Die Anleitungen sind eigene Arbeitshilfen. Die Beispiele sind fiktiv und beschreiben kein Kundenprojekt. Sie sind keine vorgeschriebenen Vorlagen der ISO 27001. Passen Sie die Schritte an Ihr Unternehmen an.
1. Beschreiben Sie einen konkreten Fall
Fiktives Beispiel: Eine beschäftigte Person lässt auf einer Dienstreise ein Notebook im Zug liegen. Darauf sind interne Angebotsunterlagen gespeichert. Ob die Festplatte verschlüsselt ist, wurde bisher nicht geprüft.
Der Verlust ist das Ereignis. Das Risiko entsteht aus möglichen Folgen: Fremde könnten Unterlagen lesen. Der beschäftigten Person fehlt außerdem das Arbeitsgerät. Betrachten Sie beide Folgen getrennt.
Als methodische Grundlage unterscheidet NIST SP 800-30, Revision 1 unter anderem Bedrohungen, Schwachstellen, Wahrscheinlichkeit und Auswirkungen. Die Begriffe helfen, eine bloße Sorge in einen prüfbaren Fall zu übersetzen.
2. Klären Sie, was auf dem Spiel steht
Gehen Sie den Beispiel-Fall mit diesen Fragen durch:
- Welche Unterlagen liegen tatsächlich auf dem Notebook?
- Welche Konten sind auf dem Gerät angemeldet?
- Wer könnte durch die Offenlegung der Unterlagen betroffen sein?
- Können Sie die Arbeit auf einem Ersatzgerät fortsetzen?
- Wo liegen aktuelle Kopien der benötigten Dateien?
Arbeitsergebnis: Eine kurze Beschreibung der betroffenen Informationen, Konten und Arbeitsabläufe. Kennzeichnen Sie ungeklärte Punkte. „Verschlüsselung unbekannt“ ist eine offene Prüfung, kein Beleg für Schutz.
3. Bewerten Sie mit denselben Maßstäben
Legen Sie vor der Bewertung fest, was Ihre Stufen bedeuten und welchen Zeitraum Sie betrachten. Begründen Sie jede Einstufung. Eine qualitative Bewertung mit verständlichen Stufen ist eine mögliche Methode; ihre Aussagekraft hängt von klaren Kriterien ab. Das erläutert NIST SP 800-30, Revision 1.
Vorschlag für die Besprechung: Bewerten Sie zuerst die mögliche Offenlegung der Unterlagen. Betrachten Sie anschließend die Arbeitsunterbrechung. Fragen Sie jeweils: Welche Umstände sprechen für einen Schaden? Wie schwer würde er unser Unternehmen treffen?
Tragen Sie für das Beispiel noch keine Wahrscheinlichkeit ein. Dafür fehlen Angaben zum Reisealltag, zu bisherigen Verlusten und zum vorhandenen Schutz. Zahlen ohne diese Grundlage würden Genauigkeit nur vortäuschen.
4. Wählen Sie Schutz passend zur Folge
Die FTC empfiehlt für mobile Geräte unter anderem Verschlüsselung und eine Begrenzung lokal gespeicherter sensibler Daten. Verschlüsselung schützt gespeicherte Daten, ersetzt aber keine Prüfung der Gerätekonfiguration oder bereits geöffneten Zugänge.
Mögliche Entscheidungen für unseren Beispiel-Fall:
- Die IT prüft die Geräteverschlüsselung und hält das Ergebnis fest.
- Der Fachbereich legt fest, welche Unterlagen unterwegs lokal benötigt werden.
- Die IT prüft, ob die benötigten Dateien auf einem Ersatzgerät wiederhergestellt werden können.
- Die verantwortliche Person legt fest, wie ein Geräteverlust intern gemeldet wird.
Das sind Vorschläge für diesen Fall. Die Auswahl ist keine allgemeine Pflichtliste.
5. Halten Sie Entscheidung und Rest fest
Ergänzen Sie Ihren Eintrag im Risikoregister um die ausgewählte Maßnahme, eine verantwortliche Person, den vereinbarten Termin und die erneute Bewertung. Auch nach der Umsetzung kann ein Restrisiko bleiben. Wer es akzeptieren darf, legen Sie in Ihrem Unternehmen fest.
Ihr nächster Schritt: Nehmen Sie ein tatsächlich eingesetztes Notebook. Beantworten Sie die Fragen aus dieser Anleitung gemeinsam mit IT und Fachbereich. Halten Sie Unbekanntes als Prüfauftrag fest.
Quellen und Einordnung
NIST ist das US-amerikanische National Institute of Standards and Technology. Die FTC ist die US-amerikanische Federal Trade Commission. Die verlinkten Quellen stützen die Risikomethode und die technischen Schutzansätze. Daraus werden hier keine deutschen Rechtspflichten oder zusätzlichen Anforderungen der ISO 27001 abgeleitet.
- NIST SP 800-30, Revision 1, veröffentlicht im September 2012. Methodische Grundlage für die Beschreibung und qualitative Bewertung von Risiken; am 6. September 2026 als finale Fassung abgerufen.
- FTC: Protecting Personal Information, abgerufen am 6. September 2026. Auf der abgerufenen Seite ist kein Veröffentlichungsdatum ausgewiesen. Verwendet werden die technischen Hinweise zu mobilen Geräten.
Das Notebook-Beispiel und die Arbeitsfragen wurden für diese Seite entwickelt. Es gibt kein tatsächliches Ereignisdatum.