Roadmap: welche Härtungsmaßnahme zuerst?

Warum priorisieren?

Die dreizehn MHC sind nicht als lineare Reihenfolge von MHC-01 bis MHC-13 zu verstehen. Ohne Priorisierung wirkt jedes Control gleich dringlich — und genau das erschwert die Umsetzungsentscheidung. Priorisiert wird nicht das Control an sich, sondern sein Beitrag zur Reduktion der für die Organisation relevantesten Bedrohungen. Dieses Kapitel verbindet dafür zwei sich ergänzende Sichten: die messbare Wirkungsbreite jedes MHC (wie viele degradierte Controls es trägt) und die bedrohungs- und aufwandsbezogene Reihenfolge (Threat-Korrelation). Die Priorisierung bleibt anschlussfähig an das übergeordnete MRIS-Prinzip: strukturelle Controls vor neuen Detection- oder Automatisierungs-Capabilities.

Auf einen Blick

• Zweck: nachvollziehbare, bedrohungsorientierte Umsetzungs-Roadmap statt linearer MHC-Reihenfolge.
• Grundlage: Wirkungsbreite (Coverage) je MHC plus Threat Priority Score.
• Ergebnis: Standard-Tiering P0/P1/P2 als anpassbares Template, mit Abhängigkeitsregeln.
• Wichtig: MHC-01 und MHC-13 haben Coverage 0, können aber je nach Architektur und Datenlage P0 sein.

Wirkungsbreite: wie viele degradierte Controls jedes MHC trägt

Die folgende Übersicht zeigt, wie viele der unter Mythos degradierten Controls (Kategorien „teilweise degradiert" und „reine Reibung", zusammen 41 Controls) jedes MHC flankiert. Die Zahlen sind gegen die Bewertungsmatrix in MRIS, Anhang A, geprüft (Gesamtverteilung 29 standfest / 37 teilweise degradiert / 4 reine Reibung / 23 nicht betroffen). Da ein degradiertes Control von mehreren MHC flankiert werden kann, ist die Spaltensumme (44) größer als 41. Die Spalte „auch standfest" nennt zusätzlich flankierte, bereits standfeste Controls — mehrere MHC härten also über die degradierten Controls hinaus auch robuste Controls weiter.

MHC-05 ist mit Abstand das breiteste Querschnitts-Control. Wirkung ist messbar ungleich verteilt — das ist das stärkste Argument gegen die Wahrnehmung, jedes MHC sei gleich wichtig.

Zwei Prioritäts-Sichten und ihr Zusammenhang

• Wirkungsbreite (Coverage): unbedingte Hebelwirkung — wie viele degradierte Controls ein MHC trägt. Hohe Coverage bedeutet hohen Hebel über viele Risiken zugleich.
• Bedrohungs- und Aufwandsbezug: die Reihenfolge — abhängig von Bedrohungslage, Auswirkung, Exposition, Control-Lücke, Abhängigkeiten und Aufwand.

Beide Sichten widersprechen sich nicht, sie ergänzen sich. Coverage allein würde MHC-01 und MHC-13 ans Ende stellen, weil sie nur standfeste Controls flankieren. Das wäre falsch: MHC-13 ist für jede Organisation mit AI-Agenten potenziell P0 (es adressiert den Kern der Mythos-Bedrohungslage), MHC-01 für langlebig vertrauliche Daten. Daher gilt: nach Hebelwirkung ordnen, aber mit einem Bedrohungs- und Anwendbarkeits-Gate — nie allein nach Coverage. „Low hanging fruits" sind dann Controls mit hoher Hebelwirkung, großer Control-Lücke und geringem Aufwand, unter Beachtung der Abhängigkeiten.

Bewertungslogik: Threat Priority Score

Für die Reihenfolge wird je Bedrohungsszenario ein einfacher, transparenter Score gebildet. Er macht sichtbar, ob ein MHC wegen hoher Bedrohungslage, hoher Auswirkung, starker Exposition oder großer Control-Lücke priorisiert wird.

Threat Priority Score = Threat-Relevanz × Business Impact × Exposure × Control Gap

Beispiel: AI-gestütztes Phishing mit Threat-Relevanz 5, Business Impact 4, Exposure 5 und Control Gap 4 ergibt einen Score von 400 — sehr hohe Priorität, vorrangig für MHC-03, flankiert durch MHC-05 und MHC-11.

Der Threat Priority Score ist ein qualitativer Priorisierungsindex, kein Ersatz für eine formale Risikoanalyse (ISO/IEC 27005) oder eine organisationsspezifische Risikomatrix. Die Multiplikation der Faktoren macht relative Handlungsprioritäten sichtbar; der Wert ist ordinal, nicht metrisch — ein Score von 400 ist nicht „doppelt so dringlich“ wie 200, sondern dient der Reihung und Triage.

Threat-to-MHC-Matrix

Die Matrix zeigt, welche MHC gegen welche Bedrohung besonders wirksam sind. Sie eignet sich als Basis für Statement of Applicability, Risk Treatment Plan und Umsetzungs-Roadmap.

Abhängigkeiten als Roadmap-Regeln

Die folgende Logik verhindert, dass Controls isoliert umgesetzt werden, obwohl sie erst durch andere MHC wirksam oder sinnvoll prüfbar werden.

Standard-Priorisierung P0 / P1 / P2

Das folgende Tiering ist ein Beispiel für typische Enterprise-Umgebungen. Es ist mit der tatsächlichen Bedrohungslage, der Asset-Kritikalität und der Anwendbarkeit abzugleichen. MHC-01 und MHC-13 stehen formal in P2, rücken aber bei langlebig vertraulichen Daten (MHC-01) bzw. produktivem AI-Agenten-Einsatz (MHC-13) nach oben. Das Standard-Tiering ist kein universeller Umsetzungsplan, sondern ein Ausgangspunkt; es ist je Organisation an Exposition, Architektur, Asset-Kritikalität, bestehende Controls, Ressourcenlage und regulatorischen Kontext anzupassen.

Hinweis zur Marktlage (Juli 2026): Die Multi-Vendor-Entwicklung und die einsetzenden Offenlegungswellen (MRIS Kap. 2.5) erhöhen für die meisten Profile die Bedrohungslage-Werte der Szenarien Lieferkette und Exploit-Volumen; eine Höherstufung von MHC-02 und MHC-09 innerhalb des Tierings ist dann gerechtfertigt.

Vorgehen in vier Schritten

• Schritt 1 — Threat Landscape erstellen: relevante Angreifertypen, TTPs und Angriffsszenarien identifizieren; branchenspezifische Bedrohungen berücksichtigen (Finanzdienstleister, kritische Services, Lieferkette, Cloud, AI); Bedrohungen nach Aktualität, Eintrittswahrscheinlichkeit und Nähe zur Organisation bewerten.
• Schritt 2 — Threats mit MHC mappen: je Bedrohung festlegen, welche MHC präventiv, detektiv, reaktiv oder validierend wirken; Controls mit mehreren Bedrohungsbezügen höher gewichten; nicht anwendbare Controls im Statement of Applicability sauber begründen.
• Schritt 3 — Score berechnen: Threat-Relevanz, Business Impact, Exposure und Control Gap je 1 bis 5 bewerten; Score bilden und Aufwand sowie Abhängigkeiten berücksichtigen; bei gleichem Risiko zuerst Quick Wins mit hoher Risikoreduktion und geringer Abhängigkeit.
• Schritt 4 — Roadmap ableiten: P0 (Sofortmaßnahmen gegen hohe Bedrohungen und große Lücken), P1 (Controls mit Abhängigkeiten oder technischer Basisarbeit), P2 (kontextabhängige Controls und Validierung); regelmäßig neu bewerten, sobald sich Bedrohungslage, Architektur oder Regulatorik ändern.

Formulierung für Governance-Unterlagen

Zur risikobasierten Priorisierung der Mythos-Härtungs-Controls werden die MHC mit relevanten Bedrohungsszenarien korreliert. Je Bedrohung wird bewertet, welche Controls präventiv, detektiv, reaktiv oder validierend wirken. Die Priorisierung ergibt sich aus Threat-Relevanz, Business Impact, Exposition, bestehender Control-Lücke, Abhängigkeiten und Umsetzungsaufwand. So entsteht keine lineare MHC-Reihenfolge, sondern eine bedrohungsorientierte Roadmap, die für jedes Control begründet, warum es zu seinem Zeitpunkt umgesetzt wird.

Lesart der Reifegrad-Stufen

Die Stufe Initial dokumentiert den begonnenen Implementierungspfad und stellt nicht zwingend die vollständige Erfüllung des jeweiligen MHC-Control-Statements dar. Erst ab Defined gilt ein MHC grundsätzlich als umgesetzt; Managed beschreibt die fortgeschrittene beziehungsweise kontinuierlich wirksame Umsetzung. Die Control-Statements der Bausteine beschreiben die Mindestanforderungen der Stufe Defined; darüber hinausgehende Anforderungen sind im Statement ausdrücklich als weiterführende Härtung (Stufe Managed) gekennzeichnet. Für die Berichterstattung bedeutet das: Ein MHC auf Stufe Initial wird als „in Umsetzung" geführt, nicht als umgesetzt. Wer die Stufen an ein gängiges Reifegradmodell anschließen möchte, kann sie wie folgt lesen: nicht umgesetzt – Initial (teilweise) – Defined (umgesetzt) – Managed (gesteuert und optimiert).

Sensitivität des Threat Priority Score

Der Score ist ein qualitativer Ordinalindex ohne Faktorgewichte: Die vier Faktoren werden gleichrangig multipliziert. Weil Ordinalwerte multipliziert werden, ist das Ergebnis eine Rangfolge und keine metrische Größe – Nachkommastellen oder Prozentvergleiche wären Scheingenauigkeit. Prüfschritt je Organisation: Die Bewertung jedes Faktors wird einzeln um eine Bewertungsstufe variiert, soweit dies sachlich plausibel ist; ändert sich dadurch die Prioritätsklasse, ist die Einstufung besonders zu begründen (Dokumentation im Risikoprozess nach ISO/IEC 27005).

Für das Standard-Tiering dieses Leitfadens gilt: Die vier P0-Controls stützen sich jeweils auf mindestens zwei dominante Faktoren (Bedrohungslage und Auswirkung bzw. Enabler-Rolle) sowie auf die Abhängigkeitsregeln aus Abschnitt 5. Ändert sich die Prioritätsklasse eines MHC bereits bei Variation eines einzelnen Faktors um eine Bewertungsstufe, ist die Einstufung als sensitiv zu kennzeichnen und gesondert zu begründen. Ohne dokumentierte organisationsspezifische Sensitivitätsrechnung wird hier keine Aussage über die Stabilität der P0-Menge getroffen. Erwartbar reagieren vor allem die Ränge innerhalb von P1/P2 (typische Wechselkandidaten: MHC-06 und MHC-12 je nach Exposition). Organisationsspezifische Abweichungen bleiben zulässig und sind zu dokumentieren.