Risikobewertung ist das Fundament jeder wirksamen Cybersecurity-Strategie – nicht nur im Automotive-Bereich. Ob in der Industrie, im Maschinenbau, in der Medizintechnik oder in der Produktion: Sobald vernetzte Systeme, softwarebasierte Steuerungen oder sicherheitskritische Funktionen im Spiel sind, wird eine strukturierte Risikoanalyse zur geschäftskritischen Notwendigkeit.
In diesem Beitrag zeigen wir, wie die Risikobewertung im Rahmen des TARA-Prozesses (Threat Analysis and Risk Assessment) in der Praxis abläuft – basierend auf der EVITA-Methode, die besonders im Automotive-Bereich verbreitet ist, aber branchenübergreifend anwendbar ist. Der Fokus liegt auf methodischer Tiefe und praktischem Ablauf – ideal für Fachabteilungen in Entwicklung, IT-Security, Engineering oder OT-Umgebungen.
Schritt 1: Systemarchitektur verstehen – der Grundstein jeder Risikobewertung
Egal ob Fahrzeug, Maschine oder Industrieanlage – am Anfang jeder fundierten Risikobewertung steht ein klares Verständnis der Systemarchitektur. Gemeint ist die logische und funktionale Strukturierung aller Komponenten: Sensoren, Steuerungen, Kommunikationsschnittstellen und Aktoren.
Typische Inhalte:
- Aufbau und Funktion von Steuer- und Automatisierungseinheiten
- Kommunikationsflüsse innerhalb von Netzwerken oder Bussystemen
- Modellierung von Abhängigkeiten, z. B. mittels UML oder Funktionsdiagrammen
Je klarer die Architektur abgebildet ist, desto fundierter und effizienter verläuft die Risikobewertung.
Schritt 2: Relevanzprüfung – was ist sicherheits- oder geschäftskritisch?
Nicht jede Komponente muss in die Cybersecurity-Betrachtung einbezogen werden. Das sogenannte Relevance Assessment hilft dabei, den Fokus gezielt zu setzen. Bewertet wird, ob ein Bauteil oder System:
- sicherheitskritische Funktionen steuert (z. B. Bremsen, Abschaltungen)
- personenbezogene oder betriebsrelevante Daten verarbeitet
- mit externen oder internen Netzwerken verknüpft ist
Nur wenn mindestens einer dieser Punkte zutrifft, wird das Element in den weiteren TARA-Prozess aufgenommen – so bleibt die Analyse zielgerichtet und ressourcenschonend.
Schritt 3: Sicherheitsattribute bestimmen – die CIA-Triade als Basis der Risikobewertung
Ein zentrales Element der Risikobewertung ist die Bestimmung der Schutzanforderungen – klassischerweise anhand der CIA-Triade:
- Confidentiality – Schutz sensibler Daten (z. B. Produktionsparameter, Kundendaten)
- Integrity – Schutz vor Manipulation oder fehlerhaften Zuständen
- Availability – Sicherstellung der Betriebsbereitschaft (z. B. von Maschinen oder Anlagen)
Diese Bewertung hilft dabei, die kritischen Schwachstellen und Angriffspunkte richtig einzuordnen.
Schritt 4: Bedrohungen identifizieren – realistische Angriffszenarien erfassen
Auf Basis der Systemstruktur und der Sicherheitsattribute erfolgt nun die Identifikation von konkreten Bedrohungsszenarien. Diese können je nach Branche variieren, umfassen aber häufig:
- Netzwerkbasierte Angriffe (z. B. auf Steuergeräte oder Maschinensteuerungen)
- Spoofing, Denial of Service, Malware-Einschleusung
- Manipulation von Firmware, Daten oder Prozessparametern
- Angriffe über Remote-Wartungsschnittstellen oder Lieferketten
Diese Phase bildet die Grundlage für die eigentliche Risikobewertung.
Schritt 5: Schadensausmaß bewerten – mit dem SFOPP-Modell
Das sogenannte SFOPP-Modell erlaubt eine differenzierte Bewertung der Auswirkungen von Bedrohungen – ideal auch für unternehmensspezifische Risikobetrachtungen:
- S – Safety: Gefahr für Personen oder Maschinen
- F – Financial: Monetäre Schäden, z. B. durch Ausfall oder Datenverlust
- O – Operational: Beeinträchtigung der Betriebsfähigkeit
- P – Privacy: Verlust personenbezogener oder vertraulicher Informationen
- P – Perception (optional): Vertrauensverlust bei Kunden, Partnern, Öffentlichkeit
So entsteht eine mehrdimensionale Risikoeinschätzung, die branchenspezifisch angepasst werden kann.
Praxis statt Theorie: Unsere TARA Masterclass
Sie möchten den TARA-Prozess nicht nur verstehen, sondern konkret anwenden?
Dann werfen Sie einen Blick in unsere interaktive Masterclass – mit einem realitätsnahen Beispiel, Schritt-für-Schritt-Erklärungen und einer Excel-Vorlage zur direkten Umsetzung.
☞ Jetzt entdecken und TARA in der eigenen Organisation effektiv einsetzen.
Schritt 6: Eintrittswahrscheinlichkeit bewerten – Attack Path Analysis
Neben dem Schadensausmaß ist die Eintrittswahrscheinlichkeit entscheidend. Diese wird im Rahmen der Attack Path Analysis bewertet – einer systematischen Betrachtung aller Schritte, die ein Angreifer durchführen müsste:
- Zugang zu Netzwerken oder Geräten
- Fachwissen, Tools oder physischer Zugriff
- Zeitaufwand und Komplexität
Daraus ergibt sich das Attack Feasibility Rating (AFR) – ein quantifizierter Wert für die Realisierbarkeit eines Angriffs.
Schritt 7: Gesamt-Risikobewertung – mit Risikomatrix
Jetzt werden Schadenshöhe und Eintrittswahrscheinlichkeit zusammengeführt. Die resultierende Risikobewertung erfolgt typischerweise in einer Matrix, z. B. mit Skalen von 1 (niedrig) bis 5 (hoch).
Je nach Position in der Matrix wird festgelegt:
- Welche Risiken akzeptabel sind
- Welche Risiken behandelt werden müssen
Die konkrete Risikoschwelle ist unternehmensspezifisch definierbar, z. B. im Rahmen eines ISMS oder Cybersecurity-Managementsystems.
Schritt 8: Maßnahmen ableiten – von der Bewertung zur Absicherung
Für alle nicht akzeptablen Risiken müssen Risikobehandlungsstrategien formuliert und umgesetzt werden. Dazu zählen:
- Avoidance: Risiko durch Design oder Prozess ausschließen
- Reduction: Risiko technisch oder organisatorisch senken
- Sharing: Risiko mit Partnern (z. B. Lieferanten) gemeinsam adressieren
- Transfer: Risiko durch Verträge oder Versicherungen übertragen
- Retention: Risiko bewusst akzeptieren (nur bei niedriger Kritikalität)
Aus diesen Maßnahmen entstehen konkrete Cybersecurity-Ziele und -Aufgaben – für IT, OT, Engineering und Management.
Fazit: Risikobewertung mit TARA – universell, normnah und praxisrelevant
Die strukturierte Risikobewertung ist ein branchenübergreifend einsetzbares Framework, das speziell für komplexe, vernetzte und sicherheitsrelevante Systeme entwickelt wurde. Ob in der Fahrzeugentwicklung, in der Industrieautomation, in der Medizintechnik oder im Maschinenbau – die Methodik lässt sich flexibel anpassen und normkonform integrieren.
clockworkX unterstützt Unternehmen dabei, den TARA-Prozess professionell umzusetzen – von der Systemanalyse über die Bewertung bis zur Ableitung effektiver Maßnahmen. Unsere Experten kombinieren technische Tiefe mit normativem Know-how – für mehr Resilienz, Effizienz und Sicherheit.
Sie wollen tiefer einsteigen? Unsere TARA Masterclass erklärt den gesamten Prozess praxisnah
Wer den kompletten Ablauf der Risikobewertung einmal live anhand eines realen Beispiels erleben will, sollte einen Blick in unsere TARA Masterclass werfen:
✔️ Schritt-für-Schritt erklärt
✔️ Praxisbeispiel: Headlamp-System
✔️ Mit Excel-Template zum Mitmachen
✔️ Auch für Nicht-Automotive-Projekte übertragbar