Glossar, Risikomanagement / ISO 31000 / ISO 27005

Risikomatrix

Englisch: Risk Matrix (Risk Assessment Matrix)

Zuletzt aktualisiert: Mai 2026

Lesedauer: ca. 5 Minuten

Eine Risikomatrix ist ein grafisches Werkzeug zur Darstellung und Bewertung von Risiken anhand von zwei Dimensionen: Eintrittswahrscheinlichkeit (Likelihood) und Schadensausmaß (Impact). Die Matrix-Zellen werden farblich nach Risikoklassen markiert (typischerweise grün für niedrig, gelb für mittel, orange für hoch, rot für sehr hoch) und liefern eine schnelle visuelle Priorisierung der Behandlungs-Reihenfolge. Methodische Grundlage ist ISO 31000:2018 Clause 6.4 (Risk Analysis), sowie ISO/IEC 27005:2022 Clause 8.4 (Risk Estimation) für den ISMS-Kontext. Die Risikomatrix ist methodisch verbreitet, hat aber dokumentierte Schwächen; sie bleibt Werkzeug, nicht Selbstzweck.

Normative Grundlage: ISO 31000:2018 Clause 6.4; ISO/IEC 27005:2022 Clause 8.4; BSI-Standard 200-3

Hintergrund und normative Einordnung

Die Risikomatrix ist eines der am weitesten verbreiteten Werkzeuge im Risikomanagement und findet in praktisch allen branchenüblichen Frameworks Anwendung, von ISO 31000 (allgemeines Risikomanagement) über ISO/IEC 27005 (Informationssicherheits-Risikomanagement), NIST SP 800-30 (US-Risikomanagement-Guide) bis zu COSO ERM (Enterprise Risk Management). Die Grundkonstruktion ist immer gleich: zwei Achsen mit ordinalen Skalen (typischerweise 3×3, 4×4 oder 5×5), Zellen mit Farbcode oder numerischem Risikowert (Wahrscheinlichkeit × Schadensausmaß), klar definierte Risikoklassen mit Schwellenwerten. ISO 31000:2018 Clause 6.4.3 erlaubt explizit qualitative, semi-quantitative und quantitative Methoden, die Risikomatrix ist die häufigste qualitative bis semi-quantitative Umsetzung. Wesentlich ist, dass die ordinalen Skalen organisationsspezifisch definiert werden: Was bedeutet „Wahrscheinlichkeit hoch"? Was bedeutet „Schaden sehr hoch"? Ohne klare Definitionen werden Bewertungen inkonsistent. BSI-Standard 200-3 (Risikoanalyse) konkretisiert dies im deutschen IT-Grundschutz-Kontext und verbindet die Risikomatrix mit den drei BSI-Schutzbedarfskategorien.

Trotz der weiten Verbreitung haben Risikomatrizen dokumentierte methodische Schwächen, die in der Praxis oft unterschätzt werden. Die einflussreichste kritische Arbeit ist Tony Cox' Aufsatz „What's Wrong with Risk Matrices?" (Risk Analysis, 2008), der mehrere systematische Probleme aufzeigt: Range Compression (Risiken mit sehr unterschiedlichen quantitativen Werten landen in derselben Matrix-Zelle), Lie Factor (die Farbcodierung suggeriert Genauigkeit, die die zugrunde liegenden Daten nicht hergeben), Ranking Reversal (zwei Risiken können in unterschiedlichen Skalen unterschiedlich priorisiert werden), Mathematische Instabilität (kleine Änderungen in den Schwellenwerten verändern die Ergebnisse stark). NIST SP 800-30 Rev. 1 Appendix I behandelt diese Probleme und empfiehlt, Risikomatrizen mit qualitativen Bewertungstabellen und ergänzenden quantitativen Methoden zu kombinieren. ISO/IEC 27005:2022 Clause 8.4 fordert, die Wahl der Bewertungsmethode am Reifegrad der Organisation und der Datenqualität auszurichten. In der ISO 27005-Implementierung ist die Risikomatrix ein bewährtes Werkzeug, das aber methodisch sorgfältig gepflegt werden muss.

Normative Bezüge:

ISO 31000:2018 Clause 6.4 ISO/IEC 27005:2022 Clause 8.4 BSI-Standard 200-3

Vorgehen in der Praxis

Die Erstellung einer wirksamen Risikomatrix folgt einem klar definierten Vier-Schritte-Vorgehen. Wichtig: Die Risikomatrix ist Werkzeug am Ende des Bewertungsprozesses, nicht der Anfang. Sie entsteht aus klar definierten Skalen, die nicht beliebig gewählt werden dürfen.

Skalen für Eintrittswahrscheinlichkeit und Schadensausmaß definieren Im ersten Schritt werden die beiden Achsen-Skalen festgelegt. Übliche Granularitäten sind 3×3 (niedrig/mittel/hoch), 4×4 oder 5×5 Stufen. Jede Stufe muss klar definiert sein: Eintrittswahrscheinlichkeit etwa als „sehr selten (einmal in 10+ Jahren)", „selten (einmal pro 5 Jahre)", „möglich (einmal pro Jahr)", „häufig (mehrfach pro Jahr)", „sehr häufig (monatlich)". Schadensausmaß typischerweise nach mehreren Dimensionen: finanzieller Schaden, regulatorischer Schaden, Reputationsschaden, Personenschaden, betriebliche Beeinträchtigung. ISO/IEC 27005:2022 Clause 8.4 fordert, dass die Skalen mit den Risikoakzeptanzkriterien der Organisation konsistent sind. Die Skalen sind organisationsspezifisch und müssen vom Management freigegeben werden.

Risiken identifizieren und auf den Skalen einordnen Im zweiten Schritt werden alle relevanten Risiken aus der Risikoidentifikation (ISO 31000 Clause 6.4.2, ISO/IEC 27005 Clause 8.3) auf den beiden Skalen eingeordnet. Pro Risiko entsteht ein Wertepaar (Wahrscheinlichkeit, Schaden). Die Einordnung erfolgt durch die Risikoeigner (Risk Owner) gemeinsam mit Fachexperten, bei IT-Risiken durch Informationssicherheit, IT-Architektur und Fachbereich. ISO 31000 Clause 6.4.3 betont, dass die Einordnung auf belastbaren Informationen basieren soll: historischen Daten, Statistiken, Expertenbefragungen, Threat-Intel-Berichten. Bei fehlenden quantitativen Daten ist die qualitative Schätzung explizit zu kennzeichnen. NIST SP 800-30 Appendix I liefert Beispiel-Skalen mit klaren verbalen Beschreibungen für jede Stufe.

Risikomatrix konstruieren und Risikoklassen festlegen Im dritten Schritt wird die Matrix konstruiert und die Risikoklassen (etwa „niedrig", „mittel", „hoch", „sehr hoch") werden über farbcodierte Zellen festgelegt. Die Zellgrenzen sind methodisch entscheidend: Bei einer 5×5-Matrix mit Werten 1-5 pro Achse ergeben sich Risikoprodukte von 1 bis 25, die Schwellenwerte für die Klassen müssen sorgfältig gewählt werden. Ein häufiger Ansatz: 1-4 niedrig (grün), 5-9 mittel (gelb), 10-15 hoch (orange), 16-25 sehr hoch (rot). Wichtig: Die Klassengrenzen müssen mit den Risikoakzeptanzkriterien der Organisation übereinstimmen. ISO 31000:2018 Clause 6.3.3 fordert dies explizit. NIST SP 800-30 Rev. 1 empfiehlt zusätzlich eine Heat-Map-Darstellung mit überlagerten quantitativen Werten.

Risiken auf der Matrix priorisieren und Behandlungs-Reihenfolge ableiten Im letzten Schritt werden die identifizierten Risiken auf der Matrix abgebildet, typischerweise als Punkte oder Nummern in den jeweiligen Zellen. Die Risikoklasse jeder Zelle bestimmt die Behandlungsdringlichkeit: „sehr hoch" und „hoch" erfordern sofortige Risikobehandlung (Risk Treatment nach ISO 31000 Clause 6.5, ISO 27001 Clause 6.1.3), „mittel" wird gemäß Risikoakzeptanzkriterien priorisiert, „niedrig" kann oft akzeptiert werden. ISO/IEC 27005:2022 Clause 8.5 fordert die Bewertung gegen die Akzeptanzkriterien. Das Ergebnis ist eine priorisierte Liste behandlungsbedürftiger Risiken, die in das Risk Treatment Plan (ISO 27001 Clause 6.1.3 e) und ins Statement of Applicability (Clause 6.1.3 d) einfließen. Die Risikomatrix wird regelmäßig aktualisiert, typischerweise jährlich oder bei wesentlichen Änderungen.

Die häufigste Falle ist die Verwendung der Standard-Skalen aus Lehrbüchern ohne organisationsspezifische Anpassung. Eine 5×5-Matrix mit „niedrig/mittel/hoch/sehr hoch/extrem"-Bezeichnungen ist nutzlos, wenn nicht definiert ist, was diese Werte konkret bedeuten. Empfehlung: Vor der ersten Risikomatrix mindestens eine halbe Stunde in die Definition der fünf Wahrscheinlichkeits- und fünf Schadens-Stufen investieren, mit konkreten Zahlen, Beispielen und Beziehung zu den eigenen Akzeptanzkriterien.

Abgrenzung zu verwandten Begriffen

Begriff	Fokus	Verhältnis zu Risikomatrix
Risikoregister (Risk Register)	Tabellarische Auflistung aller identifizierten Risiken mit Details	Das Risikoregister ist die textbasierte, tabellarische Dokumentation aller Risiken einer Organisation, typischerweise mit Spalten für Risiko-ID, Beschreibung, Eigentümer, Wahrscheinlichkeit, Schaden, Risikoklasse, Behandlungsoption, Status. Die Risikomatrix ist die grafische Verdichtung dieses Registers für Kommunikations- und Priorisierungszwecke. Beide ergänzen sich: Das Register liefert die Details, die Matrix die schnelle Übersicht. ISO/IEC 27005:2022 und ISO 31000:2018 verlangen das Register als Pflichtdokumentation; die Matrix ist eine empfohlene Darstellungsform.
Schutzbedarfsanalyse	Qualitative Bestimmung des Schutzbedarfs in drei Kategorien	Die Schutzbedarfsanalyse nach BSI-Standard 200-2 ermittelt nur die Schadensseite (in drei Kategorien normal/hoch/sehr hoch), nicht die Eintrittswahrscheinlichkeit. Sie ist methodisch eine Vorstufe zur vollständigen Risikoanalyse mit Matrix: Erst wenn der Schutzbedarf bekannt ist, kann eine Risikomatrix mit Eintrittswahrscheinlichkeit ergänzt werden. BSI-Standard 200-3 (Risikoanalyse) baut auf der Schutzbedarfsfeststellung auf und führt zu einer Risikomatrix-äquivalenten Bewertung.
Quantitative Risikoanalyse (FAIR, Monte Carlo)	Numerische Berechnung des erwarteten Verlustes (Annualized Loss Expectancy)	Quantitative Methoden wie das FAIR-Framework oder Monte-Carlo-Simulationen liefern numerische Werte für erwartete Verluste in Euro pro Jahr, keine Farbkodierungen. Sie sind methodisch präziser als Risikomatrizen, erfordern aber bessere Datenqualität und höheren Aufwand. In reifen Organisationen werden Risikomatrix (für Kommunikation) und quantitative Analyse (für Investitionsentscheidungen) kombiniert. ISO 31000:2018 erlaubt beide Ansätze und empfiehlt, die Auswahl am Reifegrad und Datenbasis der Organisation auszurichten.

Typische Fehler und wie ihr sie vermeidet

Standard-Skalen ohne organisationsspezifische Definitionen: Eine 5×5-Matrix mit Bezeichnungen wie „niedrig/mittel/hoch/sehr hoch/extrem" ist nutzlos, wenn nicht definiert ist, was diese Werte konkret bedeuten. Wer für „Schaden sehr hoch" keine konkrete Schwelle (etwa „Verlust über 500.000 Euro" oder „Verstoß gegen Strafgesetze") definiert, bekommt inkonsistente Bewertungen verschiedener Risk Owner. ISO 31000:2018 Clause 6.3.3 fordert explizit organisationsspezifische Bewertungskriterien; ISO/IEC 27005:2022 Clause 8.4 betont die Konsistenz mit den Risikoakzeptanzkriterien. BSI-Standard 200-3 liefert konkrete Beispiele für Skalendefinitionen.
Range Compression, viele Risiken in derselben Zelle: Wenn 5-7 Risiken in derselben Matrix-Zelle landen (etwa „hoch/hoch"), liefert die Matrix keine Priorisierung mehr. Tony Cox (2008) hat dieses Range-Compression-Phänomen als grundlegendes methodisches Problem von Risikomatrizen beschrieben. Lösungen: feinere Skalen (5×5 statt 3×3), ergänzende semi-quantitative Bewertung mit numerischen Werten, oder Trennung der Risiken nach Bedrohungstyp oder Asset-Klasse in separate Matrizen. NIST SP 800-30 Rev. 1 empfiehlt explizit, bei Range Compression auf quantitative Methoden zu wechseln.
Statische Matrix, keine regelmäßige Aktualisierung: Eine Risikomatrix ist ein lebendes Dokument. Geschäftsprozesse ändern sich, Bedrohungslagen entwickeln sich (Ransomware-Welle, neue Angriffstechniken), regulatorische Anforderungen verschärfen sich (NIS-2, DORA). Wer die Risikomatrix nicht regelmäßig aktualisiert (mindestens jährlich, anlassbezogen häufiger), arbeitet mit veralteten Annahmen. ISO 31000:2018 Clause 6.6 und ISO/IEC 27005:2022 Clause 10 fordern die regelmäßige Überprüfung. Im ISO 27001-Audit ist eine unveränderliche Risikomatrix ein deutliches Warnsignal.
Risikomatrix als Selbstzweck, ohne Verknüpfung zur Risikobehandlung: Eine schön gestaltete Risikomatrix ist nur wertvoll, wenn sie zur Risikobehandlung führt. Wenn die identifizierten „hohen" und „sehr hohen" Risiken nicht mit konkreten Behandlungsmaßnahmen, Verantwortlichen und Terminen verknüpft sind, bleibt die Matrix ein Visualisierungs-Artefakt ohne Wirkung. ISO 31000:2018 Clause 6.5 und ISO 27001:2022 Clause 6.1.3 fordern die explizite Verknüpfung. Praktisch bedeutet das: Jedes Risiko in der oberen rechten Ecke der Matrix muss einen dokumentierten Treatment Plan haben, Mitigation, Transfer, Akzeptanz oder Vermeidung.

Relevanz im regulatorischen Kontext

Die Risikomatrix ist in keinem einzelnen Regelwerk vorgeschrieben, aber als methodisches Werkzeug in praktisch allen relevanten Risikomanagement-Standards anerkannt. ISO 31000:2018 ist die internationale Generalnorm für Risikomanagement und liefert mit Clause 6.4 (Risk Analysis) den methodischen Rahmen. ISO/IEC 27005:2022 wendet diesen Rahmen auf Informationssicherheits-Risiken an und ist eng mit ISO/IEC 27001:2022 verzahnt, Clause 6.1.2 (Risk Assessment) und Clause 6.1.3 (Risk Treatment) sind die ISO-27001-Anker für jede Risikomatrix-Anwendung im ISMS. ISO/IEC 31010:2019 (Risk Assessment Techniques) erweitert das methodische Spektrum um 31 verschiedene Bewertungstechniken, die Risikomatrix ist eine davon. Im deutschen Behörden- und KRITIS-Kontext ist BSI-Standard 200-3 (Risikoanalyse) das maßgebliche Werkzeug. Es kombiniert die Schutzbedarfsfeststellung nach 200-2 mit einer Bedrohungs- und Risikoanalyse, die eine Risikomatrix-äquivalente Bewertung liefert. NIST SP 800-30 Rev. 1 ist der US-Standard und Appendix I enthält explizite Beispiel-Skalen und Risikomatrix-Templates.

Im regulatorischen Kontext ist die Risikomatrix zwar nicht namentlich gefordert, aber als methodisches Mittel zur Erfüllung der Risikomanagement-Pflichten anerkannt. Die DSGVO Art. 32 Abs. 1 verlangt risikobasierte Maßnahmen „unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos", die Risikomatrix ist hier die übliche methodische Umsetzung. NIS-2 (Richtlinie (EU) 2022/2555) Artikel 21 fordert risikobasierte Sicherheitsmaßnahmen ohne Methodenvorgabe. DORA (Verordnung (EU) 2022/2554) Artikel 6 verlangt ein IKT-Risikomanagement-Rahmenwerk, das in Artikel 8 eine Klassifizierung der IKT-Vermögenswerte nach Kritikalität voraussetzt, methodisch eine Risikomatrix-äquivalente Bewertung. Im KRITIS-Bereich nach BSIG § 8a (künftig § 30 BSIG-NIS-2-Umsetzung) gilt eine ISO/IEC 27001-Zertifizierung mit dokumentiertem Risikomanagement als anerkannter Konformitätsnachweis. Sektorenübergreifend: Die Risikomatrix ist ein universelles Kommunikationswerkzeug, die methodische Sorgfalt bei den Skalen entscheidet über die Belastbarkeit.

Häufige Fragen

Welche Größe sollte meine Risikomatrix haben, 3×3, 4×4 oder 5×5?

Die Wahl hängt vom Reifegrad und Datenbasis der Organisation ab. 3×3-Matrizen sind einfach zu kommunizieren, leiden aber stark unter Range Compression, viele Risiken landen in derselben Zelle, was die Priorisierung erschwert. 5×5-Matrizen bieten feinere Differenzierung, erfordern aber präzisere Skalendefinitionen und höhere Bewertungs-Qualität. 4×4 ist ein praktischer Kompromiss, hat aber den Nachteil keiner „mittleren" Stufe (gerade Anzahl). Empfehlung: Für Erstanwendung 4×4 oder 5×5, für reife Organisationen mit guten Daten 5×5 mit ergänzender quantitativer Bewertung. ISO/IEC 27005:2022 macht keine Vorgabe; ISO 31000:2018 empfiehlt, die Auswahl am Reifegrad auszurichten. NIST SP 800-30 Rev. 1 Appendix I verwendet 5×5 als Standardbeispiel.

Wie definiere ich die Skalen für Eintrittswahrscheinlichkeit?

Die Skalen für Eintrittswahrscheinlichkeit sollten organisationsspezifisch definiert sein. Übliche Definitionen einer 5-stufigen Skala: „sehr selten (weniger als einmal in 10 Jahren)", „selten (einmal alle 3-10 Jahre)", „möglich (einmal alle 1-3 Jahre)", „häufig (mehrfach pro Jahr)", „sehr häufig (monatlich oder häufiger)". Wichtig: Die Definitionen müssen mit den Beobachtungs- und Schätzhorizonten der Organisation übereinstimmen, wer keine Daten zu 10-Jahres-Ereignissen hat, sollte vorsichtig mit der Stufe „sehr selten" umgehen. ISO/IEC 27005:2022 Clause 8.4 fordert die Konsistenz mit der Datenbasis. Bei IT-Risiken können zusätzliche Quellen genutzt werden: BSI Lagebericht, ENISA Threat Landscape, Branchenberichte, eigene historische Vorfallsdaten.

Was bedeutet „Range Compression" und wie vermeide ich sie?

Range Compression bezeichnet das Phänomen, dass viele Risiken mit eigentlich unterschiedlichen quantitativen Werten in derselben Matrix-Zelle landen, etwa weil eine 3×3-Matrix zu grob ist, um die Spannweite realer Risikohöhen abzubilden. Tony Cox' Aufsatz „What's Wrong with Risk Matrices?" (2008) hat dieses Problem systematisch beschrieben. Lösungen: feinere Skalen verwenden (5×5 statt 3×3), ergänzende numerische Bewertung (semi-quantitative Methode mit Werten 1-5 pro Achse, Multiplikation ergibt 1-25), separate Matrizen für unterschiedliche Risiko-Domänen (z. B. eine für Cyber, eine für Compliance, eine für Operations), oder Wechsel zu quantitativen Methoden wie FAIR oder Monte Carlo bei reifer Datenbasis. NIST SP 800-30 Rev. 1 Appendix I behandelt Range Compression als bekanntes methodisches Problem.

Quellen & weiterführende Literatur

Risikomatrix methodisch sauber aufbauen

Wir unterstützen Sie bei der Erstellung einer Risikomatrix, die ISO 31000, ISO/IEC 27005 und BSI-Standard 200-3 erfüllt und im ISMS-Audit besteht, mit organisationsspezifischen Skalen, klaren Risikoklassen und Anbindung an die Risikobehandlung.

Erstgespräch buchen →

Verwandte Begriffe

Passende Leistungen

Themen