Automatisierte Vertragsüberwachung mit Power Automate & Xurrent –
So behalten Sie Ihre Fristen immer im Blick
10.06.2025
IT-Risikomanagement – Grundlagen, Nutzen und Umsetzung mit Xurrent
In Zeiten wachsender digitaler Abhängigkeiten und zunehmender Cyberbedrohungen wird IT-Risikomanagement für Unternehmen zu einem zentralen Steuerungsinstrument. Die Fähigkeit, Risiken frühzeitig zu erkennen, zu bewerten und gezielt zu steuern, ist entscheidend für die Resilienz und Zukunftsfähigkeit moderner Organisationen. Dabei geht es nicht nur um Sicherheitsvorfälle, sondern auch um Geschäftsunterbrechungen, regulatorische Anforderungen oder technologische Veränderungen.
Dieser Artikel beleuchtet die Relevanz von IT-Risikomanagement, erklärt typische Prozessschritte inklusive zentraler Fachbegriffe und zeigt, wie sich dieser Prozess praxisnah mithilfe eines Service Management Systems – konkret mit Xurrent auf Basis von 4me – digital und effizient abbilden lässt.
1. Warum ist IT-Risikomanagement wichtig?
Moderne IT-Systeme sind das Rückgrat vieler Geschäftsprozesse. Ein Ausfall, eine Sicherheitslücke oder eine Fehlkonfiguration kann heute schnell zu finanziellen Verlusten, Imageschäden oder rechtlichen Konsequenzen führen. Gleichzeitig steigen die Anforderungen durch Gesetze, Standards und Kunden: Unternehmen müssen nachweisen können, dass sie sich mit ihren Risiken aktiv auseinandersetzen und geeignete Maßnahmen ergreifen.
Ein funktionierendes IT-Risikomanagement hilft dabei, diese Herausforderungen systematisch zu adressieren. Es schafft Transparenz über potenzielle Bedrohungen, bewertet deren Auswirkungen und stellt sicher, dass Risiken nicht ignoriert, sondern kontrolliert behandelt werden. Außerdem unterstützt es die Unternehmensführung dabei, fundierte Entscheidungen zu treffen – auf Basis nachvollziehbarer Analysen statt auf Bauchgefühl.
2. Wie sieht der Prozess üblicherweise aus?
Das IT-Risikomanagement folgt in der Praxis einem standardisierten Prozess, der sich in fünf Kernphasen unterteilen lässt: Identifikation, Bewertung, Behandlung, Überwachung und Kommunikation. Jeder dieser Schritte trägt dazu bei, Risiken strukturiert zu erfassen und zielgerichtet zu steuern.
Abbildung 1: Abbildung des Risikoprozesses in Xurrent
a) Risikoidentifikation
Zunächst gilt es, Risiken zu erkennen. Ein Risiko ist im IT-Kontext eine potenzielle negative Abweichung von einem angestrebten Ziel – beispielsweise durch ein Datenleck, einen Hardwaredefekt oder einen Angriff von außen. Dabei ist zu beachten: Nicht jedes Problem ist automatisch ein Risiko – es muss immer eine Kombination aus einer Bedrohung und einer Schwachstelle vorliegen, die ein unerwünschtes Ereignis auslösen kann.
Typische Quellen für die Risikoidentifikation sind Schwachstellenanalysen, interne Audits, Mitarbeiterhinweise, externe Ereignisse oder gesetzliche Anforderungen.
b) Risikobewertung
Anschließend wird jedes identifizierte Risiko bewertet. Dabei stehen zwei Faktoren im Fokus:
- Eintrittswahrscheinlichkeit: Wie wahrscheinlich ist es, dass das Risiko tatsächlich eintritt? Diese Einschätzung erfolgt meist qualitativ (z. B. niedrig / mittel / hoch) oder quantitativ (z. B. in Prozent).
- Auswirkung (Schadenshöhe): Welche Schäden entstehen im Ernstfall – finanziell, reputativ oder operativ?
Beide Faktoren werden in einer Risikomatrix visualisiert und führen gemeinsam zu einem Risikowert oder Risikolevel. Dieser dient als Grundlage für Entscheidungen über Maßnahmen.
Zentrale Begriffe in diesem Zusammenhang:
- Risikoappetit: Der Risikoappetit beschreibt die maximale Höhe eines Risikos, die ein Unternehmen bewusst eingehen will, um seine Ziele zu erreichen. Risiken oberhalb dieses Toleranzbereichs müssen zwingend behandelt werden.
- Restrisiko: Auch nach Umsetzung von Maßnahmen verbleibt in der Regel ein Restrisiko – dieses muss bewertet und ggf. akzeptiert werden.
c) Risikobehandlung / Maßnahmen erfassen
Für jedes Risiko müssen geeignete Maßnahmen definiert werden. Grundsätzlich gibt es vier Strategien:
- Vermeidung (z. B. durch Abbruch eines riskanten Projekts)
- Reduzierung (z. B. durch technische oder organisatorische Schutzmaßnahmen)
- Übertragung (z. B. durch Versicherungen oder Outsourcing)
- Akzeptanz (z. B. wenn das Risiko innerhalb des Risikoappetits liegt)
Diese Maßnahmen müssen geplant, umgesetzt und dokumentiert werden.
d) Überwachung und Review
Risikomanagement ist kein einmaliger Akt, sondern ein kontinuierlicher Prozess. Risiken und deren Bewertungen müssen regelmäßig überprüft und aktualisiert werden – etwa bei technischen Änderungen, nach Vorfällen oder im Rahmen jährlicher Reviews. Nur so bleibt das Risikobild aktuell und handlungsfähig.
e) Dokumentation und Kommunikation
Alle Schritte des Risikomanagements sollten nachvollziehbar dokumentiert werden. Dies ist wichtig für interne Transparenz, für externe Prüfungen (z. B. ISO 27001, BSI-Grundschutz) und für die Nachvollziehbarkeit von Entscheidungen.
3. Was sind die Vorteile der Nutzung eines Service Management Systems?
Die manuelle Verwaltung von Risiken – etwa mit Excel-Listen oder unkoordinierten E-Mails – ist fehleranfällig, zeitaufwändig und schlecht skalierbar. Ein integriertes Service Management System wie Xurrent (basierend auf der Plattform 4me) bietet hier eine professionelle Lösung.
Vorteile auf einen Blick:
- Standardisierte Templates zur Risikoerfassung stellen sicher, dass alle relevanten Informationen vollständig und einheitlich erfasst werden.
- Vordefinierte Workflows leiten den Bearbeitungsprozess automatisch an die zuständigen Rollen weiter (z. B. Risiko-Verantwortlicher, Manager, Maßnahmenbeauftragter).
- Agile Boards und Dashboards visualisieren offene Risiken, den Bearbeitungsstand und die Priorität – für mehr Überblick und Steuerbarkeit.
- Verknüpfung von Risiken mit Maßnahmen und Aufgaben sorgt dafür, dass Probleme nicht nur erkannt, sondern auch aktiv bearbeitet werden.
- Revisionssichere Dokumentation aller Schritte, Änderungen und Bewertungen ist jederzeit abrufbar und prüfbar.
Ein solches System entlastet nicht nur die IT, sondern bringt auch Sicherheit und Transparenz in die gesamte Organisation.
4. Wie kann ich diesen Prozess in Xurrent abbilden?
Das IT-Risikomanagement wird in Xurrent vollständig digital und strukturiert umgesetzt. Dabei kommen dedizierte Anfragen, automatisierte Workflows und Configuration Items (CIs) zum Einsatz, die eine durchgängige Nachvollziehbarkeit und revisionssichere Bearbeitung ermöglichen.
Zentrale Komponenten des Xurrent Risikomanagements
Im System gibt es einen eigenen Servicebereich „Risiko Management“, der zwei standardisierte Anfragetypen enthält:
- „Risiko melden“ – zur strukturierten Erfassung eines neuen Risikos
Abbildung 2: Prüfung des erfassten Risikos zu Phishing Angriffen
2. „Maßnahme(n) zum Risiko erfassen“ – zur Dokumentation konkreter Gegenmaßnahmen, die mit bestehenden Risiken verknüpft werden
Diese Anfragen enthalten definierte Pflicht- und Auswahlfelder, etwa für Beschreibung, betroffene Bereiche, Klassifikation, Eintrittswahrscheinlichkeit (EW), Schadenshöhe (SH) und Risikostrategie. Aus EW und SH wird automatisch die Risikomatrix berechnet und visualisiert.
Abbildung 3: Erfassung von Maßnahmen zu Risiken
Ablauf des Workflows: Vom Risikoeintrag bis zur Maßnahme
Sobald die Anfrage „Risiko melden“ abgeschickt wird, startet ein mehrstufiger Workflow mit folgenden Aufgaben:
- Risiko-Prüfung durch einen Spezialisten
> Überprüfung und ggf. Ergänzung der Angaben
> Erstellung eines Configuration Items (CI) für das Risiko
> Optionale Erstellung von Maßnahmenanfragen
> Wird kein CI angelegt, wird die Aufgabe erneut geöffnet - Review durch den Risikoverantwortlichen (Risk Responsible)
> Prüfung und Freigabe im CI
> Maßnahmen können ergänzt werden
> Änderungen nur noch im CI möglich - Review durch den Risikoeigner (Risk Owner)
> Finaler Abgleich der Informationen
> Maßnahmen sollen hier spätestens erstellt werden
> CI wird dauerhaft im System geführt
Jede dieser Aufgaben erscheint automatisch in der Inbox der zugewiesenen Person und kann zusätzlich in ein Agile Board überführt werden.
Abbildung 4: workflow-basierter Management Review von Risiken
Configuration Item (CI) – Zentrales Steuerungselement
Nach erfolgreicher Anlage wird jedes Risiko als eigenständiges CI (Configuration Item) geführt. Das CI enthält alle bewertungsrelevanten Informationen und unterliegt einem eigenen, automatisierten Wartungs-Workflow. Dieser wiederholt sich in definierten Intervallen und umfasst regelmäßige Reviews durch den Verantwortlichen und den Eigner.
Maßnahmenverwaltung
Maßnahmen werden in einer separaten Anfrageart dokumentiert. Jede Maßnahme wird mit einem oder mehreren Risiko-CIs verknüpft. Die Anfrage zur Maßnahme ist nur für spezialisierte Rollen sichtbar und unterstützt eine gezielte Verknüpfung mit bestehenden Risiken.
Abbildung 5: Kanban-Board zur Nachverfolgung von Risiken und Maßnahmen in Xurrent
Visualisierung & Reporting
Alle Aufgaben und Risiken lassen sich optional in ein Agile Board integrieren. Der Status aller Anfragen, Maßnahmen und Workflows kann zusätzlich über das integrierte Reporting Dashboard ausgewertet werden. So erhält das Risikomanagement-Team jederzeit Transparenz über den aktuellen Stand und mögliche Engpässe.
Abbildung 6: Risikomanagement Dashboard in Xurrent
Xurrent bietet eine vollintegrierte Lösung zur Umsetzung des IT-Risikomanagements – vom strukturierten Antrag über automatisierte Prüfungen bis hin zur dauerhaften Pflege und Maßnahmenverfolgung. Der Einsatz von CIs, Workflows, Dashboards und spezialisierten Rollen sorgt für eine hohe Prozesssicherheit und maximale Transparenz.
5. Unterstützung durch die blu Systems GmbH
Die blu Systems GmbH begleitet Unternehmen umfassend bei der Einführung, Optimierung und operativen Umsetzung von IT-Risikomanagementprozessen. Unser Team aus erfahrenen Consultants bietet individuelle Beratung und operative Unterstützung – von der Konzeption geeigneter Risikostrategien über die Integration in bestehende Service-Management-Landschaften bis hin zur Konfiguration von Xurrent und 4me-Workflows.
Wir helfen Ihnen bei:
- der Definition und Modellierung Ihrer Risikoprozesse,
- der Einrichtung und Anpassung von Anfragetemplates und Workflows in Xurrent,
- der Schulung Ihrer Fachverantwortlichen,
- sowie bei der kontinuierlichen Optimierung auf Basis von Audits und Reviews.
Ob nach ISO 27001, BSI IT-Grundschutz oder branchenspezifischen Anforderungen wie KRITIS – wir unterstützen Sie zielgerichtet bei der Sicherung Ihrer Informationswerte. Sprechen Sie uns an – gemeinsam machen wir Ihr Risikomanagement zukunftssicher.
Hier können Sie den Flyer herunterladen: