Dokumentation · Verbleibendes Risiko erklären

Restrisiko dokumentieren, ohne Unsicherheit hinter einer Zahl zu verstecken

„Restrisiko: niedrig“ sagt wenig darüber aus, was nach den Maßnahmen noch passieren kann. Eine gute Dokumentation beschreibt die verbleibenden Szenarien, ihre Folgen und die Bedingungen, auf denen die Einschätzung beruht. Erst dann wird eine Akzeptanzentscheidung verständlich.

Abweichwerk ansehen Mehr erfahren

Direkte Antwort

Wie dokumentiert man ein Restrisiko?

Beschreiben Sie zuerst das betrachtete Ausgangsrisiko und die nachweislich wirksamen Maßnahmen. Erklären Sie anschließend, welche Ereignisse und Auswirkungen weiterhin möglich sind, wie sie nach Ihrem Modell bewertet werden und welche Annahmen gelten. Trennen Sie den aktuellen Zustand vom erwarteten Risiko nach noch geplanten Maßnahmen.

Drei Zustände auseinanderhalten

Definieren Sie den Bezugszustand in Ihrem Risikomodell. Der Begriff Bruttorisiko wird nicht überall gleich verwendet. Entscheidend ist, dass Leser erkennen, welche Kontrollen in welcher Bewertung berücksichtigt wurden. Ohne diese Erläuterung können zwei Zahlen einen Unterschied suggerieren, der nur aus unterschiedlichen Annahmen entsteht.

Ausgangsrisiko, aktuelles Restrisiko und Zielzustand
Zustand	Beschreibung	Typische Fehlerquelle
Ausgangsrisiko	Betrachtetes Szenario vor den ausdrücklich berücksichtigten zusätzlichen Maßnahmen.	Unklarer Bezugszustand: Manche bestehenden Kontrollen werden einbezogen, andere nicht.
Aktuelles Restrisiko	Verbleibendes Risiko unter den heute wirksamen und bewerteten Maßnahmen.	Geplante Aufgaben werden bereits als vorhandener Schutz angerechnet.
Erwarteter Zielzustand	Prognose für den Zustand nach weiteren, noch nicht bestätigten Änderungen.	Eine Erwartung erscheint als bereits nachgewiesenes Ergebnis.

Die Wirkung jeder Maßnahme auf das Szenario beziehen

Eine Maßnahme kann die Eintrittsmöglichkeit begrenzen, Auswirkungen reduzieren oder die Erkennung verbessern. Beschreiben Sie diese Wirkung konkret. Eine Protokollierung verhindert einen unberechtigten Zugriff nicht automatisch; sie kann die Untersuchung unterstützen, sofern relevante Ereignisse erfasst und tatsächlich ausgewertet werden.

Prüfen Sie auch Voraussetzungen der Wirkung. Eine Netztrennung hilft nur für die betrachteten Verbindungen. Ein manueller Kontrollschritt hängt von seiner Durchführung und der zuständigen Person ab. Solche Abhängigkeiten gehören in die Beschreibung, weil ihre Änderung das Restrisiko beeinflussen kann.

Vermeiden Sie pauschale Aussagen wie „durch Monitoring abgesichert“. Benennen Sie, was beobachtet wird, wer auf Ergebnisse reagiert und welche Lücke trotzdem bestehen bleibt. Die Qualität der Dokumentation zeigt sich daran, ob die entscheidende Person die Grenze der Maßnahmen versteht.

Eine nachvollziehbare Formulierung aufbauen

Szenario in einem Satz beschreiben
Benennen Sie Ereignis, betroffene Information oder Funktion und mögliche Folge. Beispiel: Eine unberechtigte administrative Änderung könnte die Verlässlichkeit der Bestandsdaten beeinträchtigen und fehlerhafte Dispositionsentscheidungen auslösen.
Wirksame Maßnahmen ergänzen
Erklären Sie, welche Kontrollen aktuell bestehen und worauf sich die behauptete Wirkung stützt. Begrenzte Berechtigungen reduzieren mögliche Änderungen; dokumentierte Prüfungen helfen, bestimmte Abweichungen zu erkennen.
Verbleibende Möglichkeit benennen
Halten Sie fest, was weiterhin geschehen kann. Ein berechtigtes Konto kann kompromittiert werden, eine manuelle Prüfung kann ausfallen oder ein Angriff kann außerhalb der protokollierten Ereignisse liegen.
Bewertung und Bedingungen begründen
Ordnen Sie die verbleibenden Folgen nach der eigenen Methode ein. Nennen Sie Unsicherheiten, Bewertungsdatum und Review-Auslöser. Eine Kategorie ergänzt die Beschreibung; sie ersetzt nicht deren fachliche Begründung.

Mit Unsicherheit umgehen, ohne Scheingenauigkeit zu erzeugen

Für viele Informationssicherheitsrisiken fehlen belastbare Häufigkeitsdaten. Dokumentieren Sie dann nachvollziehbare qualitative Einschätzungen statt unbegründeter Prozentwerte. Die Aussage „selten“ sollte anhand des betrachteten Zugangswegs und der Schutzmaßnahmen erläutert werden, nicht nur aus dem bisherigen Ausbleiben eines Vorfalls abgeleitet sein.

Kennzeichnen Sie Wissenslücken. Wenn unklar ist, ob ein System weitere Schnittstellen besitzt, beeinflusst dies die Tragfähigkeit der Bewertung. Eine verantwortliche Person und ein Klärungstermin können helfen. Bei wesentlicher Unsicherheit kann eine Entscheidung über einen engeren Umfang oder zusätzliche Behandlung erforderlich werden.

Eine Risikomatrix unterstützt die konsistente Einordnung. Sie macht die Eingaben jedoch nicht automatisch objektiv. Dokumentieren Sie deshalb die Gründe für Eintritt und Auswirkung sowie relevante Änderungen gegenüber einer früheren Bewertung. Sonst bleibt der neue Score fachlich nicht überprüfbar.

Die Dokumentation für eine Entscheidung prüfen

Lassen Sie eine Person, die den Fall nicht bearbeitet hat, die Beschreibung lesen. Kann sie erklären, was noch passieren könnte und welche Bedingungen gelten? Wenn dafür mündliche Ergänzungen nötig sind, fehlen vermutlich wichtige Angaben.

Vor einer Akzeptanz sollten außerdem Umfang und Version eindeutig sein. Die zuständige Person muss wissen, ob sie den aktuellen Zustand oder eine bedingte Fortsetzung nach Umsetzung weiterer Maßnahmen beurteilt. Ein unklarer Zeitbezug kann dazu führen, dass eine Genehmigung auf Schutz beruht, der noch nicht vorhanden ist.

Fiktives Praxisbeispiel

Protokollierung verbessert die Erkennung, beseitigt aber den Zugriff nicht

Ein fiktives Team betreibt eine administrative Schnittstelle, deren Rechte vorübergehend zu weit gefasst sind. Die Berechtigungen werden in vier Wochen überarbeitet. Bis dahin soll der Umfang eingeschränkt weiter genutzt werden.

Ausgangsrisiko: Ein missbrauchtes Administrationskonto könnte mehrere Datenbestände verändern. Dies könnte die Integrität der Informationen und die Verfügbarkeit des Verfahrens beeinträchtigen.
Maßnahmen: Zugang nur über einen kontrollierten Rechner, Begrenzung auf zwei Personen und tägliche Prüfung relevanter Änderungen. Die Auswertung wird einem benannten Betriebsverantwortlichen zugeordnet.
Restrisiko: Eine unberechtigte Änderung bleibt möglich, bevor sie erkannt wird. Die Protokollauswertung verkürzt gegebenenfalls die Entdeckungszeit, verhindert den Eingriff aber nicht. Diese Einschränkung wird ausdrücklich erläutert.
Entscheidung: Die zuständige Prozessleitung entscheidet nach Security-Prüfung über vier Wochen unter diesen Bedingungen. Der Systemverantwortliche betreut die Rechteanpassung.
Review: Nach zwei Wochen werden Änderungsnachweise und Umsetzung geprüft. Ein Ausfall der täglichen Kontrolle löst eine frühere Befassung mit dem Fall aus.

Eine spätere geringere Bewertung wird erst begründet, wenn die angepassten Rechte geprüft sind. Der Austausch eines Statuswerts ersetzt diese Wirksamkeitsprüfung nicht.

Bewertung und Maßnahmen in Abweichwerk zusammenhalten

Abweichwerk verbindet die Bewertung einer Ausnahme mit ihren Maßnahmen und der dokumentierten Entscheidung. Dadurch können Beteiligte die Voraussetzungen der Akzeptanz im Zusammenhang betrachten, statt einen Score getrennt von seiner Begründung zu lesen.

Im Pilot sollten Sie besonders prüfen, wie Ihre Bewertungsbegriffe zu der vorhandenen Risikobewertung passen. Die fachliche Erklärung der Maßnahmenwirkung bleibt erforderlich. Eine Anwendung kann die Informationen ordnen, aber eine unklare Risikobeschreibung nicht eigenständig belastbar machen.

Den Abweichwerk-Workflow ansehen

Häufige Fragen: Restrisiko dokumentieren

Ist Restrisiko gleich Risikowert nach Maßnahmen?

Ein berechneter Wert kann Teil der Darstellung sein. Das Restrisiko umfasst jedoch das verbleibende Szenario und seine Auswirkungen unter den betrachteten Bedingungen. Eine Zahl ohne Begründung erklärt weder die Wirkung der Maßnahmen noch die weiterhin möglichen Folgen.

Darf das Restrisiko unverändert bleiben?

Ja, wenn die Maßnahmen das relevante Szenario noch nicht wirksam beeinflussen oder lediglich andere Aspekte verbessern. Erzwingen Sie keine rechnerische Reduktion. Eine unveränderte Bewertung kann eine wichtige Grundlage für zusätzliche Behandlung oder eine klar begrenzte Entscheidung sein.

Wie dokumentiere ich eine noch nicht getestete Maßnahme?

Kennzeichnen Sie sie als geplant oder noch nicht hinsichtlich ihrer Wirkung bestätigt. Beschreiben Sie die erwartete Wirkung gesondert. Die aktuelle Bewertung sollte nicht so erscheinen, als sei der Zielzustand bereits nachgewiesen.

Wer bestätigt die Beschreibung des Restrisikos?

Die fachlich Beteiligten liefern und prüfen die Einschätzung. Die zuständige entscheidende Person muss die verbleibenden Folgen verstehen, bevor sie das Risiko übernimmt. Wer welche Bestätigung abgibt, sollte im eigenen Verfahren und im konkreten Vorgang erkennbar sein.

Restrisiken mit ihren Maßnahmen nachvollziehbar dokumentieren

Prüfen Sie im Abweichwerk-Pilot die gemeinsame Darstellung von Bewertung und Entscheidung.

Pilot anfragen