Risikomatrix erstellen: Risiken bewerten und visualisieren

Was ist eine Risikomatrix?

Eine Risikomatrix – auch Risikobeurteilungsmatrix oder Wahrscheinlichkeits-Auswirkungs-Matrix genannt – ist ein visuelles Werkzeug, das Projektteams dabei hilft, Risiken zu bewerten und zu priorisieren. Jedes Risiko wird anhand von zwei Fragen in einem Raster eingetragen: Wie wahrscheinlich ist es, dass es eintritt, und wie schlimm wären die Folgen?

Die beiden Achsen sind einfach erklärt:

• Eintrittswahrscheinlichkeit (oder Wahrscheinlichkeit): Wie wahrscheinlich ist es, dass das Risiko während des Projekts tatsächlich eintritt?

• Auswirkung (oder Schweregrad): Falls es eintritt, welchen Schaden verursacht es für Zeitplan, Budget, Qualität oder Teamkapazität?

Jede Zelle des Rasters ist farblich kodiert – üblicherweise grün, gelb, orange und rot –, sodass auf einen Blick erkennbar ist, welche Risiken sofortige Aufmerksamkeit erfordern und welche vorerst zurückgestellt werden können.

Es handelt sich um ein 3×3-Raster mit drei eingetragenen Beispielrisiken vor:

• „Schlüsselentwickler verlässt das Team mitten im Sprint“ fällt in die Kategorie „hohe Auswirkung, mittlere Wahrscheinlichkeit“ (orange).

• „Ratenlimit der Drittanbieter-API überschritten“ fällt in die Kategorie „mittlere Auswirkung, hohe Wahrscheinlichkeit“ (orange).

• „Stakeholder fordert Änderung des Projektumfangs“ fällt in die Kategorie „hohe Auswirkung, geringe Wahrscheinlichkeit“ (gelb).

Die Matrix lässt Risiken nicht verschwinden. Sie verschafft Ihrem Team eine gemeinsame, dokumentierte Übersicht darüber, was schiefgehen könnte, und zeigt, welche Bedrohungen Ihre begrenzte Zeit und Ihr Budget wirklich erfordern.

Warum Teams Risikomatrizen in Projekten einsetzen

Die meisten Projektteams verfügen weder über einen dedizierten Risikomanager noch über ein unternehmensweites Risikomanagementsystem. Eine Risikomatrix bietet eine Möglichkeit, das Projektrisikomanagement ohne formale Ausbildung zu handhaben – weshalb sie überall eingesetzt wird, von Software-Sprints bis hin zu behördlichen Rollouts.

Einige praktische Vorteile erklären ihre Beliebtheit:

• Gemeinsame Sprache: Alle sehen dasselbe Bild und sind sich einig darüber, was „hohe Priorität“ bedeutet.

• Schnellere Entscheidungen: Es ist sofort klar, welche Risiken Maßnahmenpläne erfordern und welche lediglich beobachtet werden müssen.

• Vertrauen der Stakeholder: Die Führungsebene sieht, dass Unsicherheiten proaktiv gemanagt werden – und nicht erst dann reagiert, wenn es brennt.

• Dokumentation: Wenn doch etwas schiefgeht, liegt ein Nachweis vor, dass das Risiko identifiziert und bewertet wurde.

Teams greifen in bestimmten, vorhersehbaren Szenarien auf eine Risikomatrix zurück:

• Softwareentwicklungsprojekte mit externen Abhängigkeiten

• Produktionseinführungen mit Lieferkettenrisiken

• Implementierungen im öffentlichen Sektor mit Compliance-Anforderungen

Das Ergebnis? Weniger Zeit in Meetings, in denen darüber diskutiert wird, welches Risiko am wichtigsten ist.

Größen von Risikomatrizen und wann welche verwendet werden sollte

Die richtige Größe Ihrer Matrix hängt davon ab, wie viele unterschiedliche Risikostufen Ihr Team unterscheiden möchte. Kleinere Projekte benötigen selten mehr als 9 Zonen. Komplexe Programme können 25 rechtfertigen.

3×3-Raster für kleine Projekte

Ein 3×3-Raster hat neun Zellen – drei Wahrscheinlichkeitsstufen mal drei Auswirkungsstufen. Es ist das einfachste Format und eignet sich gut, wenn Sie kritische Risiken von geringfügigen Risiken unterscheiden möchten.

Am besten geeignet für: Projekte mit einer Dauer von unter drei Monaten, Teams mit fünf oder weniger Personen oder wenn Sie die Risikobewertung zum ersten Mal einführen.

4×4-Raster für ausgewogene Detailtiefe

Ein 4×4-Raster bietet 16 Zellen – ein Mittelweg zwischen Einfachheit und Granularität. Sie können zwischen „unwahrscheinlich“ und „selten“ oder zwischen „moderat“ und „schwerwiegend“ unterscheiden.

Am besten geeignet für: Standardprojektarbeit wie Software-Sprints, Produkteinführungen und Prozessverbesserungsinitiativen.

5×5-Raster für komplexe Risikoprofile

Ein 5×5-Raster hat 25 Zellen und bietet die höchste Detailtiefe. Es ist hilfreich, wenn Sie ein Portfolio von Risiken mit feinen Unterschieden in Wahrscheinlichkeit und Konsequenz verwalten müssen.

Am besten geeignet für: große Programme, regulierte Umgebungen (Finanzen, öffentlicher Sektor, Fertigung mit Sicherheitsanforderungen) oder Projekte, bei denen eine präzise Risikobewertung Budgetentscheidungen beeinflusst.

Beginnen Sie Ihr erstes Projekt mit einem 3×3- oder 4×4-Raster. Sie können die Granularität jederzeit erhöhen, wenn die Kategorien zu grob erscheinen.

Schritt-für-Schritt-Anleitung zur Erstellung Ihrer Matrix

Die Erstellung einer Risikomatrix umfasst fünf klare Schritte – von der Identifikation von Bedrohungen bis zur Zuweisung von Verantwortlichen für jede Maßnahme.

1. Potenzielle Risiken identifizieren

Hier geht es um Breite, nicht um Tiefe. Sammeln Sie alle Risiken, die Ihnen in den Sinn kommen – technische, betriebliche, externe und personalbezogene. In dieser Phase zählt Quantität mehr als Qualität.

Einige Techniken haben sich bewährt:

• Führen Sie einen 30-minütigen Brainstorming-Workshop mit Ihrem Kernteam durch.

• Werten Sie Lessons Learned aus ähnlichen Projekten der Vergangenheit aus.

• Überprüfen Sie alle Abhängigkeiten – jeder Anbieter, jede API, jeder Genehmigungsprozess oder jede Ressource, auf die Sie angewiesen sind, ist eine potenzielle Risikowurzel.

Versuchen Sie, jedes Risiko als einfache „Wenn-dann“-Aussage zu formulieren: „Wenn die Designprüfung um zwei Wochen verzögert wird, dann beginnt die Entwicklung zu spät, und wir verpassen das Markteinführungsfenster.“

Risiken können Bedrohungen (negativ) oder Chancen (positiv) sein, obwohl sich die meisten Matrizen auf Bedrohungen konzentrieren. Manche Teams führen Chancen in einer separaten Liste, um die Übersicht zu wahren.

2. Wahrscheinlichkeit und Auswirkung bewerten

Jedes Risiko erhält zwei Bewertungen – eine für die Eintrittswahrscheinlichkeit und eine für den potenziellen Schaden. Für die meisten Teams reicht eine einfache dreistufige Skala.

Es gibt keine Formel für die Risikobewertung. Nutzen Sie das Urteilsvermögen und die Erfahrung Ihres Teams – das Ziel ist Konsistenz bei allen Risiken, damit diese fair verglichen werden können.

Eine Falle, die es zu vermeiden gilt: Lassen Sie nicht zu, dass die lauteste Stimme im Raum alle Bewertungen bestimmt. Besprechen Sie jedes Risiko kurz und streben Sie einen Konsens an.

3. Risiken im Raster einzeichnen

Tragen Sie nun jedes Risiko in die Zelle ein, die seiner Wahrscheinlichkeits- und Auswirkungsbewertung entspricht. Ein Risiko mit der Bewertung „hohe Wahrscheinlichkeit, mittlere Auswirkung“ passt genau in dieses Feld.

Die Farbzonen geben vor, was als Nächstes zu tun ist:

• Grün (niedrige Priorität): Nur beobachten – noch keine Zeit oder kein Budget für Maßnahmen.

• Gelb (mittlere Priorität): Im Auge behalten und eine grobe Maßnahmenidee bereithalten.

• Orange/Rot (hohe Priorität): Diese erfordern aktives Management und einen konkreten Maßnahmenplan.

Auch Muster sind aussagekräftig. Eine Häufung von Risiken mit hoher Auswirkung und geringer Wahrscheinlichkeit deutet darauf hin, dass ein Notfallbudget erforderlich ist. Eine Häufung von Risiken mit hoher Wahrscheinlichkeit und geringer Auswirkung weist meist auf Prozesse hin, die optimiert werden könnten.

4. Priorisieren und Verantwortliche zuweisen

Entscheiden Sie nach dem Einzeichnen der Risiken, welche aktiv angegangen werden. Beginnen Sie mit allem, was sich in den roten oder orangen Zonen befindet.

Weisen Sie jedem hochpriorisierten Risiko einen einzigen Verantwortlichen zu – eine Person, die es überwacht und den Maßnahmenplan vorantreibt. Geteilte Verantwortung bedeutet oft keine Verantwortung.

Eine einfache Regel: Wenn Sie nicht mehr als fünf bis sieben Risiken gleichzeitig aktiv managen können, wählen Sie zuerst die mit den höchsten Auswirkungen – auch wenn sie weniger wahrscheinlich sind. Ein seltenes, aber katastrophales Risiko verdient in der Regel mehr Aufmerksamkeit als ein häufiges, aber geringfügiges Ärgernis.

5. Maßnahmen definieren

Für jedes hochpriorisierte Risiko wählt der Verantwortliche eine von vier Standardstrategien zur Risikobehandlung:

• Vermeiden: Den Projektplan anpassen, um das Risiko vollständig zu eliminieren – zum Beispiel durch den Wechsel zu einem zuverlässigeren Anbieter.

• Reduzieren: Wahrscheinlichkeit oder Auswirkung verringern – Pufferzeit einplanen, eine Backup-Integration aufbauen.

• Übertragen: Das Risiko auf jemanden anderen durch Versicherungen oder vertragliche Strafklauseln verlagern.

• Akzeptieren: Das Risiko anerkennen und einen Notfallplan für den Eintrittsfall vorbereiten.

Halten Sie die Maßnahme, den Verantwortlichen und die Frist schriftlich fest. Eine Risikomatrix ohne Nachverfolgung ist nur ein buntes Diagramm.

Die Nohl-Matrix erklärt

Die Nohl-Risikomatrix (Risikomatrix nach Nohl) ist eine spezifische Risikobewertungsmethode, die für den Arbeits- und Gesundheitsschutz im deutschsprachigen Raum entwickelt wurde. Sie wird am häufigsten in der Fertigung, im Bauwesen und in industriellen Umgebungen eingesetzt, in denen Arbeitsplatzgefahren im Mittelpunkt stehen.

Was unterscheidet die Nohl-Matrix von einer allgemeinen Projektrisikomatrix? Sie verwendet eine Formel zur Berechnung einer Risikoprioritätszahl, indem Wahrscheinlichkeit, Expositionshäufigkeit und Schweregrad miteinander multipliziert werden. Das Ergebnis ist eine numerische Kennzahl statt einer farbigen Zone.

Wenn Sie Arbeitsschutzrisiken in einem regulierten deutschen, österreichischen oder schweizerischen Kontext managen, kann die Nohl-Matrix in Ihrem Compliance-Rahmen vorgeschrieben sein. Für das allgemeine Projektmanagement – Software, Marketing, Prozessverbesserung – ist eine Standard-Wahrscheinlichkeits-Auswirkungs-Matrix einfacher und weitaus verbreiteter.

Farbzonen und Schwellenwerte

Die Nohl-Matrix überführt numerische Werte häufig in farbkodierte Zonen, ähnlich wie eine Standard-Risikomatrix. Typische Schwellenwerte sehen folgendermaßen aus:

• Grün (Wert 1–8): Geringes Risiko – Standardsicherheitsmaßnahmen sind ausreichend.

• Gelb (Wert 9–50): Mittleres Risiko – Schutzmaßnahmen dort ergänzen, wo es sinnvoll ist.

• Rot (Wert 51+): Hohes Risiko – sofort handeln; Arbeiten müssen gegebenenfalls unterbrochen werden, bis die Gefährdung unter Kontrolle ist.

Die genauen Schwellenwerte variieren je nach Branche und Regulierungsbehörde – prüfen Sie daher die für Sie geltenden Vorgaben.

Typische Anwendungsfälle im Arbeitsschutz

Die Nohl-Matrix kommt in Umgebungen zum Einsatz, in denen physische Sicherheit entscheidend ist. Typische Beispiele sind:

• Bewertung von Maschinengefährdungen in Fertigungsbetrieben

• Beurteilung von Chemikalienexpositionsrisiken in Laboratorien

• Planung von Sicherheitsprotokollen auf Baustellen

Wenn Ihr Projekt physische Sicherheitsrisiken umfasst oder Sie in einem industriellen DACH-Umfeld tätig sind, kann Ihr Sicherheitsbeauftragter oder Ihr Compliance-Team bestätigen, ob die Nohl-Methode vorgeschrieben ist. Für digitale Projektarbeit ist die zuvor beschriebene Standard-Risikomatrix das praktischere Instrument zur Risikobewertung.

Häufige Fehler und wie man sie vermeidet

Selbst eine gut aufgebaute Risikomatrix kann mit der Zeit an Wert verlieren. Hier sind drei typische Fehler, in die Projektteams tappen – und jeweils ein Lösungsansatz.

Unklare Bewertungskriterien

Teams bewerten Risiken oft inkonsistent, weil „hohe Wahrscheinlichkeit“ oder „schwerwiegende Auswirkung“ für verschiedene Personen unterschiedliche Bedeutungen haben. Was für eine Person „moderat“ ist, ist für eine andere „hoch“ – und die Matrix verliert schnell ihre gemeinsame Aussagekraft.

Die Lösung besteht darin, Definitionen festzulegen, bevor mit der Bewertung begonnen wird. Halten Sie diese schriftlich fest: „Hohe Wahrscheinlichkeit = mehr als 50 % Wahrscheinlichkeit während des Projekts“ oder „Hohe Auswirkung = Verzögerung der Markteinführung um mehr als zwei Wochen oder Budgetüberschreitung um mehr als 10 %“. Die Definitionen müssen nicht perfekt sein – sie müssen nur geteilt und jedes Mal einheitlich angewendet werden.

Statische Matrizen, die veralten

Viele Teams erstellen eine Risikomatrix beim Kick-off-Meeting und schauen danach nie wieder hinein. Aber Risiken entwickeln sich weiter – neue entstehen, alte werden irrelevant, und Wahrscheinlichkeits- sowie Auswirkungsbewertungen verschieben sich im Projektverlauf.

Die Lösung ist ein kurzes, regelmäßiges Check-in. Planen Sie eine 15-minütige Risikoüberprüfung bei jeder Sprint-Retrospektive oder jedem monatlichen Statusmeeting ein. Aktualisieren Sie Bewertungen, fügen Sie neue Risiken hinzu und archivieren Sie Erledigte. Wenn Ihre Matrix in einem Tool wie MeisterTask gepflegt wird, nimmt die Überprüfung kaum Zeit in Anspruch, da alles direkt neben Ihrem Aufgaben-Board liegt.

Positive Chancen ignorieren

Die meisten Risikomatrizen konzentrieren sich ausschließlich auf Bedrohungen – also auf das, was schiefgehen könnte. Doch Unsicherheit hat zwei Seiten, und manche Risiken sind tatsächlich Chancen (d. h. Dinge, die besser laufen könnten als geplant).

Eine einfache Lösung besteht darin, Risiken mit hoher positiver Auswirkung in einem separaten Abschnitt Ihrer Matrix zu erfassen. Beispiel: „Wenn die neue API früher veröffentlicht wird, können wir zwei Wochen früher launchen.“ Weisen Sie einen Verantwortlichen zu, der die Chance aktiv verfolgt – genauso wie Sie eine Bedrohung mitigieren würden. Nicht jedes Team macht das, aber es lohnt sich, es auszuprobieren, wenn Ihr Projekt echtes Aufwärtspotenzial hat.

Die Matrix während des Projekts aktuell halten

Eine Risikomatrix ist nur dann nützlich, wenn sie die aktuelle Realität widerspiegelt. Risiken verändern sich im Projektverlauf – neue Abhängigkeiten entstehen, Teammitglieder verlassen das Projekt, Stakeholder-Prioritäten verschieben sich.

Regelmäßige Überprüfungen einplanen

Ein praktischer Rhythmus ist alle zwei Wochen für Projekte mit einer Dauer von unter drei Monaten und monatlich für längere Vorhaben. Verknüpfen Sie die Überprüfung mit einem bestehenden Meeting – einer Sprint-Retrospektive, einem Statusgespräch oder einem Lenkungsausschuss –, damit sie zur Gewohnheit wird und nicht als weiterer Kalendereintrag wahrgenommen wird.

Gehen Sie bei jeder Überprüfung vier kurze Fragen durch:

• Sind seit dem letzten Mal neue Risiken aufgetreten?

• Haben sich die Wahrscheinlichkeits- oder Auswirkungsbewertungen der bestehenden Risiken verändert?

• Welche Risiken sind nicht mehr relevant und können archiviert werden?

• Machen die Verantwortlichen Fortschritte bei ihren Maßnahmen?

In der Regel reichen 10 bis 15 Minuten aus, wenn die Überprüfungen regelmäßig stattfinden.

Risiko-Aufgaben mit Projektmeilensteinen verknüpfen

Erstellen Sie für jedes hochpriorisierte Risiko eine Maßnahmenaufgabe mit einer an einen Projektmeilenstein geknüpften Frist. Zum Beispiel: „Backup-Anbietervertrag vor Beginn des Sprint 3 abschließen“ oder „Sicherheitsaudit vor dem Beta-Launch abschließen“.

Der Vorteil liegt in der Transparenz. Die Maßnahmen befinden sich in Ihrem Aufgaben-Board neben der eigentlichen Projektarbeit, sodass nichts in Vergessenheit gerät. Genau hier zahlt sich ein Tool wie MeisterTask aus – Sie können Risikaufgaben in einem dedizierten Bereich oder Projekt gruppieren, Verantwortliche zuweisen, Fälligkeitsdaten festlegen und den Fortschritt an derselben Stelle verfolgen, an der Ihr Team ohnehin arbeitet.

Risikomatrix erstellen: So in MeisterTask einrichten

Die meisten Risikomatrizen leben in statischen Tabellenkalkulationen oder Präsentationen, die veralten, sobald sie gespeichert werden. MeisterTask ermöglicht es Ihnen stattdessen, ein lebendiges Risikoregister aufzubauen – in dem jedes Risiko eine Aufgabe mit Verantwortlichem, Status, Maßnahmenplan und Frist ist, alles im selben Arbeitsbereich wie Ihre Projektarbeit.

Schritt 1: Ein neues Projektboard erstellen

Öffnen Sie MeisterTask und erstellen Sie ein neues Projekt für Ihr Risikoregister. Benennen Sie es eindeutig – „Risikoregister: [Projektname]“ ist leicht auffindbar und signalisiert allen, mit denen Sie es teilen, seinen Zweck.

Schritt 2: Prioritätsbereiche einrichten

Erstellen Sie drei Bereiche auf Ihrem Board, die den Prioritätsstufen der Risikomatrix entsprechen:

• Hochpriorisierte Risiken

• Mittelpriorisierte Risiken

• Niedrige Priorität – nur beobachten

Diese Bereiche spiegeln das Ergebnis Ihrer Matrix direkt wider. Sobald Sie jedes Risiko nach Wahrscheinlichkeit und Auswirkung bewertet haben, wissen Sie genau, in welchen Bereich es gehört.

Schritt 3: Risiken als Aufgabenkarten hinzufügen

Fügen Sie jedes identifizierte Risiko als Aufgabenkarte in den Bereich ein, der seiner Prioritätsstufe entspricht. Nutzen Sie die Aufgabenbeschreibung, um die Wahrscheinlichkeitsbewertung, die Auswirkungsbewertung und den Maßnahmenplan festzuhalten – so sind alle relevanten Informationen an einem Ort statt über separate Dokumente verteilt.

Schritt 4: Verantwortliche und Fristen zuweisen

Weisen Sie jede Risikoaufgabe dem Teammitglied zu, das für die Überwachung oder Behandlung verantwortlich ist, und setzen Sie ein Fälligkeitsdatum für die Maßnahme fest. Damit wird Ihre Risikomatrix von einer statischen Bewertung zu einem handlungsorientierten Register – jedes Risiko hat einen namentlich genannten Verantwortlichen und eine Frist, nicht nur eine Farbe im Raster.

Schritt 5: Aktuell halten

Verschieben Sie Risikokarten zwischen den Bereichen, wenn sich ihre Priorität ändert, aktualisieren Sie den Status der Maßnahmen in den Aufgabenkommentaren und nutzen Sie @Erwähnungen, um neue Risiken an die richtigen Personen zu melden – ohne Ihren Projektarbeitsbereich verlassen zu müssen.

Maßnahmen mit Automatisierungen verfolgen

MeisterTask ermöglicht es Ihnen, Regeln einzurichten, die Verantwortliche benachrichtigen, wenn eine Risikoaufgabe überfällig ist, Aufgaben in den „Erledigt“-Bereich verschieben, wenn sie als abgeschlossen markiert werden, oder eine Checkliste auslösen, wenn ein neues hochpriorisiertes Risiko hinzugefügt wird.

Ein nützliches Beispiel: Erstellen Sie eine Automatisierung, die eine Nachricht im Kommunikationskanal Ihres Teams postet, sobald eine Aufgabe zu „Hochpriorisierte Risiken“ hinzugefügt wird. So verpasst niemand eine neue Bedrohung.

Da Ihre Matrix direkt neben Ihren Projektaufgaben liegt, können Sie Maßnahmen direkt mit der Arbeit verknüpfen, die das Problem behebt. Wenn „API-Ratenlimit überschritten“ das Risiko darstellt, kann die Maßnahmenaufgabe („Caching-Schicht implementieren“) direkt mit der Entwicklungsaufgabe in Ihrem Sprint-Board verknüpft werden.