Ein Risikoregister wirkt auf den ersten Blick wie eine einfache Liste: Risiko erfassen, bewerten, Massnahme zuordnen. In der Praxis entstehen häufige Fehler im Risikoregister aber genau dort, wo Informationen aus Assessments, technischen Befunden und operativen Aufgaben zusammengeführt werden. Das Ergebnis sind Listen, die zwar vollständig aussehen, dem Management jedoch keine verlässliche Entscheidungsgrundlage bieten.

Ein gutes Risikoregister schafft volle Kontrolle über relevante Risiken, deren Behandlung und den tatsächlichen Fortschritt. Es verbindet Sicherheitslücken mit konkreten Massnahmen, klaren Verantwortlichkeiten und überprüfbaren Fristen. Damit diese Steuerungsfunktion funktioniert, müssen Organisationen einige typische Stolpersteine vermeiden.

Warum ein Risikoregister mehr als eine Risikoliste ist

Ein Risikoregister dokumentiert nicht einfach mögliche Gefahren. Es zeigt, welche Risiken für die Organisation relevant sind, wie sie bewertet werden, wer sie behandelt und welches Restrisiko nach der Umsetzung von Massnahmen verbleibt. Gerade bei Cyber- und Informationssicherheit ist dieser Zusammenhang entscheidend: Ein fehlendes Backup-Konzept, unzureichende Zugriffsrechte oder nicht geschulte Mitarbeitende sind nicht nur einzelne Feststellungen. Sie können zu Datenverlust, Betriebsunterbruch, Compliance-Verstössen oder Reputationsschäden führen.

Für Geschäftsleitungen braucht es deshalb Berichte, die auch ohne technische Details verständlich sind. Operative Teams benötigen dagegen genügend Kontext, um Massnahmen sinnvoll umzusetzen. Ein Risikoregister muss beide Perspektiven abbilden. Ist es zu abstrakt, fehlen die Handlungsanweisungen. Ist es zu technisch, verliert das Management den Überblick.

Häufige Fehler im Risikoregister und ihre Folgen

Risiken werden als technische Feststellungen erfasst

«Antivirus nicht aktuell» oder «MFA fehlt» sind wichtige Befunde, aber noch keine vollständig beschriebenen Risiken. Die Einträge benennen eine Schwachstelle oder einen Handlungsbedarf, lassen jedoch offen, welches Schadensszenario daraus entstehen kann. Ohne diese Einordnung bleibt unklar, warum eine Massnahme priorisiert werden soll.

Besser ist eine risikoorientierte Formulierung: «Unberechtigte Personen könnten sich über kompromittierte Zugangsdaten Zugriff auf zentrale Systeme verschaffen, weil für externe Zugriffe keine Mehrfaktor-Authentisierung verlangt wird.» So werden Ursache, Ereignis und mögliche Auswirkung sichtbar. Die technische Massnahme kann anschliessend direkt mit dem Risiko verknüpft werden.

Bewertungen beruhen auf Bauchgefühl

Viele Organisationen verwenden Skalen für Eintrittswahrscheinlichkeit und Auswirkung, definieren aber nicht, was «hoch», «mittel» oder «tief» konkret bedeutet. Dadurch bewerten verschiedene Personen vergleichbare Risiken unterschiedlich. Ein möglicher Ransomware-Angriff erscheint dann als «mittel», während ein weniger kritischer Ausfall als «hoch» eingestuft wird - nicht wegen einer sachlichen Analyse, sondern wegen unterschiedlicher Erwartungen.

Eine einheitliche Bewertungslogik schafft Vergleichbarkeit. Bei der Eintrittswahrscheinlichkeit können beispielsweise vorhandene Schutzmassnahmen, die Exponierung nach aussen und bereits bekannte Schwachstellen berücksichtigt werden. Bei der Auswirkung zählen unter anderem Betriebsunterbruch, Vertraulichkeit betroffener Daten, rechtliche Anforderungen und finanzielle Folgen. Entscheidend ist nicht, jede Bewertung mathematisch exakt zu machen. Entscheidend ist, dass sie begründet, konsistent und später nachvollziehbar ist.

Inhärentes und verbleibendes Risiko werden vermischt

Das inhärente Risiko beschreibt die Gefährdung ohne vorhandene Kontrollen. Das Restrisiko zeigt, wie die Situation nach bestehenden oder geplanten Massnahmen beurteilt wird. Werden beide Werte nicht getrennt geführt, ist kaum erkennbar, ob eine Kontrolle tatsächlich Wirkung erzielt oder ein Risiko trotz Massnahmen über der akzeptierten Risikogrenze liegt.

Diese Unterscheidung ist besonders relevant, wenn eine Organisation Risiken bewusst akzeptieren möchte. Eine dokumentierte Risikoakzeptanz ist nur dann belastbar, wenn klar ist, welche Schutzmassnahmen bereits bestehen, welche Lücke verbleibt und weshalb das verbleibende Risiko vertretbar ist. Ohne diese Transparenz wird aus einem bewussten Managemententscheid rasch eine nicht dokumentierte Unterlassung.

Massnahmen ohne eindeutige Zuordnung bleiben liegen

Ein Risiko kann korrekt beschrieben und bewertet sein - ohne zuständige Person und Termin bewegt es sich trotzdem nicht. Oft finden sich Formulierungen wie «IT prüft Lösung» oder «Awareness verbessern». Solche Einträge schaffen keine Verbindlichkeit. Sie sagen weder, wer entscheidet, wer umsetzt noch bis wann ein überprüfbares Ergebnis vorliegen soll.

Jede Massnahme braucht einen verantwortlichen Owner, einen realistischen Zieltermin und ein nachvollziehbares Erfolgskriterium. «Mehrfaktor-Authentisierung für alle administrativen Konten aktiviert und getestet» ist steuerbar. «MFA einführen» ist es nicht. Bei grösseren Vorhaben kann eine Massnahme in mehrere Schritte gegliedert werden. Das ist sinnvoll, solange der Bezug zum ursprünglichen Risiko erhalten bleibt.

Das Register wird nur für das Audit aktualisiert

Ein Risikoregister, das einmal jährlich vor einem Audit überarbeitet wird, bildet den tatsächlichen Sicherheitsstatus nur zufällig ab. Neue Systeme, Lieferanten, Standorte, Bedrohungen oder regulatorische Anforderungen verändern die Risikolage laufend. Auch abgeschlossene Massnahmen können eine Neubewertung erforderlich machen.

Wie häufig eine Überprüfung nötig ist, hängt von Grösse, Veränderungstempo und Schutzbedarf der Organisation ab. Für viele KMU ist ein fester quartalsweiser Review sinnvoll, ergänzt durch Aktualisierungen bei wesentlichen Änderungen oder Sicherheitsvorfällen. Wichtig ist ein klarer Prozess: Wer prüft neue Befunde? Wer genehmigt Bewertungen? Wann wird die Geschäftsleitung über kritische Risiken informiert?

Risiken werden doppelt oder zu grob erfasst

Doppelte Einträge entstehen häufig, wenn Teams getrennt arbeiten oder Assessments in unterschiedlichen Dateien dokumentieren. Ein Risiko zu Zugriffsrechten taucht dann mehrfach auf - einmal als Datenschutzthema, einmal als IT-Risiko und einmal als Audit-Feststellung. Das erschwert Priorisierung und Reporting, weil dieselbe Ursache mehrfach gezählt werden kann.

Das Gegenstück ist das Sammelrisiko: «Cyberangriff» umfasst plötzlich alle denkbaren Bedrohungen, Systeme und Folgen. Ein solch breiter Eintrag lässt sich kaum wirksam behandeln. Die richtige Granularität hängt vom Kontext ab. Risiken sollten getrennt werden, wenn sie unterschiedliche Ursachen, Verantwortlichkeiten oder Massnahmen haben. Gehören mehrere Befunde dagegen zur gleichen Ursache und werden durch dieselbe Massnahme reduziert, ist eine gemeinsame Führung meist sinnvoll.

Nachweise und Entscheidungen fehlen

Revisionssicherheit entsteht nicht dadurch, dass ein Risiko in einer Tabelle steht. Sie entsteht durch nachvollziehbare Informationen: Bewertungskriterien, Entscheidungsdatum, verantwortliche Rollen, Massnahmenstatus, Genehmigungen und relevante Nachweise. Fehlen diese Angaben, lässt sich später kaum erklären, weshalb ein Risiko akzeptiert, verschoben oder geschlossen wurde.

Besonders heikel sind geschlossene Risiken ohne dokumentierte Wirksamkeitsprüfung. Eine Massnahme gilt nicht als erledigt, nur weil sie technisch umgesetzt wurde. Es muss überprüft werden, ob sie das erwartete Risiko tatsächlich reduziert. Bei einer Backup-Massnahme genügt beispielsweise nicht die erfolgreiche Sicherung. Entscheidend ist, ob eine Wiederherstellung innerhalb der benötigten Zeit funktioniert.

So wird das Risikoregister zu einem Steuerungsinstrument

Der wirksamste Ansatz beginnt nicht mit dem Register selbst, sondern mit einer strukturierten Bestandsaufnahme. Assessments gegen passende Anforderungen - etwa ISO 27001:2022, den Cyber Security Basis Check oder NIST-orientierte Vorgaben - machen Lücken sichtbar. Aus diesen Befunden lassen sich Risiken ableiten, priorisieren und mit konkreten Verbesserungsmassnahmen verbinden.

Für einen praxistauglichen Ablauf braucht es vier klare Ebenen: den Befund als Ausgangspunkt, das beschriebene Risikoszenario, die bewertete Priorität und die nachverfolgbare Massnahme. Ergänzt werden diese Informationen durch Verantwortlichkeiten, Termine, Nachweise und den Entscheid zum Restrisiko. So bleibt jederzeit ersichtlich, welche Themen offen sind und wo Handlungsbedarf besteht.

Eine digitale Plattform wie SCMC reduziert dabei Medienbrüche zwischen Assessment, Auswertung, Massnahmenplanung und Risikoregister. Statt Informationen aus verschiedenen Excel-Dateien zusammenzusuchen, können Teams auf einer gemeinsamen, immer aktuellen Grundlage arbeiten. Rollenbasierte Zuständigkeiten und managementgerechte Reports unterstützen sowohl die operative Umsetzung als auch die Führungskontrolle.

Was die Geschäftsleitung regelmässig sehen sollte

Die Geschäftsleitung muss nicht jedes Einzelrisiko im Detail behandeln. Sie sollte jedoch erkennen können, welche Risiken die definierte Risikotoleranz übersteigen, welche Massnahmen überfällig sind und welche Entscheide benötigt werden. Eine klare Darstellung der Top-Risiken, der Entwicklung gegenüber der letzten Bewertung und der offenen Risikoakzeptanzen schafft die nötige Transparenz.

Dabei ist Zurückhaltung bei Ampelfarben angebracht. Rot, Gelb und Grün sind hilfreich, wenn die Kriterien dahinter verbindlich definiert sind. Ohne einheitliche Schwellenwerte vermitteln sie eine Sicherheit, die nicht vorhanden ist. Gute Reports zeigen daher nicht nur Farben, sondern auch Ursache, Auswirkung, verantwortliche Person, geplante Behandlung und verbleibendes Risiko.

Ein Risikoregister entfaltet seinen Wert nicht durch möglichst viele Einträge, sondern durch konsequente Entscheidungen. Wenn jedes relevante Risiko einen klaren Kontext, eine belastbare Bewertung und einen überprüfbaren nächsten Schritt erhält, wird aus Dokumentationsaufwand eine wirksame Steuerung der Cyber- und Informationssicherheit.