TARA - Threat Analysis and Risk Assessment

Bedrohungsanalyse und Risikobeurteilung

Was bedeutet TARA?

Eine TARA ist eine strukturierte Methode, um Bedrohungen für ein System zu identifizieren und die damit verbundenen Risiken zu bewerten.

TARA (Threat Analysis and Risk Assessment) ist eine systematische Methode, um Bedrohungen für ein System oder Produkt zu identifizieren, ihre Auswirkungen zu bewerten und geeignete Schutzmaßnahmen abzuleiten. Der Prozess folgt typischerweise einer festen Schrittfolge: Systemabgrenzung und Scoping, Identifikation schützenswerter Assets, Bedrohungsmodellierung (z. B. mit STRIDE), Risikobewertung anhand von Eintrittswahrscheinlichkeit und Schadenspotenzial, sowie Definition und Nachverfolgung von Maßnahmen. Das Ergebnis ist ein dokumentiertes Risikoregister, das als Nachweis gegenüber Zertifizierungsstellen und Behörden dient.

TARA-Schritte im Überblick

Eine TARA durchläuft typischerweise fünf Phasen:

Scope – Systemgrenzen, Komponenten und Datenflüsse definieren;
Assets – schützenswerte Werte wie Schlüssel, Konfigurationsdaten oder Sicherheitsfunktionen identifizieren;
Threats – Bedrohungsszenarien ableiten, häufig mit STRIDE als Klassifikationsrahmen;
Risk – Risiken nach Wahrscheinlichkeit und Auswirkung bewerten und priorisieren;
Measures – Mitigationsmaßnahmen festlegen, verantworten und verfolgen.

TARA-Pflicht nach IEC 62443 und EU CRA

IEC 62443-4-1 fordert eine TARA als Teil des Secure Development Lifecycle (SDL) für industrielle Komponenten. Der EU Cyber Resilience Act (CRA, EU 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen, eine Cybersicherheits-Risikobeurteilung durchzuführen und zu dokumentieren. ISO/SAE 21434 schreibt die TARA für automotive Cybersecurity (TARA nach Annex G) vor. In allen drei Regelwerken ist die TARA kein einmaliges Dokument, sondern muss über den gesamten Produktlebenszyklus aktuell gehalten werden.

TARA und Bedrohungsmodellierung

Threat Modeling (Bedrohungsmodellierung) ist der kreative Teil einer TARA: das systematische Durchdenken von Angriffsszenarien auf Basis der Systemarchitektur. STRIDE ist dabei das verbreitetste Klassifikationsframework. Moderne Tools ermöglichen es, das Systemmodell visuell zu erstellen und daraus automatisch Bedrohungsvorschläge zu generieren – was den Einstieg auch für Teams ohne dedizierte Security-Experten erleichtert.

Praxis-Tool

Erfasse deine Bedrohungsanalyse als strukturiertes Risikoregister nach ISO 27001

Zum Risikoregister →

Auch bekannt als

Threat Analysis · Risikobeurteilung · Bedrohungsanalyse · Cybersecurity Risk Assessment

Teil des Themenbereichs: Compliance & Regulierung

Quellen

Zuletzt aktualisiert: 2026-06-19