diamond_full diamond diamond_half diamond_euro search-icon menu chat-icon close-icon envelope-icon smartphone-call-icon

Bedrohungs- und Risikoanalyse

Was ist eine Bedrohungs- und Risikoanalyse?

Der hohe Stellenwert der Informationstechnologien im Unternehmen fordert eine umfassende Identifizierung und Bewertung der damit verbundenen Sicherheitsrisiken. Einen elementaren Bestandteil des IT-Risikomanagements bilden hierbei sogenannte Bedrohungs- und Risikoanalysen. Auf Basis langjähriger Praxiserfahrung unterstützt Sie unser Unternehmen bei der auf Ihre Anforderungen zugeschnittenen Umsetzung solcher Analysen.

Abhängig vom Anwendungskontext kommen hierbei unterschiedliche Methoden der entsprechenden Normen zum Einsatz. Die Realisierung einer Bedrohungs- und Risikoanalyse für klassische IT-Umgebungen orientiert sich üblicherweise an ISO/IEC 27005. Bei der Bedrohungs- und Risikoanalyse (TRA) im Kontext industrieller Automatisierung (IACS) und OT-Infrastrukturen wird die IEC 62443 berücksichtigt. Für Fahrzeuge und Steuergeräte erfolgt eine TARA (Threat Analysis and Risk Assessment) nach ISO/SAE 21434.

placeholder for background/covered-door.jpg

Ziel

Bewertung des Risikos für IT-Umgebungen oder einzelner Komponenten basierend auf definierten und erarbeiteten Bedrohungsszenarien

Fragestellung

Welche Sicherheitsrisiken, ausgehend von Bedrohungsszenarien, existieren für eine IT-Umgebung oder einzelne Komponenten?

Scope

IT-Umgebungen oder einzelne Komponenten

Bedrohungsanalyse: Strukturierte Identifikation von IT-Bedrohungen

Die Bedrohungsanalyse ist ein strukturierter Ansatz zur Identifikation und Evaluation von möglichen IT-/ OT-basierten Bedrohungen bezogen auf eine IT-Umgebung, ein IT-System oder eine Anwendung. Im Rahmen eines IT-Sicherheitsassessments ermöglicht die Bedrohungsanalyse einem Prüfer relevante Bedrohungs- und Angriffsszenarien für nachgelagerte Prüfungen zu identifizieren. Des Weiteren stellt die Bedrohungsanalyse die Grundlage für eine fundierte Risikoanalyse dar.

Dadurch bildet der bewährte Ansatz der Bedrohungsanalyse die Basis für weitere (technische) Assessments und Analysen und erreicht eine hohe Abdeckung der real existierenden Bedrohungslandschaft.

Typische Bedrohungs- und Angriffsszenarien, die wir in einer Bedrohungsanalyse betrachten, reichen je nach Untersuchungsobjekt von Datendiebstahl durch privilegierte Insider über kompromittierte Lieferanten- und Dienstleister-Zugänge, Ransomware-getriebene Betriebsunterbrechungen und das Umgehen von Authentisierungsmechanismen bis hin zur Manipulation eingebetteter Steuergeräte (z. B. im Automotive- oder OT-Umfeld). Welche Szenarien relevant sind, ergibt sich aus dem Kontext, den schützenswerten Assets und der jeweiligen Bedrohungslandschaft.

Die Bedrohungsanalyse besteht dabei aus folgenden Bestandteilen:

  • Workshop, Interviews und/oder Analyse bereitgestellter Dokumente
    • Erfassung des Kontexts
    • Erfassung der Assets (z.B. schützenswerte Informationen oder Prozesse)
  • Identifikation und Analyse von spezifischen Bedrohungs- und Angriffsszenarien
  • Definition der nächsten Schritte
  • Dokumentation und Vorstellung der Ergebnisse

Die Bedrohungsanalyse basiert auf verschiedenen Methoden und Standards:

  • IT-Risikomanagement nach ISO / IEC 27005
  • TRA nach IEC 62443
  • TARA nach ISO / SAE 21434
  • STRIDE Threat Model
  • OWASP Threat Modeling

Die Ergebnisse sind die Grundlage für die nachfolgende Risikoanalyse und bieten ein Basisset an relevanten Bedrohungs- und Angriffsszenarien für die Durchführung von Sicherheitsassessments (z.B Penetrationstests ).

Risikoanalyse: Bewertung & Behandlung von IT-Sicherheitsrisiken

Im Rahmen der Risikoanalyse werden auf Basis der zuvor definierten Bedrohungsszenarien konkrete Risiken für eine IT-Umgebung, ein IT-System oder eine Anwendung bewertet. Die Norm ISO/IEC 27005, als Teil der ISO 2700X-Familie, bietet hierzu Leitlinien für das Informationssicherheitsrisikomanagement.

Die Risikoanalyse besteht dabei aus folgenden Bestandteilen:

  • Workshop, Interviews und/oder Analyse bereitgestellter Dokumente
    • Erfassung vorhandener Security Controls
    • Erfassung grundlegender Informationen aus dem IT-Risikomanagement und dem Informationssicherheitsmanagementsystem (ISMS) des Auftraggebers
  • Identifikation und Bewertung von Risiken hinsichtlich:
    • Möglicher Business Impact
    • Analyse von Angriffspfaden
    • Bewertung der Durchführbarkeit von Angriffen
    • Bestimmung des Risikowertes
  • Risikobehandlung und -priorisierung
    • Beschreibung und Zuordnung konkreter Maßnahmen
  • Dokumentation und Vorstellung der Ergebnisse

Als Ergebnis erhalten Sie eine Aufstellung der identifizierten Sicherheitsrisiken zusammen mit einer fundierten Risikobewertung und Empfehlung möglicher technischer oder organisatorischer Maßnahmen.

Methoden im Vergleich: ISO 27005, T(A)RA, STRIDE und OWASP

Welche Methodik bei einer Bedrohungs- und Risikoanalyse zum Einsatz kommt, hängt vom Untersuchungsobjekt, der Branche und dem regulatorischen Kontext ab. Die etablierten Verfahren im Überblick:

MethodeFokusWann passend
ISO/IEC 27005Allgemeines IT-Risikomanagement, integraler Bestandteil der ISO 27000-FamilieUnternehmensweite Sicherheitsbewertungen, ISMS-Konformität, branchenübergreifende Anwendung
TRA – IEC 62443Bedrohungs- und Risikoanalyse für die industrielle Automatisierung (IACS) und OT-InfrastrukturenIndustrielle Steuerungsanlagen, Produktionssysteme, Fabrikautomatisierung und kritische Infrastrukturen nach IEC 62443-3-2 / 4-1
TARA gemäß ISO/SAE 21434Threat Analysis and Risk Assessment für Fahrzeug- und Cybersecurity-Engineering (inkl. Impact-Bewertung nach SFOP)Fahrzeuge, E/E-Systeme und Komponenten im Geltungsbereich von ISO/SAE 21434, UNECE R155 oder entsprechenden Kundenanforderungen; TARA-ähnliche Vorgehensweisen können für produktbezogene CRA-Risikobewertungen adaptiert werden
STRIDEBedrohungsklassifikation entlang von Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of PrivilegeArchitektur- und Designphase, strukturiertes Threat Modeling technischer Systeme
OWASP Threat ModelingWeb-, API- und Anwendungssicherheit, getrieben durch typische AngriffsmusterWebanwendungen, APIs, mobile Apps, anwendungsnahe Sicherheitsbewertungen

In der Praxis kombinieren wir Methoden abhängig vom Anwendungskontext: etwa eine TARA gemäß ISO/SAE 21434 mit einer Schadensbewertung basierend auf den SFOP-Kriterien (Safety, Financial, Operational und Privacy) für Steuergeräte, eine TRA gemäß IEC 62443 mit einer STRIDE-Modellierung für OT- oder IoT-Systeme, oder eine ISO/IEC 27005-basierte Bedrohungsanalyse mit anschließendem OWASP-getriebenen Webanwendungs-Pentest. Entscheidend ist, dass die gewählte Methodik die spezifischen Anforderungen Ihres Untersuchungsobjekts abdeckt.

Häufige Fragen zur Bedrohungs- und Risikoanalyse

Eine Bedrohungsanalyse ist ein strukturierter Prozess, der mögliche IT- und OT-basierte Bedrohungen für eine IT-Umgebung, ein System oder eine Anwendung systematisch identifiziert und bewertet. Sie beschreibt, welche Bedrohungs- und Angriffsszenarien für das Untersuchungsobjekt relevant sind, und bildet damit die Grundlage für eine nachgelagerte Risikoanalyse sowie für technische Sicherheitsassessments wie Penetrationstests. SCHUTZWERK orientiert Bedrohungsanalysen an ISO/IEC 27005 und nutzt im Automotive-Umfeld die TARA nach ISO/SAE 21434 bzw. im OT- und IoT-Umfeld die TRA nach IEC 62443.
Zu den etablierten Referenzrahmen und Methoden gehören das IT-Risikomanagement nach ISO/IEC 27005 (Leitlinie für das Management von Informationssicherheitsrisiken), TRA – IEC 62443 (Bedrohungs- und Risikoanalyse für die industrielle Automatisierung und OT-Infrastrukturen), TARA: Threat Analysis and Risk Assessment nach ISO/SAE 21434 (Automotive Cybersecurity Engineering), STRIDE (Microsoft-Methodik mit Kategorien Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) und OWASP Threat Modeling (Web- und Anwendungsfokus). Die Methodenwahl richtet sich nach Untersuchungsobjekt, Branche und regulatorischem Kontext; häufig werden mehrere Verfahren kombiniert.
Die Bedrohungsanalyse identifiziert, welche Bedrohungen und Angriffsszenarien für ein Untersuchungsobjekt relevant sind, z. B. Datendiebstahl durch privilegierte Insider, kompromittierte Lieferanten-Accounts oder die Manipulation eines Embedded-Geräts. Die Risikoanalyse bewertet anschließend, welche Risiken daraus entstehen und wie sie behandelt werden sollen. Je nach Methode fließen dabei Business Impact, Eintrittswahrscheinlichkeit bzw. Angriffsdurchführbarkeit, vorhandene Security Controls und mögliche Maßnahmen ein.
Eine TARA (Threat Analysis and Risk Assessment nach ISO/SAE 21434) wird benötigt, wenn das Untersuchungsobjekt in den Automotive-Kontext von ISO/SAE 21434 oder UNECE R155 fällt, etwa bei neuen oder geänderten E/E-Systemen, Steuergeräten, Kommunikationsmodulen, Fahrzeugfunktionen oder fahrzeugnahen Backend-Schnittstellen. Die rechtliche Pflicht in der Typgenehmigung betrifft vor allem Fahrzeughersteller und den Nachweis ihres Cyber Security Management Systems; Zulieferer werden typischerweise über Kundenanforderungen und Entwicklungsprozesse eingebunden. Eine TARA ist daher nicht pauschal für jedes Automotive-Thema verpflichtend, kann aber auch außerhalb unmittelbarer Homologationspflichten sinnvoll sein, wenn sicherheitsrelevante Risiken systematisch und nachvollziehbar bewertet werden müssen. SCHUTZWERK unterstützt OEMs und Zulieferer bei der Durchführung und Dokumentation solcher TARAs, häufig kombiniert mit STRIDE-basiertem Threat Modeling auf Komponentenebene.
Eine TRA nach IEC 62443 wird zwingend benötigt, sobald Automatisierungsanlagen Teil kritischer Lieferketten (nach NIS-2) sind, neue Maschinen in der EU in Verkehr gebracht werden (Maschinenverordnung) oder Kunden im B2B-Bereich dies vertraglich zur Bedingung machen. Auch der Cyber Resilience Act (CRA) macht die Risikoanalyse de facto zur Pflicht, da sie den rechtlich geforderten Stand der Technik für OT- bzw. IoT-Sicherheit definiert. Zudem ist die TRA eine normative Grundvoraussetzung für jede IEC-62443-Zertifizierung und wird im B2B-Umfeld von Kunden zunehmend standardmäßig im Lastenheft verlangt, um Anlagen überhaupt abzunehmen.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) schreibt keine TARA in Bezug auf eine konkrete Norm vor. Er verlangt aber von Herstellern vernetzter Produkte eine dokumentierte Cybersecurity-Risikobewertung, deren Ergebnisse von der Planung über das Design bis hin zur Produktion und Wartung einfließen müssen. Für den industriellen Bereich (OT) und den Maschinenbau gilt hierbei die internationale Normenreihe IEC 62443 als der maßgebliche Standard, um diese gesetzlichen Anforderungen prozessual und technisch zu erfüllen (insbesondere über den sicheren Produktlebenszyklus nach IEC 62443-4-1 und die Risikoanalyse nach IEC 62443-3-2). In der Praxis lässt sich die CRA-Risikobewertung somit optimal durch eine Kombination aus Bedrohungsmodellierung (z. B. STRIDE) und den bewährten Prinzipien der IEC 62443 oder ISO/IEC 27005 abbilden. Die zentralen Pflichten zur CE-Kennzeichnung gelten ab dem 11. Dezember 2027; erste Meldepflichten greifen bereits ab dem 11. September 2026.

Wie dürfen wir Ihnen helfen?

Rufen Sie uns an oder vereinbaren Sie direkt einen Termin

+49 731 977 191 - 0 Termin vereinbaren
Kostenfreies Erstgespräch