Hinzufügen von Risikoszenarien zu Assets oder Asset-Gruppen

Der Reiter Risiko in der Detailansicht eines Assets oder einer Asset-Gruppe ist der Ausgangspunkt des gesamten Risikomanagement-Workflows. Solange kein Risikoszenario verknüpft ist, bleibt der Rest des Risikolebenszyklusses blockiert: Im Reiter „Aktuelles Asset-Risiko" gibt es nichts zu bewerten, die Registerkarte „Behandlungsoptionen" bleibt leer, und die Schaltfläche für den Behandlungsplan ist deaktiviert. Erst wenn Sie hier die passenden Szenarien verknüpft haben, kann DPMS automatisch Risikoscores berechnen, Maßnahmen vorschlagen und die Behandlungsplanung unterstützen.

Datenschutzbeauftragte, Risikomanager und Compliance-Verantwortliche besuchen diesen Bereich immer dann, wenn ein neues Asset einer Risikobewertung unterzogen werden soll, wenn sich die Bedrohungslage verändert hat, oder wenn ein Auditor fragt: „Welche Risiken werden für dieses System gemanagt und wer hat sie dokumentiert?"

So öffnen Sie den Bereich

Für ein einzelnes Asset:

• Klicken Sie in der linken Hauptnavigation auf Asset-Register.
• Klicken Sie auf eine Asset-Zeile, um die Detailansicht zu öffnen.
• Klicken Sie im linken Seitenbereich der Detailansicht auf den Reiter Risiko.

Für eine Asset-Gruppe:

• Schalten Sie auf der Asset-Register-Seite den Umschalter Asset-Ansicht / Gruppen-Ansicht auf Gruppen-Ansicht um.
• Klicken Sie auf eine Asset-Gruppe.
• Klicken Sie im linken Seitenbereich auf den Reiter Risiko.

Sie benötigen Lesezugriff auf das Asset oder die Gruppe, um den Reiter anzuzeigen, sowie Schreibzugriff, um Szenarien zu verknüpfen oder zu entfernen.

Was Sie auf dem Bildschirm sehen

Die Seite gliedert sich in zwei Bereiche. Links befindet sich eine ausklappbare Seitenleiste – das ElementMenu – mit allen verfügbaren Reitern für diesen Datensatz (Allgemein, Risiko, Bewertungen, Externe Empfänger usw.). Der Reiter Risiko ist beim Öffnen hervorgehoben. Durch einen Klick auf das kleine blaue Kreissymbol am rechten Rand der Seitenleiste können Sie diese einklappen und so mehr Platz für die Szenariotabelle gewinnen.

Der Hauptinhaltsbereich rechts beginnt mit einer fixierten Kopfzeile. Diese zeigt den Navigationspfad (z. B. „Assets › CRM-System › Risiko"), das aktuelle Status-Badge des Assets (Entwurf, Aktiv, Inaktiv, Überprüfung) sowie eine Auswahl für Verantwortliche Personen – beides können Sie direkt hier aktualisieren, ohne den Risiko-Reiter zu verlassen. In der oberen rechten Ecke öffnet ein kleines Uhrsymbol das Aktivitätsprotokoll, in dem Sie den Änderungsverlauf dieses Assets einsehen können.

Unterhalb der Kopfzeile ist der Rumpf des Risiko-Reiters nach Risikostandards gegliedert. Für jeden Standard, der dem Asset zugewiesen ist, sehen Sie drei übereinander gestapelte Abschnitte:

• Schwellenwert – ein farbcodierter Schieberegler, der zeigt, wo der Maßnahmenschwellenwert für diesen Standard liegt.
• Risikoszenarien – die Tabelle der verknüpften Szenarien mit aktuellen Risikoscores, vorgeschlagenen Maßnahmen, geschätzten Kosten und Behandlungsfristen.
• Implementierte Maßnahmen / TOMs – die technischen und organisatorischen Maßnahmen, die diesen Szenarien zugeordnet sind.

Falls dem Asset noch kein Risikostandard zugewiesen wurde, ist der gesamte Bereich leer. Sie müssen zunächst über das Bearbeitungsformular des Assets einen Standard zuweisen, bevor dieser Reiter Inhalt anzeigt.

So arbeiten Sie mit diesem Bereich

Risikoszenario zum ersten Mal verknüpfen

Stellen Sie sich vor, Sie haben soeben ein neues Asset namens „CRM-System" angelegt und müssen dokumentieren, welche Bedrohungen darauf zutreffen – noch vor dem nächsten Risikoreview-Meeting.

• Öffnen Sie die Detailansicht des Assets und klicken Sie in der Seitenleiste auf den Reiter Risiko.
• Suchen Sie den Standardabschnitt (z. B. „ISO 27001 Asset-Risikomodell"). Wenn noch keine Szenarien verknüpft sind, sehen Sie eine leere Tabelle mit einem Hinweistext.
• Klicken Sie auf die Schaltfläche Risikoszenario hinzufügen / verknüpfen am oberen Rand der Risikoszenariotabelle. Ein Auswahldialog öffnet sich über der Seite.

• Geben Sie in der Suchleiste des Dialogs ein Stichwort ein – zum Beispiel „unbefugter Zugriff". Die Liste filtert sich in Echtzeit.
• Aktivieren Sie das Kontrollkästchen neben jedem Szenario, das Sie verknüpfen möchten, und klicken Sie auf Bestätigen.
• Der Dialog schließt sich, die Tabelle aktualisiert sich, und Ihre ausgewählten Szenarien erscheinen mit ihren aktuellen Risikoscores, vorgeschlagenen Maßnahmen und Fristinformationen.

Direkt nach der Verknüpfung zeigen die Scores „Score: fehlende Information" – das ist korrekt. DPMS benötigt zunächst Eintrittswahrscheinlichkeits- und Schadenswerte für jede implementierte Maßnahme, bevor ein numerischer Score berechnet werden kann. Lesen Sie dazu den nächsten Abschnitt.

Hinweis: Wenn der Auswahldialog eine leere Liste zeigt, wurden für diesen Standard noch keine Szenarien im organisationsweiten Risikokatalog angelegt. Bitten Sie Ihren Risikomanager, zunächst Szenarien im Katalog zu erstellen.

Risikoscores nach Implementierung von Maßnahmen aktualisieren

Sobald Maßnahmen in Kraft gesetzt (oder zumindest geplant) wurden, müssen Sie DPMS mitteilen, wie wirksam diese sind, damit ein aktueller Risikoscore berechnet werden kann.

• Suchen Sie in der Tabelle Implementierte Maßnahmen / TOMs (unterhalb der Risikoszenariotabelle) die Maßnahme, deren Wirksamkeit Sie erfassen möchten.
• Klicken Sie auf das Stiftsymbol in dieser Zeile. Das Bearbeitungsformular der Maßnahme öffnet sich im richtigen Szenariokontext.
• Oben im Formular finden Sie die Schnellausfüllen-Zeile: zwei Dropdown-Menüs für Eintrittswahrscheinlichkeit und Schadensausmaß. Wenn Sie dort Werte auswählen, werden diese Einstellungen auf alle Maßnahmen in der Liste gleichzeitig angewendet – praktisch, wenn alle Maßnahmen eine ähnliche Wirksamkeit aufweisen.
• Wenn sich die Maßnahmen in ihrer Wirksamkeit unterscheiden, ignorieren Sie die Schnellausfüllen-Zeile und setzen Sie die Werte für jede Zeile einzeln.
• Klicken Sie auf Speichern. DPMS berechnet den aktuellen Risikoscore neu und zeigt ihn als „Score X/Y" in der Risikoszenariotabelle an.

Tipp: Der Behandlungsplan-Button wird erst aktiv, nachdem mindestens ein Score gespeichert wurde, der über dem Maßnahmenschwellenwert liegt. Falls die Schaltfläche noch ausgegraut ist, prüfen Sie, ob mindestens ein Szenario einen Score oberhalb des Schwellenwerts aufweist.

Risiken auf Asset-Gruppen-Ebene verwalten

Wenn Ihre Organisation Dutzende von Assets mit gleichem Risikoprofil betreibt – zum Beispiel dreißig Cloud-Speicher-Instanzen – wäre es aufwändig, dieselben Szenarien jedem Asset einzeln zuzuweisen. Asset-Gruppen lösen dieses Problem.

• Schalten Sie auf der Asset-Register-Seite mithilfe des Umschalters auf Gruppen-Ansicht um.
• Klicken Sie auf die gewünschte Asset-Gruppe.
• Klicken Sie in der Seitenleiste auf Risiko. Der Risiko-Reiter der Gruppe sieht genauso aus und funktioniert genauso wie bei einem einzelnen Asset.

• Klicken Sie auf Risikoszenario hinzufügen / verknüpfen, wählen Sie die gewünschten Szenarien aus und bestätigen Sie.
• Alle Mitglieds-Assets der Gruppe erben diese Szenarien und die zugehörigen Maßnahmen automatisch.

Standardmäßig übernimmt der Risiko-Reiter eines Mitglieds-Assets die Konfiguration der Gruppe. Wenn ein einzelnes Asset ein abweichendes Risikoprofil benötigt, kann ein Administrator für dieses Asset das Asset-spezifische Risiko aktivieren – damit wird die Vererbung aufgehoben und eine unabhängige Szenarioverwaltung ermöglicht.

Den Änderungsverlauf für Audits einsehen

Ein Auditor fragt: „Wer hat das Szenario ‚Datenpanne' mit dem Payroll-System verknüpft, und wann?" Diese Frage können Sie in wenigen Sekunden beantworten.

• Öffnen Sie die Detailansicht des Assets und navigieren Sie zum Reiter Risiko.
• Klicken Sie auf das Uhrsymbol in der oberen rechten Ecke des Inhaltsbereichs.
• Das Aktivitätsprotokoll öffnet sich als seitliches Panel von rechts. Es zeigt eine umgekehrt chronologische Liste aller Änderungen an diesem Asset – einschließlich verknüpfter oder entfernter Szenarien, des handelnden Benutzers und des genauen Zeitstempels.

• Blättern Sie durch die Einträge, um das gesuchte Ereignis zu finden. Schließen Sie das Panel anschließend mit dem ×-Symbol.

Hinweis: Das Uhrsymbol wird nicht angezeigt, wenn Sie ein Asset im Modus „Konsultiert" (von einer anderen Organisation geteilt) oder als Portal-Asset betrachten. Der Änderungsverlauf ist in diesen Fällen von Ihrem Konto aus nicht einsehbar.

Ein Szenario entfernen, das nicht mehr relevant ist

Wenn eine Bedrohung aus dem Risikokatalog zurückgezogen wurde oder einfach nicht mehr auf dieses Asset zutrifft, können Sie die Verknüpfung aufheben.

• Suchen Sie das Szenario im Reiter Risiko in der Risikoszenariotabelle.
• Klicken Sie auf das Verknüpfung-aufheben-Symbol (ein Symbol mit durchgestrichener Kette) in der letzten Spalte der entsprechenden Zeile.
• Eine Bestätigungsabfrage erscheint. Bestätigen Sie das Entfernen.

Das Szenario verschwindet aus der Tabelle. Behandlungspläne, die ausschließlich auf diesem Szenario basierten, sollten anschließend überprüft werden, da sie möglicherweise auf nicht mehr vorhandene Daten verweisen.

Feldübersicht

Suchleiste im Szenario-Auswahldialog
Geben Sie ein beliebiges Stichwort aus dem Szenarionamen oder der Beschreibung ein. Die Liste aktualisiert sich in Echtzeit. Lassen Sie das Feld leer, um alle verfügbaren Szenarien für diesen Standard anzuzeigen.

Status-Badge (fixierte Kopfzeile)
Der aktuelle Lebenszyklus-Status des Assets (Entwurf, Aktiv, Inaktiv, Überprüfung). Sie können ihn hier ändern, ohne den Risiko-Reiter zu verlassen.

Verantwortliche Personen (fixierte Kopfzeile)
Eine oder mehrere für dieses Asset verantwortliche Personen. Änderungen werden sofort gespeichert.

Maßnahmenschwellenwert
Im Schwellenwert-Abschnitt jedes Standards angezeigt. Der Score, ab dem DPMS ein Szenario als behandlungsbedürftig einstuft. Szenarien unterhalb dieses Werts können vom Behandlungsplan ausgeschlossen werden. Klicken Sie auf Bearbeiten neben dem Schwellenwert-Titel, um den Wert anzupassen.

Aktuelles Asset-Risiko-Badge
Ein schreibgeschütztes Pill-Badge oben rechts in der Risikoszenariotabelle, das die gesamte Risikokategorie und den zusammengefassten Score für diesen Standard über alle verknüpften Szenarien hinweg anzeigt.

Einbindung in DPMS

Der Risiko-Reiter ist das Fundament des gesamten Asset-Risikomanagement-Workflows in DPMS. Alles, was nachgelagert kommt, hängt von dem ab, was Sie hier konfigurieren:

• Reiter „Aktuelles Asset-Risiko" – Wird nur befüllt, wenn mindestens ein Szenario verknüpft und mindestens ein Eintrittswahrscheinlichkeits-/Schadenswert-Paar gespeichert ist. Risikoübersichten und Berichte für dieses Asset zeigen andernfalls keinen Score.
• Behandlungsplan – Die Schaltfläche Behandlungsplan erstellen / öffnen bleibt deaktiviert, bis mindestens ein Szenario einen Score über dem Maßnahmenschwellenwert aufweist. Sobald sie aktiv ist, erfasst der Behandlungsplan Ihre geplanten und tatsächlichen Reaktionen auf jedes Risiko.
• Risikobewertung in Assessments – Wenn ein Assessment einen Risikobewertungsschritt für ein Asset enthält, liest es die hier konfigurierte Szenario-zu-Maßnahmen-Struktur aus.
• Element kopieren – Die Schaltfläche Element kopieren (sofern verfügbar) ermöglicht es, die Szenario- und Maßnahmenkonfiguration dieses Assets auf andere Assets zu übertragen – zeitsparend bei umfangreichen Risikoreview-Zyklen.

Nach der Verknüpfung von Szenarien sind Ihre nächsten logischen Schritte: (1) Eintrittswahrscheinlichkeit und Schadensausmaß in der Tabelle der implementierten Maßnahmen erfassen, (2) den aktuellen Asset-Risikoscore prüfen und (3) den Behandlungsplan öffnen oder erstellen.

Tipps und häufige Stolperstellen

Hinweis: Wenn der Risiko-Reiter vollständig leer ist – kein Schwellenwert-Schieberegler, keine Tabelle, gar nichts – wurde diesem Asset noch kein Risikostandard zugewiesen. Öffnen Sie das Bearbeitungsformular des Assets und fügen Sie unter „Gruppen & Standards" mindestens einen Standard hinzu, bevor Sie hierhin zurückkehren.

• „Alle relevanten TOMs verknüpfen" kann eine Warnmeldung anzeigen, statt zu verknüpfen. Die Schaltfläche sieht aktiv aus, auch wenn keine relevanten TOMs definiert sind. Wenn Sie darauf klicken und eine Toast-Benachrichtigung mit einem Link zu „Maßnahmen & TOMs" erscheint, bedeutet das, dass den verknüpften Szenarien noch keine als relevant markierten TOMs zugeordnet wurden. Ergänzen und kennzeichnen Sie die entsprechenden TOMs zunächst im Bereich „Maßnahmen & TOMs".
• Scores zeigen nach dem Verknüpfen „fehlende Information". Das ist normal. Sie müssen für jede Maßnahme im Bearbeitungsformular Eintrittswahrscheinlichkeit und Schadensausmaß auswählen, bevor ein numerischer Score erscheint. Versuchen Sie nicht, vor diesem Schritt einen Behandlungsplan zu erstellen – die Schaltfläche bleibt deaktiviert.
• Schnellausfüllen überschreibt alle Zeilen ohne Rückfrage. Die Schnellausfüllen-Dropdowns oben im Formular „Aktuelles Risiko bestimmen" werden auf jede Maßnahme in der Liste gleichzeitig angewendet. Wenn Ihre Maßnahmen unterschiedliche Wirksamkeitsniveaus aufweisen, setzen Sie die Werte lieber für jede Zeile einzeln, um präzise Angaben nicht zu überschreiben.
• Asset-Gruppenrisiko vs. asset-spezifisches Risiko. Wenn ein Asset zu einer Gruppe gehört, zeigt sein Risiko-Reiter möglicherweise die Szenarien der Gruppe statt eigener Szenarien an. Das ist beabsichtigt und vermeidet Dopplungen. Aktivieren Sie das asset-spezifische Risiko nur dann, wenn ein Asset tatsächlich ein von der Gruppe abweichendes Risikoprofil benötigt.
• Behandlungsplan-Schaltfläche bleibt deaktiviert? Prüfen Sie zwei Dinge: (a) Ist mindestens ein Szenario mit einem gespeicherten Score verknüpft, und (b) liegt dieser Score über dem Maßnahmenschwellenwert? Beide Bedingungen müssen erfüllt sein, damit die Schaltfläche aktiv wird.
• Schnelles Navigieren zwischen Assets. Nutzen Sie die Pfeilsymbole (links/rechts) im Navigationspfad, um direkt zum vorherigen oder nächsten Asset in der aktuellen Listenreihenfolge zu wechseln. Das ist besonders praktisch während eines Risikoreview-Zyklus, wenn Sie denselben Reiter für viele Assets nacheinander prüfen müssen.