Risikoanalyse nach BSI-Standard 200-3

Einordnung

Der BSI-Standard 200-3 bündelt alle risikobezogenen Arbeitsschritte des IT-Grundschutzes. Er bietet sich an, wenn bereits mit der IT-Grundschutz-Methodik nach 200-2 gearbeitet wird und die Risikoanalyse direkt an die Grundschutz-Analyse anschließen soll. Der Standard weist darauf hin, dass «Risikoanalyse» im deutschen Sprachgebrauch den gesamten Prozess aus Risikobeurteilung und Risikobehandlung meint, während ISO 31000 und ISO 27005 den Begriff enger fassen.

In den Bausteinen des IT-Grundschutz-Kompendiums ist für normalen Schutzbedarf bereits eine Risikobewertung eingeflossen. Eine explizite Risikoanalyse ist nach 200-3 insbesondere nötig, wenn Zielobjekte

• einen hohen oder sehr hohen Schutzbedarf in mindestens einem der Grundwerte Vertraulichkeit, Integrität oder Verfügbarkeit haben,
• mit den vorhandenen Bausteinen nicht hinreichend modelliert werden können oder
• in Einsatzszenarien betrieben werden, die im IT-Grundschutz nicht vorgesehen sind.

Bei der Basis-Absicherung werden zunächst keine Risikoanalysen durchgeführt.

Vorarbeiten

200-3 setzt voraus, dass Strukturanalyse, Schutzbedarfsfeststellung, Modellierung und ein IT-Grundschutz-Check vorliegen. Daraus ergibt sich die Liste der Zielobjekte, für die eine Risikoanalyse durchgeführt wird. Gleichartige Objekte sollen gruppiert werden. Die Analyse kann auch auf Ebene von Geschäftsprozessen erfolgen.

Außerdem muss die Leitungsebene eine Richtlinie zum Umgang mit Risiken verabschieden. Sie regelt unter anderem, wann eine Risikoanalyse durchzuführen ist, welche Methodik gilt, welche Kriterien für die Einstufung und Akzeptanz gelten und wer beteiligt wird.

Schritt 1: Gefährdungsübersicht

Ausgangspunkt sind die 47 elementaren Gefährdungen des IT-Grundschutz-Kompendiums (G 0.1 Feuer bis G 0.47 Schädliche Seiteneffekte IT-gestützter Angriffe). Für jedes Zielobjekt wird geprüft, welche davon relevant sind. Hinzu kommen zusätzliche Gefährdungen, die sich aus dem konkreten Einsatz ergeben und über die elementaren Gefährdungen hinausgehen.

Schritt 2: Risikoeinstufung

Risikoeinschätzung

Für jede Gefährdung werden Eintrittshäufigkeit und potenzielle Schadenshöhe eingeschätzt, unter Berücksichtigung der bereits umgesetzten oder geplanten Maßnahmen. 200-3 schlägt qualitative Kategorien vor:

• Eintrittshäufigkeit: selten (höchstens alle fünf Jahre), mittel (einmal alle fünf Jahre bis einmal im Jahr), häufig (einmal im Jahr bis einmal pro Monat), sehr häufig (mehrmals im Monat).
• Schadenshöhe: vernachlässigbar, begrenzt, beträchtlich, existenzbedrohend.

Jede Institution kann Anzahl und Kriterien der Stufen anpassen. Pro Dimension sollten es nicht mehr als fünf sein. Die Beschreibungen sollen mit den Fachabteilungen abgestimmt werden, damit zwei Personen dasselbe Risiko gleich einstufen.

Risikobewertung

Über eine Matrix aus Häufigkeit und Schadenshöhe wird jede Gefährdung einer Risikokategorie zugeordnet:

• gering: Die vorhandenen oder geplanten Maßnahmen bieten ausreichenden Schutz.
• mittel: Die Maßnahmen reichen möglicherweise nicht aus.
• hoch: Die Maßnahmen bieten keinen ausreichenden Schutz.
• sehr hoch: Die Maßnahmen bieten keinen ausreichenden Schutz. In der Praxis werden solche Risiken selten akzeptiert.

Die Matrix im Standard dient der Veranschaulichung und soll an den eigenen Bedarf angepasst werden.

Schritt 3: Risikobehandlung

Für Gefährdungen mit mittlerem, hohem oder sehr hohem Risiko wird eine Behandlungsoption gewählt:

• Vermeidung: die Risikoursache ausschließen, zum Beispiel einen Dienst nicht anbieten oder eine Verarbeitung anders organisieren,
• Reduktion: zusätzliche Sicherheitsmaßnahmen umsetzen,
• Transfer: das Risiko teilen, etwa über Versicherungen oder Verträge mit Dienstleistern; dabei ist die Vertragsgestaltung entscheidend,
• Akzeptanz: das Risiko auf Basis einer nachvollziehbaren Faktenlage bewusst tragen.

Bei der Entscheidung muss die Leitungsebene beteiligt werden. Idealerweise werden nur geringe Risiken akzeptiert. 200-3 räumt ein, dass das in der Praxis nicht immer zweckmäßig ist, etwa wenn Schutzmaßnahmen unverhältnismäßig teuer wären. Schritte 2 und 3 werden wiederholt, bis die Risikoakzeptanzkriterien erfüllt sind. Das verbleibende Restrisiko wird der Leitung zur Zustimmung vorgelegt und dokumentiert.

Schritt 4: Konsolidierung

Die zusätzlichen Maßnahmen aus der Risikoanalyse werden in das Sicherheitskonzept integriert und auf Eignung, Zusammenwirken, Benutzerfreundlichkeit und Angemessenheit geprüft. Danach fließen sie in den Umsetzungsplan und den laufenden Sicherheitsprozess ein.

Risikoappetit

200-3 beschreibt außerdem den Risikoappetit, also die Bereitschaft einer Institution, Risiken einzugehen. Er hängt von kulturellen, internen, externen und wirtschaftlichen Einflüssen ab und kann sich zwischen Unternehmensbereichen unterscheiden. Er bestimmt maßgeblich, welche Behandlungsstrategie gewählt wird.

Ein vereinfachtes Beispiel

Ein Onlinehändler hat seinen Shop mit hohem Verfügbarkeitsbedarf eingestuft. Für die Gefährdung «Ausfall des Hosting-Dienstleisters» schätzt er die Eintrittshäufigkeit als mittel und den Schaden bei mehrtägigem Ausfall als beträchtlich ein. Das ergibt nach seiner Matrix ein hohes Risiko. Als Behandlung wählt er eine Kombination: Reduktion durch vertraglich vereinbarte Wiederherstellungszeiten und eine eigene, regelmäßig geprüfte Sicherung der Shopdaten, dazu Transfer eines Teils des finanziellen Schadens über eine Versicherung. Das verbleibende mittlere Risiko legt er der Geschäftsführung vor, die es mit Unterschrift akzeptiert und eine Überprüfung in zwölf Monaten festlegt.

Für kleine Betriebe

Die volle Methodik ist für viele kleine Betriebe aufwendig. Ein pragmatischer Ansatz:

• die Risikoanalyse auf wenige Kronjuwelen beschränken, etwa Kundendatenbank, Buchhaltung, Produktionssteuerung,
• mit zwei oder drei Stufen je Dimension arbeiten; 200-3 stellt fest, dass viele Anwender de facto ohnehin nur zwei Kategorien nutzen,
• Ergebnis als Tabelle festhalten: Gefährdung, Einstufung, Behandlung, Verantwortlich, Entscheidung der Geschäftsführung.

Für NIS-2-pflichtige Einrichtungen verlangt § 30 BSIG ausdrücklich Konzepte in Bezug auf die Risikoanalyse. Eine Risikoanalyse nach 200-3 ist ein anerkannter Weg, dies umzusetzen. Andere etablierte Verfahren sind nach 200-3 ebenfalls zulässig.