# Risikoanalyse und TOM einfach erklärt

> Eine Risikoanalyse bewertet jedes Risiko aus Eintrittswahrscheinlichkeit und Schadenshöhe; das Produkt ergibt die Risikohöhe. Für die Behandlung gibt es vier Strategien: vermeiden, vermindern, übertragen oder akzeptieren. Technische und organisatorische Maßnahmen (TOM) setzen die Verminderung konkret um – technisch etwa durch Verschlüsselung, organisatorisch durch Zutrittsregeln.

**Autor:** Mr. Benjamin · **Beruf:** IT-Grundlagen
**Veröffentlicht:** 2026-07-26 · **Aktualisiert:** 2026-07-26
**Quelle:** https://yellowbluetech.de/blog/risikoanalyse-und-tom

---

Man kann nicht jedes Risiko gleich stark bekämpfen – Geld und Zeit sind begrenzt. Die Kunst besteht darin, die wenigen wirklich gefährlichen Risiken zu erkennen und dort anzusetzen. Genau dafür gibt es die Risikoanalyse.

## Wie wird ein Risiko bewertet?

Ein Risiko ergibt sich aus zwei Faktoren: **wie wahrscheinlich** ein Schaden eintritt und **wie groß** er wäre.

> **Merksatz**
>
> **Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe**
>
> Ein seltener, aber katastrophaler Schaden kann genauso ein hohes Risiko sein wie ein häufiger kleiner. Erst beide Faktoren zusammen ergeben ein sinnvolles Bild.

Die bewerteten Risiken trägt man in eine **Risikomatrix** ein – Wahrscheinlichkeit auf der einen, Schadenshöhe auf der anderen Achse. So wird sofort sichtbar, was oben rechts (hoch/hoch) zuerst behandelt werden muss.

## Die vier Strategien der Risikobehandlung

| Strategie | Bedeutung | Beispiel |
| --- | --- | --- |
| **Vermeiden** | die Ursache ganz abstellen | riskanten Dienst abschalten |
| **Vermindern** | Wahrscheinlichkeit oder Schaden senken | Backup, Firewall, Schulung |
| **Übertragen** | Risiko an Dritte abgeben | Versicherung, Dienstleister |
| **Akzeptieren** | bewusst tragen | kleines Restrisiko hinnehmen |

> **Prüfungstipp**
>
> Die vier Strategien **vermeiden, vermindern, übertragen, akzeptieren** solltest du benennen und je ein Beispiel geben können. Merke: Ein **Restrisiko** bleibt immer – hundertprozentige Sicherheit gibt es nicht. Und die häufigste Strategie in der Praxis ist das **Vermindern** durch konkrete Maßnahmen, die sogenannten TOM.

## Was sind TOM?

TOM steht für **technische und organisatorische Maßnahmen** – die konkrete Umsetzung der Risikoverminderung. Der Begriff stammt aus der [DSGVO](/blog/datenschutz-dsgvo), die solche Maßnahmen zum Schutz personenbezogener Daten ausdrücklich verlangt.

| | Beispiele |
| --- | --- |
| **Technisch** | [Verschlüsselung](/blog/verschluesselung-symmetrisch-asymmetrisch), [Firewall](/blog/was-ist-eine-firewall), [Backups](/blog/backup-3-2-1-regel), Zugriffsrechte |
| **Organisatorisch** | Zutrittsregeln, Schulungen, Berechtigungskonzepte, Passwortrichtlinien |

> **Merksatz**
>
> Merkhilfe: **Technische** Maßnahmen stecken in der Technik selbst (Verschlüsselung, Firewall). **Organisatorische** Maßnahmen regeln das Verhalten von Menschen und Abläufen (Regeln, Schulungen, Zuständigkeiten). Erst beide zusammen wirken – die beste Technik nützt nichts, wenn niemand sie richtig bedient.

## Der Restrisiko-Gedanke

> **Hinweis**
>
> Nach allen Maßnahmen bleibt ein Restrisiko, das das Unternehmen bewusst trägt – dokumentiert und von der Leitung verantwortet, nicht stillschweigend ignoriert. Genau das unterscheidet professionelles Risikomanagement vom Wegsehen: Man weiß, welches Risiko man eingeht, und hat sich bewusst dafür entschieden. Regelmäßig wird neu bewertet, weil sich Bedrohungen und Werte ändern – Risikomanagement ist ein Kreislauf, kein einmaliges Projekt.

## Selbstkontrolle

**Frage:** Ein Unternehmen schließt eine Cyberversicherung ab, die im Schadensfall zahlt. Welche Strategie der Risikobehandlung ist das?

- [ ] Vermeiden
- [ ] Vermindern
- [x] Übertragen
- [ ] Akzeptieren

**Erklärung:** Wird ein Risiko gegen Bezahlung an einen Dritten wie eine Versicherung abgegeben, spricht man von Risikoübertragung. Vermindern wäre eine Maßnahme, die den Schaden selbst kleiner oder unwahrscheinlicher macht, vermeiden das komplette Abstellen der Ursache und akzeptieren das bewusste Tragen.

## Häufige Fragen

### Warum reicht die Schadenshöhe allein nicht?

Weil ein sehr großer, aber praktisch unmöglicher Schaden ein geringes Risiko darstellt, während ein mittlerer, aber häufiger Schaden ein hohes Risiko sein kann. Erst das Zusammenspiel von Wahrscheinlichkeit und Höhe zeigt, wo Handeln lohnt. Sonst würde man Mittel gegen unrealistische Szenarien verschwenden und häufige kleine Schäden übersehen.

### Sind TOM dasselbe wie Datenschutz?

Nicht ganz. TOM sind die konkreten Schutzmaßnahmen, die die DSGVO für personenbezogene Daten verlangt, aber dieselbe Logik gilt für IT-Sicherheit allgemein. Datenschutz ist der rechtliche Rahmen, der unter anderem angemessene TOM fordert. Die Maßnahmen selbst schützen darüber hinaus auch Daten und Systeme ohne Personenbezug.

### Was ist der Unterschied zwischen technischer und organisatorischer Maßnahme?

Technische Maßnahmen sind in Hard- oder Software umgesetzt, etwa eine Verschlüsselung oder eine automatische Sperre. Organisatorische Maßnahmen regeln Abläufe und Verhalten von Menschen, etwa wer Zutritt zum Serverraum hat oder wie oft geschult wird. Beide ergänzen sich, weil Technik ohne passende Regeln und geschulte Menschen wirkungslos bleibt.

### Kann man ein Risiko ganz beseitigen?

In der Regel nicht. Selbst nach allen Maßnahmen bleibt ein Restrisiko, weil es keine vollständige Sicherheit gibt und der Aufwand irgendwann unverhältnismäßig würde. Ziel ist, das Risiko auf ein bewusst akzeptiertes Maß zu senken, dieses Restrisiko zu dokumentieren und regelmäßig neu zu bewerten.

**Weiterlesen:** [BSI IT-Grundschutz: der Standard für IT-Sicherheit](/blog/bsi-it-grundschutz) · [Die Schutzziele der IT-Sicherheit: die CIA-Triade](/blog/schutzziele-cia-triade) · [Phishing und Social Engineering erklärt](/blog/phishing-social-engineering)

## Das Wichtigste in Kürze

- **Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe**, dargestellt in der **Risikomatrix**.
- Vier Strategien: **vermeiden, vermindern, übertragen, akzeptieren**.
- **TOM** = technische und organisatorische Maßnahmen zur Risikoverminderung.
- **Technisch** = in der Technik (Verschlüsselung); **organisatorisch** = Regeln und Verhalten.
- Ein **Restrisiko** bleibt immer und wird bewusst getragen und dokumentiert.