan-Dienstleister, der die Bilder über eine verschlüsselte Verbindung an die Fachanwendung des Amtes übergibt. Der Geschäftsprozess hat die Kennung GP-07. Alle Namen, Werte und Entscheidungen sind erfunden; die Skalen für Eintrittshäufigkeit und Schaden übernehmen wir aus BSI-Standard 200-3 (Kap. 5.1), die Matrix und die Akzeptanzkriterien sind eigene Beispielwerte.

Anlass. Die Schutzbedarfsfeststellung ergibt für GP-07 bei der Vertraulichkeit „hoch“, weil eine Offenlegung von Gesundheitsdaten das informationelle Selbstbestimmungsrecht der Antragstellenden beeinträchtigt und einen erheblichen Reputationsschaden auslösen würde; das ist eines der Schadensszenarien, die 300-1 als Hilfe für hohen Schutzbedarf nennt (Kap. 2.6). Integrität und Verfügbarkeit sind „normal“. Damit ist nach Mindestkriterium 32 eine Risikobetrachtung auszuführen.

Rahmen, von der Amtsleitung autorisiert. Das Amt hat vor dem Fall Folgendes festgelegt:

Risikomatrix (eigenes Beispiel)

Die Matrix ist nicht aus 200-3 übernommen. 200-3 zeigt eine eigene Matrix ausdrücklich nur zur Veranschaulichung und empfiehlt, sie anzupassen (Kap. 5.2).

Untersuchungsobjekte. Untersucht wird GP-07, ergänzend als kritisches Asset die Scan-Dienstleistung (Zielobjektkategorie Outsourcing), weil ihre Risikosituation in der Betrachtung des Geschäftsprozesses allein nicht hinreichend erfasst wird (Mindestkriterien 11 und 13). Der Ressourcenpfad: Posteingang, Scan-Dienstleister, Übertragung über den externen Netzanschluss, Fachanwendung, Server, Serverraum.

Vorhandene Maßnahmen. Berücksichtigt werden die bereits umgesetzten Maßnahmen samt Status (Mindestkriterium 12): Vertrag mit Vertraulichkeitsverpflichtung, verschlüsselte Übertragung, die Anforderungen mit Niveau „normal-SdT“ für Outsourcing sind im Anforderungspaket und erfüllt. Offen ist, wie lange der Dienstleister die Bilder speichert und ob er die Daten mehrerer Auftraggeber getrennt hält.

Daraus ergeben sich zwei Risiken. Das erste betrifft die Vertraulichkeit und ist der Kern des Falls, das zweite die Verfügbarkeit und zeigt den Weg einer befristeten Akzeptanz.

Diese Felder decken die Mindestangaben ab, die Kriterium 15 für das Risikoregister verlangt; Behandlungsoption und Verweis auf die Maßnahmen folgen im nächsten Schritt. Die Kriterien 14, 18, 19, 20, 21 und 22 sind mit Schutzziel, Häufigkeit, Auswirkung, Niveau, Priorität und Abgleich erfüllt.

R-07-01: Risikoreduktion. Als Option wählt die Risikoeigentümerin Risikoreduktion (Mindestkriterium 23). Die Maßnahmen leitet sie aus der Bewertung ab (Kriterium 24). Als Fundus dienen zuerst die Anforderungen mit Sicherheitsniveau „erhöht“, die 300-1 für genau diesen Zweck vorsieht (Kap. 3.4.2). Wo der Katalog nichts Passendes enthält, formuliert das Amt eine eigene Anforderung im Format des Katalogs und nimmt sie in das Anforderungspaket auf (Kap. 3.4.3).

Erneute Bewertung. Nach den Maßnahmen schätzt das Amt die Eintrittshäufigkeit auf „selten“, die Auswirkung bleibt „beträchtlich“. Das Risikoniveau sinkt auf „mittel“. Weil das erste Niveau „hoch“ die Akzeptanzkriterien nicht erfüllte, waren Bewertung und Behandlung erneut auszuführen (Kriterium 26). „Mittel“ ist nach den Kriterien des Amtes befristet akzeptierbar.

Freigaben. Das Restrisiko „mittel“ wird befristet bis zur Überprüfung in zwölf Monaten akzeptiert (Kriterium 28), im Register dokumentiert (Kriterium 29) und von der Amtsleitung autorisiert (Kriterium 30). Die Umsetzungsplanung für M-07-01 bis M-07-03 zeichnet die Risikoeigentümerin ab (Kriterium 31). Im Register stehen Behandlungsoption und Verweis auf die Maßnahmen (Kriterien 15 und 25).

R-07-02: befristete Risikoakzeptanz. Das Niveau „mittel“ liegt innerhalb der Kriterien. Die Risikoeigentümerin wählt Risikoakzeptanz, befristet auf zwölf Monate; danach wird geprüft, ob ein zweiter Dienstleister nötig ist. Auch dieses Restrisiko autorisiert die Amtsleitung.

Was ohne Maßnahmen passiert wäre. Hätte das Amt M-07-01 bis M-07-03 abgelehnt, bliebe R-07-01 auf „hoch“ und damit außerhalb der Akzeptanzkriterien. Ein solches Risiko darf nur unbehandelt bleiben, wenn die Institutionsleitung es als Ausnahme autorisiert (Kriterium 27).

Ist der Anlass eine dauerhaft nicht erfüllte SOLLTE-Anforderung, beginnt die Identifikation bei der Anforderung selbst. Beispiel: KONF.14.1.1 „Obligatorische Verschlüsselung“ kann eine Altanwendung auf absehbare Zeit nicht erfüllen. Der Katalog ordnet ihr die Gefährdungen G 0.43 „Einspielen von Nachrichten“ und G 0.15 „Abhören“ zu. Diese sind nach Mindestkriterium 17 in der Risikobetrachtung zu berücksichtigen. Der weitere Ablauf entspricht dem Fall oben, die Restrisiken gibt die Institutionsleitung frei (Kap. 4.1.2). Wie Sie die Nichterfüllung vorher richtig einordnen, steht auf der Seite Anforderungen bewerten, Abweichungen dokumentieren.

Ist der Anlass ein Asset, das die Zielobjektkategorien nicht hinreichend abdecken, steht das Asset im Mittelpunkt. 300-1 geht davon aus, dass jedes Asset mindestens einer Zielobjektkategorie zugeordnet werden kann (Kap. 3.4.2); die Lücke liegt dann bei den Anforderungen, die zu den Besonderheiten des Assets fehlen. Ergebnis der Risikobetrachtung sind in diesem Fall meist ergänzende eigene Anforderungen im Anforderungspaket (Kap. 3.4.3).

• Anforderungspaket: eigene Anforderungen aus der Risikobetrachtung ergänzen das Paket (300-1, Kap. 3.4 und 3.4.3).
• Umsetzungsplan: Maßnahmen mit Zuordnung zu Anforderungen und Risiken, Datum, zuständiger Person und Nachweis (Kap. 4.3 und 4.4).
• Managementbewertung: der Status der Risikobehandlung gehört zu den Punkten, die die Institutionsleitung bewertet (Kap. 5.3).
• Überwachung: neue Schwachstellen und Bedrohungen fließen über die Monitoring-Verfahren in die Risikobetrachtung zurück (Kap. 5.4).
• Überprüfung: einmal im Jahr und zusätzlich, wenn sich Wesentliches ändert oder ändern soll, im Fall etwa ein Wechsel des Dienstleisters (Mindestkriterium 35).

Wie die Risikoergebnisse mit den übrigen Unterlagen zu einem Konzept zusammenfinden, zeigt die Seite Sicherheitskonzept. Wenn Sie eine Risikobetrachtung für einen Geschäftsprozess mit hohem Schutzbedarf vorbereiten oder moderieren lassen wollen, unterstützt Sie das Team von Blackfort Technology, siehe Beratung.

Rechtehinweis: Kurze Zitate aus BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0 vom 20.10.2026, © Bundesamt für Sicherheit in der Informationstechnik 2026, Quelle: BSI-Seite zu Grundschutz++; aus BSI-Standard 200-3 „Risikoanalyse auf der Basis von IT-Grundschutz“, Version 1.0, © Bundesamt für Sicherheit in der Informationstechnik 2017, Quelle: BSI-Seite zu BSI-Standard 200-3. Diese Zitate stehen nicht unter CC BY-SA 4.0; der Lizenzhinweis am Seitenende gilt nur für die Auszüge aus den Katalogdaten.