Grundlagen · Bewusste Risikoentscheidungen
Risikoakzeptanz: Risiken bewusst und nachvollziehbar tragen
Nicht jedes Informationssicherheitsrisiko lässt sich sofort beseitigen. Eine Risikoakzeptanz macht sichtbar, welches Risiko die Organisation unter welchen Bedingungen trägt, wer darüber entscheidet und wann diese Entscheidung erneut geprüft wird.
Direkte Antwort
Was ist eine Risikoakzeptanz?
Eine Risikoakzeptanz ist die bewusste Entscheidung einer zuständigen Person, ein beschriebenes und bewertetes Risiko zu tragen. Sie setzt eine verständliche Entscheidungsgrundlage voraus. Bei Sicherheitsausnahmen betrifft sie häufig das Restrisiko, das trotz kompensierender Maßnahmen für einen begrenzten Zeitraum bestehen bleibt.
Akzeptieren ist eine Entscheidung, kein fehlender Arbeitsschritt
Ein offener Schwachstellenfund ist noch keine Risikoakzeptanz. Auch eine E-Mail mit der Aussage „Wir schaffen das dieses Quartal nicht“ beantwortet nicht, ob eine zuständige Person die möglichen Folgen verstanden und ausdrücklich übernommen hat. Ohne diese Unterscheidung werden Verzögerungen im Projekt stillschweigend zu dauerhaften Sicherheitsentscheidungen.
Die Sicherheitsausnahme und die Risikoakzeptanz beschreiben unterschiedliche Dinge: Die Ausnahme erlaubt eine abgegrenzte Abweichung von einer Anforderung. Die Akzeptanz betrifft das damit verbundene Risiko. Beide können in einem Vorgang dokumentiert werden, sollten aber jeweils eine eigene Begründung haben. Ein Risiko kann außerdem bestehen, obwohl keine interne Richtlinie verletzt wird.
Wann die Übernahme eines Risikos sinnvoll sein kann
Eine befristete Akzeptanz kommt beispielsweise infrage, wenn die sofortige Behebung einen wesentlichen Geschäftsprozess unterbrechen würde und wirksame Zwischenmaßnahmen verfügbar sind. Ebenso kann eine Organisation ein geringes Risiko innerhalb ihrer festgelegten Kriterien bewusst tragen. Entscheidend ist die Abwägung zwischen möglichen Folgen, Behandlungsalternativen und verbleibender Unsicherheit.
Ungeeignet ist eine Freigabe, die lediglich ein unbequemes Thema aus der Aufgabenliste entfernen soll. Ein naher Liefertermin ersetzt keine Bewertung. Ebenso wenig genügt der Hinweis, bisher sei nichts passiert. Beschreiben Sie, welche Veränderung das Risiko künftig erhöhen könnte und welche Voraussetzungen für die Entscheidung tatsächlich erfüllt sein müssen.
Wer sollte das Risiko akzeptieren?
Typischerweise entscheidet der Risikoeigentümer: eine Person, die den betroffenen Geschäftsprozess verantwortet und innerhalb ihres Mandats über die Folgen entscheiden darf. Die IT kann den technischen Zustand erklären und Maßnahmen umsetzen. Der ISB oder das Security-Team prüft die Bewertung. Diese Aufgaben begründen für sich allein noch keine Befugnis zur Risikoübernahme.
Bei mehreren betroffenen Fachbereichen ist zu klären, wer eine gemeinsame Entscheidung treffen kann. Benennen Sie eine verantwortliche Person statt einer unspezifischen Abteilung. Eine Vertretung und Eskalationsregel verhindern, dass Anträge bei Urlaub oder Rollenwechsel liegen bleiben. Besonders weitreichende Auswirkungen können eine andere Entscheidungsebene verlangen als alltägliche, begrenzte Abweichungen.
Von der Beschreibung zur überprüfbaren Entscheidung
Der Umfang der Dokumentation darf zum Risiko passen. Für einen kleinen, klar begrenzten Fall reicht eine kompakte Akte. Sie sollte dennoch die wesentlichen Fragen beantworten, ohne dass jemand die ursprünglichen Beteiligten befragen muss.
Kontext und Szenario festhalten
Benennen Sie die betroffene Information, das System und den Geschäftsprozess. Erklären Sie, welches Ereignis eintreten könnte und welcher Schaden daraus folgt. Die Formulierung „altes System“ ist dafür zu ungenau.
Alternativen und Restrisiko bewerten
Prüfen Sie Behebung, Einschränkung oder einen anderen Betriebsweg. Trennen Sie umgesetzte Maßnahmen von geplanten Vorhaben. Nur nachvollziehbar wirksame Maßnahmen dürfen die Bewertung des aktuellen Risikos beeinflussen.
Entscheidung und Bedingungen dokumentieren
Halten Sie Umfang, Begründung, Risikoeigentümer, Genehmiger und Entscheidungsdatum zusammen fest. Verweisen Sie auf die konkrete Version der Bewertung. Bedingungen müssen so formuliert sein, dass ihre Einhaltung überprüft werden kann.
Gültigkeit und erneute Prüfung festlegen
Bestimmen Sie ein passendes Ablaufdatum und einen vorgelagerten Review. Definieren Sie zusätzliche Auslöser, etwa eine neue Schwachstelle oder eine geänderte Nutzung. Eine Verlängerung benötigt eine erneute Entscheidung über den dann aktuellen Sachverhalt.
Fiktives Praxisbeispiel
Ein Fachverfahren benötigt vorübergehend eine alte Java-Version
Ein fiktiver Fachbereich benötigt sein Fachverfahren für den Monatsabschluss. Der Hersteller unterstützt die neue Laufzeit erst nach dem nächsten Release. Die Migration wird vorbereitet, der laufende Betrieb soll für acht Wochen eingeschränkt fortgesetzt werden.
- Risiko
- Eine bekannte Schwachstelle könnte zur Ausführung unerwünschten Codes führen. Die Bewertung berücksichtigt die tatsächlich erreichbaren Schnittstellen und die Daten des Fachverfahrens.
- Maßnahmen
- Der Betrieb begrenzt Zugriffe auf einen definierten Administrationsweg, reduziert Netzwerkverbindungen und prüft relevante Protokolle. Die Wirksamkeit wird vor der Freigabe nachvollzogen.
- Verantwortung
- Die Leitung des betroffenen Fachprozesses übernimmt das beschriebene Restrisiko innerhalb ihres Mandats. Security gibt eine fachliche Einschätzung; der Systemverantwortliche betreut die Umstellung.
- Frist und Review
- Die Genehmigung gilt acht Wochen. Nach vier Wochen werden Herstellertermin und Schutzmaßnahmen überprüft; eine neue ausnutzbare Schwachstelle löst eine frühere Neubewertung aus.
Die Akte erklärt damit sowohl den vorübergehenden Nutzen als auch die Grenze der Entscheidung. Scheitert das Release, wird die Laufzeit nicht einfach weitergeschoben.
Risikoentscheidungen mit Abweichwerk nachhalten
Bei einzelnen Fällen kann eine sauber geführte Dokumentation genügen. Sobald mehrere Personen Bewertungen, Entscheidungen und Maßnahmen bearbeiten, entstehen leicht unterschiedliche Informationsstände. Abweichwerk verbindet diese Bestandteile in einer zentralen Fallakte mit Verantwortlichkeiten, Fristen und einem nachvollziehbaren Verlauf.
Die Anwendung konzentriert sich auf Sicherheitsausnahmen und Risikoentscheidungen. Sie kann die Zusammenarbeit unterstützen, während die Organisation weiterhin ihre Kriterien und Entscheidungsbefugnisse festlegt. Im Pilot lässt sich prüfen, wie die vorhandenen Prüfabläufe zum eigenen Vorgehen passen.
Den Abweichwerk-Workflow ansehenHäufige Fragen: Risikoakzeptanz
Ist eine Risikoakzeptanz dasselbe wie eine Risikobewertung?
Nein. Die Bewertung schätzt das Risiko anhand vereinbarter Kriterien ein. Die Akzeptanz ist die anschließende Entscheidung, dieses Risiko zu tragen. Eine ausgefüllte Risikomatrix belegt deshalb für sich allein noch keine Genehmigung durch die zuständige Person.
Kann ein Risiko ohne Sicherheitsausnahme akzeptiert werden?
Ja. Auch ein grundsätzlich regelkonformes System kann ein verbleibendes Risiko aufweisen. Umgekehrt ist eine Abweichung zuerst ein Anlass zur Prüfung. Die Begriffe sollten miteinander verknüpft werden, ohne jede Risikoentscheidung künstlich als Richtlinienausnahme einzuordnen.
Wie lange sollte eine Risikoakzeptanz gelten?
Die Laufzeit hängt von Szenario, Veränderungsgeschwindigkeit und internen Kriterien ab. Bei vorübergehenden Sicherheitsausnahmen sind konkrete Endtermine sinnvoll. Ein geplanter Review sollte so früh liegen, dass für eine Behebung oder neue Entscheidung noch ausreichend Zeit bleibt.
Was passiert, wenn sich die Annahmen ändern?
Die bisherige Entscheidung muss auf ihre weitere Tragfähigkeit geprüft werden. Neue Erreichbarkeit, andere Daten oder unwirksame Maßnahmen können eine Neubewertung auslösen. Halten Sie fest, wer informiert wird und wer über Einschränkung, zusätzliche Behandlung oder Fortsetzung entscheidet.
Risikoakzeptanzen strukturiert verwalten
Prüfen Sie im Pilot, wie Abweichwerk Ihre Bewertungen, Genehmigungen und Fristen zusammenführt.