Was ist ein Restrisiko?
Ein Restrisiko ist der Teil eines Risikos, den eine Organisation nach ihrer Risikobehandlung bewusst trägt. Nach BSI-Standard 200-3, Kapitel 6.1 werden Risikoeinstufung und Behandlung so lange wiederholt, bis die Akzeptanzkriterien der Institution erreicht sind; das verbleibende Risiko wird dann der Leitungsebene zur Zustimmung vorgelegt. In ISO/IEC 27001 genehmigen die Risikoeigentümer nach Abschnitt 6.1.3 den Behandlungsplan und akzeptieren die verbleibenden Risiken.
Eine geplante Maßnahme beschreibt eine erwartete Verbesserung. Dass das Risiko heute schon gesunken ist, belegt sie nicht.
Drei Stände: inhärent, aktuell, Restrisiko
| Stand | Berücksichtigte Maßnahmen | Wofür er gebraucht wird |
|---|---|---|
| Inhärentes Risiko (Bruttorisiko) | keine | zeigt, was die vorhandenen Maßnahmen leisten |
| Aktuelles Risiko (Nettorisiko) | die heute wirksamen | Steuerung und Berichterstattung |
| Restrisiko | zusätzlich die beschlossenen, noch geplanten | Freigabe und die Frage, ob sich der Aufwand lohnt |
Manche Risikorichtlinien nennen schon das aktuelle Nettorisiko „Restrisiko“. Legen Sie fest, welcher Stand gemeint ist, und verwenden Sie ihn in allen Berichten gleich. Mehr zur Abgrenzung im Eintrag Bruttorisiko und Nettorisiko.
Rechenbeispiel: zwei Maßnahmen, zwei Wirkungen
Beispiel (fiktiv): Versehentlich gelöschte Kundendaten unterbrechen einen Dienst und verursachen Wiederherstellungskosten. Angenommen wird höchstens ein solches Ereignis im kommenden Jahr. Die Zahlen in diesem Beispiel sind frei gewählt und dienen ausschließlich der Veranschaulichung.
| Stand | Eintrittswahrscheinlichkeit pro Jahr | Schaden je Ereignis | Erwarteter Jahresschaden |
|---|---|---|---|
| inhärent, ohne die beiden Maßnahmen | 20 % | 100.000 Euro | 20.000 Euro |
| aktuell: wiederherstellbare Datensicherung senkt den Schaden | 20 % | 30.000 Euro | 6.000 Euro |
| Restrisiko: engere Löschrechte senken zusätzlich die Wahrscheinlichkeit | 10 % | 30.000 Euro | 3.000 Euro |
Erwarteter Jahresschaden = Eintrittswahrscheinlichkeit × Schaden je Ereignis.
Die Datensicherung ändert den Schaden, nicht das Ereignis. Die engeren Rechte in der Zugriffskontrolle ändern die Wahrscheinlichkeit. Ein einziger Prozentwert für die „Wirksamkeit“ beider Maßnahmen würde diesen Unterschied verdecken.
Lohnt sich die geplante Maßnahme?
Die geplante Maßnahme senkt den erwarteten Jahresschaden von 6.000 auf 3.000 Euro, also um 3.000 Euro. Kostet ihr Betrieb 2.000 Euro im Jahr, bleibt ein Nutzen von 1.000 Euro.
Senkt sie die Wahrscheinlichkeit nur auf 15 % statt auf 10 %, beträgt der erwartete Schaden 4.500 Euro. Die Minderung von 1.500 Euro liegt dann 500 Euro unter den Kosten. Die Gewinnschwelle liegt bei rund 13,3 %: (6.000 − 2.000) ÷ 30.000. Die Entscheider beurteilen also, ob die engeren Löschrechte die Wahrscheinlichkeit verlässlich unter 13,3 % senken.
Begründen Sie jede Annahme: Vorfallhistorie und Umfang der betroffenen Tätigkeit für die Wahrscheinlichkeit, Ausfallzeit und Wiederherstellungsaufwand für den Schaden, geprüft etwa in einer Wiederherstellungsübung. Wo die Datenlage dünn ist, rechnen Sie eine Spanne. Der erwartete Schaden ist ein Durchschnitt, keine Obergrenze für einen einzelnen Vorfall.
Wie wird ein Restrisiko akzeptiert?
Akzeptiert ist ein Restrisiko, wenn die zuständige Stelle zugestimmt hat und die Entscheidung dokumentiert ist. Dazu gehören vier Angaben:
- ein benannter Risikoeigentümer mit Befugnis für den betroffenen Bereich;
- eine Schwellenregel, ab welcher Risikostufe die Geschäftsleitung entscheidet;
- eine Begründung mit den Annahmen, die bei der Entscheidung galten;
- ein Datum oder Anlass für die Wiedervorlage.
BSI-Standard 200-3 nennt beispielhaft drei Gründe, auch höhere Risiken zu akzeptieren:
- Die Gefährdung führt nur unter ganz speziellen Voraussetzungen zu einem Schaden.
- Wirksame Gegenmaßnahmen sind derzeit nicht bekannt.
- Aufwand und Kosten wirksamer Gegenmaßnahmen überschreiten den zu schützenden Wert.
Für den Vorstand ist die dokumentierte Freigabe zugleich ein Beleg, auf der Grundlage angemessener Information entschieden zu haben (§ 93 Abs. 1 Satz 2 AktG). Für Geschäftsführer einer GmbH verlangt § 43 Abs. 1 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes.
Bewerten Sie neu, wenn sich eine Annahme ändert: Bedrohungslage, Rechtslage, eine wegfallende Ausgleichsmaßnahme, ein Vorfall in einem vergleichbaren Bereich oder das System selbst. Nach Abschluss einer Maßnahme prüfen Sie ihre Wirksamkeit, bevor die geplante Minderung als erreicht gilt.
Drei Werte je Risikobewertung in Rizzqo
In Rizzqo führt jede Risikobewertung das inhärente, das aktuelle und das verbleibende Risiko als getrennte Werte. Jeder Wert entsteht aus Eintrittswahrscheinlichkeit in Prozent und Schadenshöhe in Euro; die Risikostufe liest eine konfigurierbare Risikomatrix ab.
Maßnahmen laufen als Aufgaben mit einer geplanten Minderung. Solange eine Aufgabe geplant ist, wird ihre Minderung reserviert und senkt nur das verbleibende Risiko. Mit dem Abschluss wird sie auf das aktuelle Risiko angerechnet, ein Abbruch gibt die Reservierung frei. Der Abstand zwischen aktuellem und verbleibendem Wert zeigt so, welcher Teil der Minderung noch aussteht.