Risikomatrix erstellen: Excel-Vorlage und Beispiel

Welche Sicherheitsrisiken brauchen zuerst eine Maßnahme? Eine Risikomatrix hilft, Bewertungen zu vergleichen. Sie ordnet Risiken nach Wahrscheinlichkeit und Auswirkung ein. Dafür braucht dein Team verständliche Skalen und eine gemeinsame Bewertungsgrundlage.

Risikomatrix als Excel-Vorlage herunterladen – ohne Registrierung. Die Datei enthält ein leeres Risikoregister für 20 Risiken, zwei automatisch aktualisierte 5×5-Matrizen, ein ausgefülltes Beispiel und eine Anleitung. Du kannst Schwellenwerte anpassen und Maßnahmen, Zuständigkeiten und Fristen festhalten.

Was eine Risikomatrix zeigt

Die Matrix bringt Wahrscheinlichkeit und Auswirkung zusammen. Ein Szenario mit hoher Auswirkung und hoher Wahrscheinlichkeit verlangt meistens mehr Aufmerksamkeit als eine begrenzte, seltene Störung. Die Einordnung hilft, Behandlung und Prioritäten zu besprechen.

Die Vorlage verwendet eine einfache qualitative Methode: beide Faktoren erhalten Werte von 1 bis 5, der Risikowert ist ihr Produkt. Eine solche Einordnung ist kein erwarteter finanzieller Schaden und keine exakte statistische Messung. Eine 5×5-Matrix oder bestimmte Farbgrenzen sind auch keine allgemeine Vorgabe aus ISO 27001.

1. Das Risikoszenario konkret beschreiben

„Cloud-Risiko“ ist zu ungenau. Beschreibe Ereignis, betroffenen Prozess und mögliche Folgen. Zum Beispiel: „Die Dokumentenablage fällt aus. Das Supportteam kann Kundenvorgänge nicht bearbeiten.“

Halte vorhandene Kontrollen und deine Bewertungsgrundlage fest. Ein getesteter Wiederherstellungsprozess kann die Einschätzung verändern. Eine lediglich geplante Sicherung tut das noch nicht.

2. Wahrscheinlichkeit und Auswirkung bewerten

Vereinbare, welchen Zeitraum ihr betrachtet und was jede Stufe für euch bedeutet. In der Anleitung sind folgende qualitative Ausgangspunkte enthalten:

Stufe	Wahrscheinlichkeit	Auswirkung
1	Selten	Begrenzte Betriebsstörung
2	Unwahrscheinlich	Lokale, kurzfristige Beeinträchtigung
3	Möglich	Erhebliche Beeinträchtigung
4	Wahrscheinlich	Zentrale Leistung schwer beeinträchtigt
5	Sehr wahrscheinlich	Kritischer oder langanhaltender Schaden

Ergänze konkrete Kriterien für eure Organisation: tolerierbare Ausfallzeit, sensible Daten, finanzielle Folgen oder beeinträchtigte Kundenleistungen. Dokumentiere, weshalb du eine Stufe gewählt hast. Ohne diese gemeinsame Grundlage bewerten zwei Personen denselben Sachverhalt schnell unterschiedlich.

3. Risikowerte und Grenzen festlegen

Die Formel in der Vorlage lautet:

Risikowert = Wahrscheinlichkeit × Auswirkung

Damit ergeben sich Werte zwischen 1 und 25. Die voreingestellten Beispielgrenzen sind:

• 1–5: niedrig.
• 6–14: mittel.
• 15–25: hoch.

Die Grenzen stehen im Blatt „Anleitung“ und lassen sich ändern. Kategorien und Matrixfarben reagieren auf die Anpassung. Stelle zuerst sicher, dass die hohe Grenze oberhalb der mittleren liegt. Die Kategorie zeigt bei ungültigen Grenzen „Eingaben prüfen“.

Jede Matrixzelle zeigt Kategorie · Anzahl / Risikowert. „Hoch · 1 / 20“ bedeutet: Ein bewertetes Risiko befindet sich an dieser Position, deren Risikowert 20 ist. Es bedeutet weder ein Prozent noch eine Summe der Schäden. Fehlende oder ungültige Faktorwerte erzeugen kein scheinbar niedriges Risiko.

4. Ausgangsrisiko und Restrisiko auseinanderhalten

Das Ausgangsrisiko in dieser Vorlage beschreibt eure aktuelle Situation unter Berücksichtigung bestehender Kontrollen. Es ist nicht automatisch ein Bruttorisiko ohne jegliche Schutzmaßnahme.

Trage anschließend eine zusätzliche Maßnahme, Zuständigkeit, Frist und Umsetzungsstatus ein. Erst wenn der Status „Umgesetzt“ lautet und beide neuen Faktoren vollständig sind, berechnet die Vorlage das Restrisiko. Geplante Bewertungen können vorbereitet werden, erscheinen aber noch nicht in der Restrisikomatrix.

Der Status allein beweist keine Wirksamkeit. Prüfe die Maßnahme, bevor du eine geringere Wahrscheinlichkeit oder Auswirkung einträgst. Halte diesen Nachweis bei der Bewertungsgrundlage fest.

Beispiel: drei Risiken aus der Informationssicherheit

Das ausgefüllte Blatt verwendet fiktive Daten:

Szenario	Ausgangswert	Maßnahme	Restrisiko im Beispiel
Ausfall der Dokumentenablage	3 × 4 = 12	Wiederherstellung und Ersatz-Zugriff testen	Offen: Maßnahme ist geplant
Unberechtigter privilegierter Zugriff	4 × 5 = 20	MFA und begrenzte Admin-Rollen	2 × 4 = 8, nach Umsetzung
Datenverlust durch versehentliches Löschen	2 × 4 = 8	Aufbewahrung und Wiederherstellung testen	1 × 3 = 3, nach Umsetzung

Das erste Risiko bleibt trotz vorbereiteter neuer Faktoren in der Ausgangsmatrix. Die beiden umgesetzten Maßnahmen erhalten eine neue Bewertung in der Restrisikomatrix. So vermischt ihr Vorhaben und aktuelle Schutzwirkung nicht.

5. Eine Entscheidung und den nächsten Prüftermin festhalten

Eine Kategorie entscheidet nicht, ob ihr ein Risiko akzeptiert. Kläre, wer diese Entscheidung trifft, welche Bedingungen gelten und wann ihr erneut prüft. Auch ein mittleres Risiko kann für einen bestimmten Geschäftsprozess nicht tragbar sein.

Die Tabelle bringt Bewertung und Maßnahmen zusammen. Bei mehreren Teams wird es schwieriger, Aufgaben, Nachweise und Prüftermine über einzelne Dateien hinweg aktuell zu halten. Mit Risikomanagement in Kopexa führst du Risiken und Folgeaufgaben im gemeinsamen Kontext weiter. Bei Abhängigkeiten von Dienstleistern hilft zusätzlich das Lieferantenmanagement.

Häufige Fragen

Ist die Risikomatrix eine vollständige Risikoanalyse?

Nein. Sie stellt die Ergebnisse einer Bewertung dar. Risikoszenarien, vorhandene Kontrollen, Bewertungsgrundlagen und Entscheidungen brauchen weiterhin nachvollziehbare Dokumentation.

Was passiert bei einer fehlenden Bewertung?

Die Zeile zeigt „Bewertung fehlt“. Sie wird nicht als null oder als niedrig eingestuft und nicht als bewertetes Risiko in der Matrix gezählt. Der Hinweis „Offene Ausgangsbewertungen“ macht diese Zeilen sichtbar.

Wie ergänze ich mehr als 20 Risiken?

Kopiere Zeilen einschließlich Formeln und Datenprüfung. Erweitere danach die Bereiche beider Matrizen und der Zusammenfassungen. Die Anleitung nennt diese Grenze ausdrücklich; die Vorlage behauptet keine automatische Erweiterung.