Eine Risikoanalyse ist der strukturierte Prozess der Identifikation, Bewertung und Priorisierung von Risiken – potenzielle Ereignisse oder Bedingungen, die negative Auswirkungen auf Ziele, Systeme oder Prozesse haben könnten. Im IT-Sicherheitskontext werden dabei für jeden identifizierten Informationswert (Asset) mögliche Bedrohungen und Schwachstellen analysiert und nach Eintrittswahrscheinlichkeit und potenziellem Schaden bewertet. Das Ergebnis ist ein priorisiertes Bild der Risiken, das gezielte Schutzmaßnahmen ermöglicht.
Eine Risikoanalyse ist die Grundlage für rationale Sicherheitsinvestitionen: Ohne Risikoanalyse werden Sicherheitsmaßnahmen nach Bauchgefühl oder Hype priorisiert – mit Risikoanalyse nach tatsächlichem Risikopotenzial. ISO 27001 schreibt eine formale Risikoanalyse als Kernelement des ISMS vor. Auch die DSGVO verlangt bei bestimmten Verarbeitungen eine Datenschutz-Folgenabschätzung (DPIA), die auf einer Risikoanalyse basiert.
Die Risikomatrix: Eintrittswahrscheinlichkeit × Schadensausmaß
Risikomatrix (Eintrittswahrscheinlichkeit × Schaden)
Eintrittswahrscheinlichkeit
Niedrig
Mittel
Hoch
Hoch
Mittel
Hoch
Kritisch
Mittel
Niedrig
Mittel
Hoch
Niedrig
Minimal
Niedrig
Mittel
← Schadensausmaß →
Risikobewertung für Automatisierungsinfrastrukturen
- Assets identifizieren: n8n-Instanz, Datenbank, API-Keys, Kundendaten, Workflow-Konfigurationen – was hat Wert und braucht Schutz?
- Bedrohungen identifizieren: Für jeden Asset: welche Bedrohungen existieren? Angreifer, Datenverlust, Systemausfall, Insider-Fehler
- Schwachstellen bewerten: Welche Schwachstellen machen Assets anfällig für identifizierte Bedrohungen?
- Risiko berechnen: Eintrittswahrscheinlichkeit × Schadensausmaß = Risikostufe. In der Risikomatrix positionieren
- Maßnahmen definieren: Für jedes akzeptable Risiko: akzeptieren. Für inakzeptable Risiken: behandeln (Kontrollen einführen), transferieren (Versicherung) oder vermeiden
Praxisbeispiel
Ein Automationsdienstleister erstellt sein Risikoregister. Drei Auszüge: Risiko 1: Ransomware-Angriff auf Produktionssystem. Wahrscheinlichkeit: Mittel (Branche zunehmend angegriffen). Schaden: Hoch (Betriebsausfall, Datenverlust, Reputationsschaden). Risikostufe: Hoch. Maßnahmen: Offline-Backups, Netzwerksegmentierung, MFA, Endpoint-Protection. Risiko 2: Konfigurationsfehler löscht Kundendaten. Wahrscheinlichkeit: Niedrig (4-Augen-Prinzip, Testumgebung). Schaden: Hoch. Risikostufe: Mittel. Maßnahmen: Change-Management-Prozess, tägliche Backups. Risiko 3: DDoS auf n8n-Frontend. Wahrscheinlichkeit: Niedrig. Schaden: Niedrig (kurzer Ausfall). Risikostufe: Minimal. Maßnahmen: Akzeptiert, kein spezifisches DDoS-Schutz notwendig. Risikoregister enthält 34 Risiken, 6 davon als Hoch oder Kritisch eingestuft – diese erhalten Budget-Priorität.
