Eine Risikomatrix bewertet Risiken über zwei Achsen – Eintrittswahrscheinlichkeit und Schadensausmaß – meist auf Skalen von 1 bis 5. Das Produkt beider Werte ergibt die Risikozahl von 1 bis 25, die über definierte Schwellen in Zonen wie akzeptabel, mittel, hoch und kritisch fällt. Daraus leitet sich ab, welche Risiken sofort behandelt werden müssen und welche beobachtet werden können.
Die Risikomatrix ist das am weitesten verbreitete Werkzeug zur Risikobewertung – und eines der am häufigsten schlecht gebauten. Typische Baustellen: Skalen ohne definierte Stufen, sodass jeder etwas anderes ankreuzt; Matrizen, die einmal fürs Audit erstellt und nie wieder angefasst werden; und Risikozahlen, aus denen keine einzige Maßnahme folgt.
Diese Anleitung zeigt den Aufbau einer belastbaren 5x5-Matrix in drei Schritten: Skalen mit konkreten Ankern definieren, Matrix aufbauen, Bewertungslogik mit Akzeptanzgrenzen festlegen. Dazu kommen drei durchgerechnete Beispielbewertungen aus einem typischen Mittelstandsbetrieb, die Grenzen der Methode und die Frage, an welchen Stellen im Managementsystem die Matrix tatsächlich gebraucht wird.
Was ist eine Risikomatrix und wofür brauchen Sie sie?
Eine Risikomatrix ist ein Raster, das Risiken anhand von zwei Dimensionen einordnet: Wie wahrscheinlich ist es, dass ein Ereignis eintritt? Und wie groß wäre der Schaden, wenn es eintritt? Jedes Risiko bekommt auf beiden Achsen einen Wert, das Produkt ergibt die Risikozahl – und die Position im Raster zeigt auf einen Blick, welche Risiken Priorität haben.
Der Nutzen liegt weniger in der Zahl selbst als im Vergleich: Eine Matrix zwingt dazu, zwanzig diffuse Sorgen in eine Rangfolge zu bringen. Das knappe Budget und die knappe Zeit fließen dann in die drei Risiken oben rechts statt in das Thema, das zufällig zuletzt in der Zeitung stand. Genau diese Priorisierung ist es, was Auditoren und Geschäftsführungen gleichermaßen sehen wollen.
Wichtig zur Einordnung: Für die ISO 9001 ist die Risikomatrix ein freiwilliges Werkzeug – die Norm verlangt risikobasiertes Denken, aber keine bestimmte Methode. Verbindlicher wird es bei der ISO 27001, die nachvollziehbare, reproduzierbare Risikobewertungen mit definierten Kriterien fordert, und bei der Gefährdungsbeurteilung im Arbeitsschutz, wo Matrix-Verfahren wie das nach Nohl seit Jahrzehnten Standard sind.
Schritt 1: Skalen mit konkreten Ankern definieren
Der häufigste Konstruktionsfehler ist eine Skala ohne Definition: Wenn Stufe 3 nur mittel heißt, bewertet der Vorsichtige alles mit 4 und der Optimist alles mit 2 – die Matrix misst dann Persönlichkeiten statt Risiken. Jede Stufe braucht deshalb einen konkreten, überprüfbaren Anker. Ein bewährtes Beispiel für einen Betrieb mit 20 bis 100 Mitarbeitenden:
| Stufe | Eintrittswahrscheinlichkeit | Schadensausmaß |
|---|---|---|
| 1 – sehr gering | Praktisch ausgeschlossen, seltener als einmal in 10 Jahren | Vernachlässigbar: unter 1.000 Euro, keine Kundenauswirkung |
| 2 – gering | Denkbar, etwa einmal in 5 bis 10 Jahren | Spürbar: 1.000 bis 10.000 Euro, interne Störung, Kunde merkt nichts |
| 3 – mittel | Möglich, etwa einmal in 1 bis 5 Jahren | Erheblich: 10.000 bis 50.000 Euro, einzelne Kunden betroffen, Terminverzug |
| 4 – hoch | Wahrscheinlich, etwa einmal pro Jahr | Schwer: 50.000 bis 250.000 Euro, mehrere Kunden betroffen, Vertragsstrafen drohen |
| 5 – sehr hoch | Fast sicher, mehrmals pro Jahr | Existenzbedrohend: über 250.000 Euro, Verlust von Schlüsselkunden, Betriebsstillstand |
Die Euro-Grenzen sind bewusst Beispielwerte – sie müssen zur Unternehmensgröße passen. Faustregel: Stufe 5 beginnt dort, wo es ernsthaft ans Eingemachte geht, Stufe 1 endet dort, wo der Schaden im Tagesgeschäft untergeht. Im Arbeitsschutz tritt an die Stelle der Euro-Beträge die Verletzungsschwere, von Erste-Hilfe-Fall über meldepflichtigen Unfall bis zum tödlichen Ereignis; im ISMS-Kontext werden Vertraulichkeit, Integrität und Verfügbarkeit als Schadensdimensionen hinterlegt.
Schritt 2: Die 5x5-Matrix aufbauen
Mit den definierten Skalen entsteht die eigentliche Matrix: Wahrscheinlichkeit in den Zeilen, Schadensausmaß in den Spalten, in jeder Zelle das Produkt beider Werte. So sieht die vollständige 5x5-Matrix mit allen Risikozahlen aus:
| Wahrscheinlichkeit / Ausmaß | Ausmaß 1 | Ausmaß 2 | Ausmaß 3 | Ausmaß 4 | Ausmaß 5 |
|---|---|---|---|---|---|
| 5 – fast sicher | 5 | 10 | 15 | 20 | 25 |
| 4 – wahrscheinlich | 4 | 8 | 12 | 16 | 20 |
| 3 – möglich | 3 | 6 | 9 | 12 | 15 |
| 2 – gering | 2 | 4 | 6 | 8 | 10 |
| 1 – sehr gering | 1 | 2 | 3 | 4 | 5 |
In der Praxis wird die Matrix farblich hinterlegt – grün unten links, gelb und orange in der Mitte, rot oben rechts – und als Ampelbild in Besprechungen genutzt. Jedes bewertete Risiko wird mit einer Nummer in seiner Zelle eingetragen; so entsteht eine Landkarte aller Risiken auf einer Seite.
Zur Größenfrage: Eine 3x3-Matrix ist schneller ausgefüllt, kennt aber nur neun Positionen – viele Risiken landen dann auf demselben Feld und die Priorisierung verwischt. Die 5x5-Variante bietet 25 Positionen und damit genug Differenzierung für die typischen 10 bis 30 Risiken eines KMU, ohne in Scheingenauigkeit abzugleiten. Größere Matrizen lohnen sich fast nie.
Schritt 3: Bewertungslogik und Akzeptanzgrenzen festlegen
Die Risikozahl allein bewirkt nichts – sie braucht Schwellen, an denen definierte Konsequenzen hängen. Diese Zoneneinteilung hat sich für die 5x5-Matrix bewährt:
- 1 bis 4 (akzeptabel, grün): Risiko wird bewusst getragen. Keine Maßnahme nötig, Überprüfung bei der jährlichen Durchsicht.
- 5 bis 9 (mittel, gelb): Maßnahme mittelfristig planen, Verantwortlichen und Termin festlegen. Umsetzung innerhalb von 6 bis 12 Monaten.
- 10 bis 16 (hoch, orange): Maßnahme verpflichtend und zeitnah, Umsetzung innerhalb von 3 Monaten. Die Geschäftsführung entscheidet über die Behandlung und gibt Restrisiken persönlich frei.
- 17 bis 25 (kritisch, rot): Sofortmaßnahmen, Eskalation an die Geschäftsführung. Bei Gefahr für Personen: Tätigkeit stoppen, bis das Risiko gesenkt ist.
Zwei Regeln machen die Logik robust. Erstens die Veto-Regel für hohe Schäden: Jedes Risiko mit Schadensausmaß 5 wird unabhängig von der Wahrscheinlichkeit mindestens als hoch behandelt – die Multiplikation würde seltene Katastrophen sonst kleinrechnen (Ausmaß 5 mal Wahrscheinlichkeit 1 ergibt nur 5). Zweitens die Brutto-Netto-Betrachtung: Bewertet wird zuerst das Bruttorisiko ohne Schutzmaßnahmen, dann das Nettorisiko mit den bestehenden Maßnahmen. Erst dieser Vergleich zeigt, was die Maßnahmen tatsächlich leisten – und was passiert, wenn sie ausfallen.
Drei Beispielbewertungen aus einem Betrieb
So sieht die Anwendung konkret aus – am Beispiel eines Maschinenbau-Zulieferers mit 35 Mitarbeitenden:
Beispiel 1: Ausfall des ERP-Servers. Der Server ist acht Jahre alt, ein Ausfall legt Auftragsabwicklung und Fertigungssteuerung lahm. Einschätzung: Wahrscheinlichkeit 4 (Altersausfälle wahrscheinlich, schon zwei Vorwarnungen), Ausmaß 4 (mehrtägiger Stillstand, Terminverzug bei mehreren Kunden). Risikozahl brutto: 16, Zone hoch. Maßnahmen: tägliche externe Datensicherung, Ersatzserver, Wartungsvertrag mit 24-Stunden-Reaktionszeit. Nettobewertung: Wahrscheinlichkeit 4, Ausmaß 2 – Risikozahl 8, Zone mittel. Das Restrisiko gibt die Geschäftsführung dokumentiert frei.
Beispiel 2: Einziger Lieferant für Spezialbeschichtung. Fällt er aus, stehen 40 Prozent der Aufträge. Wahrscheinlichkeit 3 (finanziell solide, aber Inhaber vor der Nachfolgefrage), Ausmaß 4. Risikozahl: 12, Zone hoch. Maßnahme: Qualifizierung eines Zweitlieferanten innerhalb von drei Monaten; danach Neubewertung mit Ausmaß 2, Risikozahl 6.
Beispiel 3: Schlüsselwissen bei einem einzelnen Programmierer. Nur eine Person beherrscht die Postprozessoren der CNC-Maschinen. Wahrscheinlichkeit 3 (Kündigung oder Langzeitausfall in fünf Jahren durchaus möglich), Ausmaß 3 (Produktion läuft weiter, aber keine Neueinrichtung von Aufträgen). Risikozahl: 9, Zone mittel. Maßnahme: Dokumentation und Anlernen einer zweiten Person binnen zwölf Monaten.
Auffällig an allen drei Fällen: Die Diskussion über die Einstufung ist wertvoller als die Zahl am Ende. Wenn Vertrieb und Fertigungsleitung darüber streiten, ob das Ausmaß 3 oder 4 beträgt, liegen genau dann die Informationen auf dem Tisch, um die es beim Risikomanagement eigentlich geht.
Grenzen der Risikomatrix – und typische Fehler
Die Matrix ist ein Priorisierungswerkzeug, kein Rechenmodell. Wer ihre Grenzen kennt, nutzt sie besser:
- Scheingenauigkeit: Die Risikozahl 12 ist nicht doppelt so schlimm wie 6 – die Skalen sind ordinal, keine Messwerte. Entscheidungen sollten an Zonen hängen, nicht an Kommastellen oder minimalen Zahlendifferenzen.
- Seltene Katastrophen fallen durchs Raster: Ereignisse mit Wahrscheinlichkeit 1 und Ausmaß 5 – Brand, Cyberangriff mit Totalverlust, Tod einer Schlüsselperson – landen bei Risikozahl 5 neben Alltagsärgernissen. Dafür gibt es die Veto-Regel aus Schritt 3.
- Einzelbewertung statt Konsens: Füllt eine Person die Matrix allein aus, bildet sie deren blinde Flecken ab. Bewertungen gehören in eine kleine Runde aus Geschäftsführung und Prozessverantwortlichen.
- Einmal erstellt, nie aktualisiert: Eine Matrix vom Zertifizierungsjahr, die drei Audits unverändert übersteht, ist ein Warnsignal für jeden Auditor. Mindestens jährliche Überprüfung plus anlassbezogene Updates bei Änderungen und Vorfällen sind Pflichtprogramm.
- Alles wird mittel: Wenn 80 Prozent der Risiken in der gelben Zone landen, trauen sich die Bewertenden nicht zu entscheiden. Dagegen hilft die Frage: Welche drei Risiken würden Sie mit eigenem Geld zuerst absichern?
Die Risikomatrix im Managementsystem: Wo sie wirklich gebraucht wird
Dieselbe Matrixlogik lässt sich an mehreren Stellen eines Managementsystems einsetzen – mit unterschiedlicher Verbindlichkeit:
- ISO 9001: freiwillig. Für die Chancen-Risiken-Betrachtung nach Kapitel 6.1 genügt auch eine grobe Einstufung in hoch, mittel, gering. Die Matrix lohnt sich, wenn Sie mehr als etwa 15 Risiken priorisieren müssen.
- ISO 27001: faktisch erforderlich. Kapitel 6.1.2 verlangt definierte Risikokriterien und reproduzierbare Ergebnisse – eine dokumentierte Matrix mit verankerten Skalen ist der gängigste Weg, das nachzuweisen.
- ISO 45001 und Gefährdungsbeurteilung: etabliert. Matrix-Verfahren gehören zum Standard der Risikoeinschätzung im Arbeitsschutz; die Zonen steuern hier direkt die Maßnahmenhierarchie nach dem STOP-Prinzip.
- ISO 14001: verbreitet. Die Bewertung der Umweltaspekte nutzt oft dieselbe Zwei-Achsen-Logik, etwa mit Auftretenshäufigkeit und Umweltauswirkung.
Der Effizienzgewinn für integrierte Systeme: eine gemeinsame Bewertungsmethodik mit themenspezifischen Schadensskalen. Wer die Skalen einmal sauber definiert hat, bewertet Qualitäts-, Informationssicherheits-, Arbeitsschutz- und Umweltrisiken nach demselben Muster – das spart Schulungsaufwand und macht die Ergebnisse über die Themen hinweg vergleichbar. Genau diese Konsistenz prüfen Auditoren in integrierten Audits gern.
Häufige Fragen
Für die meisten KMU ist 5x5 die beste Wahl: 25 Positionen differenzieren die typischen 10 bis 30 Risiken ausreichend, ohne Scheingenauigkeit zu erzeugen. Eine 3x3-Matrix eignet sich für sehr kleine Betriebe oder schnelle Ersteinschätzungen, drängt aber viele Risiken auf dieselben Felder. Größere Raster als 5x5 bringen praktisch nie zusätzlichen Erkenntnisgewinn.
Für ISO 9001 nein – die Norm verlangt risikobasiertes Denken, aber keine bestimmte Methode. Für ISO 27001 ist eine dokumentierte Bewertungsmethodik mit definierten Kriterien gefordert, was in der Praxis fast immer über eine Matrix gelöst wird. Im Arbeitsschutz ist die Gefährdungsbeurteilung gesetzliche Pflicht, und Matrix-Verfahren sind dort der etablierte Standard für die Risikoeinschätzung.
Das Bruttorisiko ist die Bewertung ohne Berücksichtigung bestehender Schutzmaßnahmen, das Nettorisiko die Bewertung mit ihnen. Beide Werte zu erfassen lohnt sich: Der Vergleich zeigt, welche Maßnahmen wie viel leisten – und was auf dem Spiel steht, wenn sie versagen. Über die Akzeptanz entscheidet das Nettorisiko; liegt es noch über der Schwelle, braucht es zusätzliche Maßnahmen.
Mindestens einmal jährlich, idealerweise vor der Managementbewertung, denn dort ist die Wirksamkeit der Risikomaßnahmen Pflichtthema. Zusätzlich anlassbezogen: bei neuen Maschinen, Produkten oder Standorten, nach Vorfällen und Beinaheunfällen, bei Lieferanten- oder Personalwechseln in Schlüsselpositionen. Eine über mehrere Jahre unveränderte Matrix werten Auditoren als Zeichen eines Papiersystems.
Die Risikozahl ist das Produkt aus Eintrittswahrscheinlichkeit und Schadensausmaß, bei einer 5x5-Matrix also 1 bis 25. Sie taugt zum Priorisieren und zum Zuordnen in Zonen mit definierten Konsequenzen. Sie ist aber kein Messwert: Eine 12 ist nicht doppelt so gefährlich wie eine 6, und seltene Großschäden werden durch die Multiplikation unterschätzt – dafür braucht es eine Sonderregel für hohe Schadensausmaße.
Für die allermeisten KMU reicht eine Tabellenkalkulation: ein Blatt für die Skalendefinitionen, eines für die Risikoliste mit Brutto- und Nettobewertung, eines für die farbige Matrixdarstellung. Spezialsoftware lohnt sich erst bei vielen Standorten, komplexen Freigabe-Workflows oder wenn ein ISMS mit Dutzenden Risiken und Maßnahmenverknüpfungen gepflegt werden muss. Wichtiger als das Werkzeug sind saubere Skalen und gelebte Aktualisierung.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT