So führen Sie eine ISO 27001-Risikobewertung mit KI durch

Übersicht

Sie erfahren, wie Sie KI nutzen können, um eine umfassende ISO 27001-Risikobewertung durchzuführen – von der Identifizierung von Informationswerten über die Berechnung von Risikowerten bis hin zur Entwicklung von Behandlungsplänen, die direkt auf die Annex-A-Kontrollen abgestimmt sind.

Für wen dies gedacht ist

Dieser Leitfaden richtet sich an:

• Sicherheitsexperten, die ihre erste ISO 27001-Risikobewertung durchführen

• Risikomanager, die von anderen Frameworks zu ISO 27001 wechseln

• Berater, die Risikobewertungen für mehrere Kunden verwalten

• Organisationen, die mit der Komplexität traditioneller Risikobewertungen kämpfen

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie:

• Den Leitfaden Erste Schritte bei der ISO 27001-Implementierung mit KI abgeschlossen haben

• Den ISMS-Geltungsbereich und die Risikomethodik definiert haben

• Ihren ISO 27001-Arbeitsbereich in ISMS Copilot erstellt haben

• Wichtige Stakeholder und Risikoeigentümer abteilungsübergreifend identifiziert haben

• Zugriff auf Systemdokumentationen, Netzwerkdiagramme und Datenflusspläne haben

Bevor Sie beginnen

Planen Sie ausreichend Zeit für die Risikobewertung ein:

• Kleine Organisationen (20–50 Mitarbeiter): 2–3 Wochen

• Mittelgroße Organisationen (100–500 Mitarbeiter): 4–6 Wochen

• Große Organisationen (500+ Mitarbeiter): 8–12 Wochen

ISO 27001-Anforderungen an die Risikobewertung verstehen

Was die ISO 27001-Risikobewertung besonders macht

Im Gegensatz zu anderen Sicherheits-Frameworks erfordert ISO 27001 einen risikobasierten Ansatz, bei dem:

• Kontrollen durch Risiken gerechtfertigt werden: Sie können nicht einfach alle 93 Annex-A-Kontrollen implementieren – jede muss adressierte Risiken abdecken

• Die Risikoappetit Entscheidungen leitet: Ihre Organisation definiert, welches Risikoniveau akzeptabel ist

• Asset-zentrierter Fokus: Risiken werden basierend auf Bedrohungen für spezifische Informationswerte bewertet

• Kontinuierlicher Prozess: Die Risikobewertung muss regelmäßig wiederholt werden, nicht nur für die Zertifizierung

Die fünf Kernkomponenten

Schritt 1: Erstellen Sie Ihr Inventar an Informationswerten

Warum die Asset-Identifizierung an erster Stelle steht

Sie können Risiken nicht bewerten, ohne zu wissen, was Sie schützen. ISO 27001 erfordert die Identifizierung und Dokumentierung aller Informationswerte innerhalb Ihres ISMS-Geltungsbereichs, einschließlich:

• Informationswerte: Kundendaten, Mitarbeiterakten, geistiges Eigentum, Finanzdaten, Verträge

• Software-Assets: Anwendungen, Datenbanken, Betriebssysteme, Sicherheitstools, Cloud-Dienste

• Physische Assets: Server, Workstations, Netzwerkgeräte, Speichermedien, Mobilgeräte

• Dienstleistungen: Cloud-Infrastruktur, Managed Services, Internetverbindung, Drittanbieter-Plattformen

• Personen: Mitarbeiter, Auftragnehmer, Administratoren mit privilegiertem Zugriff

KI zur Beschleunigung der Asset-Erkennung nutzen

In Ihrem ISO 27001-Arbeitsbereich:

1. Asset-Kategorien für Ihre Branche generieren:

   "Erstelle eine Vorlage für ein Inventar von Informationswerten für ein Unternehmen in [Branche] mit [Beschreibung]. Beziehe Kategorien für: Daten-Assets, Anwendungssysteme, Infrastruktur, Drittanbieter-Dienste und Personal ein. Gib für jede Kategorie relevante Beispiele an."

2. Vorhandene Dokumentation hochladen: Wenn Sie Netzwerkdiagramme, Systemarchitekturdokumente oder Datenflusspläne haben, laden Sie diese hoch und fragen Sie:

   "Analysiere dieses Architekturdiagramm und identifiziere alle Informationswerte, die in unser ISO 27001 Asset-Inventar aufgenommen werden sollten. Schlage für jedes Asset einen Eigentümer und eine Klassifizierungsebene vor."

3. Asset-Eigentümer identifizieren:

   "Wer sollte für jeden Asset-Typ in einer [Unternehmensbeschreibung] der Asset-Eigentümer sein? Definiere Kriterien für die Zuweisung der Eigentümerschaft basierend auf Geschäftsfunktion, technischer Verantwortung und Rechenschaftspflicht für Sicherheit."

4. Klassifizierungskriterien erstellen:

   "Definiere Informationsklassifizierungsebenen (Öffentlich, Intern, Vertraulich, Streng vertraulich) für ISO 27001. Gib für jede Ebene an: Definition, Beispiele, Handhabungsanforderungen und Folgen unbefugter Offenlegung."

Struktur des Asset-Inventars

Bitten Sie ISMS Copilot, eine umfassende Vorlage zu erstellen:

"Generiere eine Struktur für eine Asset-Inventar-Tabelle mit Spalten für: Asset-ID, Asset-Name, Asset-Typ, Beschreibung, Eigentümer, Standort, Klassifizierung, Abhängigkeiten, Kritikalitätsbewertung. Füge 10 Beispieleinträge für eine SaaS-Plattform hinzu."

Erwartete Struktur:

Schritt 2: Bedrohungen und Schwachstellen identifizieren

Die Bedrohungslandschaft verstehen

Für jedes Asset müssen Sie realistische Bedrohungen und ausnutzbare Schwachstellen identifizieren. Gängige Bedrohungskategorien sind:

• Cyber-Bedrohungen: Malware, Ransomware, Phishing, DDoS-Angriffe, SQL-Injektion

• Menschliches Versagen: Versehentliches Löschen, Fehlkonfiguration, unsachgemäße Zugriffsberechtigungen

• Insider-Bedrohungen: Böswillige Mitarbeiter, Privilegienmissbrauch, Datendiebstahl

• Systemausfälle: Hardwarefehler, Softwarefehler, Netzausfälle

• Drittanbieter-Risiken: Verstöße bei Anbietern, Supply-Chain-Angriffe, Dienstunterbrechungen

• Physische Bedrohungen: Diebstahl, Naturkatastrophen, unbefugter Zutritt zu Einrichtungen

KI für die Bedrohungs- und Schwachstellenanalyse nutzen

1. Bedrohungsszenarien nach Asset generieren:

   "Identifiziere für eine Kundendatenbank mit PII in einer Cloud-gehosteten SaaS-Anwendung realistische Bedrohungen unter Berücksichtigung von: Cyberangriffen, Insider-Bedrohungen, Systemausfällen, Drittanbieter-Risiken und regulatorischer Compliance. Beschreibe für jede Bedrohung das Szenario und die potenziellen Auswirkungen."

2. Technologie-spezifische Schwachstellen identifizieren:

   "Was sind häufige Schwachstellen in [Ihrem Tech-Stack, z. B. 'AWS-gehostete PostgreSQL-Datenbanken mit Web-Anwendungs-Frontend']? Berücksichtige: Konfigurationsschwächen, Lücken in der Zugriffskontrolle, Verschlüsselungsprobleme und Herausforderungen beim Patch-Management."

3. Branchenspezifische Bedrohungen analysieren:

   "Welche Informationssicherheitsbedrohungen sind für [Ihre Branche, z. B. 'Fintech-Unternehmen, die Zahlungsdaten verarbeiten'] am relevantesten? Berücksichtige regulatorische Risiken, Konkurrenzausspähung und sektorspezifische Angriffsmuster."

4. Drittanbieter-Risiken bewerten:

   "Erstelle eine Risikobewertung für Drittanbieter für unsere wichtigsten Dienstleister: [Liste der Anbieter und Dienste]. Identifiziere für jeden Risiken in Bezug auf: Datenzugriff, Serviceverfügbarkeit, Sicherheitsvorfälle und Compliance-Verstöße."

Schritt 3: Risikowerte berechnen

Anwendung Ihrer Risikomethodik

Anhand der Methodik, die Sie im Leitfaden „Erste Schritte“ definiert haben, berechnen Sie nun die Risikowerte für jedes Bedrohungs-Schwachstellen-Paar.

Die Standardformel lautet:

Risikowert = Wahrscheinlichkeit × Auswirkung

Wobei beide Faktoren auf Ihrer definierten Skala (typischerweise 1–5 oder 1–10) bewertet werden.

Wahrscheinlichkeit mit KI definieren

Bitten Sie ISMS Copilot, die Wahrscheinlichkeit zu bewerten:

"Bewerte für die Bedrohung '[spezifische Bedrohung]', die '[spezifische Schwachstelle]' in unserem [Asset-Beschreibung] ausnutzt, die Wahrscheinlichkeit auf einer Skala von 1–5 unter Berücksichtigung von: unseren bestehenden Kontrollen (liste sie auf), Fähigkeiten der Angreifer, historischen Vorfällen in unserer Branche und der aktuellen Sicherheitslage."

Beispiel-Prompt:

"Bewerte für die Bedrohung 'Ransomware-Angriff via Phishing-E-Mail', die 'unzureichendes Sicherheitsbewusstsein der Mitarbeiter' in unserem SaaS-Unternehmen mit 50 Mitarbeitern ausnutzt, die Wahrscheinlichkeit (1–5) unter Berücksichtigung von: Wir haben einfache E-Mail-Filterung, kein Sicherheitstraining und Mitarbeiter im Homeoffice. Im Gesundheitssektor gab es einen Anstieg der Ransomware-Angriffe um 40 %."

Auswirkungen mit KI bewerten

Bitten Sie ISMS Copilot, die Konsequenzen zu bewerten:

"Bewerte für das Risiko '[Bedrohung] für [Asset]' die Auswirkungen auf einer Skala von 1–5 unter Berücksichtigung von: finanziellem Verlust (Umsatz, Bußgelder, Wiederherstellungskosten), betrieblicher Unterbrechung (Ausfallzeiten, Serviceverschlechterung), regulatorischen Folgen (DSGVO-Strafen) und Reputationsschäden (Kundenvertrauen, Marktposition)."

Risikostufen kategorisieren

Generieren Sie Ihre Risikomatrix:

"Erstelle eine 5x5-Risikomatrix für ISO 27001, in der Wahrscheinlichkeit und Auswirkung jeweils mit 1–5 bewertet werden. Farbkodiere die Zellen als: Niedrig (grün, Werte 1–6), Mittel (gelb, Werte 8–12), Hoch (orange, Werte 15–20), Kritisch (rot, Wert 25). Zeige auf, welche Risiken eine sofortige Behandlung erfordern vs. Überwachung."

Typische Schwellenwerte:

• Kritisch (20–25): Sofortige Behandlung erforderlich, Eskalation an die Geschäftsführung

• Hoch (15–19): Behandlungsplan innerhalb von 30 Tagen

• Mittel (8–14): Behandlungsplan innerhalb von 90 Tagen oder Akzeptanz mit Begründung

• Niedrig (1–7): Akzeptieren oder überwachen, Entscheidung dokumentieren

Schritt 4: Risikobehandlungspläne entwickeln

Die vier Behandlungsoptionen

Für jedes Risiko erfordert ISO 27001 die Auswahl einer von vier Behandlungsoptionen:

1. Mindern (Mitigate): Kontrollen implementieren, um Wahrscheinlichkeit oder Auswirkung zu verringern (am häufigsten)

2. Vermeiden (Avoid): Die Tätigkeit einstellen, die das Risiko verursacht

3. Übertragen (Transfer): Risiko durch Versicherung oder Outsourcing teilen

4. Akzeptieren (Accept): Anerkennen und überwachen (erfordert Genehmigung durch das Management)

KI zum Entwurf von Behandlungsstrategien nutzen

1. Minderungsoptionen generieren:

   "Schlage für das Risiko '[Risikobeschreibung]' mit dem Wert [X] ISO 27001 Annex-A-Kontrollen vor, die dieses Risiko effektiv mindern würden. Erkläre für jede Kontrolle: wie sie die Wahrscheinlichkeit oder Auswirkung reduziert, den Implementierungsansatz, geschätzte Kosten/Aufwand und das erwartete Restrisiko."

2. Kosteneffizienz der Kontrollen bewerten:

   "Vergleiche Behandlungsoptionen für '[Risiko]': Option A – MFA und SIEM implementieren (50.000 €), Option B – verbessertes Mitarbeitertraining (10.000 €), Option C – Cyber-Versicherung (20.000 € jährlich). Empfiehl den kosteneffizientesten Ansatz unter Berücksichtigung unseres Risikoappetits und der Budgetbeschränkungen."

3. Behandlungspläne erstellen:

   "Generiere eine Vorlage für einen Risikobehandlungsplan für ISO 27001 mit Spalten für: Risiko-ID, Risikobeschreibung, aktueller Wert, Behandlungsoption, ausgewählte Kontrollen, Verantwortlicher für die Umsetzung, Zieldatum, erwartetes Restrisiko, Genehmigungsstatus. Füge 5 Beispieleinträge hinzu."

Schritt 5: Risiken auf Annex-A-Kontrollen abbilden

Warum das Control Mapping wichtig ist

Ihre Erklärung zur Anwendbarkeit (SoA) muss belegen, dass die ausgewählten Kontrollen durch identifizierte Risiken gerechtfertigt sind. Dies schafft den Audit-Trail:

Asset → Bedrohung → Schwachstelle → Risiko → Behandlung → Kontrolle(n)

KI für das Control Mapping nutzen

Für jedes hohe oder kritische Risiko:

"Welche ISO 27001:2022 Annex-A-Kontrollen adressieren das Risiko '[Risikobeschreibung]'? Erkläre für jede relevante Kontrolle: das spezifische Kontrollziel, wie es das Risiko mindert, Implementierungsanforderungen und die zum Nachweis der Compliance erforderlichen Beweise."

Beispiel:

Risiko: Unbefugter Zugriff auf Kundendatenbank (Wert: 20 – Kritisch)

Die KI-Antwort wird Kontrollen zuordnen wie:

• A.5.15 Zugriffskontrolle: Implementierung eines rollenbasierten Zugriffs mit dem Prinzip der minimalen Rechte

• A.5.16 Identitätsmanagement: Zentralisierte Authentifizierung und Benutzerbereitstellung

• A.5.17 Authentifizierungsinformationen: Strenge Passwortrichtlinien und MFA

• A.8.2 Privilegierte Zugriffsrechte: Eingeschränkter Admin-Zugriff mit Überwachung

• A.8.5 Sichere Authentifizierung: Multi-Faktor-Authentifizierung für alle Datenbankzugriffe

Erstellen Ihrer Kontrollauswahlmatrix

"Generiere eine Kontrollauswahlmatrix, die zeigt, welche Annex-A-Kontrollen welche Risiken adressieren. Strukturiere wie folgt: Risiko-ID, Risikobeschreibung, Risikowert, ausgewählte Kontrollen (mit Kontrollnummern), Begründung. Zeige die Beziehungen für unsere 10 wichtigsten Risiken auf."

Schritt 6: Dokumentieren Sie Ihre Risikobewertung

Erforderliche Dokumentation

ISO 27001-Auditoren werden folgendes anfordern:

• Risikobewertungsmethodik: Wie Sie Risiken identifizieren und bewerten

• Asset-Inventar: Alle im Geltungsbereich befindlichen Informationswerte

• Risikoregister: Vollständige Liste der identifizierten Risiken mit Werten

• Risikobehandlungsplan: Wie jedes Risiko angegangen wird

• Control Mapping: Welche Kontrollen welche Risiken mindern

• Genehmigungen zur Risikoakzeptanz: Unterzeichnete Genehmigungen für akzeptierte Risiken

KI zur Erstellung umfassender Dokumentationen nutzen

1. Management-Zusammenfassung generieren:

   "Erstelle eine Executive Summary unserer ISO 27001-Risikobewertung zur Präsentation vor der Geschäftsführung. Berücksichtige: Gesamtzahl der bewerteten Assets, Anzahl der identifizierten Risiken nach Kategorie, Verteilung der Risikowerte, wichtigste Erkenntnisse, empfohlene Prioritätsmaßnahmen und Budgetanforderungen. Zielgruppe: nicht-technische Führungskräfte."

2. Methodik dokumentieren:

   "Schreibe ein umfassendes Dokument zur Risikobewertungsmethodik für ISO 27001, einschließlich: Geltungsbereich und Ziele, Prozess der Asset-Identifizierung, Ansatz zur Bedrohungs- und Schwachstellenanalyse, Skalen für Wahrscheinlichkeit und Auswirkung mit Beispielen, Formel zur Risikoberechnung, Kriterien für die Risikoakzeptanz, Rollen und Verantwortlichkeiten sowie Häufigkeit der Bewertung. Formatiere es für die Einreichung beim Audit."

3. Audit-fertige Berichte erstellen:

   "Generiere eine Struktur für einen Risikobewertungsbericht, der den Anforderungen von ISO 27001 Klausel 6.1.2 entspricht. Füge Abschnitte ein für: Methodik, Zusammenfassung des Asset-Inventars, identifizierte Risiken nach Kategorie, Entscheidungen zur Risikobehandlung, Begründung der Kontrollauswahl und Genehmigungsunterschriften."

Schritt 7: Mit Stakeholdern validieren

Warum die Überprüfung durch Stakeholder kritisch ist

Die Risikobewertung ist keine Einzelaktivität. ISO 27001 erfordert Input von Risikoeigentümern, Asset-Eigentümern und dem Management, um sicherzustellen, dass:

• Risikobewertungen die betriebliche Realität widerspiegeln

• Behandlungsentscheidungen mit den Geschäftsprioritäten übereinstimmen

• Ressourcenzusagen realistisch sind

• Die Risikoakzeptanz durch die entsprechende Befugnis erfolgt

KI-gestützte Review-Sitzungen durchführen

Prüfungsmaterialien vorbereiten:

"Erstelle eine Präsentation für ein Meeting zur Überprüfung der Risikobewertung mit Abteilungsleitern. Beziehe ein: Überblick über die Methodik, Zusammenfassung der Risiken in ihrer Abteilung, vorgeschlagene Behandlungspläne, erforderliche Maßnahmen ihres Teams und Budgetauswirkungen. Ziel: 30-minütige Präsentation."

Diskussionsimpulse generieren:

"Erstelle eine Liste von Fragen für Abteilungsleiter zur Validierung von Risikobewertungen: Vollständigkeit der Assets, Realismus der Bedrohungen, Machbarkeit der Kontrollen, Verfügbarkeit von Ressourcen und Genauigkeit der Auswirkungen auf das Geschäft."

Schritt 8: Planung des laufenden Risikomanagements

Anforderungen an die kontinuierliche Risikobewertung

ISO 27001 Klausel 6.1.3 erfordert eine erneute Bewertung der Risiken, wenn:

• Signifikante Änderungen auftreten (neue Systeme, Geschäftsprozesse, Bedrohungen)

• Sicherheitsvorfälle erkannt werden

• Sich die Wirksamkeit von Kontrollen ändert

• In geplanten Intervallen (typischerweise jährlich oder während des Management-Reviews)

Überwachung mit KI einrichten

1. Trigger für Neubewertungen erstellen:

   "Definiere spezifische Trigger, die eine Neubewertung der Informationssicherheitsrisiken gemäß ISO 27001 erforderlich machen. Berücksichtige: Technologienänderungen, Geschäftsexpansion, regulatorische Updates, Sicherheitsvorfälle, Kontrollfehler und M&A-Aktivitäten. Gib für jeden Trigger an, wer die Neubewertung einleitet und in welchem Zeitrahmen."

2. Überwachungsprozesse entwerfen:

   "Erstelle einen vierteljährlichen Risikoprüfungsprozess für ISO 27001, einschließlich: zu verfolgende Kennzahlen, Key Risk Indicators (KRIs), Tagesordnung für Review-Meetings, Berichtsvorlagen und Kriterien für die Eskalation von Risiken, die zugenommen haben."

3. Workflows für Neubewertungen erstellen:

   "Entwirf einen Workflow zur Aktualisierung der ISO 27001-Risikobewertung, wenn [spezifische Änderung eintritt, z. B. 'Einführung eines neuen Cloud-Dienstes']. Lege fest: wer führt die Bewertung durch, welche Assets/Risiken sind zu prüfen, Genehmigungsanforderungen und Dokumentationsaktualisierungen."

Häufige Fallstricke und wie KI hilft, sie zu vermeiden

Nächste Schritte auf Ihrem Implementierungsweg

Sie haben nun das Fundament der Risikobewertung abgeschlossen:

• ✓ Informationswerte identifiziert und klassifiziert

• ✓ Bedrohungen und Schwachstellen analysiert

• ✓ Risikowerte mit einer konsistenten Methodik berechnet

• ✓ Behandlungspläne entwickelt und Kontrollen zugeordnet

• ✓ Dokumentation für das Audit vorbereitet

Setzen Sie Ihre Reise mit dem nächsten Leitfaden fort: Wie Sie ISO 27001-Richtlinien und -Verfahren mit KI erstellen (demnächst verfügbar)

Im nächsten Leitfaden lernen Sie:

• Audit-bereite Sicherheitsrichtlinien zu generieren

• Betriebsverfahren für Annex-A-Kontrollen zu erstellen

• Ihre Erklärung zur Anwendbarkeit (SoA) aufzubauen

• Vorlagen an Ihre Organisation anzupassen

• Die Konsistenz der Richtlinien über das gesamte ISMS hinweg sicherzustellen

Hilfe erhalten

Für laufende Unterstützung bei der Risikobewertung:

• Spezifische Fragen stellen: Nutzen Sie Ihren Arbeitsbereich für detaillierte Anleitungen zu einzelnen Risiken

• Bestehende Bewertungen hochladen: Erhalten Sie eine Gap-Analyse Ihrer aktuellen Risikodokumentation

• Methodik verifizieren: Lesen Sie die Praktiken zur verantwortungsvollen KI-Nutzung für Risikobewertungen

• Arbeitsbereich-Funktionen kennenlernen: Optimieren Sie Ihre Arbeitsbereich-Organisation für komplexe Bewertungen