Wie man eine Datenrisikobewertung durchführt, die zum Handeln anregt

75 % der Offenlegung sensibler Daten beginnen mit kompromittierten Identitäten oder falsch konfigurierten Berechtigungen, laut dem Netwrix 2026 Data and Identity Security Report. Eine Datenrisikobewertung, die diese Zugriffswege über mehrere Überprüfungszyklen unverändert lässt, kann keine messbare Verbesserung der Datensicherheitslage nachweisen.

Teams führen Entdeckung und Klassifizierung durch, bewerten die Ergebnisse und präsentieren sie, aber die Ergebnisse führen selten zu Maßnahmen. Monate später kann derselbe überbelichtete Ordner für Everyone offen bleiben, weil niemand Eigentum zugewiesen, ein Ticket in die Arbeitswarteschlange eingetragen oder die Live-Berechtigungen vor dem Schließen überprüft hat.

Eine nützliche Bewertung verbindet Nachweise der aktuellen Exposition mit verantwortlicher Behebung.

Was ist eine Datenrisikobewertung?

Eine Datenrisikobewertung ist ein Prozess, der die Exponierung spezifischer sensibler Daten bewertet. Er identifiziert, wo diese Daten gespeichert sind, wer oder was darauf zugreifen kann und was passiert, wenn dieser Zugriff missbraucht wird oder die Daten durchsickern.

Eine allgemeine Risikoanalyse der Informationstechnologie (IT) umfasst Informationssysteme umfassend, von der gesamten Organisation bis hin zu einzelnen Systemen.

Eine Datenschutz-Folgenabschätzung (PIA) oder Datenschutz-Folgenabschätzung (DPIA) gemäß GDPR blickt voraus. GDPR Article 35(1) verlangt eine vor Beginn der Verarbeitung, wenn eine geplante Aktivität wahrscheinlich ein hohes Risiko für Einzelpersonen darstellt, und sie ist aus der Perspektive der betroffenen Person verfasst.

Eine Datenrisikobewertung ist enger gefasst als die erste und operativer als die zweite. Sie beschreibt den aktuellen Zugriff auf vorhandene Daten und endet mit einer Liste von Maßnahmen.

Die Kernkomponenten einer Datenrisikobewertung

Eine vollständige Datenrisikobewertung durchläuft fünf Komponenten, die jeweils die nächste speisen. Das Überspringen einer Komponente unterbricht die Kette zwischen Entdeckung und Behebung.

Dateninventar

Das Dateninventar erfasst, welche sensiblen Daten existieren und wo sie sich befinden, einschließlich Dateiservern, Microsoft SharePoint, Cloud-Speicher, SaaS-Apps und den Repositorien, auf die Microsoft 365 Copilot und andere KI-Tools zugreifen können. Es ist nach Repository und Eigentümer organisiert, nicht nach System, da ein System meist viele Repositorien mit unterschiedlicher Sensibilität enthält.

Klassifizierung

Die Klassifizierung weist jedem Datenelement eine Sensitivitätsstufe und eine regulatorische Kennzeichnung zu. Sie trennt regulierte Daten wie personally identifiable information (PII), protected health information (PHI) und Daten der payment card industry (PCI) von vertraulichen Geschäftsdaten und allem anderen. Ihr Wert liegt in der konsistenten Anwendung in allen Repositorien, da ein Schema, das auf zwei verschiedene Arten interpretiert wird, Ergebnisse liefert, die nicht vergleichbar sind.

Zugriffs- und Expositionszuordnung

Die Zugriffs- und Expositionszuordnung zeigt, welche Gruppen, Konten, Dienstkonten und KI-Agenten jeden sensiblen Standort erreichen können. Sie beschreibt den effektiven Zugriff, der über verschachtelte Gruppen statt über rohe Zugriffssteuerungslisten (ACL) Einträge aufgelöst wird, da Verschachtelung die tatsächliche Zielgruppe eines Shares verbergen kann.

Risikobewertung

Die Risikobewertung kombiniert Wahrscheinlichkeit und Auswirkung zu einem vergleichbaren Wert über alle Befunde hinweg. Die Sensitivität beeinflusst die Auswirkung, während Exposition und Zugriffsweg die Wahrscheinlichkeit beeinflussen, und die Bewertungsrichtlinie definiert die Begriffe so genau, dass zwei Prüfer, die denselben Befund unabhängig bewerten, zum gleichen Wert kommen.

Eigentum und Berichterstattung

Ownership und Reporting sind die Ebene, die für jeden Befund eine verantwortliche Person zuweist und das Ergebnis als Register liefert, auf das gehandelt werden kann. Das narrative Deck ist ein Nebenprodukt des Registers, kein Ersatz.

Wann eine Datenrisikobewertung durchgeführt werden sollte

Ein Compliance-Rhythmus, eine Änderung der Umgebung oder ein Vorfall sollten jeweils eigenständig eine Bewertung auslösen, anstatt darauf zu warten, dass sie zusammenfallen.

In einem Rhythmus, der an Ihren Compliance-Rahmen gebunden ist

Prüfer erwarten aktuelle Nachweise aus einer wiederkehrenden Bewertung, und die wichtigsten Rahmenwerke stimmen im gleichen Intervall überein, ohne es ausdrücklich zu sagen.

GDPR und HIPAA legen keine feste Frequenz fest, doch das U.S. Department of Health and Human Services (HHS) Office for Civil Rights (OCR) hat eine jährliche Überprüfung in seine Vergleiche aufgenommen. Sein Korrekturplan vom Oktober 2024 für Plastic Surgery Associates of South Dakota, Teil einer 500.000-Dollar-Einigung, verlangt von der Praxis, die Risikoanalyse jährlich und bei Änderungen der Abläufe aktuell zu halten.

PCI DSS v4.0.1 verlangt die Bestätigung des Geltungsbereichs alle 12 Monate, bzw. alle sechs Monate für Dienstleister, sowie nach wesentlichen Änderungen. Jährlich ist der praktische Standard.

Wenn ein bestimmtes Auslöseereignis eintritt

Eine neue Datenquelle, eine Übernahme, eine Änderung des Zugriffsmodells oder eine KI-Einführung können das Risikoprofil schneller verändern als jeder Kalender. Eine neue Quelle übertrifft die Klassifizierung, eine Übernahme vereint Zugriffsmodelle, die nie für eine Zusammenarbeit konzipiert wurden, und eine Änderung des Zugriffsmodells kann stillschweigend geschlossene Pfade wieder öffnen.

Nach einem Vorfall oder Beinaheunfall

Ein Sicherheitsvorfall, ein Beinahe-Unfall oder ein Prüfungsergebnis bedeutet, dass die letzte Bewertung nicht mehr der Realität entspricht. HIPAA §164.308(a)(8) erfordert eine Neubewertung nach betrieblichen Änderungen, die elektronische geschützte Gesundheitsinformationen (ePHI) betreffen, und OCR nennt Sicherheitsvorfälle als Auslöser.

Warum die meisten Datenrisikobewertungen den Kontakt mit der Behebung nicht überstehen

Eine Datenrisikobewertung ist nur so nützlich wie das, was nach der Auswertung passiert. Drei wiederkehrende Gründe erklären, warum Bewertungen zwischen Auswertung und Behebung ins Stocken geraten, wobei jeder einen anderen Zusammenhang zwischen Bewertung und der beabsichtigten Behebung unterbricht.

Die Bewertung ist eine Momentaufnahme und veraltet, wenn sie gelesen wird

Berechtigungen und Datenstandorte ändern sich täglich, und ein Bericht friert sie am Tag der Datenabfrage ein. Eine Zugriffsübersicht zu einem bestimmten Zeitpunkt kann Konten übersehen, die zwischen den Abfragen hinzugefügt, entfernt oder temporär genutzt wurden. Eine drei Wochen nach der Datenabfrage vorgelegte Bewertung beschreibt ein System, das sich bereits geändert hat. Behandeln Sie den Bericht als Basis und aktualisieren Sie dann Inventar und effektive Zugriffsrechte vor Priorisierung und Abschluss.

Ergebnisse haben eine Schwerebewertung, aber keinen Verantwortlichen

Eine Tabelle mit einer Schweregrad-Spalte ist eine sortierte Liste, und eine sortierte Liste weist niemandem Arbeit zu. Das US-amerikanische Ministerium für Veteranenangelegenheiten Office of Inspector General berichtete in seiner Prüfung zum Federal Information Security Modernization Act für das Geschäftsjahr 2024 (Bericht 24-01233-90, Juni 2025), dass eine effektive Zugangskontrolle von der Zusammenarbeit zwischen den Beteiligten und Systembesitzern abhängt, da es keinen einzigen Verantwortlichen in der stark dezentralisierten Computerumgebung des Ministeriums gibt.

Fordern Sie für jeden Befund vor Ende der Behebungssitzung einen benannten Verantwortlichen, ein Fälligkeitsdatum und ein nachverfolgtes Ticket an.

Der Schweregrad wird berechnet, ohne zu fragen, wer darauf reagieren kann

Ein Team ohne die Kapazität oder Befugnis, eine kritische Feststellung in diesem Quartal zu bearbeiten, kann diesen Wert nicht in Risikominderung umwandeln. Für ein kleines Sicherheitsteam, das eine große Organisation abdeckt, ist der Wettbewerb um Kapazitäten normal, und ein Wert, der dies ignoriert, kann nicht vorhersagen, was behoben wird. Kombinieren Sie den Wert mit Verantwortlichkeit und einer realistischen Frist, damit Beteiligte die Behebung sequenzieren und etwaige Verschiebungen dokumentieren können.

Der Prozess der Datenrisikobewertung Schritt für Schritt

Führen Sie diese Schritte zur Bewertung von Datensicherheitsrisiken als Abhängigkeitskette aus. Die Erfassung von Kontrollbereichen; die Erfassung unterstützt die Klassifizierung und Zugriffszuordnung, und diese Ergebnisse unterstützen die Bewertung und Behebung.

1. Konzentrieren Sie die Bewertung zunächst auf geschäftskritische Daten

Beginnen Sie mit den Daten, deren Offenlegung die größte geschäftliche Auswirkung hätte, und arbeiten Sie sich nach außen vor. Der Versuch, alles auf einmal zu bewerten, führt zu Verzögerungen bei den Bewertungen.

Die Information Systems Audit and Control Association (ISACA) crown-jewel approach bewertet Vermögenswerte nach Kritikalität und Datensensitivität und gibt Ihnen eine kurze Liste zur Prioritätenschutz. Reglementierte Rahmenwerke bilden die erste Grenze.

HIPAA deckt alle ePHI ab, die eine Organisation erstellt, empfängt, speichert oder übermittelt, und PCI DSS scoping bedeutet, jeden Ort und Fluss von Karteninhaberdaten zu finden sowie jedes System, das mit der Karteninhaberdatenumgebung (CDE) verbunden ist oder diese beeinflussen könnte. Fügen Sie geistiges Eigentum und Kundenakten hinzu, dann stoppen Sie. Alles andere wartet auf die zweite Runde.

2. Entdecken und erfassen Sie, wo sich die sensiblen Daten befinden

Führen Sie die Erkennung für jedes Repository durch, das sensible Daten enthalten kann, nicht nur für die Systeme, die Sie benennen können. Dazu gehören lokale Dateiserver, SharePoint Online und OneDrive, Cloud-Speicher sowie SaaS-Apps und KI-Tools, die alle auslesen.

Für jedes Repository erfassen Sie den Eigentümer, den Standort und die Klassifizierung, sodass das Inventar ein Repository und eine Person benennt statt eines abstrakten Systems.

Berücksichtigen Sie die Scanner-Taktung bei der Planung des Durchlaufs. Microsoft Purview Information Protection scannt und kennzeichnet nach einem Crawl-Zeitplan, sodass Dateien, die nach dem letzten Crawl erstellt wurden, auf den nächsten warten. Starten Sie vor dem Abschluss des Inventars einen frischen Crawl oder notieren Sie das Crawl-Datum neben jedem Repository, damit die Beteiligten wissen, was das Inventar abdeckt und was nicht.

3. Erfassen Sie, wer und was darauf zugreifen kann

Ermitteln Sie den effektiven Zugriff für jeden sensiblen Ort, indem Sie die Gruppen, verschachtelten Mitgliedschaften, Dienstkonten und KI-Agenten im ACL aufzählen und jede auf die enthaltenen Konten erweitern. Rohe ACL-Einträge verbergen den Großteil des tatsächlichen Publikums eines Shares, wenn eine Gruppe andere Gruppen enthält. Erweitern Sie daher jede verschachtelte Gruppe, bevor Sie einen Eintrag als endgültig behandeln.

Behandle Everyone, Authenticated Users und Domain Users als offene Treuhänder, da jeder für jedes Konto in der Organisation steht, und Microsofts eigene SharePoint reports beschreiben die Berechtigungen von Everyone außer externen Benutzern als effektiv öffentlich. Der Durchgang ist abgeschlossen, wenn jeder sensible Ort eine aufgelöste Kontenliste und eine Ja/Nein-Antwort darauf hat, ob jeder Pfad noch gerechtfertigt ist.

4. Klassifizieren Sie, was Sie finden, nach Sensibilität und Geschäftsauswirkung

Verwenden Sie ein vierstufiges Sensitivitätsschema (Öffentlich, Intern, Vertraulich, Eingeschränkt), um Ihre Funde zu sortieren, und kennzeichnen Sie dann den regulatorischen Status (PII, PHI, PCI) als separates Attribut, da sensible Dateien nicht alle dasselbe Risiko tragen.

ISACA modelliert sie als parallele Metadaten, und Purview erkennt die regulierten Datentypen über sensible Informationstypen. Halten Sie sie getrennt, denn die HIPAA- und PCI-Geltungsbereichsregeln beziehen sich auf den regulierten Typ, unabhängig von dessen Sensitivitätsstufe, sodass beide unterschiedliche Dringlichkeiten erzeugen.

5. Bewerten Sie jedes Risiko nach Wahrscheinlichkeit und Auswirkung

Wählen Sie ein Wahrscheinlichkeit-mal-Auswirkung-Modell und schreiben Sie die Bewertungsrichtlinie auf, bevor jemand bewertet. NIST SP 800-30 fordert ein explizites Modell und eine schriftliche Begründung für jeden Wert, damit die Ergebnisse reproduzierbar sind. Sensitivität beeinflusst die Auswirkung, während Exposition und Zugriffsweg die Wahrscheinlichkeit beeinflussen.

Das Open Worldwide Application Security Project (OWASP) Risiko-Bewertungsmethode veranschaulicht diese Gewichtung, indem es Zugangswege mit größerer Wahrscheinlichkeit für breitere Bevölkerungsgruppen vergibt. Ein für Domain Users offener Ordner rangiert daher höher als ein Zugang, der auf wenige namentlich genannte Personen beschränkt ist, wenn die übrigen Faktoren gleich sind. Geben Sie jeder Wahrscheinlichkeitsstufe einen Zeitrahmen, wie vom NIST gefordert, damit die Wahrscheinlichkeitsbewertung in den Ergebnissen von file-server und SharePoint dasselbe bedeutet.

6. Dokumentieren und berichten Sie die Ergebnisse in einem Format, das Stakeholder nutzen können

Erstellen Sie ein Risikoregister mit einer Zeile pro Befund. Der National Institute of Standards and Technology Interagency Report (NISTIR) 8286r1 listet ID, Priorität, Beschreibung, Reaktion, Risiko-Eigentümer und Status als Basisfelder auf. Für eine Datenrisikobewertung fügen Sie die beteiligten Daten, das Repository und den Zugriffsweg hinzu, damit derjenige, der es behebt, weiß, was entfernt werden muss und von wo.

Lassen Sie die Spalten für Eigentümer und Datum vorerst leer und füllen Sie sie im Remediation-Meeting aus. Wenn Sie offene, hochriskante Befunde nach Geschäftseinheit über Bewertungen hinweg vergleichen, liefert die Anzahl dem chief information security officer (CISO) eine Statusmetrik ohne Erläuterung.

Warum allein ein Risikowert nicht entscheidet, was zuerst behoben wird

Ein Risikowert sortiert Ergebnisse, kann aber eine offene Freigabe hinter einem bescheidenen Label übersehen. Ein als Confidential gekennzeichneter Datensatz, der mit Authenticated Users geteilt wird, kann ein größeres reales Risiko darstellen als ein Restricted-Datensatz, der nur von wenigen benannten Personen gelesen werden kann, da die Exposition die Wahrscheinlichkeit erhöht.

ISO/IEC 27005 listet den Grad der Exposition als Wahrscheinlichkeitskriterium auf. Wenn die Rubrik nur das Label liest, fallen offene Freigaben für gewöhnliche Geschäftsdaten ans Ende der Liste und bleiben dort.

Unentschiedene Punktzahlen verursachen das zweite Problem, da zwei Befunde in verschiedenen Abteilungen denselben Behebungs-Sprint benötigen können. Legen Sie vor Beginn der Bewertung eine Entscheidungsregel fest und schreiben Sie sie in die Bewertungsrichtlinie. Regulierte Daten gewinnen bei Gleichstand, oder extern erreichbare Exposition gewinnt bei Gleichstand. Andernfalls wird jede Kollision zu einer neuen Verhandlung.

Zuweisung, Nachverfolgung und Überprüfung der Behebung

Die Behebung wandelt die Bewertungsergebnisse, Zugriffswege und Prioritäten in messbare Risikominderung um. Jeder Befund benötigt nun eine verantwortliche Zuständigkeit, einen Platz in der operativen Arbeitswarteschlange und einen Nachweis, dass sich der Zugriffsweg geändert hat.

1. Geben Sie jedem Befund einen benannten Verantwortlichen und ein Datum, bevor das Meeting endet

Wenn eine Feststellung ohne zugeordneten Namen bleibt, bleibt sie unzugeordnet. NISTIR 8286r1 definiert den Risiko-Eigentümer als die Partei, die dafür verantwortlich ist, das Risiko innerhalb der Unternehmensanforderungen zu halten, und ISO/IEC 27001 Abschnitt 6.1.2 verlangt, einen zu benennen.

Der Eigentümer ist für die Behebung verantwortlich, auch wenn jemand anderes die eigentliche Arbeit erledigt. Legen Sie das Datum daher im selben Meeting fest.

Es gibt keine veröffentlichten Service-Level-Agreements (SLA), die speziell auf Datenexpositionsbefunde abzielen, daher kann ein gestuftes Modell von anderswo übernommen werden, wie das Plan of Action and Milestones (POA&M) Playbook des Federal Risk and Authorization Management Program (FedRAMP) plan of action and milestones (POA&M) playbook. Es verkürzt die Fristen für Befunde mit höherer Schwere und startet die Uhr bei der Entdeckung.

2. Erfassen Sie die Behebung im System, das Ihr Team bereits zur Arbeitsverfolgung nutzt

Teams handeln eher bei Erkenntnissen, die in dieselbe Arbeitswarteschlange wie ihre anderen operativen Aufgaben gelangen. Leiten Sie jeden einzelnen in ServiceNow, Jira oder das Tool weiter, das das Team bereits verwendet, anstatt darauf zu vertrauen, dass jemand später das Risikoregister erneut öffnet.

Die meisten Ticket-Systeme erzwingen dieselbe Disziplin durch ihr Design. ServiceNow erstellt beispielsweise ein SLA erst, nachdem jemand den Eigentümer und das Fälligkeitsdatum eingetragen hat, wodurch der oben genannte Ownership-Schritt unabhängig vom verwendeten Tool verstärkt wird.

Fügen Sie auch den Zugriffsweg und das Repository in den Tickettext ein, da „Berechtigungen für den Finance-Share korrigieren“ allein nicht genug Informationen zum Handeln liefert.

3. Überprüfen Sie geschlossene Befunde erneut, bevor Sie die Bewertung als abgeschlossen markieren

Ein als gelöst markiertes Ticket ist immer noch nur eine Behauptung, und Prüfer erwarten Beweise über den Ticketstatus hinaus. Die 2024 Global Internal Audit Standards verlangen von internen Prüfern, professionellen Skeptizismus auszuüben (Standard 4.3), was die Umsetzungshinweise als Suche nach Beweisen beschreiben, „um Aussagen des Managements zu unterstützen und zu validieren.“ Ein geschlossenes Ticket ist genau eine solche Aussage.

Ziehen Sie zufällig fünf geschlossene Befunde und prüfen Sie die aktuellen Berechtigungen erneut für jeden einzelnen. Wenn der Zugriff noch besteht, wurde das Ticket nur auf dem Papier geschlossen.

Wenn eine Stichprobenprüfung fehlschlägt, öffnen Sie das Ticket erneut und finden Sie heraus, wie der Zugriff zurückgekehrt ist – sei es durch eine verschachtelte Gruppe, die niemand entfernt hat, eine unterbrochene Vererbungskette oder eine erneute Gewährung nach Schließung. Erweitern Sie dann die Stichprobe auf alle Befunde, die der Eigentümer geschlossen hat.

Wie Netwrix eine Datenrisikobewertung unterstützt, die zum Handeln anregt

Netwrix hält Bewertungsnachweise zwischen den Überprüfungszyklen aktuell und verbindet Expositionsdaten mit der Behebung. Die Plattform aktualisiert kontinuierlich die Risikobewertung, klärt effektive Berechtigungen über Umgebungen hinweg und leitet Erkenntnisse in die Tickets, mit denen das Team bereits arbeitet.

Risiko kontinuierlich bewerten, statt die Übung manuell zu wiederholen

Netwrix DSPM priorisiert Risiken durch kontinuierlich aktualisierte Bewertungen, die Datenexposition, Berechtigungen und Identitätsverhalten korrelieren. Diese Aktualisierung ersetzt eine Präsentation, die auf drei Wochen alten Daten basiert, durch ein Bild, das der Umgebung am Tag der Entscheidungsfindung entspricht.

Netwrix Auditor's Das Risk Assessment-Dashboard gruppiert Risiken nach Benutzern und Computern, Berechtigungen, Daten und Infrastruktur; färbt jede Metrik entsprechend anpassbarer Schwellenwerte ein; und verlinkt jede Metrik mit dem zugrundeliegenden Bericht.

Priorisierung nach effektiver Exposition

Netwrix Access Analyzer erkennt offenen Zugriff, zu großzügige ACLs, unterbrochene Berechtigungsvererbung und veraltete Berechtigungen, ermittelt effektive Berechtigungen über verschachtelte Gruppen und kennzeichnet jede ACL, die einem offenen Trustee Rechte gewährt, als hohes Risiko. Netwrix DSPM ergänzt dann Klassifizierung und Identitätskorrelation, sodass breite Zugriffe wie Domain Users nicht nur hinter einem Confidential-Label verborgen bleiben.

Eine Erkenntnis in eine verfolgte Behebung umwandeln

Netwrix 1Secure™ enthält ein Risk Assessment-Dashboard, das identifizierte Risiken in Active Directory und Microsoft Entra ID priorisiert, und die KI-gestützte Behebung führt Teams durch die Lösung.

Ein Sensitive Data Posture-Dashboard, hinzugefügt in der April 2026 Veröffentlichung, verfolgt die Risikominderung zwischen den Zyklen. 1Secure überträgt außerdem den vollständigen Ereigniskontext in Tickets oder E-Mails über ServiceNow und ConnectWise Manage Integrationen und leitet jeden Fund direkt in die Warteschlange, mit der das Team bereits arbeitet.

First National Bank and Trust of Beloit zeigt, welchen Wert diese Beweiskette hat. Mit Netwrix Auditor kann die Bank sich in einer Stunde statt in einer Woche auf Prüfungen der Office of the Comptroller of the Currency (OCC) vorbereiten.

Führen Sie eine Datenrisikobewertung durch, die in Maßnahmen endet

Bewerten Sie das Betriebsmodell anhand von drei Kriterien. Aktuelle Expositionsnachweise, verifizierte effektive Berechtigungen und Befunde, die in die operative Arbeitswarteschlange gelangen, müssen alle vorhanden sein. Wenden Sie den Test der fünf geschlossenen Befunde auf die letzte Bewertung an.

Jede Berechtigung, die für Authentifizierte Benutzer offen bleibt, zeigt genau, wo das Betriebsmodell Nachverfolgung benötigt.

Netwrix erfüllt diese Kriterien über verschiedene Ebenen. Netwrix DSPM hält das Expositionsbild zwischen den Zyklen aktuell, Netwrix Access Analyzer zeigt offene Zugriffe durch Analyse der effektiven Berechtigungen, und Netwrix 1Secure überträgt Ergebnisse in ServiceNow- oder ConnectWise Manage-Tickets, während die Dashboards den Fortschritt im Zeitverlauf verfolgen.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Ihnen hilft, Bewertungsnachweise aktuell zu halten, effektive Berechtigungen zu klären und Ergebnisse in die Tools zu leiten, die Ihr Team bereits nutzt.