Risikoanalyse und TOM einfach erklärt
Kurzantwort
Eine Risikoanalyse bewertet jedes Risiko aus Eintrittswahrscheinlichkeit und Schadenshöhe; das Produkt ergibt die Risikohöhe. Für die Behandlung gibt es vier Strategien: vermeiden, vermindern, übertragen oder akzeptieren. Technische und organisatorische Maßnahmen (TOM) setzen die Verminderung konkret um – technisch etwa durch Verschlüsselung, organisatorisch durch Zutrittsregeln.
Teil des Lernpfads IT-Sicherheit und Datenschutz · Schritt 2 von 14
Man kann nicht jedes Risiko gleich stark bekämpfen – Geld und Zeit sind begrenzt. Die Kunst besteht darin, die wenigen wirklich gefährlichen Risiken zu erkennen und dort anzusetzen. Genau dafür gibt es die Risikoanalyse.
Wie wird ein Risiko bewertet?
Ein Risiko ergibt sich aus zwei Faktoren: wie wahrscheinlich ein Schaden eintritt und wie groß er wäre.
Die bewerteten Risiken trägt man in eine Risikomatrix ein – Wahrscheinlichkeit auf der einen, Schadenshöhe auf der anderen Achse. So wird sofort sichtbar, was oben rechts (hoch/hoch) zuerst behandelt werden muss.
Die vier Strategien der Risikobehandlung
| Strategie | Bedeutung | Beispiel |
|---|---|---|
| Vermeiden | die Ursache ganz abstellen | riskanten Dienst abschalten |
| Vermindern | Wahrscheinlichkeit oder Schaden senken | Backup, Firewall, Schulung |
| Übertragen | Risiko an Dritte abgeben | Versicherung, Dienstleister |
| Akzeptieren | bewusst tragen | kleines Restrisiko hinnehmen |
Was sind TOM?
TOM steht für technische und organisatorische Maßnahmen – die konkrete Umsetzung der Risikoverminderung. Der Begriff stammt aus der DSGVO, die solche Maßnahmen zum Schutz personenbezogener Daten ausdrücklich verlangt.
| Beispiele | |
|---|---|
| Technisch | Verschlüsselung, Firewall, Backups, Zugriffsrechte |
| Organisatorisch | Zutrittsregeln, Schulungen, Berechtigungskonzepte, Passwortrichtlinien |
Der Restrisiko-Gedanke
Selbstkontrolle
Selbstkontrolle
Ein Unternehmen schließt eine Cyberversicherung ab, die im Schadensfall zahlt. Welche Strategie der Risikobehandlung ist das?
Häufige Fragen
Warum reicht die Schadenshöhe allein nicht?
Weil ein sehr großer, aber praktisch unmöglicher Schaden ein geringes Risiko darstellt, während ein mittlerer, aber häufiger Schaden ein hohes Risiko sein kann. Erst das Zusammenspiel von Wahrscheinlichkeit und Höhe zeigt, wo Handeln lohnt. Sonst würde man Mittel gegen unrealistische Szenarien verschwenden und häufige kleine Schäden übersehen.
Sind TOM dasselbe wie Datenschutz?
Nicht ganz. TOM sind die konkreten Schutzmaßnahmen, die die DSGVO für personenbezogene Daten verlangt, aber dieselbe Logik gilt für IT-Sicherheit allgemein. Datenschutz ist der rechtliche Rahmen, der unter anderem angemessene TOM fordert. Die Maßnahmen selbst schützen darüber hinaus auch Daten und Systeme ohne Personenbezug.
Was ist der Unterschied zwischen technischer und organisatorischer Maßnahme?
Technische Maßnahmen sind in Hard- oder Software umgesetzt, etwa eine Verschlüsselung oder eine automatische Sperre. Organisatorische Maßnahmen regeln Abläufe und Verhalten von Menschen, etwa wer Zutritt zum Serverraum hat oder wie oft geschult wird. Beide ergänzen sich, weil Technik ohne passende Regeln und geschulte Menschen wirkungslos bleibt.
Kann man ein Risiko ganz beseitigen?
In der Regel nicht. Selbst nach allen Maßnahmen bleibt ein Restrisiko, weil es keine vollständige Sicherheit gibt und der Aufwand irgendwann unverhältnismäßig würde. Ziel ist, das Risiko auf ein bewusst akzeptiertes Maß zu senken, dieses Restrisiko zu dokumentieren und regelmäßig neu zu bewerten.
Weiterlesen: BSI IT-Grundschutz: der Standard für IT-Sicherheit · Die Schutzziele der IT-Sicherheit: die CIA-Triade · Phishing und Social Engineering erklärt
Das Wichtigste in Kürze
- Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe, dargestellt in der Risikomatrix.
- Vier Strategien: vermeiden, vermindern, übertragen, akzeptieren.
- TOM = technische und organisatorische Maßnahmen zur Risikoverminderung.
- Technisch = in der Technik (Verschlüsselung); organisatorisch = Regeln und Verhalten.
- Ein Restrisiko bleibt immer und wird bewusst getragen und dokumentiert.