Zwischen Risikoregister und Risikointelligenz

Ein Standard kann einen Sicherheitsprozess ordnen, ohne die Zukunft hinreichend zu erklären. Genau an dieser Trennlinie setzt die Kritik am neuen BSI-Standard 300-1 an: Das Dokument schafft Regeln für die Risikobetrachtung – doch es bleibt auffällig unbestimmt, wie Unsicherheit, Schadensverteilungen, Abhängigkeiten und Frühwarnsignale tatsächlich in Entscheidungen übersetzt werden sollen.

Die Kehrseite der Digitalisierung hat in den vergangenen Jahren das IT- und OT-Risikomanagement aus der Komfortzone periodischer Bestandsaufnahmen herausgeführt. Wer heute die Sicherheitslage einer Institution bewerten will, muss zugleich Ransomware-Kampagnen, neue Schwachstellen, Cloud-Abhängigkeiten, kompromittierte Identitäten und den Einsatz künstlicher Intelligenz permanent monitoren. Die europäische Cybersicherheitsagentur ENISA beschreibt in ihrem Threat Landscape 2026 gerade die wachsende Verwundbarkeit vernetzter digitaler Ökosysteme und den zunehmenden Einsatz von KI durch Angreifer (ENISA 2026). Risiken ändern sich nicht zum Bilanzstichtag – und sie warten nicht auf das nächste Audit.

Vor diesem Hintergrund erscheint die erste anwendbare Fassung des BSI-Standards 300-1 "Methodik Grundschutz++", datiert auf den 20. Oktober 2026, zur rechten Zeit. Der Standard ist ausdrücklich zunächst auf erfahrene "Early Adopters" zugeschnitten. Er formuliert einen PDCA-orientierten Prozess von Erhebung und Planung über Anforderungsanalyse und Realisierung bis zur Überwachung und kontinuierlichen Verbesserung und orientiert sich damit an internationalen ISO-Standards. Die Verantwortung der Institutionsleitung, die Orientierung an Geschäftsprozessen, die Berücksichtigung von Risikoappetit sowie die Einbindung von Compliance und Monitoring sind zweifellos sinnvolle Bausteine (BSI 2026, S. 5–11 und 22–27).

Die Kritik beginnt daher nicht mit dem Vorwurf, das BSI habe Risikomanagement vergessen. Sie beginnt mit einer präziseren Frage: Reicht die methodische Substanz aus, damit Anwender aus den formalen Mindestkriterien belastbare Risikoaussagen und wirksame Entscheidungen ableiten können? Die Antwort fällt ernüchternd aus. Gerade dort, wo die methodischen Weichen gestellt werden müssten, findet sich oftmals die Aufforderung, etwas "festzulegen", "einzuschätzen" oder zu "kombinieren". Damit wird die entscheidende Schwierigkeit an die Anwender zurückgegeben. Und stehen ratlos da und suchen weiterhin Orientierung.

Einmal im Jahr? Warum der Kalender kein Frühwarnsystem ist

In Abschnitt 4.2.3 heißt es: "Die Risikobetrachtung wird mindestens jährlich sowie bei wesentlichen Änderungen überprüft und bei Bedarf aktualisiert." Anhang 3, Mindestkriterium 35, präzisiert, dass auch geplante oder eingetretene wesentliche Änderungen Anlass für eine Überprüfung sind (BSI 2026, S. 19 und 39). Die Hervorhebung des Kalenderintervalls ist methodisch unglücklich: Sie kann ein dokumentationsgetriebenes Verständnis fördern, bei dem die Risikolage turnusmäßig neu koloriert wird, statt sich aus laufend beobachteten Veränderungen zu ergeben (was im Zeitalter von KI und Data Analytics keine große Hürde ist).

Das Problem wird im Cyberraum besonders sichtbar. Eine neu veröffentlichte kritische Schwachstelle, ein kompromittierter Cloud-Dienstleister oder eine durch KI professionalisierte Angriffskampagne kann ein Geschäftsmodell innerhalb von Minuten, Stunden oder Tagen negativ beeinflussen oder gar zerstören. Eine Jahresbetrachtung bleibt hier allenfalls der formale Mindestanker; die operative Risikofrüherkennung muss ereignis- und indikatorgetrieben erfolgen. Die Geschwindigkeit des Frühwarnsystems ergibt sich aus der möglichen Wirkung des Signals – nicht aus einem für alle Risikotypen gleichen Prüfintervall.

Das in der Praxis weitestgehend unbekannte Stabilisierungs- und Restrukturierunggesetz verpflichtet daher in § 1 Abs. 1 StaRUG die Geschäftsleiter aller juristischen Personen, fortlaufend (!) über Entwicklungen zu wachen, welche den Fortbestand der juristischen Person gefährden können. Werden solche Entwicklungen erkannt, sind geeignete Gegenmaßnahmen und unverzügliche Berichterstattung vorgesehen. 

Der Leser des 300-1 bleibt ratlos zurück: Wann ist eine Änderung "wesentlich"? Ab welchem Hinweis auf eine kompromittierte Identität muss der Risikoeigentümer reagieren? Wer entscheidet innerhalb welchen Zeitfensters über zusätzliche Kontrollen, wenn ein Ereignis den Unternehmensfortbestand berühren könnte? Gerade hier wäre eine ausdrückliche Brücke vom Informationssicherheitsmanagement zur organisationsweiten Krisenfrüherkennung erforderlich. Für potenziell bestandsgefährdende Cyberrisiken darf "mindestens jährlich" niemals mit "ausreichend jährlich" verwechselt werden.

Methodenmonokultur im Risikomanagement?

Das erste Mindestkriterium in Anhang 3 lautet: "Für die Risikoidentifikation und die Risikobewertung ist ein einheitliches Verfahren zu verankern." In Kriterien 2 bis 4 wiederholt sich die Forderung nach einem einheitlichen und dokumentierten Vorgehen. Gleichzeitig lässt Abschnitt 2.11 den Anwendern die Wahl ihres Verfahrens und verweist ausdrücklich auf ISO/IEC 27005 und ISO 31000; Abschnitt 4.2.2 akzeptiert qualitative, quantitative und hybride Bewertungen (BSI 2026, S. 11, 19 und 36). Doch was ist mit "einheitlich" gemeint? "Einheitlich" kann sachgerecht die Verfahrensarchitektur meinen oder eine einzige Analysetechnik. Leider wird hier auch ein Blick in die ISO/IEC 27005 und ISO 31000 nicht helfen, denn dort findet man keine Aussagen zu Methoden des Risikomanagements. Hierfür müsste man in die ISO 31010:2019 (Risk management – Risk assessment techniques) schauen. Dieser Substandard widmet sich ausdrücklich der situationsgerechten Auswahl und Anwendung unterschiedlicher Techniken für ein Risk Assessment.

Gerade diese wohlwollende Auslegung müsste allerdings ausdrücklich im Mindestkriterium stehen. Denn die Risikoidentifikation ist keine standardisierbare Technik im Singular. In der Methodenlehre des Risikomanagements werden unter anderem Kollektionsmethoden, analytische Methoden und Kreativitätsmethoden unterschieden [vgl. Romeike 2018]. Workshops und strukturierte Interviews erschließen Expertenwissen; Incident- und Schadendatenanalysen machen Muster sichtbar; Ursache-Wirkungs-Modelle prüfen Wirkungszusammenhänge; Szenariotechniken öffnen den Blick für bisher nicht eingetretene Ereignisse. Die Techniken ergänzen einander, weil ihre Blindstellen verschieden sind.

Für ein wirksames IT-Risikomanagement dürfte gerade eine Kombination die Regel sein: Bow-Tie-Analysen zur kausalen Beschreibung eines Angriffsszenarios einschließlich präventiver und reaktiver Maßnahmen bzw. Barrieren; stochastische Methoden zur Modellierung von Ereignishäufigkeiten, Schadenschweren und aggregierten Jahresverlusten; Predictive Analytics für die Analyse komplexer, teils unstrukturierter Incidentdaten und die Erkennung neuer Muster. Ergänzend kommen beispielsweise Fault Tree Analysis, Bayesianische Netze, Szenarioanalyse, Red Teaming oder Threat Intelligence in Betracht. 
Eine methodische Monokultur im Risikomanagement wäre kontraproduktiv. Einheitlichkeit sollte die Vergleichbarkeit der Ergebnisse sichern, nicht die Verschiedenartigkeit der zugrunde liegenden Risiken ignorieren.

Bedrohungen, Schwachstellen oder Risikoszenarien

Mindestkriterium 10 verlangt: "Die methodische Grundlage für die Risikoidentifikation, beispielsweise Bedrohungen und Schwachstellen oder Risikoszenarien, ist festzulegen." Aus Anwendersicht wirft dieser Satz mehr Fragen auf, als er beantwortet. Handelt es sich um zwei alternative Verfahren? Sind Bedrohungen und Schwachstellen Unterformen einer Risikoidentifikation? Oder soll zwischen einem objektzentrierten und einem szenariozentrierten Zugang gewählt werden? Der Begriff "methodische Grundlage" bleibt ohne Beispiele, Entscheidungskriterien und Definition des erwarteten Ergebnisses vage (BSI 2026, S. 36).

Methodisch liegen die genannten Begriffe auf unterschiedlichen Erklärungsebenen. Eine Bedrohung bezeichnet eine potenzielle Ursache beziehungsweise Quelle einer Beeinträchtigung; eine Schwachstelle beschreibt eine ausnutzbare Verwundbarkeit oder begünstigende Bedingung; ein Risikoszenario verknüpft Ursache, auslösendes Ereignis, betroffene Werte, Kontrollwirkung und mögliche Konsequenzen. Es ist daher keine bloße Konkurrenz zwischen "Bedrohung und Schwachstelle" auf der einen und "Szenario" auf der anderen Seite. Die ersten beiden können wesentliche Bausteine des dritten sein.

Das lässt sich an einem zentralen Identitätsdienst veranschaulichen: Die Bedrohung geht von Angreifern aus, die sich unberechtigt Zugriff auf privilegierte Identitäten verschaffen wollen. Die Schwachstelle besteht in einer fehlerhaft abgesicherten administrativen Schnittstelle. Eine konkrete Gefährdung entsteht, wenn diese Bedrohung über die bestehende Schwachstelle auf den Identitätsdienst einwirken kann. Das Risikoszenario beschreibt die mögliche Kausalkette: Ein Angreifer übernimmt die privilegierte Identität eines zentralen Cloud-Dienstes, verändert Berechtigungen und unterbricht dadurch innerhalb weniger Stunden mehrere ertragskritische Geschäftsprozesse. Datenabfluss, Wiederanlaufkosten, Betriebsunterbrechungsschäden und Vertragsstrafen sind mögliche Folgen, die die Liquidität einer Organisation belasten.

Das Risiko ist jedoch weder mit der Bedrohung noch mit der Schwachstelle oder dem beschriebenen Szenario gleichzusetzen. Es beschreibt die unter Unsicherheit stehenden möglichen Auswirkungen des Szenarios auf die Erreichung der Ziele. Methodisch lässt sich dieses Risiko durch die Eintrittshäufigkeit beziehungsweise Eintrittswahrscheinlichkeit innerhalb eines definierten Betrachtungszeitraums und durch die Verteilung möglicher Schadensauswirkungen charakterisieren. Dabei sind unterschiedliche Schadensverläufe, Bandbreiten und gegebenenfalls Abhängigkeiten zu anderen Risikoszenarien zu berücksichtigen. Ein einzelner Punktwert oder eine Ampelfarbe kann diese Unsicherheit nicht angemessen abbilden (wie es der BSI-Standard 200-3 fälschlich unterstellt). Erst die Verbindung einer nachvollziehbaren Kausalkette mit einer fundierten Risikobewertung ermöglicht es, Gegenmaßnahmen hinsichtlich ihrer risikoreduzierenden Wirkung und Wirtschaftlichkeit zu beurteilen.

Für Praktiker sollte der Standard deshalb ein Mindestschema für Risikoszenarien und deren Bewertung bereitstellen: Zielbezug → Bedrohungsquelle/Auslöser → Exposition/Schwachstelle → vorhandene Barrieren bzw. Maßnahmen → Ereignis/Verlauf → betroffene Geschäftsprozesse → mögliche Zielabweichungen und Schadensdimensionen → Eintrittshäufigkeit/Wahrscheinlichkeit und Schadenverteilung → resultierendes Risiko → Unsicherheit, Abhängigkeiten und Nachweise. Dass NIST IR 8286A Rev. 1 (2025) die Dokumentation von Bedrohungs- und Schwachstellenszenarien im Kontext von Unternehmenszielen ausdrücklich betont, zeigt: Eine solche Präzisierung ist weder exotisch noch überambitioniert.

Ohne Bandbreite entsteht Scheingenauigkeit

Mindestkriterium 19 verlangt, die Schadensauswirkung anhand festgelegter Kriterien begründet einzuschätzen. Das ist ein richtiger Mindestgedanke – aber als Anleitung für eine risikogerechte Entscheidung zu schwach. Es fehlt der Hinweis auf die Unsicherheit zukünftiger Folgen. Wer einem Ransomware-Szenario eine singuläre Schadenssumme von 500.000 Euro zuordnet, beschreibt häufig weder die typische noch die existenzkritische Ausprägung des Ereignisses. Tatsächliche Schäden hängen von Dauer, lateraler Ausbreitung, Backup-Wiederherstellbarkeit, regulatorischen Folgen, Kundenreaktionen und Drittparteien ab. Sie sind vor Eintritt des Ereignisses keine bekannte Konstante. Wichtig: Ein Risiko ist niemals ein einzelner Punkt!

Für eine quantitative Betrachtung ist der Schaden deshalb grundsätzlich als Zufallsvariable oder geeignete Verteilung zu modellieren. Je nach Informationslage kommen empirische Häufigkeitsverteilungen, diskrete Szenariobäume, parametrische Dichtefunktionen oder expertengestützte Verteilungen infrage. Ein praktikabler Einstieg sind nachvollziehbare Bandbreiten und Quantile – etwa die plausible Untergrenze, ein Median und ein oberes Schadensquantil –, ergänzt um Annahmen zur Datenqualität. Bei qualitativen Voranalysen können zunächst transparent definierte Schadensklassen genügen; sie dürfen aber nicht als präzise monetäre Risikomessung ausgegeben werden.

Der DIIR-Revisionsstandard Nr. 2, Version 2.2 vom August 2026, formuliert die methodische Anforderung erheblich konkreter und praxisnah. Textziffer 60 verlangt bei der Quantifizierung eine nachvollziehbare Herleitung und beschreibt die im Eintrittsfall unsichere Auswirkung über eine Bandbreite und eine geeignete Wahrscheinlichkeitsverteilung. Textziffer 68 nennt Dichte- oder Verteilungsfunktionen, historische Häufigkeitsverteilungen und Stochastische Simulationen sowie die Verbindung einer Häufigkeits- mit einer Schadenshöhenverteilung (DIIR 2026, S. 17–19, Tz. 59–71).

Der DIIR-Text ist ein Prüfungsstandard für das unternehmensweite Risikomanagement, der BSI-Standard eine sektorübergreifende ISMS-Methodik; beide haben unterschiedliche Zwecke. Dennoch spricht wenig dagegen, im Grundschutz++ zumindest klarzustellen, wann eine qualitative Klasse ausreicht und wann die Bewertung eines materiellen oder potenziell existenzbedrohenden Szenarios eine Bandbreite beziehungsweise stochastische Quantifizierung benötigt. Sonst wird "begründet eingeschätzt" leicht zur fachlich unangreifbar klingenden Umschreibung einer Punktmeinung.

Warum das Wort "Kombination" nicht genügt

Anhang 3, Mindestkriterium 20, legt fest: "Das Risikoniveau ist aus der Kombination von Eintrittshäufigkeit und Schadensauswirkung festzulegen." Das klingt plausibel, bleibt aber in der entscheidenden Hinsicht offen: Was genau ist die Kombination – eine ordinal skalierte Heatmap, ein Produkt aus Klassenwerten, ein Erwartungswert, eine Jahresverlustverteilung oder eine simulationsgestützte Gesamtrisikoaussage? Zwischen diesen Verfahren liegen unterschiedliche Erkenntnisansprüche.

Bei einer üblichen Risikomatrix werden etwa "selten = 2" und "hoch = 4" multipliziert; das Ergebnis "8" sieht quantitativ aus, ist aber keineswegs zwangsläufig ein ökonomisch interpretierbares Risiko. Die Zahlen sind häufig ordinale Scorewerte, keine messbaren Häufigkeiten oder Geldbeträge. Ihre Multiplikation erzeugt keine Wahrscheinlichkeitsverteilung und bewahrt auch keine sachgerechten Rangfolgen. Cox (2008) und Gleißner/Romeike (2011) haben bereits seit Jahrzehnten auf die grundlegenden Grenzen von Risikomatrizen hingewiesen, darunter Rangumkehrungen, methodische Fehler und Informationsverluste. 

Ein mathematisch definierter quantitativer Ansatz betrachtet bei wiederholbaren Schadenereignissen typischerweise die zufällige Anzahl der Ereignisse N innerhalb eines Zeithorizonts T und die zufälligen Einzelschäden X₁, X₂, … . Die aggregierte Schadensumme ist dann:

S(T) = X₁ + X₂ + … + Xₙ, wobei n = N(T) zufällig ist.

Bei geeigneten Modellannahmen entsteht eine sog. Compoundverteilung: Eine Verteilung für die Ereignisanzahl wird mit einer Verteilung für die jeweilige Schadenshöhe verknüpft. Für wiederkehrende Vorfälle kann beispielsweise ein Compound-Poisson-Modell ein sinnvoller Ausgangspunkt sein. So werden nicht nur der Erwartungswert, sondern auch Schadensquantile, Überschreitungswahrscheinlichkeiten und Extrembelastungen erkennbar. Die Gleichung E[S(T)] = E[N(T)] × E[X] liefert unter den erforderlichen Unabhängigkeits- und identischen Verteilungsannahmen lediglich den erwarteten Verlust – nicht die gesamte Risikoverteilung.

Das lässt sich an zwei vereinfachten Szenarien illustrieren: Bei 20 kleinen Sicherheitsvorfällen pro Jahr mit jeweils 2.000 Euro Verlust ergeben sich erwartete Jahresverluste von 40.000 Euro. Bei einer im Modell angenommenen Ransomware-Rate von 0,02 Ereignissen pro Jahr und einem vereinfachend fixen Schaden von 2 Millionen Euro ergibt sich derselbe Erwartungswert von 40.000 Euro. Im zweiten Fall besteht bei angenommener Poisson-Häufigkeit aber eine Jahreswahrscheinlichkeit von rund 1,98 Prozent für mindestens ein derartiges Ereignis. Die Liquiditäts- und Fortbestandsrelevanz ist offenkundig eine andere. Gleicher Erwartungswert bedeutet nicht gleiches Risiko.

Die fachliche Präzisierung ist wichtig: Eine Compoundverteilung ist für frequenz- und schadenschwerebasierte Jahresverlustmodelle besonders geeignet, aber nicht die einzig methodisch korrekte quantitative Risikoanalyse. Ein singuläres binäres Ereignis kann ebenso über einen Bernoulli-Indikator mit bedingter Schadenverteilung, ein Entscheidungsbaum oder ein explizites Szenariomodell beschrieben werden. Bei Abhängigkeiten kommen gemeinsame Verteilungen, bedingte Modelle, Copulas oder andere geeignete stochastische Verfahren hinzu. Der Standard sollte deshalb nicht pauschal eine einzige Verteilungsfamilie fordern, sondern die mathematische Bedeutung des gewählten Risikomaßes und die Modellannahmen verbindlich klären.

Gefährdung, Bedrohung und Risiko

Der Standard widmet Anhang 4 den 47 elementaren Gefährdungen und formuliert: "Nach der BSI-Definition ist eine Gefährdung eine Bedrohung, die konkret über eine Schwachstelle auf ein Objekt einwirkt." Positiv ist die anschließende Feststellung, dass die elementare Gefährdung für sich genommen noch keine Aussage zur Eintrittswahrscheinlichkeit, zur Schadenhöhe oder zum Risiko einer konkreten Institution trifft (BSI 2026, S. 40). Umso auffälliger ist, dass der Standard keine systematische Begriffsbestimmung des Risikos selbst bietet.

Eine sinnvolle terminologische Ordnung könnte lauten: Bedrohung als potenzielle Quelle eines unerwünschten Ereignisses; Schwachstelle als Eigenschaft oder Bedingung, die dessen Eintritt beziehungsweise Wirkung begünstigt; Gefährdung im Sinne des BSI als konkret auf ein Objekt bezogener Wirkzusammenhang; Risikoevent als mögliches Ereignis; Risikoszenario als Kausal- und Wirkungsbeschreibung; Risiko als Unsicherheit über die Erreichung definierter Ziele, die durch Szenarien und deren Eintritts- und Wirkungsunsicherheit operationalisiert wird. Letztere Formulierung knüpft an die zielbezogene Risikoauffassung der ISO 31000:2018 und an die Definition im DIIR-Revisionsstandard Nr. 2, Tz. 19, an. 

Auch die Systematik der 47 Gefährdungen ist nicht in jeder Position trennscharf. "Feuer" (G 0.1) beschreibt ein Ereignis, "Software-Schwachstellen oder -Fehler" (G 0.28) vereint Verwundbarkeit und Fehlerursache, "Datenverlust" (G 0.45) eher eine mögliche Konsequenz. Eine Taxonomie mit expliziten Kategorien für Ursachen, Ereignisse, Schwachstellen, Barrieren/Maßnahmen und Wirkungen – etwa basierend auf einer Bow-Tie-Analyse – wäre methodisch deutlich belastbarer.

Problematisch wirkt zudem die Formulierung, hypothetische Gefahren ohne klaren Praxisbezug würden bewusst ausgeschlossen (BSI 2026, S. 40). Selbstverständlich soll kein Risikomanagement beliebige Science-Fiction-Szenarien katalogisieren. Aber gerade für neuartige Angriffsmuster, KI-Agentensysteme und bisher nicht beobachtete Kombinationen fehlt naturgemäß die historische Fallzahl. Seltenheit oder Neuartigkeit darf nicht mit Unplausibilität gleichgesetzt werden. Wer Risiken nur deshalb ausschließt, weil sie noch nicht in der eigenen (historischen) Ereignisdatenbank stehen, verwechselt Erfahrungswissen mit einem vollständigen Modell der Zukunft. Auch für das "Lernen aus der Zukunft" bietet die Werkzeugkiste des Risikomanagements vielfältige Ansätze (bspw. aus dem Bereich Szenarioanalyse bzw. Strategic Foresight).

Weitere methodische Schwächen

Normal oder hoch: Eine Schutzbedarfsschwelle ist noch kein Risikomaß

Der Standard sieht zunächst die Schutzbedarfskategorien "Normal" und "Hoch" vor; zusätzliche Kategorien sind optional. Bei normalem Schutzbedarf soll die vom BSI vorausgedachte implizite Risikobetrachtung genügen. Für hohen Schutzbedarf, unzureichend abgedeckte Assets und dauerhaft nicht erfüllte SOLLTE-Anforderungen ist eine explizite Risikobetrachtung vorgesehen (BSI 2026, S. 8–11 und 38–39). Dieser Ansatz ist methodisch nicht risikoneutral. Denn ein zunächst normal erscheinender Prozess kann durch Kumul- oder Dominoeffekte existenzrelevant werden. Eine Vielzahl scheinbar unkritischer Einzelprozesse kann denselben Identity-Provider, dieselbe Cloud-Region oder dieselbe Datenintegritätsfunktion nutzen. Ein risikobasierter Ausnahmetest müsste solche gemeinsamen Abhängigkeiten explizit berücksichtigen – unabhängig von der anfänglichen Schutzbedarfsklasse.

Mindestanforderungen für das Risikoregister unzureichend

Mindestkriterium 15 verlangt unter anderem Risiko-ID, Untersuchungsobjekt, Beschreibung, betroffene Schutzziele, Risikoniveau und Risikoeigentümer sowie bei zu behandelnden Risiken Priorität, Behandlungsoption und Maßnahmenbezug. Das ist ein notwendiger Datensatz, aber für eine analytisch belastbare Risikolage unvollständig (BSI 2026, S. 37). Nicht als Mindestangaben gefordert werden Zeithorizont, Ereignis- und Schadenannahmen, Datenquelle und Evidenzniveau, Modellversion, wesentliche Abhängigkeiten, Signale zur Neubewertung, Status-Quo-/Ziel-Risiko, Quantile, Aktualisierungszeitpunkt und dokumentierte Entscheidungsbegründung. NIST IR 8286A und 8286C (jeweils Revision 1, Dezember 2025) zeigen, wie Cyber-Risikoinformationen detaillierter beschrieben und für die Unternehmenssteuerung zusammengeführt werden können.

Einzelrisiken ergeben noch keinen Gesamtrisikoumfang

Der Standard sieht die Abbildung von Asset-Abhängigkeiten vor, bei hohem Schutzbedarf ausdrücklich auch entlang der Ressourcenpfade (BSI 2026, S. 13–14). Der Schritt von der strukturellen Abhängigkeit zur stochastischen Abhängigkeit von Schäden bleibt jedoch unterbestimmt. Gleichzeitige Ausfälle, dieselbe Angriffsursache, positive Korrelationen oder gemeinsam genutzte Dienstleister können die Verteilung des Gesamtschadens massiv verändern. Eine Addition von Risikostufen ist hierfür ebenso wenig geeignet wie eine bloße Sortierung des Registers. Gerade für die Früherkennung von Bestandsgefährdungen sind Aggregation und Tragfähigkeitsvergleich zentral (DIIR 2026, Tz. 24–25 sowie 59–71).

Wirksamkeit messen: Der Standard lässt zentrale Fragen offen

Abschnitt 5.1 benennt ausdrücklich, dass einheitliche Vorgaben zur Leistungsbewertung im Grundschutz++ noch ausstehen (BSI 2026, S. 22). Dabei ist die Wirksamkeit von Maßnahmen die Brücke zwischen Compliance und Risiko. Die Frage "Ist die Kontrolle umgesetzt?" ist nicht identisch mit "Wie verändert die Kontrolle die Wahrscheinlichkeit eines Schadens und seine mögliche Schwere?". Ein Patch-Prozess kann formal existieren und dennoch bei kritischen Internet-Assets zu langsam sein. Ein Backup kann erfolgreich erstellt, im Ernstfall aber nicht wiederherstellbar sein. Erforderlich wären klare Kriterien für Kontrollwirksamkeit, Evidenz, Wirksamkeitstests, Datenqualität und Modellvalidierung.

Risikoappetit ohne messbare Tragfähigkeit bleibt eine Leerformel

Der Risikoappetit soll festgelegt und mit Risikoakzeptanzkriterien verknüpft werden. Wie daraus konsistente Schwellen für liquiditätskritische, datenschutzrechtliche, operative oder reputationsbezogene Risiken entstehen, erklärt der Text kaum. Besonders bei gravierenden Cybervorfällen braucht das Management einen Bezug zu Risikotragfähigkeit, Wiederanlaufzeit, verfügbaren Liquiditätsreserven und Verlustschwellen. Auch die Autorisierung sämtlicher Restrisiken durch die Institutionsleitung (BSI 2026, S. 19 und 38) benötigt risikobasierte Entscheidungsinformationen. Ohne nachvollziehbare Risikoreduktion wird eine Unterschrift auf dem Restrisikobogen leicht zur Routine, nicht zur qualifizierten Risikoentscheidung.

Risikobehandlung ist keine Kosten-Nutzen-Analyse

Anhang 3 nennt Risikoreduktion, Risikovermeidung, Risikotransfer und Risikoakzeptanz. Welche Alternative unter gegebenem Budget und Sicherheitsziel vorzugswürdig ist, bleibt offen (BSI 2026, S. 38). Ein wirtschaftlich fundierter Vergleich sollte mindestens Ausgangsrisiko, erwartete und extreme Verluste nach Maßnahmen, Implementierungs- und Folgekosten, Umsetzungszeit, Wirksamkeitsunsicherheit und mögliche Nebenwirkungen umfassen. Der Standard sollte stärker auf die Entscheidungsqualität als auf die Vollständigkeit einer Maßnahmenliste zielen. So existieren in der Praxis fundierte Methoden, beispielsweise methodisch fundierte Sensitivitätsanalysen, die eine Priorisierung von Maßnahmen in einer Welt knapper Ressourcen unterstützen würde. 

Fazit: Entscheidend ist die Wirksamkeit des Risikomanagements

Mit dem BSI-Standard 300-1 und der Methodik Grundschutz++ wird der Versuch unternommen, das Informationssicherheitsmanagement stärker zu systematisieren, zu vereinfachen und für unterschiedliche Organisationen handhabbar zu machen. Die Orientierung an Geschäftsprozessen, die Verknüpfung von Assets mit Sicherheitsanforderungen sowie die Festlegung organisatorischer Verantwortlichkeiten sind grundsätzlich sinnvoll. 

Genau an diesem Anspruch muss sich der BSI-Standard 300-1 messen lassen. Denn das Ziel eines wirksamen IT-Risikomanagements besteht nicht darin, ein formal vollständiges Risikoregister zu führen, Risikomatrizen mit Ampelfarben zu befüllen oder die Erfüllung abstrakter Anforderungen zu dokumentieren. Entscheidend ist vielmehr, ob das Risikomanagement relevante Unsicherheiten transparent macht, kritische Entwicklungen rechtzeitig erkennt, Handlungsalternativen fundiert bewertet und Entscheidungsträgern belastbare Informationen zur Verfügung stellt. 

Hier zeigt der neue BSI-Standard erhebliche methodische Schwächen. Zentrale Begriffe wie Risiko, Bedrohung, Gefährdung und Risikoszenario werden nicht hinreichend systematisch definiert und voneinander abgegrenzt. Die Anforderungen an Risikoidentifikation und Risikobewertung bleiben vielfach abstrakt und lassen wesentliche methodische Fragen unbeantwortet. Was bedeutet ein "einheitliches Verfahren", wenn je nach Fragestellung völlig unterschiedliche Methoden benötigt werden? Wie ist die geforderte "Kombination" von Eintrittshäufigkeit und Schadensauswirkung konkret vorzunehmen? Wie sollen Unsicherheiten, Schadensbandbreiten und stochastische Abhängigkeiten berücksichtigt werden? Und wie lassen sich aus den Ergebnissen nachvollziehbare Entscheidungen über wirtschaftlich sinnvolle Sicherheitsmaßnahmen ableiten?

Dazu gehören beispielsweise Bow-Tie-Analysen zur strukturierten Beschreibung von Risikoszenarien, stochastische Verfahren zur quantitativen Bewertung von Schadenverteilungen und Risikoaggregation sowie datenanalytische Methoden zur Identifikation von Mustern, Anomalien und Frühwarnindikatoren. Ein methodisch fundiertes Risikomanagement benötigt keinen einheitlichen Methodenapparat, sondern einen konsistenten Rahmen, innerhalb dessen unterschiedliche Methoden zielgerichtet kombiniert werden können.

Besonders kritisch ist zudem, dass die Methodik den Übergang von der Identifikation einzelner Risiken zur Bewertung des Gesamtrisikoumfangs und zur Unterstützung konkreter Entscheidungen nur unzureichend operationalisiert. Gerade im Bereich der Informationssicherheit können sich Risiken durch gemeinsame Ursachen, technische Abhängigkeiten und Kaskadeneffekte gegenseitig verstärken. Die isolierte Bewertung einzelner Risikoszenarien reicht deshalb häufig nicht aus. Ebenso wenig genügt eine mindestens jährliche Überprüfung der Risikobetrachtung, wenn sich kritische Cyberbedrohungen, Schwachstellen und Angriffsmuster innerhalb weniger Tage verändern können. Zwar sieht der Standard ergänzend anlassbezogene Überprüfungen und Verfahren zur Erkennung neuer Bedrohungen vor. Wie daraus ein wirksames, kontinuierliches und mit den Unternehmenszielen verknüpftes Frühwarnsystem entstehen soll, bleibt jedoch weitgehend der Interpretation der Anwender überlassen.

Dass eine stärkere Entscheidungsorientierung möglich und notwendig ist, zeigt der DIIR-Revisionsstandard Nr. 2 in der Version 2.2 vom August 2026. Dieser stellt ausdrücklich die Wirksamkeit und entscheidungsorientierte Ausrichtung des Risikomanagements in den Mittelpunkt. Insbesondere bei wesentlichen unternehmerischen Entscheidungen sind Chancen und Gefahren systematisch zu berücksichtigen und die Auswirkungen auf den Gesamtrisikoumfang zu analysieren. Damit verschiebt sich der Fokus von der bloßen Existenz eines Risikomanagementprozesses auf seinen tatsächlichen Beitrag zur Fundierung unternehmerischer Entscheidungen. Auch wenn der DIIR-Revisionsstandard einen anderen Anwendungszweck verfolgt, liefert er damit einen wichtigen Maßstab für die Weiterentwicklung des IT-Risikomanagements.

Für den BSI-Standard 300-1 bedeutet dies: Ein wirksames Informationssicherheitsmanagement muss nicht nur beantworten, welche Anforderungen erfüllt sind und welche Risiken bestehen. Es muss darüber hinaus aufzeigen, welche Entscheidungen unter Unsicherheit zu treffen sind, welche Handlungsalternativen zur Verfügung stehen, wie diese den Risikoumfang verändern und welche Maßnahmen unter Berücksichtigung von Kosten, Nutzen und Wirksamkeit vorzuziehen sind. Erst dadurch wird aus einer formalisierten Sicherheitsverwaltung ein entscheidungsorientiertes Managementsystem, das einen messbaren Beitrag zur Resilienz und zur Erreichung der Unternehmensziele leistet.

Der BSI-Standard 300-1 bietet hierfür einen organisatorischen Rahmen, bleibt aber insbesondere bei der methodischen Konkretisierung hinter seinen Möglichkeiten zurück. Präzisere Begriffsdefinitionen, konkrete Methodenempfehlungen, eine stärkere Berücksichtigung quantitativer Risikobewertungen und stochastischer Abhängigkeiten sowie eine konsequente Verknüpfung von Risikoinformationen mit unternehmerischen Entscheidungen würden seinen praktischen Nutzen erheblich steigern.

Quellenverzeichnis und weiterführende Literaturhinweise:

• BSI (2026). BSI-Standard 300-1: Methodik Grundschutz++. Version 1.0, 20.10.2026, Bundesamt für Sicherheit in der Informationstechnik, Bonn 2026.
• Cox, L. A. Jr. (2008). What’s Wrong with Risk Matrices? Risk Analysis, 28(2), 497–512. DOI: 10.1111/j.1539-6924.2008.01030.x.  
• DIIR – Deutsches Institut für Interne Revision e. V. (2026). DIIR-Revisionsstandard Nr. 2: Prüfung des Risikomanagementsystems durch die Interne Revision. Version 2.2, August 2026.
• ENISA (2026). ENISA Threat Landscape 2026. Europäische Agentur für Cybersicherheit, 22.09.2026. 
• Gleißner, W. / Romeike, F. (2011): Die größte anzunehmende Dummheit im Risikomanagement - Berechnung der Summe von Schadenserwartungswerten als Maß für den Gesamtrisikoumfang, in: Risk, Compliance & Audit (RC&A), 01/2011, S. 21-26.
• IEC (2019). IEC 31010:2019: Risk management – Risk assessment techniques. 2. Auflage, Genf 2019. 
• ISO (2018). ISO 31000:2018: Risk management – Guidelines. Genf: International Organization for Standardization, Genf 2018.  
• ISO/IEC (2022). ISO/IEC 27005:2022: Information security, cybersecurity and privacy protection – Guidance on managing information security risks. Genf 2022. 
• Kaplan, S.; Garrick, B. J. (1981). On the Quantitative Definition of Risk. Risk Analysis, 1(1), 11–27. DOI: 10.1111/j.1539-6924.1981.tb01350.x.
• NIST (2025a). NIST IR 8286A Rev. 1: Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management. Dezember 2025. DOI: 10.6028/NIST.IR.8286Ar1. 
• NIST (2025b). NIST IR 8286C Rev. 1: Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight. Dezember 2025. DOI: 10.6028/NIST.IR.8286Cr1. 
• Romeike, F. (2018). Risikomanagement. Reihe Studienwissen kompakt. Berlin/Heidelberg: Springer. ISBN 978-3-658-13951-3.
• Romeike, Frank / Wieczorek, Gabriele (2026): Data Analytics im Risikomanagement - Descriptive Analytics - Diagnostic Analytics - Predictive Analytics. Springer Gabler, Wiesbaden. Clusteranalyse: S. 151-235. DOI: 10.1007/978-3-658-48843-7.