Risikoanalyse im Mittelstand: So finden Sie die Risiken, die Ihr Geschäft wirklich bedrohen

Edouard Jacques

Managing Director, Cyber Culture

Offene IT-Themen gibt es in jedem Unternehmen: ein Server, der längst ersetzt sein sollte, ein Backup-Konzept, das nie aufgeschrieben wurde, mehr Administratorkonten als Administratoren. Was oft fehlt, ist die Antwort auf die Frage, die eine Geschäftsführung eigentlich stellt: Welche drei Dinge können uns ernsthaft schaden, und was tun wir dagegen? Genau diese Frage beantwortet eine Risikoanalyse. Dieser Artikel zeigt, wie sie im Mittelstand schlank abläuft, wer dabei sein muss, was am Ende auf dem Tisch liegt und mit welchem Aufwand Sie rechnen sollten.

Schwachstelle oder Risiko: der Unterschied

Eine Schwachstellenliste beschreibt Technik. Eine Risikoanalyse beschreibt, was dem Geschäft passieren kann. Ein ungepatchter Server ist eine Schwachstelle. Das Risiko ist, dass ein Angreifer darüber die Auftragsbearbeitung verschlüsselt und Sie zwei Wochen lang keine Lieferung fakturieren.

Bewerten kann das nur, wer das Geschäft kennt. Ob ein Ausfall der Warenwirtschaft nach einem Tag ärgerlich ist oder nach drei Tagen Kunden kostet, weiß der Vertrieb besser als der Administrator. Deshalb gehören an den Tisch: die Geschäftsführung, die Leitungen der wichtigsten Bereiche und die IT, ob intern oder beim Dienstleister. Eine Analyse, die die IT allein erstellt, kommt fast zwangsläufig als Technikliste zurück.

Warum das mehr ist als gute Praxis

Für Unternehmen, die unter NIS2 fallen, ist eine Risikoanalyse Pflicht. Das neue BSI-Gesetz gilt seit dem 6. Dezember 2025. Nach § 30 BSIG müssen wichtige und besonders wichtige Einrichtungen Risikomanagementmaßnahmen ergreifen, und die erste dort genannte Maßnahme sind Konzepte zur Risikoanalyse. § 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen, damit sie Risiken erkennen und bewerten kann. Ob Ihr Unternehmen betroffen ist, klären Sie mit dem NIS2-Check.

Wer nach ISO 27001 arbeitet oder eine Zertifizierung anstrebt, kommt ebenfalls nicht daran vorbei. Die Norm verlangt eine Risikobeurteilung als Grundlage für die Auswahl der Maßnahmen und ihre Wiederholung in geplanten Abständen und bei erheblichen Änderungen. Wie man das methodisch aufsetzt, beschreibt die ISO/IEC 27005:2022 als Leitfaden.

Und auch Versicherer interessieren sich dafür. Der Muster-Fragebogen des GDV für Cyberversicherungen fragt in der höchsten Risiko-Kategorie, ob Sie für Ihre besonders kritischen Systeme regelmäßig Risikoanalysen durchführen.

Der Ablauf in fünf Schritten

1. Kernprozesse und ihre Abhängigkeiten festlegen

Beginnen Sie mit fünf bis acht Geschäftsprozessen, ohne die Ihr Unternehmen kein Geld verdient: Angebot und Auftrag, Produktion oder Leistungserbringung, Einkauf, Versand, Rechnungsstellung, Lohnabrechnung. Für jeden Prozess halten Sie fest, welche Systeme, Daten und Dienstleister er braucht und wie lange er ausfallen darf, bevor es ernst wird. Diese Zeit ist die wichtigste Zahl der ganzen Analyse. Alles Weitere misst sich an ihr.

2. Mit Szenarien arbeiten statt mit Katalogen

Bedrohungskataloge mit Hunderten Einträgen ermüden, und am Ende steht eine Liste, die niemand priorisiert. Besser sind zehn bis fünfzehn konkrete Szenarien, die zu Ihrem Betrieb passen. Zum Beispiel:

• Ransomware verschlüsselt ERP und Dateiserver, die Datensicherung ist mitbetroffen.
• Eine gefälschte Zahlungsanweisung oder eine angeblich geänderte Bankverbindung eines Lieferanten wird ausgeführt.
• Der IT-Dienstleister oder ein zentraler Cloud-Dienst fällt für mehrere Tage aus.
• Kundendaten oder Konstruktionsunterlagen fließen über ein übernommenes E-Mail-Konto ab.
• Ein ausgeschiedener Mitarbeiter hat weiterhin Zugriff auf Systeme.
• Die Produktion steht, weil ein Fernwartungszugang missbraucht wurde.

3. In Tagen und Euro bewerten

Für jedes Szenario schätzen Sie Eintrittswahrscheinlichkeit und Auswirkung, jeweils in drei oder vier Stufen. Entscheidend ist, dass die Stufen vorher festgelegt sind. Eine Auswirkung „hoch" kann zum Beispiel heißen: mehr als drei Tage Stillstand eines Kernprozesses oder ein Schaden über einem Betrag, den Sie vorher bestimmen. Ohne solche Definitionen bewertet jeder nach Gefühl, und die Ergebnisse sind nicht vergleichbar.

Berücksichtigen Sie vorhandene Schutzmaßnahmen, aber nur die, die nachweislich funktionieren. Eine Datensicherung, deren Wiederherstellung nie getestet wurde, senkt das Risiko auf dem Papier, nicht im Ernstfall. Für die Schadenshöhe hilft ein erster Überschlag mit dem Schadenskalkulator, der Umsatzausfall, Personalkosten, Forensik und weitere Kosten eines Ausfalls zusammenrechnet.

4. Für jedes Risiko eine Entscheidung treffen

Es gibt vier Möglichkeiten. Sie verringern das Risiko durch Maßnahmen. Sie vermeiden es, indem Sie etwas nicht mehr tun, zum Beispiel einen ungeschützten Fernzugang abschalten. Sie übertragen es, etwa auf eine Versicherung oder vertraglich auf einen Dienstleister. Oder Sie akzeptieren es bewusst. Für NIS2-pflichtige Unternehmen setzt das Gesetz dabei Grenzen: Ein pauschaler Transfer auf eine Versicherung oder eine generelle Akzeptanz ersetzt nach Auffassung des BSI nicht die Mindestmaßnahmen aus § 30 BSIG.

Jede Maßnahme bekommt einen Verantwortlichen, einen Termin und ein Budget. Was als Restrisiko akzeptiert wird, entscheidet die Geschäftsführung und zeichnet es ab. Diese Entscheidung kann ihr niemand abnehmen, auch nicht die IT.

5. Regelmäßig wiederholen

Eine Risikoanalyse ist eine Momentaufnahme. Wiederholen Sie sie einmal im Jahr und zusätzlich bei größeren Veränderungen: ein neues ERP-System, der Umzug in die Cloud, ein Zukauf, ein neuer Standort, ein Wechsel des IT-Dienstleisters.

Was am Ende auf dem Tisch liegen sollte

Das Ergebnis muss so knapp sein, dass die Geschäftsführung es in einer Sitzung durchgehen kann. Bewährt hat sich eine Übersicht mit den zehn bis fünfzehn Szenarien, ihrer Bewertung und der getroffenen Entscheidung, die wichtigsten fünf davon auf einer Seite. Dazu kommt ein Maßnahmenplan mit Kosten, Verantwortlichen und Terminen und ein Protokoll, welche Restrisiken bewusst akzeptiert wurden.

Dieses Paket ist gleichzeitig ein Nachweis. Es zeigt einer Aufsichtsbehörde, einem Auditor, einem Versicherer oder einem großen Kunden, dass Sie Ihre Risiken kennen und steuern. Und es beantwortet intern die Frage, warum Budget in Maßnahme A fließt und nicht in Maßnahme B.

Aufwand und typische Stolpersteine

Als Richtwert für ein mittelständisches Unternehmen mit überschaubarer IT-Landschaft: Eine erste Risikoanalyse lässt sich in drei bis sechs Wochen erstellen. Den Kern bilden zwei bis drei Workshops von jeweils zwei bis drei Stunden. Dazwischen bereitet die moderierende Person die Ergebnisse vor und holt fehlende Informationen ein. Die Wiederholung im Folgejahr geht deutlich schneller, weil die Struktur steht.

Bewirkt eine Risikoanalyse am Ende nichts, liegt das meist nicht an der Methode, sondern an einem dieser Muster: Die Analyse wird an die IT delegiert und kommt als Technikliste zurück. Es werden 150 Zeilen bewertet, und am Ende gibt es keine Prioritäten. „Hoch" und „mittel" bleiben ohne Definition. Dienstleister und Lieferanten fehlen, obwohl der Betrieb an ihnen hängt. Maßnahmen haben keinen Namen und kein Datum. Oder das Ergebnis verschwindet im Ordner und wird nie wiederholt.

Der erste Schritt in Ihrem Unternehmen

Nehmen Sie sich eine Stunde mit der Person, die Ihre IT verantwortet, und beantworten Sie zwei Fragen. Welche fünf Prozesse dürfen wie lange ausfallen? Und wie lange würde es heute dauern, sie nach einem Angriff wieder zum Laufen zu bringen? Liegen die beiden Antworten weit auseinander, wissen Sie, wo Ihre Risikoanalyse anfangen muss.

Für kleinere Unternehmen mit weniger als 50 Beschäftigten ist der CyberRisikoCheck nach DIN SPEC 27076 ein strukturierter Einstieg. Fehlt Ihnen intern jemand, der die Analyse moderiert und danach am Laufen hält, kann ein externer Informationssicherheitsbeauftragter diese Rolle übernehmen.