---
title: "Risikoanalysen im System: bewerten und nachverfolgen"
description: "Risiken zu erkennen ist der einfache Teil. Wie ein geführtes Risikoregister Bewertung, Maßnahmen und akzeptierte Restrisiken über die Zeit zusammenhält."
canonical: "https://www.dsb-datenschutz.de/software/features-risikoanalysen/"
---

# Risikoanalysen

Eine Risikoanalyse ist schnell gemacht und ebenso schnell veraltet. Der Wert entsteht nicht bei der ersten Bewertung, sondern in der Wiederholung: Was hat sich verändert, welche Maßnahme hat gewirkt, welches Restrisiko haben wir eigentlich vor zwei Jahren akzeptiert? Geführte **Risikoanalysen** beantworten diese Fragen, eine Tabelle nicht.

## Was bewertet wird

Ein Risiko braucht drei Angaben: **worauf** es sich bezieht, **was passieren kann** und **wie schwer** es wöge.

Der Bezug ist der Punkt, an dem Tabellen scheitern. Ein Risiko hängt an etwas – an einer Verarbeitung aus dem [Verzeichnis](https://www.dsb-datenschutz.de/software/features-verarbeitungsverzeichnis/), an einem System aus der [Systemlandschaft](https://www.dsb-datenschutz.de/software/features-systemlandschaft/), an einem [Dienstleister](https://www.dsb-datenschutz.de/software/features-dienstleister-lieferanten/), an einem Wert aus dem [Asset-Register](https://www.dsb-datenschutz.de/software/features-asset-register/). Ohne diesen Bezug lässt sich später nicht sagen, welche Risiken betroffen sind, wenn ein System abgelöst wird.

Bewertet wird nach Eintrittswahrscheinlichkeit und Schadenshöhe. Wichtig ist die Unterscheidung zwischen dem Risiko **vor** und **nach** den bereits getroffenen Maßnahmen – nur die zweite Zahl beschreibt Ihre tatsächliche Lage.

## Die vier Wege der Behandlung

Vermindern, übertragen, vermeiden – oder bewusst tragen. Die vierte Möglichkeit ist die am meisten unterschätzte und die, bei der ein System den größten Unterschied macht.

Ein akzeptiertes Restrisiko ist zulässig, **dokumentiert und von der richtigen Ebene getroffen**. Genau danach wird im Audit gefragt: nicht „warum haben Sie das nicht behoben", sondern „wer hat entschieden, es zu tragen, und wann". Ein Risikoregister hält Entscheider, Datum und Begründung fest; eine Tabelle vergisst sie.

Aus jeder Behandlungsentscheidung entsteht eine Aufgabe mit Verantwortlichem und Termin – siehe [Aufgabensystem](https://www.dsb-datenschutz.de/software/features-aufgabensystem/). Ein Risiko, aus dem keine Maßnahme folgt, ist entweder akzeptiert oder nicht bearbeitet; ein drittes gibt es nicht.

## Zwei Betrachtungen, ein Register

Datenschutz und Informationssicherheit fragen unterschiedlich. [Art. 32 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-32/) fragt nach dem Risiko **für die betroffenen Personen** – ihre Rechte, ihre Freiheiten. Ein Managementsystem nach ISO 27001 fragt nach dem Risiko **für die Organisation** – Ausfall, Verlust, Ansehen.

Beide greifen auf denselben Bestand zu: dieselben Systeme, dieselben Dienstleister, dieselben Daten. Getrennt geführt entstehen zwei Register, die sich widersprechen. Zusammengeführt entsteht eines mit zwei Blickwinkeln – und die Vorarbeit fällt einmal an.

Daraus speist sich auch die [Datenschutz-Folgenabschätzung](https://www.dsb-datenschutz.de/software/features-datenschutz-folgenabschaetzung/), die bei hohem Risiko ohnehin fällig wird.

## Grenzen

**Die Zahlen sind Einschätzungen.** Eine Bewertung mit Punktwerten sieht objektiv aus und ist es nicht. Ihr Wert liegt in der Vergleichbarkeit und in der nachvollziehbaren Begründung, nicht in der Ziffer.

**Vollständigkeit entsteht nicht im System.** Risiken, die niemand benennt, stehen nirgends. Die Erhebung bleibt Arbeit – wie sie abläuft, steht unter [Risikomanagement im ISMS](https://www.dsb-datenschutz.de/informationssicherheit/wissen-risikoanalyse/).

## Kontakt

- Telefon: [+49 6188 99 04 36](tel:+496188990436)
- E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de)
- Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns)
- [Demo vereinbaren](https://www.dsb-datenschutz.de/software/preise-demo/)