Modul Bedrohungen: Überblick

Das Modul Bedrohungen ermöglicht eine systematische Erfassung und Bewertung potenzieller Gefahren für Unternehmen, IT-Systeme und Prozesse. Es bildet die Grundlage für eine strukturierte Risikoanalyse, indem es drei zentrale Elemente umfasst:

Bedrohungen verwalten: In diesem Bereich werden Bedrohungen wie Feuer, Cyberangriffe oder Datenverlust erfasst. Neue Bedrohungen können manuell hinzugefügt oder als Standard-Bedrohungen des BSI importiert werden.
Risikomatrizen verwalten und anpassen: In den Risikomatrizen werden Risiken anhand von Eintrittswahrscheinlichkeit und Schadenshöhe bewertet, um eine strukturierte und visuelle Risikoeinschätzung zu ermöglichen. Hier können eigene Risikomatrizen erstellt und angepasst werden, um die Bewertung individuell anzupassen.
Schutzbedarf definieren: Der Schutzbedarf bestimmt, welche Schutzziele für Geschäftsprozesse oder IT-Systeme relevant sind. Standardmäßig sind Vertraulichkeit, Integrität und Verfügbarkeit vordefiniert, können aber individuell angepasst werden.

Dieses Modul dient als zentrale Datenquelle für spätere Risikoanalysen. Es ermöglicht eine strukturierte Erfassung von Bedrohungen und eine systematische Bewertung der Risiken. Auf dieser Grundlage können im Modul Risikoanalysen gezielt Schutzmaßnahmen abgeleitet werden.

Bedrohungen anlegen und verwalten

Das Modul Bedrohungen dient dazu, potenzielle Risiken für die Informationssicherheit systematisch zu erfassen und zu verwalten. Bedrohungen können entweder manuell angelegt oder als standardisierte Bedrohungsvorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) importiert werden. Diese Bedrohungen bilden die Grundlage für weiterführende Risikoanalysen.

Neue Bedrohung anlegen

Beim ersten Öffnen des Moduls ist die Bedrohungsliste noch leer. Es gibt zwei Möglichkeiten, Bedrohungen hinzuzufügen:

Manuell anlegen: Über „+ Bedrohung hinzufügen“ kann eine neue Bedrohung erstellt und mit relevanten Informationen versehen werden.
Bedrohungen importieren: Mit „Standardisierte Bedrohungsvorgaben (BSI) importieren“ lassen sich typische Bedrohungen wie Feuer, Wasser, Diebstahl oder technische Ausfälle aus dem IT-Grundschutz-Kompendium des BSI übernehmen.

Tabellenansicht: Bedrohungen verwalten

Nach dem Anlegen oder Importieren erscheinen die Bedrohungen in einer Übersichtstabelle. Die Tabelle enthält:

Nummer: Eindeutige Kennung der Bedrohung.
Bezeichnung: Name der Bedrohung (z. B. „Feuer“, „Wasser“).
Letzte Änderung: Datum der letzten Bearbeitung.

Die Tabelle bietet verschiedene Funktionen zur Verwaltung der Bedrohungen. Über das Suchfeld lassen sich Bedrohungen gezielt finden, sodass schnell die relevanten Einträge angezeigt werden. Bedrohungen können entweder einzeln oder mehrfach markiert werden, um sie zu löschen oder in eine andere Organisation zu kopieren.

Einzelansicht und Bearbeitung

Ein Klick auf eine Bedrohung in der Tabelle öffnet die Detailansicht. Dort können folgende Anpassungen vorgenommen werden:

Grunddaten ändern: Bezeichnung, Nummer oder Beschreibung der Bedrohung anpassen.
Details erfassen: Im Textfeld lassen sich Ursachen, Auswirkungen und begünstigende Faktoren einer Bedrohung dokumentieren.
Risikoeinschätzungen einsehen: Bereits zugeordnete Risikoanalysen werden hier angezeigt.
Speichern oder Löschen: Änderungen speichern oder die Bedrohung vollständig entfernen.

Diese Funktionen helfen dabei, Bedrohungen strukturiert zu erfassen, zu verwalten und in weiterführenden Risikoanalysen zu verwenden.

Risikomatrizen verwalten und anpassen

Risikomatrizen sind ein wesentliches Instrument zur Bewertung von Bedrohungen im Rahmen der Risikoanalyse. Sie ermöglichen die Einstufung von Bedrohungen anhand der Eintrittswahrscheinlichkeit und der Schadenshöhe, wodurch sich eine klare Risikoeinschätzung ergibt. In diesem Abschnitt wird beschrieben, wie eine Risikomatrix erstellt, bearbeitet und konfiguriert wird.

Überblick über die Risikomatrizen

Beim Zugriff auf den Bereich Risikomatrizen wird eine tabellarische Übersicht angezeigt. Standardmäßig stellt das System die Risikomatrix nach BSI-Standard 200-3 zur Verfügung. Diese dient als vordefinierte Standardmatrix, die an die individuellen Anforderungen angepasst werden kann. In der Übersicht sind folgende Elemente enthalten:

Bezeichnung: Name der Matrix (z. B. „Standard)“)
Letzte Änderung: Zeitpunkt der letzten Bearbeitung

Mit der Schaltfläche „+ Neue Risikomatrix“ kann eine weitere Matrix erstellt werden.

Einzelansicht einer Risikomatrix

Durch Klicken auf eine vorhandene Matrix öffnet sich die Detailansicht. Diese enthält mehrere wichtige Konfigurationsbereiche:

Grundangaben: Hier können die Bezeichnung und eine optionale Beschreibung der Risikomatrix eingetragen werden.
Risikokategorien: Festlegung der Risikostufen mit Farben (z. B. Grün für „gering“, Rot für „sehr hoch“).
Risikomatrix: Darstellung der Bewertung auf Basis von Eintrittswahrscheinlichkeit und Schadenshöhe.

Die vom System vorgeschlagene Standardmatrix basiert auf einer 4x4-Struktur gemäß den Empfehlungen des BSI-Standards 200-3. Sie kategorisiert Risiken in gering, mittel, hoch und sehr hoch und ermöglicht eine strukturierte Bewertung anhand von Schadenshöhe und Eintrittswahrscheinlichkeit. Die Matrix kann flexibel an individuelle Anforderungen angepasst werden.

Risikokategorien hinzufügen

Um eine neue Risikokategorie zu erstellen, wird die Schaltfläche „+ Risikokategorie hinzufügen“ genutzt. Im sich öffnenden Dialogfeld können folgende Werte festgelegt werden:

Farbe: Visuelle Kennzeichnung der Risikostufe.
Bezeichnung: Name der Risikokategorie (z. B. „Geringes Risiko“, „Hohes Risiko“).
Beschreibung: Optionaler Text zur Erläuterung der Risikostufe.

Mit „Speichern“ wird die neue Kategorie in die Matrix übernommen.

Eintrittswahrscheinlichkeiten definieren

Die Eintrittswahrscheinlichkeit beschreibt, wie oft eine Bedrohung voraussichtlich auftreten kann. Neue Werte lassen sich über „+ Eintrittswahrscheinlichkeit hinzufügen“ anlegen. Die Konfigurationsfelder umfassen:

Bewertung: Eine numerische Einstufung (z. B. 1 für „selten“, 4 für „sehr häufig“).
Bezeichnung: Name der Eintrittswahrscheinlichkeit.
Beschreibung: Erklärung der Wahrscheinlichkeit.

Schadenshöhe bearbeiten

Die Schadenshöhe definiert, welche Auswirkungen eine Bedrohung auf ein Unternehmen hat. Um bestehende Werte zu ändern, kann auf das Bearbeiten-Symbol neben einer Schadenshöhe geklickt werden. Anpassbare Felder sind:

Bewertung: Numerische Einstufung der Schadenshöhe.
Bezeichnung: Titel der Schadensklasse (z. B. „vernachlässigbar“, „existenzbedrohend“).
Beschreibung: Erläuterung der Schadensauswirkungen.

Risikokategorien in der Matrix bearbeiten

In der visuellen Risikomatrix können bestehende Risikokategorien durch Klicken auf ein Feld angepasst werden. Dabei öffnet sich eine Auswahl mit verfügbaren Kategorien, aus der eine neue Risikobewertung für das jeweilige Feld gewählt werden kann.
Das Fragezeichen-Icon erscheint hinter der Risikobezeichnung, wenn für die jeweilige Kategorie eine Beschreibung hinterlegt wurde. Bei einem Mouse-Over wird die Beschreibung angezeigt, sodass Nutzer eine direkte Erläuterung der Risikokategorie erhalten. Dies erleichtert die Einordnung der Kategorien und unterstützt eine einheitliche Risikobewertung.

Diese Funktionen ermöglichen die präzise Definition und Anpassung von Risikomatrizen, die auf individuelle Unternehmensanforderungen zugeschnitten werden können und als Grundlage für die Risikoanalyse dienen.