Vorrangiges Ziel der Analyse ist, bestehende Risiken zu überblicken, um dann entsprechende Maßnahmen einleiten zu können. Das Management profitiert von höherer Transparenz und Entscheidungsprozesse lassen sich objektivieren. Das klingt in der Theorie recht einfach, entpuppt sich aber in der Praxis als Weg voller Stolpersteine.

Dennoch überwiegen die Vorteile. Ohne eine umfassende und individuelle Risikobewertung kann es passieren, dass mögliche Gefahren nicht beachtet werden oder dass das Security-Budget nach dem Gießkannenprinzip in ein unangemessen hohes Sicherheitsniveau fließt.

.Für ein Risiko sind üblicherweise die folgenden beiden Größen von Belang: Die Höhe des Schadens, der beim Eintritt eines Ereignisses entsteht, und die Wahrscheinlichkeit, mit der dieser Schaden eintritt. Bei IT-Sicherheit liegen für die Betrachtung von Risiken im Unterschied zu Bereichen wie Versicherungen nur sehr selten Zahlen aus der Vergangenheit vor. Dies liegt einerseits daran, dass viele Vorfälle gar nicht publik werden. Andererseits haben die Rahmenbedingungen in jedem Unternehmen einen erheblichen Einfluss auf das Risiko, sodass sich selbst die wenigen verfügbaren Daten nicht ohne Weiteres auf die individuelle Situation übertragen lassen.

Der international anerkannte Standard ISO/IEC 27005 beschreibt recht ausführlich verschiedene Ansätze zur Abschätzung von Risiken, die alle eines gemeinsam haben: Analysen erfordern viel Erfahrung und ein fundiertes Wissen im Bereich der IT-Sicherheit, um nachvollziehbare, vergleichbare und vor allem belastbare Ergebnisse zu erhalten. Darüber hinaus sind Einschätzungen oft von persönlichen Erlebnissen oder Vorfällen in der jüngeren Vergangenheit beeinflusst. Nicht zuletzt ist das Verfahren recht aufwendig und bindet Ressourcen aus unterschiedlichen Bereichen eines Unternehmens.

Aus all diesen Gründen greifen kleine und mittelständische Unternehmen nur selten zum Instrument der Risikoanalyse, um IT-Sicherheit zu steuern, obwohl sie auch bei diesen ihre Stärken voll ausspielen könnte.