🏠[[Startseite ISMS]]  
📘 Kapitel:[[02. Risikomanagement]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.0  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[Informationssicherheitsbeauftragte(r)]]

---

## 1. Zweck des Dokuments
Dieses Dokument beschreibt die Risikoanalyse für das Informationssicherheitsmanagementsystem (ISMS) der Beispiel-Unternehmen GmbH für das Jahr 2025. Ziel ist es, alle **aktuellen Risiken** zu identifizieren, zu bewerten und angemessene Maßnahmen zur Risikobehandlung festzulegen.

## 2. Geltungsbereich
Die Risikoanalyse umfasst alle Geschäftsprozesse, IT-Systeme und Informationen, die unter das ISMS der Beispiel-Unternehmen GmbH fallen.

---

## 3. Methodik der Risikoanalyse

### 3.1 Identifikation der Risiken
- Die Risiken wurden durch Workshops und Interviews mit Schlüsselpersonen aus den folgenden Bereichen ermittelt:
  - IT-Abteilung
  - Geschäftsleitung
  - Fachabteilungen (z. B. Vertrieb, Personalwesen)
- Berücksichtigte Datenquellen:
  - Erkenntnisse aus internen und externen Audits
  - Bedrohungsanalysen aus aktuellen Cybersecurity-Berichten (z. B. 2024-2025)

### 3.2 Bewertung der Risiken
- **Kriterien für die Bewertung**:
  - **Eintrittswahrscheinlichkeit**: Bewertet auf einer Skala von 1 (sehr gering) bis 5 (sehr hoch).
  - **Auswirkung**: Bewertet auf einer Skala von 1 (sehr gering) bis 5 (katastrophal).
- **Risikowert**: Produkt aus Eintrittswahrscheinlichkeit und Auswirkung (1-25).
- **Risikokategorien**:
  - Gering (1-5)
  - Mittel (6-15)
  - Hoch (16-25)

### 3.3 Risikobehandlung
- Risiken, die als "hoch" bewertet werden, erfordern zwingend Maßnahmen.
- Für Risiken mit "mittlerer" Bewertung werden Maßnahmen empfohlen, sofern die Kosten-Nutzen-Relation angemessen ist.
- Risiken mit "geringer" Bewertung werden dokumentiert, aber nur überwacht.

---

## 4. Aktuelle Risiken und Maßnahmen 2025

| Risiko-ID | Beschreibung des Risikos             | Eintrittswahrscheinlichkeit | Auswirkung | Risikowert | Maßnahmen und Verantwortlichkeiten                           |
|-----------|--------------------------------------|-----------------------------|------------|------------|-------------------------------------------------------------|
| R-2025-01 | Verlust von Kundendaten durch Cyberangriff | 5                           | 5          | 25         | Einführung eines erweiterten Incident-Response-Plans, Verantwortlich: [[IT-Verantwortliche(r)]] |
| R-2025-02 | Fehlkonfiguration von Cloud-Diensten | 3                           | 4          | 12         | Durchführung eines Cloud-Security-Audits, Verantwortlich: [[Informationssicherheitsbeauftragte(r)]] |
| R-2025-03 | Unbefugter Zugriff auf mobile Geräte | 3                           | 4          | 12         | Stärkung der [[01.56 Richtlinie für mobile Geräte]], Verantwortlich: [[IT-Verantwortliche(r)]] |
| R-2025-04 | KI-unterstützte Phishing-Kampagnen   | 4                           | 3          | 12         | Erweiterung der Phishing-Simulationen um KI-basierte Szenarien, Verantwortlich: [[Informationssicherheitsbeauftragte(r)]] |

---

## 5. Überprüfung und Archivierung
- **Aktualisierung der Risikoanalyse**:
  - Die Risikoanalyse wird jährlich aktualisiert, um nur die relevanten und aktuellen Risiken zu berücksichtigen.
- **Archivierung nicht mehr relevanter Risiken**:
  - Risiken, die nicht mehr relevant sind, werden aus der aktuellen Risikoanalyse entfernt und im Archiv der jeweiligen Jahres-Risikoanalyse dokumentiert. Diese bleibt als Referenz im ISMS gespeichert.
- **Berichtswesen**:
  - Die Ergebnisse der Risikoanalyse werden der [[Geschäftsführung]] präsentiert und dienen als Grundlage für strategische Entscheidungen.

---

🏷️ **Tags:**  
- #Risikomanagement #ISMS #Risikoanalyse #ISO_Kontrolle_6_1
