Bedrohung ist nicht Gefährdung

Erste Folge der Reihe Grundbegriffe. Wir nehmen uns Wörter vor, die in Sitzungen synonym verwendet werden, obwohl sie verschiedene Dinge meinen, und schauen nach, was die Quellen tatsächlich sagen.

Bedrohung, Gefährdung, Risiko. Die drei Wörter fallen in jeder Sicherheitsbesprechung, meist austauschbar. Im IT-Grundschutz bezeichnen sie drei verschiedene Dinge, die aufeinander aufbauen, und die Unterscheidung entscheidet darüber, was am Ende im Risikoregister steht.

Bedrohung: der Umstand, der uns nicht fragt

Eine Bedrohung ist ein Umstand oder Ereignis, das Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigen kann. Feuer. Diebstahl. Schadsoftware. Eine Bedrohung existiert unabhängig davon, ob wir betroffen sind. Sie ist eine Aussage über die Welt, nicht über uns.

Deshalb ist eine Liste von Bedrohungen als Risikoregister wertlos. Sie sieht bei jeder Organisation gleich aus.

Schwachstelle: die Stelle, an der es uns trifft

Die Schwachstelle ist der Gegenpart auf unserer Seite. Ein technischer oder organisatorischer Mangel, der dazu führen kann, dass eine Bedrohung überhaupt wirksam wird. Auch sie allein sagt wenig: Ein ungepatchtes System ohne erreichbare Angriffsfläche ist ein Mangel, aber noch kein Fall für die Risikoanalyse.

Gefährdung: erst das Zusammentreffen

Von einer Gefährdung spricht man im IT-Grundschutz, wenn eine Bedrohung auf eine passende Schwachstelle trifft und dadurch auf ein konkretes Zielobjekt wirkt. Das ist der Punkt, an dem aus einer allgemeinen Aussage über die Welt eine Aussage über die eigene Institution wird.

Das IT-Grundschutz-Kompendium führt dafür einen festen Katalog: 47 elementare Gefährdungen, nummeriert von G 0.1 Feuer bis G 0.47. Sie sind bewusst „produkt- und weitestgehend technikneutral" formuliert, damit sie über Jahre und über Technikwechsel hinweg tragen. Wer eine Risikoanalyse nach BSI-Standard 200-3 macht, arbeitet diesen Katalog je Zielobjekt durch und behält nur die Gefährdungen, die direkt relevant sind.

Risiko: erst mit Häufigkeit und Schaden

Auch eine Gefährdung ist noch kein Risiko. Der BSI-Standard 200-3 formuliert es so: Die Einschätzung erfolgt „über die zu erwartende Häufigkeit des Eintretens und die Höhe des Schadens, der bei Eintritt des Schadensereignisses entsteht. Aus diesen beiden Anteilen ergibt sich das Risiko."

Erst hier kommen Zahlen ins Spiel, und erst hier wird priorisierbar.

Der Begriff, den fast alle noch falsch verwenden

In der Fassung von Oktober 2017 hat das BSI zwei Begriffe ausdrücklich ersetzt. Aus der Änderungshistorie des Standards: die Begriffe „Eintrittswahrscheinlichkeit" und „Handlungsalternativen" wurden durch „Eintrittshäufigkeit" beziehungsweise „Handlungsoptionen" ersetzt. Im gesamten aktuellen Standard kommt das Wort Eintrittswahrscheinlichkeit nur noch an dieser einen Stelle vor, nämlich dort, wo seine Abschaffung dokumentiert ist.

Das ist keine Kosmetik. Eine Wahrscheinlichkeit setzt eine Verteilung voraus, die man in der Informationssicherheit fast nie hat. Eine Häufigkeit lässt sich dagegen schätzen und an Erfahrung binden: einmal im Jahr, alle fünf Jahre, mehrmals im Monat. Wer weiter von Eintrittswahrscheinlichkeit spricht, verspricht eine Genauigkeit, die er nicht liefern kann.

Und noch ein Paar, das gern verschmilzt

Dieselbe Fassung hat das Kapitel Risikoeinstufung in zwei Schritte geteilt: Risikoeinschätzung und Risikobewertung. Einschätzen heißt, Häufigkeit und Schadenshöhe zu bestimmen. Bewerten heißt, das Ergebnis gegen die eigenen Kriterien zu halten und zu entscheiden, ob es tragbar ist.

Wer international arbeitet, sollte hier besonders aufpassen, denn die Übersetzung führt in die Irre. Der Anhang des 200-3 stellt die Begriffe gegenüber: Risk Analysis nach ISO/IEC 31000 entspricht der Risikoeinschätzung, Risk Evaluation der Risikobewertung. Die deutsche „Risikoanalyse" ist dagegen der übergeordnete Vorgang. Wer sie mit risk analysis übersetzt, meint etwas anderes als sein Gegenüber.

Was das praktisch ändert

Ein Risikoregister, in dem „Schadsoftware" und „Feuer" stehen, listet Bedrohungen. Es ist austauschbar und trägt keine Entscheidung. Ein Register, das je Zielobjekt festhält, welche Gefährdung mit welcher geschätzten Häufigkeit welchen Schaden verursacht, ist eine Aussage über die eigene Institution. Nur das zweite lässt sich behandeln, und nur das zweite überzeugt in einer Prüfung.

Nächste Folge: Schutzbedarf und Kritikalität, zwei Wörter für vermeintlich dasselbe, die aus verschiedenen Verfahren stammen.

Quellen: BSI-Standard 200-3 und das IT-Grundschutz-Kompendium. Wie ein Risikoregister diese Trennung abbildet, steht auf der Modulseite zum Risikoregister.