Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 103

Tab. 5.1 Beispielhafte Risikoquantifizierung

Risiko A Risiko B Risiko C

Eintrittswahrscheinlichkeit in % 10 40 5

€

Schadensausmaß in 100.000 5.000 200.000

Produkt aus Eintrittswahrschein-
lichkeit und Schadensausmaß
(Bruttorisikokennzahl)

10.000 2.000 10.000

• Mit dem Überblick über die Beteiligten eines Prozesses lässt sich Aufschluss erhalten
über die betroffenen Mitarbeiter sowie die Partner. Darüber hinaus lassen sich Risi-
ken aus dem Ausbildungsstand der Mitarbeiter oder der Einbindung und Kontrolle
der Partner erkennen.
Bereits über diese Eingaben können die Datenschutzexperten die wesentlichen Da-
tenschutzrisiken für jeden Prozess identifizieren sowie durch Rückfragen beim Ma-
nagement Unklarheiten beseitigen. Es sei zudem erwähnt, dass bereits über das
Risikomanagementsystem der SAP eine solide Basis bereitsteht und viele Ergebnisse für
(mit dem Datenschutz verwandte) Compliance-Risiken für diesen Schritt herangezogen
werden können.

5.2.3.2.4 Risikobewertung
Nach der Identifikation der Risiken müssen diese bewertet werden.

1. Dies geschieht über die zwei zentralen Größen des Schadens und der Eintrittswahr-
scheinlichkeit, die für jedes identifizierte Risiko multipliziert werden müssen und so
eine individuelle Risikokennzahl ergeben.
2. Diese Risikokennzahlen sind schließlich in Relation zueinander zu setzen, um bei der
Behandlung der einzelnen Risiken Prioritäten setzen zu können.

Dazu ist zwischen zwei generellen Vorgehensweisen zu unterscheiden:

• Beider quantitativen RisikobewertungwerdendiepotenziellenSchäden, diebeiEintritt
des Risikos voraussichtlich eintreten würden, sowie deren Eintrittswahrscheinlich-
keit numerisch berechnet. Für jedes Risiko sind Eintrittswahrscheinlichkeit und der
mögliche Schaden in EURO zu bestimmen. Diese beiden Werte sind anschließend
zu multiplizieren, sodass ein vergleichbarer numerischer Wert für jedes Risiko ent-
steht (Risikokennzahl). Dies ist zugleich der Bruttorisikowert - also ein Wert vor der
anschließenden Behandlung des Risikos. Als Beispiel dazu dient Tab. 5.1 .
• Beider qualitativen RisikobewertungwerdenRisikenjeweilsinRisikoklasseneingeteilt,
z.B. gering, mittel, hoch. Entsprechend dieser Klassen wiederum werden die zugehö-
rigen Risiken dann behandelt, d.h.: Je höher die Risikoklasse, desto eher muss eine
Minderung des Risikos erfolgen.