Die Risiken stehen im Kopf des Admins, nicht im Register.
Fragt die Geschäftsführung nach der Risikolage, bekommt sie Einschätzungen aus dem Gedächtnis – während Scanner und Sicherheitsbewertungen hunderte Einzelbefunde ohne Geschäftsbezug liefern. Jedes Team bewertet nach eigener Skala, und das letzte Assessment liegt als Bericht im Ordner und veraltet seit dem Tag der Abgabe. Wir geben Ihnen eine Methode mit Register dahinter: jedes Risiko mit Szenario, Bewertung, Verantwortlichem und Entscheidung – dokumentiert, aus technischen Befunden aktuell gehalten, mit Berichten, die Geschäftsführung und Prüfer lesen können.
Risiken analysieren und Wirksamkeit prüfen: Externe Treiber.
„Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“ – § 30 Abs. 2 Nr. 1 BSIG (EU: Art. 21 Abs. 2 lit. a): Die Risikoanalyse steht im Maßnahmenkatalog an erster Stelle. Nr. 6 verlangt zusätzlich „Konzepte und Verfahren zur Bewertung der Wirksamkeit“ der Maßnahmen (EU: lit. f) – Methode, Register und Wiedervorlage zahlen auf beide Anforderungen ein.
Ein solider, umfassender und gut dokumentierter IKT-Risikomanagementrahmen als Teil des Gesamtrisikomanagements – mit Strategien, Leit- und Richtlinien, Verfahren sowie IKT-Protokollen und -Tools, mindestens einmal jährlich dokumentiert und überprüft (Art. 6 Abs. 1, 2 und 5) – Register und fester Prüfzyklus liefern genau das: die Dokumentation und die jährliche Überprüfung.
Sicherheit der Verarbeitung (Art. 32 Abs. 1): Das Schutzniveau bemisst sich an Eintrittswahrscheinlichkeit und Schwere des Risikos für die Betroffenen – eine dokumentierte Risikobewertung macht die Auswahl der Maßnahmen prüfbar.
Der Risikofragebogen des Versicherers ist selbst eine Risikoanalyse: Er fragt nach Angriffsfläche, Maßnahmen und Ausfallszenarien. Mit einem gepflegten Register beantworten Sie ihn aus dem Bestand – und sehen vor dem Versicherer, wo es hakt.
Unsere technische Basis.
Angepasst an Ihre Umgebung und Lizenzen.
01 · Zielsysteme
Das Risikoregister in Jira Service Management: Risiken mit Szenario, Bewertung, Verantwortlichem, Maßnahmen und Frist – dort gilt der Stand, den Geschäftsführung und Prüfer sehen. Der Asset-Bestand zeigt, welches System und welcher Geschäftsprozess betroffen sind.
02 · Durchführung & Self-Service
LocateRisk bewertet die Angriffsfläche von außen und beobachtet sie fortlaufend; Microsoft Defender und Secure Score liefern den Blick von innen. Neue Befunde erzeugen automatisch Aufgaben im Register.
03 · Prozess-Dokumentation & Ablauf
Bewertung, Akzeptanz und Wiedervorlage sind beschriebene Abläufe: Jede Neubewertung wird ein Vorgang mit Spur – festgehalten in Jira Service Management.
Jedes Risiko bekommt ein Szenario, eine Bewertung und eine Entscheidung.
Der Zuschnitt folgt Ihrer Ausgangslage und Lizenzsituation – der Kern ist in jedem Projekt derselbe. Sie nutzen andere Tools? Wir prüfen, wie sich unser Konzept am besten bei Ihnen abbilden lässt.
Risiko-Befund
Vorhandene Befunde gebündelt: Scans, Sicherheitsbewertungen, Auditpunkte und die Außensicht auf Ihre Angriffsfläche – sortiert nach Geschäftsauswirkung.
Bewertungsmethode
Szenarien in Geschäftssprache – etwa: Verschlüsselung legt den Versand drei Tage still –, Skalen für Eintrittswahrscheinlichkeit und Schadenshöhe, Akzeptanzgrenzen: auf Ihre Organisation kalibriert, damit zwei Bewerter beim selben Risiko zur selben Einstufung kommen.
Register & Entscheidungsprozess
Jedes Risiko mit Verantwortlichem und Maßnahme, Frist oder dokumentierter Akzeptanz; Wiedervorlage nach Kritikalität – als Abläufe in Jira Service Management.
Pilot & Umsetzung
Ein abgegrenzter Bereich wird durchbewertet – etwa die extern erreichbaren Systeme –, der Maßnahmenplan startet mit den Punkten, die das Risiko sofort senken. Danach übernimmt der Regelzyklus.
Fragen vor dem Start.
Ist ein Sicherheits-Scan schon eine Risikoanalyse?
Nein. Ein Scan liefert Befunde. Zur Risikoanalyse werden sie erst mit Szenario, Geschäftsauswirkung, vorhandenen Kontrollen und einer Entscheidung: behandeln oder akzeptieren – mit Namen und Datum.
Brauchen wir dafür LocateRisk?
Für den Einstieg reichen vorhandene Quellen wie Microsoft Secure Score, Defender-Befunde und Audit-Berichte. LocateRisk ergänzt die fortlaufende Außensicht und die Vergleichbarkeit über die Zeit – auch auf Dienstleister. Was Ihre Umgebung schon hergibt, klärt der Risiko-Befund am Anfang.
Was passiert mit unseren bestehenden Assessments und Registern?
Vorhandene Bewertungen werden übernommen und auf die gemeinsame Skala gebracht; nichts wird doppelt erhoben. Alte Berichte dienen als Startpunkt für die erste Wiedervorlage – so wird aus der Momentaufnahme ein laufender Prozess.
Kennen Sie Ihre fünf größten IT-Risiken – mit Verantwortlichem und Frist?
30 Minuten Ausgangslage besprechen: Sie schildern Stand und Schmerzpunkte – etwa offene Auditpunkte und den letzten Sicherheitsbericht –, Loptr ordnet ein.
Der passende Einstieg ist manchmal ein anderer.
Das größte Risiko sitzt oft dort, wo noch niemand hinschaut – vier typische Ausgangslagen:
Oder der Überblick: alle Lösungen im Bereich IT Governance & Cloud Operations →