Relevante Riskoszenarien

Die Registerkarte Relevante Risikoszenarien beantwortet eine einfache, aber entscheidende Frage: Warum existiert diese Maßnahme überhaupt? Eine technisch-organisatorische Maßnahme (TOM) wie „AES-256-Verschlüsselung im Ruhezustand" ist nur dann aussagekräftig, wenn Sie die Bedrohungen benennen können, gegen die sie schützt – zum Beispiel „unberechtigte Offenlegung personenbezogener Daten auf ausgemusterten Datenträgern". Diese Registerkarte macht diesen Zusammenhang sichtbar. Compliance-Beauftragte und Datenschutzbeauftragte nutzen sie bei regelmäßigen Überprüfungen; Prüfer öffnen sie bei regulatorischen Inspektionen, um zu bestätigen, dass jedes verknüpfte Szenario bewusst ausgewählt und aktuell ist. Da die Verknüpfung zwischen einer TOM und ihren Szenarien bidirektional ist, wirken sich Änderungen hier sofort auf die entsprechenden Risikozenario-Detailseiten und auf alle Assets aus, die diese TOM verwenden.

Wie Sie die Ansicht öffnen

• Klicken Sie in der linken Seitenleiste auf Maßnahmen & TOMs.
• Klicken Sie in der Liste auf den Namen einer TOM, um deren Detailseite zu öffnen.
• Klicken Sie im linken Detailmenü auf Relevante Risikoszenarien.

Achtung: Sie benötigen mindestens Lesezugriff auf Maßnahmen & TOMs, um diese Seite anzeigen zu können. Fehlt Ihrem Konto diese Berechtigung, erscheint auf der gesamten TOM-Detailseite eine „403 Forbidden"-Meldung. Um Szenarien zu verknüpfen oder zu trennen, ist zusätzlich Bearbeitungsrecht erforderlich. Benutzer mit reinem Lesezugriff sehen die Szenarienliste, können jedoch keine Änderungen vornehmen.

Was Sie auf dem Bildschirm sehen

Die Ansicht folgt dem zweispaltigen DPMS-Standardlayout. Auf der linken Seite befindet sich eine ein- und ausklappbare Seitenleiste mit allen verfügbaren Registerkarten für diese TOM: Allgemein, Dokumente, Relevante Risikoszenarien, Assets, VVT, DSFA, Anbieter, Projekte, Aufgaben, Bewertungen und Workflows. Die aktuell aktive Registerkarte – Relevante Risikoszenarien – ist hervorgehoben. Über das kleine blaue Kreissymbol ganz links können Sie die Seitenleiste ausblenden, wenn Sie mehr Leseplatz benötigen.

Die rechte Seite beginnt mit einer Brotkrumen-Navigation, die Maßnahmen & TOMs → [TOM-Name] → Relevante Risikoszenarien anzeigt. Kleine Pfeile links und rechts neben dem TOM-Namen ermöglichen es Ihnen, direkt zur vorherigen oder nächsten Registerkarte zu springen, ohne zur Liste zurückzukehren. Ein Uhr-Symbol in der oberen rechten Ecke öffnet das Aktivitätsprotokoll.

Unterhalb der Brotkrumen-Navigation befindet sich eine fixierte Kopfzeile, die die verantwortlichen Personen der TOM, den aktuellen Status (Entwurf, Aktiv, Inaktiv, Überprüfung oder ein benutzerdefinierter Status Ihres Administrators), das Datum der letzten Aktualisierung und das Datum der letzten Überprüfung anzeigt. Diese Angaben bleiben beim Scrollen sichtbar.

Den Hauptbereich nimmt die Tabelle Relevante Risikoszenarien ein, die durch ein Glühbirnen-Symbol und die gleichnamige Überschrift gekennzeichnet ist. In der standardmäßigen Leseansicht listet diese Tabelle alle Szenarien auf, die mit dieser TOM verknüpft wurden. Wurde noch nichts verknüpft, erscheint eine entsprechende Leer-Meldung. Jede Zeile ist anklickbar und führt direkt zur Detailseite des jeweiligen Szenarios.

So arbeiten Sie mit dieser Ansicht

Risikodeckung einer TOM prüfen (Leseansicht)

Dies ist der häufigste Grund, diese Registerkarte aufzurufen. Sie öffnen eine TOM – zum Beispiel „Zugangssteuerungsrichtlinie" – und klicken im linken Menü auf Relevante Risikoszenarien. Die Tabelle zeigt alle Szenarien, die diese TOM adressieren soll: etwa „Unbefugter Zugriff durch interne Benutzer", „Brute-Force-Angriff auf die Authentifizierung" und „Rechteeskalation über geteilte Zugangsdaten".

Um zu überprüfen, wann diese Verknüpfungen erstellt wurden und von wem, klicken Sie auf das Uhr-Symbol in der oberen rechten Ecke. Damit öffnen Sie die Aktivitätsprotokoll-Seitenleiste auf der rechten Seite des Bildschirms.

Der Drawer listet alle jemals an dieser TOM vorgenommenen Änderungen auf: wann welches Szenario verknüpft oder getrennt wurde, wer den Status geändert hat und wann der Datensatz zuletzt bearbeitet wurde. Sie können durch den gesamten Verlauf scrollen. Wenn Sie fertig sind, schließen Sie den Drawer, indem Sie außerhalb davon klicken oder die Schaltfläche zum Schließen verwenden, und kehren zu Ihrer Prüfung zurück.

Sieht die Abdeckung vollständig aus, sind keine weiteren Maßnahmen erforderlich. Sie können über die Pfeil-Symbole in der Brotkrumen-Navigation zur nächsten Registerkarte oder zur nächsten TOM wechseln.

Zusätzliche Szenarien mit einer TOM verknüpfen (Bearbeitungsmodus)

Nehmen wir an, Sie sind IT-Administrator und prüfen die TOM „Datenverschlüsselung im Ruhezustand". Dabei stellen Sie fest, dass zwei Szenarien in der Liste fehlen. Um sie hinzuzufügen, klicken Sie auf die Schaltfläche Bearbeiten in der fixierten Kopfzeile. DPMS wechselt in die Bearbeitungsansicht dieser TOM und öffnet dabei direkt die Registerkarte „Relevante Risikoszenarien".

Im Bearbeitungsmodus erhält die Tabelle zwei Unterregisterkarten: Alle (den vollständigen Szenarienkatalog) und Verknüpft (nur die bereits mit dieser TOM verbundenen Szenarien). Wechseln Sie zu Alle, suchen Sie über die Suchleiste nach dem gewünschten Szenario – tippen Sie zum Beispiel „unberechtigte Offenlegung" ein – und setzen Sie das Häkchen neben dem entsprechenden Szenario. Wiederholen Sie dies für weitere Szenarien. Wenn Sie fertig sind, klicken Sie auf Speichern. DPMS speichert die neuen Verknüpfungen sofort, und Sie werden zur Detailansicht zurückgeleitet, die nun die aktualisierte Liste anzeigt.

Tipp: Es gibt keinen Bestätigungsschritt, bevor die Verknüpfung gespeichert wird. Wenn Sie versehentlich das falsche Szenario verknüpfen, müssen Sie den Bearbeitungsmodus erneut öffnen und die Verknüpfung entfernen. Prüfen Sie daher sorgfältig, welche Zeilen Sie ausgewählt haben, bevor Sie auf Speichern klicken.

Szenariodetails aus der Liste aufrufen

Jede Zeile in der Tabelle „Relevante Risikoszenarien" ist ein direkter Link. Ein Klick auf einen Szenarionamen öffnet die vollständige Detail- oder Bearbeitungsansicht dieses Szenarios, in der Sie dessen Beschreibung, Eintrittswahrscheinlichkeit, Auswirkung, verknüpfte TOMs und Bewertungshinweise einsehen können. Nutzen Sie die Zurück-Schaltfläche des Browsers oder die Brotkrumen-Navigation in der Szenarioansicht, um zur TOM zurückzukehren.

Dies ist besonders hilfreich, wenn ein Prüfer den vollständigen Kontext eines Szenarios verstehen möchte – nicht nur den Namen, sondern auch die Begründung für die eingeschätzten Werte.

Mehrere TOMs nacheinander prüfen

Wenn Sie eine ganze Reihe von TOMs durchgehen, müssen Sie nicht jedes Mal zur Liste zurücknavigieren. Nachdem Sie die Registerkarte Relevante Risikoszenarien einer TOM geprüft haben, können Sie über die Pfeil-Symbole in der Brotkrumen-Navigation zwischen den Registerkarten des aktuellen Datensatzes wechseln. Wenn Sie zur nächsten TOM wechseln möchten, verwenden Sie die Navigationspfeile neben dem TOM-Namen in der Brotkrumen-Navigation. DPMS versucht, Sie auf der Registerkarte Relevante Risikoszenarien zu halten, während Sie von einer TOM zur nächsten wechseln, sodass Sie Ihre Liste ohne Orientierungsverlust durcharbeiten können.

Feldbeschreibungen

Spalten der Tabelle „Relevante Risikoszenarien" in der Leseansicht:

• Name — Der Titel des Szenarios, wie er im Risikoszenarienkatalog unter den Risikoeinstellungen definiert ist. Ein Klick auf die Zeile öffnet die Szenariodetailseite.
• Priorität — Ein Risikoniveau-Badge, das das Gesamtrisiko dieses Szenarios widerspiegelt (z. B. Hoch, Mittel, Niedrig). Es wird aus den Werten für Eintrittswahrscheinlichkeit und Auswirkung im Katalog berechnet.
• Status — Der aktuelle Lebenszyklus-Status des Szenarios (Aktiv, Entwurf usw.), wie in den Risikoeinstellungen konfiguriert.

Abhängig davon, wie Ihr Administrator den Risikokatalog konfiguriert hat, können weitere Spalten erscheinen.

Einbindung in den DPMS-Gesamtprozess

Was Sie auf dieser Registerkarte konfigurieren, hat Auswirkungen auf mehrere andere Bereiche von DPMS.

Risikoszenarienkatalog: Szenarien entstehen nicht hier – sie werden von Administratoren unter Einstellungen → Risikoeinstellungen erstellt und verwaltet. Diese Registerkarte ermöglicht lediglich die Verknüpfung bestehender Szenarien mit der aktuellen TOM.

Asset-Risikoregisterkarte: Jedes Asset, das diese TOM als implementierte Maßnahme aufführt, nutzt die TOM-Szenario-Verknüpfungen zur Berechnung seines Risikoreifegrads und seiner Abdeckungswerte. Wenn Sie hier ein Szenario trennen, ändert sich diese Berechnung beim nächsten Laden der Asset-Risikoregisterkarte – ohne Verzögerung und ohne Rückgängig-Schaltfläche.

DSFA und VVT: Sowohl die Datenschutz-Folgenabschätzung als auch das Verzeichnis von Verarbeitungstätigkeiten enthalten einen Abschnitt „TOMs". Die hier verwalteten Szenarioverknüpfungen fließen in diese Datensätze ein. Ein Prüfer, der eine DSFA überprüft, sieht dieselbe TOM-Szenario-Beziehung, die Sie auf dieser Registerkarte eingerichtet haben.

Workflow-Überprüfungen: Wenn für diese TOM eine Workflow-Überprüfung ausgelöst wird (über die Registerkarte „Workflows"), werden die Gutachter voraussichtlich diese Registerkarte als Nachweis der Risikoabdeckung heranziehen. Eine gut gepflegte Liste relevanter Risikoszenarien erleichtert die Überprüfung erheblich.

Nach Abschluss der Arbeit hier: Wenn Sie gerade neue Szenarien mit einer TOM verknüpft haben, empfiehlt es sich, den Status der TOM in der fixierten Kopfzeile zu prüfen. Falls sie noch den Status „Entwurf" hat, sollten Sie erwägen, sie nach Bestätigung der Abdeckung auf „Aktiv" zu setzen. Möglicherweise möchten Sie auch die verknüpften Szenarien einzeln öffnen, um zu prüfen, ob die Eintrittswahrscheinlichkeits- und Auswirkungswerte noch aktuell sind.

Tipps und häufige Stolpersteine

Achtung: Die Detailseite ist standardmäßig immer schreibgeschützt. Es sind keine Kontrollkästchen oder Auswahlsteuerelemente sichtbar – das ist beabsichtigt. Um Szenarien zu verknüpfen oder zu trennen, müssen Sie auf die Schaltfläche Bearbeiten in der fixierten Kopfzeile klicken, die die bearbeitbare Version der Registerkarte öffnet.

Tipp: Wenn die Schaltfläche Bearbeiten beim Überfahren mit der Maus den Tooltip „Fehlende Berechtigung" anzeigt, ist Ihr Konto entweder schreibgeschützt, oder Sie sind mit der Berechtigung „Nur eigene Datensätze bearbeiten" zugewiesen, sind aber nicht als verantwortliche Person für diese TOM eingetragen. Bitten Sie Ihren Administrator, Sie zuzuweisen oder Ihnen Bearbeitungsrechte zu erteilen.

• Das Trennen von Szenarien ist sofort und ohne einfaches Rückgängigmachen wirksam. Wenn Sie im Bearbeitungsmodus ein Szenario entfernen und auf Speichern klicken, wird die Verknüpfung sofort gelöscht. Es gibt keinen Papierkorb und keine Rückgängig-Funktion. Wenn sich Asset-Risikobewertungen unerwartet ändern, prüfen Sie, ob versehentlich ein Szenario getrennt wurde.
• Das Aktivitätsprotokoll ist bei geteilten/konsoltierten TOMs ausgeblendet. Wenn eine TOM von einer anderen Organisation mit Ihrer Organisation geteilt wurde, erscheint das Uhr-Symbol nicht. Das ist beabsichtigt – Sie können das interne Änderungsprotokoll der herausgebenden Organisation nicht einsehen.
• Szenarionamen stammen aus dem Katalog – Sie können sie hier nicht umbenennen. Wenn ein Szenarionamen falsch oder veraltet erscheint, bitten Sie Ihren Administrator, ihn unter Einstellungen → Risikoeinstellungen zu aktualisieren. Die Änderung wird dann überall dort sichtbar, wo das Szenario verwendet wird.
• Der Registerkartenstand wird beim Wechsel zwischen TOMs beibehalten. Wenn Sie zur nächsten TOM wechseln, während Sie sich auf der Registerkarte „Relevante Risikoszenarien" befinden, versucht DPMS, dieselbe Registerkarte im neuen Datensatz automatisch zu öffnen.
• Benutzerdefinierte Status können in der Status-Auswahl erscheinen. Wenn Ihr Compliance-Administrator unter „Compliance-Einstellungen" benutzerdefinierte TOM-Status eingerichtet hat, erscheinen diese neben den Standardoptionen Entwurf / Aktiv / Inaktiv / Überprüfung oder ersetzen diese. Das Verhalten ist unabhängig vom gewählten Status identisch.