Von der Kontrolllücke zum Milliardenschaden: Was Integriertes Risikomanagement leisten muss

Gert Poglin Gert Poglin 24. Juli 2026

Warum der Angriff auf Change Healthcare mehr als ein IT-Vorfall war

Change Healthcare, eine Tochtergesellschaft der UnitedHealth Group, wickelt einen erheblichen Teil aller Patiententransaktionen in den USA ab. Angreifer drangen über ein Remote-Access-Portal ohne Multi-Faktor-Authentifizierung in die IT-Umgebung ein. Neun Tage nach dem ersten Zugriff setzten die Angreifer die platzierte Ransomware ein. Die Folgen waren erheblich: Rund 190 Millionen Menschen waren von dem Vorfall betroffen.1UnitedHealth zahlte 22 Millionen US-Dollar Lösegeld2, und die Gesamtkosten des Cyberangriffs wurden zunächst auf 2,87 Milliarden US-Dollar3 beziffert. Spätere Schätzungen gingen von rund drei Milliarden US-Dollar bis Ende 2024 aus.4 Mehr als 80 % der befragten Krankenhäuser meldeten negative Auswirkungen auf ihren Cashflow. 74 % berichteten zudem von Folgen für die direkte Patientenversorgung.5

Bemerkenswert ist nicht nur das Ausmaß des Schadens, sondern die Kette der Abhängigkeiten, die durch den Angriff sichtbar wurde. Der Fall macht den Kern von Integriertem Risikomanagement deutlich: Risiken lassen sich nur steuern, wenn ihre unternehmensweiten Auswirkungen bekannt sind und die relevanten GRC-Bereiche (Governance, Risk und Compliance) einbezogen werden. Erst dann wird klar, welche Maßnahmen notwendig sind, um die Organisation und kritische Infrastrukturen zu schützen.

Warum getrennte GRC-Strukturen blinde Flecken erzeugen

Viele Unternehmen verfügen längst über Risikomanagement, ein Internes Kontrollsystem, Informationssicherheitsmanagement und Business-Continuity-Pläne. Damit sind wichtige Grundlagen vorhanden. Entscheidend ist jedoch, ob diese Bereiche aufeinander abgestimmt sind und mit denselben Informationen arbeiten.

In der Praxis ist das oft nicht der Fall. Risiken, Kontrollen und Notfallpläne werden häufig in unterschiedlichen Systemen geführt und erst bei Bedarf miteinander abgeglichen. Dazu kommen Excel-Listen, manuelle Auswertungen und Reports, die für Audits oder Managementtermine erst zusammengeführt werden müssen. So besteht zwar eine geordnete Sicht auf einzelne GRC-Bereiche, aber kein klares Bild ihrer Wechselwirkungen. Es reicht nicht aus, Risiken, Kontrollen und Notfallpläne bloß zu dokumentieren, da so ihre Verbindungen zueinander unklar bleiben. Dadurch ist nicht zuverlässig erkennbar, ob vorhandene Kontrollen wesentliche Risiken wirksam reduzieren oder ob Notfallpläne Abhängigkeiten im Unternehmen berücksichtigen.

Was Integriertes Risikomanagement von klassischen GRC-Ansätzen unterscheidet

Klassische GRC-Ansätze bilden Risikomanagement, Internes Kontrollsystem, Informationssicherheit und Business-Continuity-Management häufig getrennt ab. Jeder Bereich folgt eigenen Prozessen, nutzt eigene Daten und berichtet nach eigener Logik. Sobald Risiken mehrere Bereiche gleichzeitig betreffen, stößt diese Trennung jedoch an ihre Grenzen.

Integriertes Risikomanagement (IRM) führt diese Perspektiven zusammen. Risiken werden nicht nur einzeln bewertet, sondern mit den Informationen verknüpft, die für ihre Steuerung entscheidend sind. Dazu gehören unter anderem Kontrollen, Maßnahmen, Verantwortlichkeiten, Nachweise, Business-Continuity-Szenarien und regulatorische Anforderungen.

Dadurch entsteht keine Sammlung einzelner GRC-Aktivitäten, sondern eine gemeinsame Sicht auf die tatsächliche Risikolage. Unternehmen erkennen besser, welche Risiken miteinander zusammenhängen, welche Kontrollen greifen, wo Handlungsbedarf besteht und wie Veränderungen in einem Bereich andere GRC-Bereiche beeinflussen können.

Entscheidend ist, dass diese Verbindung nicht erst beim Reporting entsteht, sondern den gesamten Risikolebenszyklus prägt:

  • Strategie und Zielsetzung werden mit den GRC-Anforderungen abgestimmt
  • Identifikation und Bewertung berücksichtigen Auswirkungen auf andere Bereiche
  • Maßnahmen und Kontrollen werden direkt mit den adressierten Risiken verknüpft
  • Wirksamkeitsprüfungen zeigen, ob Kontrollen und Maßnahmen tatsächlich greifen
  • Vorfälle und Reporting fließen zurück in Bewertung, Steuerung und Priorisierung

So wird Risikomanagement nicht zum nachgelagerten Dokumentationsprozess, sondern zu einem aktiven Bestandteil der Unternehmenssteuerung. Bedrohungen, Veränderungen oder neue Anforderungen lassen sich besser einordnen, weil ihre Auswirkungen auf andere Bereiche von Anfang an mitgedacht werden.

Welche regulatorischen Vorgaben den Wandel zusätzlich beschleunigen

Der Wandel hin zu Integriertem Risikomanagement wird nicht nur durch operative Risiken getrieben. Auch neue regulatorische Anforderungen erhöhen den Druck, GRC-Informationen konsistenter, nachvollziehbarer und prüfbarer zu steuern. NIS-2 verpflichtet betroffene Unternehmen unter anderem zu Cybersecurity-Risikomanagement, stärkerer Verantwortung des Managements, Meldepflichten und Business-Continuity-Maßnahmen. DORA legt für Finanzunternehmen einen umfassenden Rahmen für ICT Risk Management (Information and Communication Technology), Vorfallmanagement, Resilienztests und den Umgang mit ICT-Drittdienstleistern fest. Die CSRD erweitert die Berichtspflichten zu Nachhaltigkeitsthemen und verlangt, dass Unternehmen soziale und ökologische Risiken sowie die Auswirkungen ihrer Geschäftstätigkeit transparenter darstellen. 

Diese Vorgaben unterscheiden sich im Detail, führen aber in dieselbe Richtung: Unternehmen müssen nachvollziehbar zeigen können, wie sie Risiken erkennen, bewerten, behandeln und überwachen. Das wird schwierig, wenn Informationen über mehrere Tools, Listen und Verantwortungsbereiche verteilt sind. Dann entstehen doppelte Dokumentation, hoher Abstimmungsaufwand und Lücken in der Nachweisführung.

Für Unternehmen, die mehreren Regelwerken gleichzeitig unterliegen, wird diese Herausforderung noch größer. Cyberrisiken, operationelle Risiken, Auslagerungen, Kontrollen, Nachhaltigkeitsthemen und Berichtspflichten lassen sich nicht dauerhaft getrennt steuern, wenn sie in der Praxis miteinander verbunden sind. Integriertes GRC-Management hilft, Anforderungen konsistenter zu erfassen, vorhandene Kontrollen und Maßnahmen besser zu nutzen und Nachweise gezielter bereitzustellen. So lassen sich neue Regularien strukturierter umsetzen, ohne für jede Vorgabe eigene Datenbestände, Nachweiswege und Abstimmungsprozesse aufzubauen.

Wie Unternehmen ihren Reifegrad einschätzen können

Bevor Unternehmen neue Prozesse, Tools oder Strukturen einführen, braucht es eine klare Einschätzung des aktuellen Reifegrads. Erst dann lässt sich beurteilen, wie gut Risikomanagement, Internes Kontrollsystem, Informationssicherheit, Business Continuity und weitere GRC-Bereiche bereits zusammenspielen und wo noch Brüche bestehen. Ausschlaggebend ist dabei nicht die Anzahl etablierter Disziplinen, sondern die Qualität ihrer Verbindung.

Typische Fragen für diese Bestandsaufnahme sind beispielsweise:

  • Sind Risiken mit den zugehörigen Kontrollen und Maßnahmen verknüpft oder werden sie getrennt dokumentiert?
  • Werden Kontrolllücken im laufenden Betrieb sichtbar oder erst bei Audits und Vorfällen?
  • Sind Business-Continuity-Pläne auf Risiken und Abhängigkeiten abgestimmt?
  • Gibt es eine konsistente Sicht auf Risiken über mehrere GRC-Bereiche hinweg?

Der IRM-Maturity-Check von GBTEC macht die Standortbestimmung einfach. Er umfasst zehn praxisnahe Fragen und zeigt in wenigen Minuten, wie integriert Ihr Risikomanagement heute bereits ist. Auf dieser Grundlage erhalten Sie konkrete Empfehlungen für die nächsten Schritte zu einer stärker vernetzten Risikosteuerung.

Wie die BIC Platform Integriertes Risikomanagement ermöglicht

Integriertes Risikomanagement braucht mehr als zusätzliche Dokumentation. Entscheidend ist eine GRC-Management-Software, die zentrale GRC-Bereiche auf einer gemeinsamen Datenbasis zusammenführt und ihre Wechselwirkungen sichtbar macht. Als Teil der BIC Platform vereint BIC GRC unter anderem Enterprise Risk, Internes Kontrollsystem, Informationssicherheit, Business Continuity und Audit Management in einem integrierten Ansatz.

Dadurch lassen sich GRC-Informationen im Zusammenhang steuern, statt sie getrennt zu verwalten. Unternehmen erkennen so beispielsweise, welche Kontrollen ein Risiko adressieren und welche Maßnahmen greifen. Standardisierte Workflows und ein durchgängiger Audit-Trail unterstützen dabei, Aufgaben, Änderungen und Entscheidungen strukturiert zu dokumentieren.

Besonders wirksam wird dieser Ansatz, wenn GRC und operative Abläufe nicht getrennt betrachtet werden. Mit BIC Process Design lassen sich Risiken und Kontrollen stärker mit den Prozessen verbinden, in denen sie eine Rolle spielen. Veränderungen an Abläufen, Systemen oder Zuständigkeiten können dadurch leichter in die Risikosteuerung einfließen. So bleibt das Risikomanagement näher an der operativen Realität und läuft weniger Gefahr, auf veralteten Informationen aufzubauen.

BIC GRC steht für einen integrierten Ansatz und nicht für eine Sammlung getrennter Einzellösungen. Für Unternehmen entsteht dadurch eine konsistente Sicht auf Risiken, Kontrollen, Maßnahmen und Nachweise über mehrere GRC-Bereiche hinweg. Diese Verbindung ist entscheidend, wenn Risiken nicht nur dokumentiert, sondern wirksam gesteuert werden sollen.

Fazit

Der Fall „Change Healthcare“ macht deutlich, dass wirksames Risikomanagement nicht bei der Erfassung einzelner Risiken endet. Entscheidend ist, ob Unternehmen erkennen, wie Risiken, Kontrollen, Sicherheitsmaßnahmen, Notfallpläne etc. zusammenwirken. Nur dann lassen sich kritische Abhängigkeiten früh genug bewerten und geeignete Maßnahmen ableiten.

Integriertes Risikomanagement schafft dafür die Grundlage. Es verbindet GRC-Informationen, macht Wechselwirkungen nachvollziehbar und hilft, Risiken nicht nur zu dokumentieren, sondern im Unternehmenskontext zu steuern. Für Unternehmen bedeutet das weniger isolierte Einzelsichten und mehr Klarheit darüber, wo Handlungsbedarf besteht.

Mit BIC GRC lässt sich dieser Ansatz optimal umsetzen. Unternehmen können zentrale GRC-Bereiche konsistent verbinden, Abhängigkeiten nachvollziehbar machen und Nachweise für Audits oder regulatorische Anforderungen strukturiert bereitstellen.

Ein klarer Ausgangspunkt hilft, die nächsten Schritte gezielt zu planen. Der IRM-Maturity-Check zeigt in wenigen Minuten, wie integriert Ihr Risikomanagement heute bereits ist und welche Maßnahmen zu einer stärker vernetzten Organisation sinnvoll sind.

Quellenangaben:

1 Quelle: https://www.cybersecuritydive.com/news/change-healthcare-attack-affects-190-million/738369/

2 Quelle: https://www.cybersecuritydive.com/news/change-healthcare-attack-affects-190-million/738369/

3 Quelle: https://www.beckershospitalreview.com/healthcare-information-technology/cybersecurity/change-healthcare-cyberattack-costs-to-reach-2-87b/

4 Quelle: https://www.beckershospitalreview.com/healthcare-information-technology/cybersecurity/the-financial-toll-of-the-change-healthcare-hack-7-numbers/

5 Quelle: https://www.aha.org/news/news/2024-03-15-aha-survey-change-healthcare-cyberattack-having-significant-disruptions-patient-care-hospitals-finances

Häufig gestellte Fragen

Was ist Integriertes Risikomanagement (IRM)?

Integriertes Risikomanagement, kurz IRM, verbindet Risikomanagement mit relevanten GRC-Bereichen wie Internem Kontrollsystem, Informationssicherheit, Business Continuity, Compliance und Audit. Risiken werden dadurch nicht isoliert bewertet, sondern im Zusammenhang mit ihren Auswirkungen, Abhängigkeiten und Steuerungsmaßnahmen betrachtet. So entsteht ein klareres Bild der tatsächlichen Risikolage und davon, welche Bereiche bei der Behandlung eines Risikos einbezogen werden müssen.

Was heißt Ransomware?

Ransomware ist Schadsoftware, die Daten oder Systeme verschlüsselt und für ihre Freigabe ein Lösegeld fordert. Der Begriff leitet sich vom englischen Wort „ransom“ für Lösegeld ab. Häufig bleibt es nicht bei der Verschlüsselung: Angreifer stehlen zusätzlich Daten und drohen mit deren Veröffentlichung, um den Druck auf betroffene Unternehmen zu erhöhen. Für GRC-Verantwortliche wird Ransomware damit schnell zu einem bereichsübergreifenden Risiko, denn neben der Wiederherstellung der IT-Systeme geht es auch um Datenschutz, Geschäftskontinuität, Kommunikation und regulatorische Nachweise.

Warum ist Ransomware so besonders heimtückisch?

Ransomware ist besonders heimtückisch, weil sie Angriffe auf mehreren Ebenen gleichzeitig auslöst: Systeme werden verschlüsselt, Daten können abfließen, Geschäftsabläufe geraten unter Druck und die Kommunikation mit Kunden, Behörden oder Partnern wird zur zusätzlichen Herausforderung. Viele Angriffe kombinieren technische Blockaden mit Datendiebstahl und Erpressung. Dadurch entsteht ein Vorfall, der weit über die Wiederherstellung der IT hinausgeht und mehrere Unternehmensbereiche gleichzeitig betrifft.

Warum ist der Fall „Change Healthcare“ für das Risikomanagement relevant?

Der Fall „Change Healthcare“ zeigt, wie weitreichend die Folgen einer einzelnen Kontrolllücke sein können. Angreifer gelangten über ein Remote-Access-Portal ohne Multi-Faktor-Authentifizierung in die IT-Umgebung. Anschließend kam es zu massiven Störungen zentraler Prozesse im US-Gesundheitswesen. Für Unternehmen lautet die zentrale Lehre: Risiken müssen in ihrem Gesamtkontext betrachtet werden. Nur so wird rechtzeitig erkannt, welche Auswirkungen ein Risiko haben kann und welche Maßnahmen notwendig sind.

Welche Rolle spielt Business Continuity Management (BCM) im Integrierten Risikomanagement (IRM)?

Business Continuity Management ist ein zentraler Bestandteil von Integriertem Risikomanagement, weil Risiken nicht nur bewertet, sondern auch im Ernstfall beherrschbar bleiben müssen. Notfall- und Wiederanlaufpläne sollten deshalb mit Risikomanagement, Informationssicherheitsmanagement und Internem Kontrollsystem verknüpft sein. So wird klar, welche Szenarien besonders kritisch sind, welche Vorkehrungen getroffen werden müssen und wie zentrale Geschäftsprozesse im Krisenfall aufrechterhalten oder wiederhergestellt werden können. Der Fall „Change Healthcare“ macht deutlich, wie schnell sich ein Cyberrisiko auf Abrechnung, Zahlungsflüsse und Versorgungssicherheit auswirken kann, wenn zentrale Funktionen nicht verfügbar sind.

Was leistet eine GRC Management Software für Integriertes GRC-Management?

Eine GRC Management Software bildet zentrale Bereiche wie Risikomanagement, Internes Kontrollsystem, Informationssicherheitsmanagement, Business Continuity Management, Compliance, Audit Management, Datenschutzmanagement und ESG-Management auf einer gemeinsamen Plattform ab. Mithilfe von integriertem GRC-Management können Risiken mit Kontrollen, Maßnahmen, Verantwortlichkeiten, Nachweisen und regulatorischen Anforderungen verknüpft werden. So entsteht eine bessere Grundlage, um Abhängigkeiten zu erkennen, Risiken im Gesamtzusammenhang zu bewerten und notwendige Maßnahmen abzuleiten.

Weitere Ressourcen