Risikoszenarien verwalten

Risikoszenarien verwalten

Risikoszenarien sind die Grundbausteine jeder Risikobewertung in DPMS. Auf diesem Bildschirm erstellen, überprüfen und pflegen Sie die vollständige Szenario-Bibliothek Ihres Unternehmens. Jedes Szenario beschreibt ein konkretes Bedrohungsereignis (zum Beispiel „Unbefugter Zugriff auf Kundendaten im CRM-System") mit zugehöriger Eintrittswahrscheinlichkeit, möglichem Schaden und berechnetem Risikowert. Ohne eine gepflegte Szenario-Bibliothek zeigen die Risikoindikatoren, Schieberegler und farbcodierten Bewertungen auf Asset-Seiten, Verzeichnissen von Verarbeitungstätigkeiten (VVTs) und Lieferantenbewertungen keine aussagekräftigen Daten. Wenn Sie als Datenschutzbeauftragter, Compliance-Beauftragter, Risikomanager oder IT-Administrator für die Pflege des Risikobildschirms Ihres Unternehmens verantwortlich sind, werden Sie regelmäßig auf diesen Bildschirm zurückkehren.

So öffnen Sie den Bildschirm

Navigieren Sie in der linken Seitenleiste zu Risikoeinstellungen. Klicken Sie dort auf Risikoszenarien. Der Bildschirm öffnet sich unter /risk/settings/risk/scenarios.

Sie benötigen mindestens Lesezugriff auf Risikoszenarien, damit der Menüpunkt sichtbar ist. Fehlt der Eintrag in Ihrer Seitenleiste, bitten Sie Ihren Systemadministrator zu prüfen, ob Ihre Benutzerrolle diese Berechtigung enthält. Die allgemeine Leseberechtigung für Risikoeinstellungen reicht allein nicht aus — die Berechtigung für Risikoszenarien ist separat. Es gibt keinen deaktivierten Zustand: Der Menüpunkt ist entweder sichtbar und klickbar oder vollständig ausgeblendet.

Zum Erstellen oder Bearbeiten von Szenarien benötigen Sie zusätzlich die Schreibberechtigung für Risikoeinstellungen. Ohne diese Berechtigung ist die Schaltfläche Erstellen ausgeblendet, und die Aktionsmenüs in den Tabellenzeilen bieten keine Bearbeitungsoptionen.

Was Sie sehen

Der Bildschirm folgt dem zweispaltigen Standardlayout der Risikoeinstellungen. Links befindet sich die Seitenleiste der Risikoeinstellungen — eine vertikale Navigationsleiste mit allen verfügbaren Risikokonfigurationsbereichen: Standards (mit Unterpunkten für Aktive Standards und Modelle konfigurieren), Kontrollsätze, Risikoszenarien, Reifegradmodell sowie Fristen und Dringlichkeit. Der Eintrag Risikoszenarien ist als aktive Auswahl hervorgehoben.

Der rechte Inhaltsbereich ist das Herzstück des Bildschirms. Oben finden Sie eine Such- und Filterleiste, mit der Sie die Liste einschränken können, sowie rechts oben die Schaltfläche Erstellen. Darunter befindet sich die Szenariotabelle, in der jedes für Ihr Unternehmen konfigurierte Risikoszenario als eigene Zeile erscheint. Die Spalten lauten: Name, Risiko, Wahrscheinlichkeit, Schaden und Typ. Jeder Spaltenheader ist klickbar, um die Liste zu sortieren. Das Design ist übersichtlich und konsistent mit dem Rest von DPMS — weiße Karten, dünne Rahmen und die übliche Typografie.

Arbeiten mit diesem Bildschirm

Die Szenario-Bibliothek vor einer Compliance-Überprüfung sichten

Wenn Sie schnell einen Überblick über die größten Risiken benötigen — etwa vor einer Vorstandspräsentation oder einem Audit —, starten Sie direkt auf der Liste der Risikoszenarien. Alle Szenarien laden sofort mit ihren aktuellen Risikobewertungen, Wahrscheinlichkeits- und Schadensangaben.

Klicken Sie einmal auf den Spaltenheader Risiko, um absteigend zu sortieren und die Szenarien mit der höchsten Bewertung an die erste Stelle zu bringen. Wenn Sie sich auf einen bestimmten Bereich konzentrieren möchten, nutzen Sie die Filterleiste oben in der Tabelle: Geben Sie ein Stichwort ein (z. B. „Datenpanne" oder „unbefugter Zugriff") oder wählen Sie einen Filter nach Typ, um Asset-Szenarien von Datenschutz- oder DSFA-Szenarien zu trennen. Die Liste aktualisiert sich in Echtzeit, während Sie tippen oder Filteroptionen auswählen.

Sobald Sie ein relevantes Szenario identifiziert haben, klicken Sie auf seinen Namen in der ersten Spalte, um die Detail- und Bearbeitungsseite zu öffnen. Dort sehen Sie genau, welche Assets oder Verarbeitungstätigkeiten verknüpft sind, welche Technisch-Organisatorischen Maßnahmen (TOMs) als risikomindernde Kontrollen zugewiesen wurden, und die vollständige Geschichte aller Risikobewertungen. Nutzen Sie die Zurück-Schaltfläche des Browsers, um zur Liste zurückzukehren — DPMS behält den Filter- und Sortierstatus, sodass Sie ihn nicht erneut einstellen müssen.

Falls kein Szenario zum aktuellen Filter passt, zeigt die Tabelle einen Hinweis auf eine leere Ergebnismenge. Entfernen Sie alle Filter, um die vollständige Liste wiederherzustellen.

Ein neues Risikoszenario für eine neu identifizierte Bedrohung anlegen

Wenn ein neuer Angriffsvektor identifiziert wird — etwa durch einen Sicherheitshinweis eines Anbieters, einen Penetrationstest oder einen internen Auditbefund —, müssen Sie ein entsprechendes Szenario in die Bibliothek aufnehmen. Nur so kann es mit den betroffenen Assets oder VVTs verknüpft und in Risikoberechnungen einbezogen werden.

Klicken Sie auf die Schaltfläche Erstellen in der rechten oberen Ecke des Inhaltsbereichs. DPMS leitet Sie zum Formular zur Szenarioerstellung weiter. Tragen Sie den Szenarionamen ein — da DPMS mehrsprachig ist, können Sie den Namen in mehreren Sprachen (z. B. Deutsch und Englisch) eingeben, damit Kolleginnen und Kollegen mit unterschiedlichen Oberflächensprachen das Szenario korrekt angezeigt bekommen.

Wählen Sie den Szenariotyp: „Asset-Szenario" für informationssicherheitsbezogene Risiken, die Assets zugeordnet werden, oder den passenden Datenschutz-/DSFA-Typ für Szenarien zu Verarbeitungstätigkeiten. Die Wahl des Typs ist wichtig, da er bestimmt, welche Skala des Risikomodells für Wahrscheinlichkeit und Schaden gilt und mit welchen Datensatzarten das Szenario später verknüpft werden kann. Falls noch kein aktives Risikomodell konfiguriert wurde, weist das Formular Sie darauf hin, dass Wahrscheinlichkeits- und Schadensangaben erst nach Aktivierung eines Modells gemacht werden können.

Weisen Sie die Wahrscheinlichkeit und den Schaden aus den Dropdown-Optionen zu — diese basieren auf den Kategorien des aktiven Risikomodells (z. B. ein additives ISO-27001-Modell mit fünf Stufen von „Sehr gering" bis „Sehr hoch"). DPMS berechnet den numerischen Risikowert und ordnet das Szenario nach dem Speichern automatisch einer Risikokategorie zu.

Klicken Sie auf Speichern. DPMS erstellt das neue Szenario und leitet Sie zur Liste (oder zur Detailseite des neuen Szenarios) zurück. Das Szenario steht nun plattformweit für die Verknüpfung mit Assets, VVTs oder Lieferanten bereit. Hinweis: Falls Sie unmittelbar nach dem Speichern in einem anderen Browser-Tab nach dem Szenario suchen, müssen Sie diese Seite möglicherweise neu laden, bevor das Szenario in den Dropdown-Menüs erscheint — die für Dropdown-Listen verwendete Szenariomenge wird beim nächsten Seitenladen aktualisiert.

Szenarien eines bestimmten Typs prüfen, bevor ein neues Risikomodell aktiviert wird

Bevor Sie zu einem neuen aktiven Risikomodell wechseln, empfiehlt es sich zu prüfen, ob alle benötigten Szenarien für den Bereich dieses Modells bereits in der Bibliothek vorhanden sind. Fehlen Szenarien, entstehen nach der Aktivierung des Modells Lücken in der Risikoabdeckung verknüpfter Assets oder VVTs.

Öffnen Sie die Liste der Risikoszenarien und nutzen Sie die Filterleiste, um nach Typ zu filtern — z. B. „Prozess-Szenario" für datenschutzbezogene oder DSFA-Szenarien oder „Asset-Szenario" für den Informationssicherheitsbereich. Zählen Sie die Einträge und vergleichen Sie sie mit Ihrem erwarteten Szenarioinventar. Fehlen Szenarien, klicken Sie auf Erstellen, um sie vor der Modellaktivierung hinzuzufügen.

Sobald die Bibliothek vollständig ist, navigieren Sie zur Seite für Asset-Risikoeinstellungen (erreichbar über dieselbe Seitenleiste der Risikoeinstellungen), um das aktualisierte Modell zu aktivieren. Die hier verifizierten Szenarien fließen dann sofort in die Risikowertberechnungen aller verknüpften Datensätze ein.

Ein Szenario über das Zeilenaktionsmenü bearbeiten oder löschen

Jede Tabellenzeile enthält rechts ein kleines Aktionssymbol (drei Punkte). Ein Klick darauf öffnet ein kontextbezogenes Menü mit szenariospezifischen Optionen, wie dem Wechsel zur Bearbeitungsseite oder dem Löschen.

Öffnen Sie vor dem Löschen eines Szenarios immer zunächst dessen Detailseite, indem Sie auf den Namen klicken. Prüfen Sie dort, ob das Szenario aktuell mit Assets, VVTs, TOMs oder Lieferanten verknüpft ist. Wenn ein verknüpftes Szenario gelöscht wird, verlieren diese Datensätze ihren Risikowert-Bezug. DPMS warnt nicht automatisch vor diesem Kaskadeneffekt und führt keine automatische Neuberechnung durch. Vergewissern Sie sich, dass das Löschen beabsichtigt ist, und aktualisieren Sie die betroffenen Datensätze entsprechend.

Falls Sie nur über Lesezugriff verfügen (nur die Leseberechtigung für Risikoszenarien), ist das Aktionsmenü leer oder enthält keine destruktiven Optionen. Sie können weiterhin auf Szenarionamen klicken, um die Detailseiten zu öffnen und alle verknüpften Informationen einzusehen.

Feldreferenz

Das Formular zur Erstellung und Bearbeitung von Szenarien (erreichbar über Erstellen oder durch Klick auf einen Szenarionamen) enthält folgende erklärungsbedürftige Felder:

• Name — Der Anzeigename des Szenarios, gespeichert als mehrsprachiges Objekt. Geben Sie den Namen in allen Sprachen Ihres Unternehmens ein. Wird nur eine Sprache ausgefüllt, sehen Kolleginnen und Kollegen mit einer anderen Oberflächensprache den englischen Fallback statt einer leeren Zelle — die Best Practice ist jedoch, alle Namen zu übersetzen. Pflichtfeld.
• Typ — Klassifiziert das Szenario als Asset-Szenario, Datenschutz-/DSFA-Szenario oder einen anderen unterstützten Typ. Bestimmt, welche Risikomodell-Skala gilt und mit welchen Datensatzarten das Szenario verknüpft werden kann. Pflichtfeld. Eine nachträgliche Typänderung kann eine Neubewertung aller verknüpften Datensätze erfordern.
• Wahrscheinlichkeit — Eine qualitative Bewertung, ausgewählt aus den Wahrscheinlichkeitskategorien des aktiven Risikomodells (z. B. „Sehr gering" bis „Sehr hoch", jeweils mit einem numerischen Wert hinterlegt). Für die Risikowertberechnung erforderlich. Ohne aktives Modell kann dieses Feld nicht befüllt werden.
• Schaden — Die potenzielle Schadenskategorie, ausgewählt aus der Schadenssskala des aktiven Risikomodells (z. B. benannte Kategorien, die einem Geldbetragsbereich zugeordnet sind). Für die Risikowertberechnung erforderlich.
• Risikowert — Wird automatisch aus Wahrscheinlichkeit und Schaden nach der Formel des aktiven Modells (additiv oder multiplikativ) berechnet. Sie geben diesen Wert nicht manuell ein; er wird nach dem Speichern angezeigt.

Zusammenhang mit dem Rest von DPMS

Der Bildschirm „Risikoszenarien verwalten" ist die zentrale Pflegestelle Ihrer Szenario-Bibliothek, aber die hier erstellten Szenarien wirken sich auf alle Bereiche aus, in denen DPMS Risiken berechnet.

Nach dem Erstellen oder Aktualisieren von Szenarien besteht der nächste Schritt typischerweise darin, sie mit den betroffenen Assets, VVTs oder Lieferanten zu verknüpfen. Dies geschieht auf der Detailseite des jeweiligen Assets oder Datensatzes — öffnen Sie ein Asset, wechseln Sie zum Risiko-Tab und fügen Sie das Szenario über die Dropdown-Liste hinzu. Diese Dropdown-Liste speist sich aus der Bibliothek, die Sie auf diesem Bildschirm pflegen.

Bildschirme, die von diesem Bildschirm abhängen:

• Asset-Detailseiten zeigen verknüpfte Risikoszenarien mit ihren aktuellen Bewertungen. Der Risikoschieberegler und die farbcodierten Risikokategorien auf einer Asset-Seite sind nur gefüllt, wenn Szenarien verknüpft und bewertet wurden.
• VVT-Detailseiten zeigen verknüpfte Risikoszenarien im Risiko-Tab. Szenarionamen verlinken zurück auf die Szenario-Bearbeitungsseite.
• TOM-Detailseiten listen die Szenarien auf, die eine Maßnahme abmildern soll. Diese Verknüpfung wird auf den Szenario- und TOM-Seiten gepflegt, basiert aber auf der hier verwalteten Bibliothek.
• Lieferantenrisikobewertungen nutzen Asset-Szenarien, um Risikowerte auf Lieferantendatensätzen zu berechnen.
• Risikomonitor-Dashboards und Risikoberichte beziehen ihre Daten aus Szenarien mit gültigen Wahrscheinlichkeits- und Schadensangaben.

Bildschirme, die zu einzelnen Szenarien navigieren:

• Ein Klick auf einen Szenarionamen im Risiko-Tab eines Assets, im VVT-Risiko-Tab oder auf der TOM-Detailseite führt direkt zur Bearbeitungsseite des Szenarios — demselben Ziel wie ein Klick auf den Namen hier.
• Die Spalten Risiko, Wahrscheinlichkeit und Schaden in der Tabelle sind ebenfalls klickbar und navigieren zur Relationsbearbeitungsseite des Szenarios, auf der die Beziehung zwischen dem Szenario und dem übergeordneten Datensatz (Asset, VVT oder Lieferant) konfiguriert werden kann.

Tipps und häufige Stolpersteine

Achtung: Wenn ein Kollege meldet, dass der Menüpunkt „Risikoszenarien" in seiner Seitenleiste fehlt, liegt die häufigste Ursache darin, dass seine Rolle zwar die allgemeine Leseberechtigung für Risikoeinstellungen, aber nicht die spezifische Berechtigung für Risikoszenarien enthält. Diese sind separate Berechtigungen — für die Anzeige des Menüpunkts werden beide benötigt.

Achtung: Nachdem ein neues Szenario erstellt wurde, erscheint es möglicherweise nicht sofort in den Verknüpfungs-Dropdowns auf Asset- oder VVT-Seiten in anderen geöffneten Browser-Tabs. Die Dropdown-Liste wird beim Seitenladen aktualisiert. Wenn ein Kollege das neue Szenario sofort in einem anderen Tab verknüpfen möchte, ohne die Seite neu zu laden, wird es noch nicht sichtbar sein. Ein einfaches Neuladen der Seite behebt dies.

• Leere Spalten für Risiko, Wahrscheinlichkeit und Schaden bedeuten, dass das Szenario existiert, aber noch nicht gegen ein aktives Risikomodell bewertet wurde. Aktivieren Sie zunächst ein Risikomodell auf der Seite für Asset-Risiko- oder Datenschutz-Risikoeinstellungen, und bearbeiten Sie das Szenario anschließend, um Wahrscheinlichkeits- und Schadensangaben zuzuweisen. Solange kein Modell aktiv ist und keine Werte berechnet wurden, bleiben auch die Risikoindikatoren auf verknüpften Datensätzen leer.
• Mehrsprachige Szenarionamen: Wurde ein Szenario nur auf Englisch angelegt und ist die Oberflächensprache auf Deutsch eingestellt, zeigt die Namensspalte den englischen Namen als Fallback statt einer leeren Zelle. Dies ist das korrekte Verhalten, kann aber überraschen. Best Practice ist es, beim Anlegen eines Szenarios alle aktiven Sprachen auszufüllen.
• Den richtigen Typ bei der Erstellung zuweisen ist wichtig. Der Typ bestimmt, welche Risikomodell-Skala für Wahrscheinlichkeit und Schaden verwendet wird und mit welchen Asset- oder VVT-Datensätzen das Szenario verknüpft werden kann. Wird der Typ nachträglich geändert, müssen möglicherweise alle verknüpften Datensätze neu bewertet werden.

Tipp: Öffnen Sie vor dem Löschen eines Szenarios immer dessen Detailseite und prüfen Sie, ob aktive Verknüpfungen zu Assets, VVTs, TOMs oder Lieferanten bestehen. Das Löschen eines verknüpften Szenarios entfernt den Risikowert-Bezug aus diesen Datensätzen — ohne automatische Warnung oder Neuberechnung. Im Zweifelsfall benennen Sie das Szenario um oder markieren Sie es anderweitig, anstatt es zu löschen.

• Sortieren nach der Risikospalte ist die schnellste Methode zur Priorisierung Ihrer Überprüfung. Klicken Sie einmal auf den Spaltenheader für aufsteigende, nochmals für absteigende Sortierung. Kombiniert mit einem Typfilter erhalten Sie innerhalb von Sekunden eine fokussierte Ansicht der Szenarien mit dem höchsten Handlungsbedarf in einem bestimmten Bereich.