Risikoakzeptanz bedeutet, ein Restrisiko wissentlich beizubehalten, während Risikobehandlung bedeutet, Maßnahmen zu ergreifen, um es zu verändern. Die Faustregel lautet: Akzeptieren Sie, wenn die Kosten, der Aufwand oder die Reibung der Risikominderung den erwarteten Schaden überwiegen und das Risiko innerhalb Ihrer Risikobereitschaft liegt. Behandeln Sie, wenn Ziele, Kontinuität oder Compliance auf dem Spiel stehen. In jedem Fall muss die Entscheidung bewusst getroffen, autorisiert und dokumentiert werden.
Zusammenfassung:
- Behandeln Sie Risiken, die Ziele, Kontinuität oder Compliance gefährden; akzeptieren Sie nur, wenn sie in die dokumentierte Toleranz passen und die Kosten der Risikominderung den erwarteten Schaden überwiegen.
- Wählen Sie zwischen Vermeidung, Minderung, Transfer und Akzeptanz; Versicherungen verlagern finanzielle Folgen, reduzieren jedoch nicht die Eintrittswahrscheinlichkeit eines Vorfalls – anders als Kontrollen, die das Risiko selbst verändern.
- Vergleichen Sie die Zeit bis zur Ausnutzung plus die Zeit für die Risikominderung mit der verbleibenden Lebensdauer des Assets: Übersteigt ihre Summe diese Lebensdauer, sollten Sie die Akzeptanz oder die Abschaffung des Assets in Betracht ziehen.
- Dokumentieren Sie Eigentümer, Genehmiger, Begründung, Kontrollen, Neubewertungsauslöser, Überwachungsmetriken und Überprüfungsdatum; neue Exploits oder eine geänderte Nutzung des Assets sollten das Risiko in die Behandlungsphase zurückführen.
Inhaltsverzeichnis
- Was bedeuten Risiko, Restrisiko, Behandlung und Akzeptanz wirklich?
- Was sind die vier gängigen Risikomaßnahmen?
- Wie entscheiden Sie zwischen Akzeptanz und Behandlung eines Risikos?
- Was müssen Sie dokumentieren, wenn Sie ein Risiko akzeptieren?
- Wie sehen Akzeptanz- oder Behandlungsentscheidungen in der Praxis aus?
- Welche Normen und Dokumente sollten Sie hinzuziehen?
- Wo machen Teams Fehler, und wie beheben Sie diese?
- Wie können wir Ihnen helfen, die Behandlung zu planen und zu begründen?
- FAQ
- Quellen
Was bedeuten Risiko, Restrisiko, Behandlung und Akzeptanz wirklich?
Eine klare Terminologie hält Entscheidungen nachvollziehbar. ISO 31000 beschreibt das Risikomanagement als strukturierten Kreislauf aus Identifizierung, Analyse, Bewertung und Behandlung von Risiken – und die NIST-Leitlinien bauen auf derselben Logik auf.
- Risiko: die Auswirkung von Unsicherheit auf Ziele, beispielsweise ein ungepatchter Server, der einen Ausfall verursacht.
- Restrisiko: was nach Anwendung von Kontrollen verbleibt.
- Risikobehandlung: Maßnahmen, die das Risiko verändern – von technischen Kontrollen über Versicherungen bis hin zur Aufgabe der Aktivität.
- Risikoakzeptanz: eine bewusste Entscheidung, ein bestimmtes Risiko beizubehalten, weil es als tolerierbar eingestuft wird.
Akzeptanz gibt es in zwei Formen. Aktive Akzeptanz ist dokumentiert – mit Schwellenwerten, einem Notfallplan und Überwachung. Passive Akzeptanz bedeutet, dass niemand etwas geplant hat; Auditoren werten das als Fahrlässigkeit und nicht als Entscheidung. Ein veraltetes Reporting-Tool mit geringer geschäftlicher Bedeutung, das Sie überwachen und abzulösen planen, ist aktive Akzeptanz. Dasselbe Tool, das ignoriert wird, weil niemand dafür verantwortlich ist, ist passive Akzeptanz.
TechTarget stellt fest, dass Akzeptanz vertretbar ist, wenn die Wahrscheinlichkeit gering, die Auswirkung marginal, die Kosten der Risikominderung hoch sind, das Risiko zur Risikobereitschaft der Organisation passt und regulatorische Anforderungen erfüllt sind.
Was sind die vier gängigen Risikomaßnahmen?
Die meisten Rahmenwerke, darunter die NCCoE-Leitlinien zur Bedrohungsmodellierung, gruppieren Maßnahmen in vier Optionen: Eliminieren, Stören, Transferieren und Akzeptieren. So sieht jede Option in der Praxis aus.
- Vermeiden (eliminieren): Die Aktivität, die das Risiko erzeugt, wird eingestellt – beispielsweise die Abschaffung eines Dienstes, der Daten speichert, die nicht mehr benötigt werden. Dadurch wird das Risiko vollständig beseitigt, aber auch die Geschäftsfunktion entfällt.
- Mindern (stören): Technische oder organisatorische Kontrollen werden hinzugefügt, die Eintrittswahrscheinlichkeit oder Auswirkung reduzieren – etwa Netzwerksegmentierung, Multi-Faktor-Authentifizierung oder getestete Backups. Dies ist die übliche Antwort auf Risiken mit hoher Auswirkung.
- Transferieren: Ein Teil der finanziellen Folgen wird durch Cyberversicherung oder Vertragsklauseln mit Lieferanten auf Dritte verlagert. Transfer reduziert nicht die Eintrittswahrscheinlichkeit eines Vorfalls; er ändert nur, wer zahlt, wenn einer eintritt. Das ist der wesentliche Unterschied zur Minderung, die das Risiko selbst verändert.
- Akzeptieren: Das Risiko wird mit dokumentierter Begründung, einem Eigentümer und einem Überprüfungsdatum beibehalten. Dies ist die richtige Antwort, wenn die oben genannten Optionen mehr kosten, als das Risiko wert ist.
Diese Maßnahmen lassen sich gut kombinieren. Sie könnten ein Zahlungssystem durch Kontrollen mindern, das verbleibende finanzielle Risiko durch eine Versicherung transferieren und ein kleines Restrisiko akzeptieren. Risiken mit hoher Auswirkung werden in der Regel zuerst behandelt, während die Akzeptanz für Positionen reserviert ist, die klar innerhalb Ihrer Toleranz liegen. Die NCCoE-Leitlinien weisen auch darauf hin, dass ähnliche Bedrohungen gemeinsame Störungskontrollen nutzen können, was die Behandlung kosteneffizient hält.
Wie entscheiden Sie zwischen Akzeptanz und Behandlung eines Risikos?
Verwenden Sie einen wiederholbaren Test anstelle von Bauchgefühl. Wägen Sie diese Faktoren für jeden Registereintrag ab:
- Eintrittswahrscheinlichkeit und Auswirkung des Risikos
- Kosten und Zeit für die Risikominderung
- Verbleibende Lebensdauer des Assets
- Regulatorische oder vertragliche Anforderungen
- Ihre dokumentierte Risikobereitschaft und -toleranz
Eine praktische Heuristik entstammt dem Crypto Agility Risk Assessment Framework. Sei X die Zeit bis zur möglichen Ausnutzung des Risikos, Y die Zeit für die Risikominderung und Z die verbleibende Lebensdauer des Assets. Wenn X+Y < Z ist, ist die Risikominderung innerhalb der Lebensdauer des Assets machbar. Wenn X+Y > Z ist, wird das Asset verschwunden oder kompromittiert sein, bevor die Behandlung Früchte trägt – dann stellt sich die Frage, ob das Risiko akzeptiert oder das Asset abgeschafft werden soll.
Gehen Sie der Reihe nach vor: Klassifizieren Sie das Risiko, schätzen Sie Kosten und Zeit für die Minderung, vergleichen Sie das Ergebnis mit Auswirkung und Toleranz, eskalieren Sie alles oberhalb der Schwelle und formalisieren Sie dann die Entscheidung mit einem Überprüfungsrhythmus. Aussagen zur Risikobereitschaft und -toleranz sowie benannte Risikoeigentümer sind das, worauf NIST SP 1308 bei der Auswahl der Behandlungsmaßnahmen verweist. Wenn Sie diese noch nicht definiert haben, ist unser Leitfaden zur ISO 27001-Risikobereitschaft ein guter Ausgangspunkt.
Praxis-Tipp: Schreiben Sie die X-, Y- und Z-Schätzungen direkt in den Registereintrag. Ein Auditor, der die Rechengrundlage hinter einer Akzeptanz sieht, wird sie selten in Frage stellen.
Was müssen Sie dokumentieren, wenn Sie ein Risiko akzeptieren?
Akzeptanz ist eine formale Entscheidung – kein Fehlen von Maßnahmen. Sie erfordert eine Genehmigung auf Managementebene, die der Größe des Risikos entspricht, sowie eine regelmäßige Überprüfung. Die NCCoE-Leitlinien stellen ausdrücklich fest, dass akzeptierte Bedrohungen eine dokumentierte Begründung und eine regelmäßige Überprüfung erfordern.
Erfassen Sie mindestens folgende Punkte:
- Risikoeigentümer und der Genehmiger, der unterzeichnet hat
- Begründung und die ihr zugrunde liegenden Annahmen
- Kompensierende Kontrollen, die weiterhin aktiv sind
- Auslöser, die eine Neubewertung erzwingen würden, beispielsweise ein neuer Exploit oder eine Änderung der Asset-Nutzung
- Metriken, die Sie beobachten werden, und das Überprüfungsdatum
Auditoren suchen in der Regel nach der unterzeichneten Genehmigung, dem Registereintrag, Überwachungsaufzeichnungen und Belegen dafür, dass Überprüfungen tatsächlich stattgefunden haben. Auslöser und Überwachung sind es, die passive Akzeptanz in aktive Akzeptanz umwandeln: Wenn ein definiertes Ereignis eintritt, kehrt das Risiko direkt in die Behandlungswarteschlange zurück. Unsere Vorlage für den Risikobehandlungsplan bietet Ihnen Felder für jeden dieser Punkte, und unser Leitfaden zur ISO 27001-Risikobehandlung zeigt, wie Auditoren diese lesen.
Wie sehen Akzeptanz- oder Behandlungsentscheidungen in der Praxis aus?
Diese kurzen Szenarien zeigen den Rahmen in der Anwendung.
- Veralteter Dienst mit geringer Auswirkung. Ein internes Wiki läuft auf einer alten Plattform, und die Migration würde mehr kosten als die Daten, die es schützt. Aktive Akzeptanz ist angemessen. Dokumentieren Sie den Eigentümer, die kompensierenden Kontrollen (Netzwerkisolierung, Zugriffsbeschränkungen) und einen Auslöser wie einen veröffentlichten Exploit. Regelmäßig überprüfen.
- Schwer zu eliminierendes Supply-Chain-Risiko. Eine weit verbreitete Open-Source-Bibliothek kann kurzfristig nicht ersetzt werden. Akzeptieren mit kompensierenden Kontrollen: Threat-Intelligence-Feeds, Dependency-Scanning und strengere Vertragsklauseln mit Lieferanten. Für die Exponierung gegenüber Dritten können sichere Kollaborationspraktiken wie jene in diesem Partnerartikel zur externen Zusammenarbeit Ihre Lieferantenvereinbarungen beeinflussen. Erfassen Sie die Überwachungsquellen und prüfen Sie, wann immer eine Schwachstelle bekannt wird.
- Datenexfiltration mit hoher Auswirkung. Kundendaten könnten über einen exponierten Dienst abfließen. Akzeptanz scheidet aus. Mindern Sie durch Zugriffskontrollen und Protokollierung, oder vermeiden Sie durch Schließung der Schwachstelle. Erfassen Sie den Behandlungsplan, Fälligkeitstermine und das Restrisiko nach Anwendung der Kontrollen.
Welche Normen und Dokumente sollten Sie hinzuziehen?
Beginnen Sie mit diesen Referenzen und erstellen Sie dann Ihre eigenen Artefakte auf deren Grundlage:
- ISO 31000: bietet den Rahmen auf Politikebene für Behandlungsoptionen und eignet sich gut als Rückgrat Ihrer Risikomanagementrichtlinie. Es beschreibt Wahlmöglichkeiten, ist aber keine zertifizierbare Norm.
- NCCoE- und NIST-Leitlinien: fordern eine bewusste Auswahl und dokumentierte Begründung für jede Maßnahme und liefern praktische Beispiele zur Auswahl von Risikomaßnahmen.
- NIST SP 1308: verknüpft Kompetenz der Belegschaft mit Behandlungsentscheidungen, was relevant ist, wenn Ihnen die Fähigkeiten zur Risikominderung fehlen und Sie stattdessen einstellen, qualifizieren, transferieren oder akzeptieren müssen.
- Artefakte, die Auditoren erwarten: eine Erklärung zur Risikobereitschaft, Risikoregistereinträge mit Eigentümern, Behandlungspläne und unterzeichnete Akzeptanznachweise. Eine wiederholbare Risikobeurteilungsmethodik unterstützt all diese Artefakte.
Wo machen Teams Fehler, und wie beheben Sie diese?
Meiner Einschätzung nach ist der häufigste Fehler die passive Akzeptanz, die nie schriftlich festgehalten wurde. Jemand entscheidet, dass ein Risiko „in Ordnung" ist, nichts wird dokumentiert, und ein Auditor entdeckt es Monate später. Die Lösung ist günstig: Fügen Sie jedem akzeptierten Risiko einen Auslöser, eine Überwachungsquelle und ein Neubewertungsdatum hinzu, damit die Akzeptanz eine lebendige Entscheidung bleibt. Ich verknüpfe Akzeptanzen auch mit Budgetzyklen. Wenn ein Risiko akzeptiert wird, weil die Behandlung in diesem Jahr nicht finanzierbar ist, planen Sie die Neubewertung vor der nächsten Jahresplanung ein, damit die Behandlung finanziert werden kann, sobald sie machbar wird.
— Martin
Wie können wir Ihnen helfen, die Behandlung zu planen und zu begründen?
Sobald Sie sich für die Behandlung eines Risikos entschieden haben, stellt sich die nächste Frage: Was wird es kosten und wie lange wird es dauern? Unser ISO 27001-Kosten- und Aufwandsrechner schätzt den Implementierungsaufwand nach Unternehmensgröße, Branche und Sicherheitsreifegrad und hilft Ihnen bei der Planung der Implementierung mit anpassbaren Gantt-artigen Zeitplänen. Das liefert Ihnen konkrete Zahlen für das Y in Ihrem X+Y < Z-Test. Sie können mit unserem kostenlosen Bereitschafts-Check beginnen oder eine sofortige Schätzung im ISO 27001-Kostenrechner durchführen, um zu sehen, wie eine gewählte Behandlungsmaßnahme sich in Budget und Zeitplan übersetzt.
FAQ
Was bedeutet Risikoakzeptanz?
Risikoakzeptanz ist eine bewusste Entscheidung, ein bestimmtes Risiko beizubehalten, weil es als tolerierbar eingestuft wird. Sie sollte autorisiert, dokumentiert und überprüft werden – und nicht einfach unbehandelt bleiben.
Was sind die vier Arten der Risikobehandlung?
Die vier gängigen Maßnahmen sind Vermeiden (Aktivität eliminieren), Mindern (mit Kontrollen stören), Transferieren (finanzielle Folgen durch Versicherungen oder Verträge verlagern) und Akzeptieren. Maßnahmen werden für ein einzelnes Risiko häufig kombiniert.
Können Sie ein Beispiel für Risikoakzeptanz nennen?
Ein internes Tool mit geringer Auswirkung auf einer veralteten Plattform, bei dem die Migration mehr kostet als ein Sicherheitsvorfall. Sie erfassen Eigentümer und Genehmiger, behalten Isolierungskontrollen bei, legen einen Auslöser für neue Exploits fest und überprüfen planmäßig.
Wann sollten Sie ein Risiko behandeln statt es zu akzeptieren?
Behandeln Sie, wenn das Risiko Ziele, Geschäftskontinuität oder regulatorische Anforderungen gefährdet oder Ihre dokumentierte Risikobereitschaft übersteigt. Akzeptanz ist nur vertretbar, wenn das Risiko innerhalb Ihrer Toleranz liegt.
Quellen
- Question 3: „What are we going to do about it?" — NCCoE Genomic Data Threat Modeling Project
- Crypto Agility Risk Assessment Framework
- NIST SP 1308 Second Public Draft, CSF 2.0 Cybersecurity, Enterprise Risk Management, and Workforce Management Quick Start Guide
- ISO 31000:2018 - Risk management — Guidelines
- What is Risk Acceptance? | Definition from TechTarget