Risikomatrix: 5x5-Vorlage, Beispiele und Anleitung zur Risikobewertung

Von Tara Minh · Aktualisiert am 6. Oktober 2026

Eine Risikomatrix ist ein Raster, das jedes Risiko danach bewertet, wie wahrscheinlich es eintritt (Wahrscheinlichkeit) und wie stark es schaden würde, wenn es einträte (Auswirkung). Beide Werte werden zu einem einzigen Prioritätswert multipliziert. Eine 5x5-Matrix liefert Werte von 1 bis 25, sodass Sie Risiken ordnen, Verantwortliche zuweisen und entscheiden können, was zuerst behoben wird.

Projektmanager, Risk Officer und Führungskräfte nutzen sie vor allem, was Folgen haben kann, vom Produktlaunch bis zum Lieferantenwechsel. Dieser Leitfaden erklärt, wie sie funktioniert, wie sie sich von Risikoregister, Heatmap und FMEA unterscheidet, wann 3x3, 4x4 oder 5x5 passt, liefert eine Vorlage zum Kopieren und Praxisbeispiele nach Funktionsbereich.

Was ist eine Risikomatrix?

Eine Risikomatrix (auch Wahrscheinlichkeits-Auswirkungs-Matrix oder Risikobewertungsmatrix genannt) ist ein zweidimensionales Raster, das Risiken auf einer Achse nach ihrer Eintrittswahrscheinlichkeit und auf der anderen nach ihrer Schwere der Auswirkung einordnet. Jede Zelle im Raster steht für einen kombinierten Risikowert. Je höher der Wert, desto dringender die Reaktion.

Die Kernformel ist kurz:

Risikowert = Wahrscheinlichkeit x Auswirkung

Ihre Stärke liegt darin, dass sie auf jedes Risiko gleich angewendet wird. So werden eine Verzögerung in der Lieferkette und ein Datenleck beide zu Zahlen, die Sie sortieren, farbcodieren und mit Verantwortlichen versehen können. Der allgemeine Standard für diese Disziplin, ISO 31000, versteht Risikomanagement als Prozess aus Identifizieren, Analysieren, Bewerten und Behandeln von Risiken und überlässt die Wahl der Bewertungstechnik jeder Organisation. Deshalb unterscheiden sich die Skalen von Unternehmen zu Unternehmen so stark.

Die Matrix ersetzt kein Urteilsvermögen. Sie gibt ihm Struktur. Das Raster zeigt Ihnen, wo Sie zuerst hinschauen sollten; was Sie dann tun, entscheidet Ihr Team.

Key Facts

• Die britische Gesundheits- und Sicherheitsbehörde HSE beschreibt die Risikobewertung als die Entscheidung, wie wahrscheinlich es ist, dass jemand zu Schaden kommt, und wie schwerwiegend das wäre. Das sind genau die beiden Achsen einer Risikomatrix.
• HSE gliedert das Risikomanagement in fünf Schritte: Gefährdungen identifizieren, Risiken bewerten, Risiken kontrollieren, Ergebnisse dokumentieren und die Kontrollen überprüfen. Die Matrix gehört in Schritt zwei und speist Schritt drei.
• Laut HSE müssen Arbeitgeber mit fünf oder mehr Beschäftigten ihre wesentlichen Ergebnisse dokumentieren. Deshalb dient eine datierte, versionierte Matrix zugleich als Prüfpfad.
• Wertezonen sind eine Konvention, kein Gesetz. Die in diesem Leitfaden verwendeten Bänder 1-4 / 5-9 / 10-16 / 17-25 sind ein praxistauglicher Standard für ein 5x5-Raster. Passen Sie sie an Ihre eigene Risikobereitschaft an und halten Sie sie dann konstant.

Risikomatrix vs. Risikoregister vs. Risiko-Heatmap vs. FMEA

Diese vier Begriffe werden oft synonym verwendet, was nicht stimmt. Sie beantworten unterschiedliche Fragen und funktionieren am besten als Set.

In der Praxis enthält das Risikoregister die Liste, die Matrix bewertet jeden Eintrag, die Heatmap zeigt der Führung das Ergebnis, und die FMEA geht bei technischen Fehlerarten tiefer. Die FMEA ergänzt einen dritten Faktor, die Entdeckung (wie wahrscheinlich Sie das Problem bemerken, bevor es Schaden anrichtet), den eine Wahrscheinlichkeits-Auswirkungs-Matrix ignoriert. Lautet Ihr Risiko „Etwas könnte kaputtgehen, und wir merken es nicht", nutzen Sie die FMEA. Lautet es „Etwas könnte dem Projekt zustoßen", beginnen Sie mit der Matrix.

So funktioniert eine Risikomatrix

Die Matrix hat zwei Achsen. Die Wahrscheinlichkeit (oder Eintrittswahrscheinlichkeit) verläuft auf einer Achse, meist der vertikalen. Die Auswirkung (oder Konsequenz) verläuft auf der anderen, meist der horizontalen. Jede Achse ist in Bewertungsstufen unterteilt: drei Stufen bei einer 3x3-Matrix, fünf bei einer 5x5-Matrix.

Wahrscheinlichkeitsskala

Diese Prozentbänder sind ein typischer Ausgangspunkt. Kalibrieren Sie sie auf Ihre eigenen Projekte.

Auswirkungsskala

Risikowert-Zonen (5x5-Raster)

Multiplizieren Sie Wahrscheinlichkeit und Auswirkung, um den Risikowert (1 bis 25) zu erhalten. Jede Zelle unten zeigt den Wert und seine Zone (L = Niedrig, M = Mittel, H = Hoch, C = Kritisch).

Wertezonen:

• 1-4 (Niedrig): Beobachten; kein unmittelbarer Handlungsbedarf
• 5-9 (Mittel): Verantwortlichen zuweisen; Maßnahme planen, ein Akzeptieren ist aber möglich
• 10-16 (Hoch): Aktiv steuern; Gegenmaßnahmen sind erforderlich, bevor das Projekt weiterläuft
• 17-25 (Kritisch): Sofort eskalieren; ein Stopp oder eine Neuplanung des Projekts kann nötig sein

Eine bekannte Schwäche der Multiplikation zweier Ordinalskalen: Verschiedene Risiken können dieselbe Zahl erhalten. Ein seltenes, katastrophales Risiko (1 x 5 = 5) erhält denselben Wert wie ein nahezu sicheres, triviales (5 x 1 = 5). Ergänzen Sie eine Übersteuerungsregel, damit die Rechnung das gefährliche Risiko nicht verbirgt: Jedes Risiko mit Auswirkung 5 wird unabhängig von seinem Wert von einem Senior Owner geprüft.

3x3 vs. 4x4 vs. 5x5 Risikomatrix

Die häufigste Frage lautet, wie viele Stufen pro Achse Sie verwenden sollten. Alle drei Größen funktionieren. Die richtige Wahl hängt von der Komplexität Ihres Projekts ab und davon, wie viel Bewertungsdetail Ihr Team durchhalten kann, ohne darüber zu streiten, ob etwas eine 3 oder eine 4 ist.

So wählen Sie:

• Wählen Sie 3x3 für einen ersten Überblick, ein Publikum ohne Fachkenntnisse oder weniger als etwa 15 Risiken.
• Wählen Sie 4x4, wenn Ihr Team ständig den mittleren Wert vergibt. Bei einer geraden Zahl von Stufen gibt es keine Mitte, sodass sich die Beteiligten festlegen müssen.
• Wählen Sie 5x5, wenn Sie 20 % Wahrscheinlichkeit von 40 % unterscheiden müssen, wenn ein Prüfer oder eine Aufsichtsbehörde das Ergebnis liest oder wenn das Projekt so groß ist, dass Dutzende Risiken um dasselbe Budget für Gegenmaßnahmen konkurrieren.

Wofür Sie sich auch entscheiden: Wechseln Sie die Größe nicht mitten im Projekt, sonst werden Trendlinien bedeutungslos.

So erstellen Sie eine Risikomatrix

Der Aufbau der Matrix ist eine Disziplin aus fünf Teilen: beide Skalen kalibrieren, die Risiken identifizieren, einheitlich bewerten, Handlungsschwellen festlegen und Verantwortlichkeiten zuweisen.

Schritt 1: Wahrscheinlichkeitsstufen definieren

Halten Sie schriftlich fest, was jede Wahrscheinlichkeitsstufe für Ihr Projekt tatsächlich bedeutet. „Wahrscheinlich" heißt in einem zweiwöchigen Sprint etwas anderes als in einem dreijährigen Infrastrukturprogramm. Ordnen Sie jeder Stufe einen Prozentbereich zu und, wenn möglich, einen historischen Referenzpunkt, den Ihr Team kennt.

Schritt 2: Auswirkungsstufen definieren

Gehen Sie bei der Auswirkung genauso vor. Verknüpfen Sie jede Stufe mit realen Folgen: wie viele Tage Terminverzug, welche Schwelle bei der Kostenüberschreitung, welches Qualitäts- oder Regulierungsergebnis. Konkrete Anker verringern die subjektive Streuung, wenn verschiedene Personen dasselbe Risiko bewerten.

Schritt 3: Risiken identifizieren und auflisten

Sammeln Sie Risiken durch strukturiertes Brainstorming, Experteninterviews, Lessons-Learned-Protokolle oder eine Pre-Mortem-Übung. Ihr Projektauftrag enthält oft die erste Liste von Annahmen und Randbedingungen, die eine Prüfung lohnen. Erfassen Sie jedes Risiko im Risikoregister, bevor Sie es bewerten. Die Matrix ordnet Risiken; das Register verfolgt sie über die Zeit.

Schritt 4: Jedes Risiko bewerten

Vergeben Sie für jedes Risiko unabhängig voneinander eine Wahrscheinlichkeits- und eine Auswirkungsstufe. Tun Sie das nach Möglichkeit gemeinsam in der Gruppe. Ausreißer bei den Werten decken versteckte Annahmen auf, die eine Diskussion wert sind. Multiplizieren Sie beide Stufen zum Risikowert und tragen Sie das Risiko in Ihr Raster ein.

Schritt 5: Reaktionsschwellen festlegen und Verantwortliche zuweisen

Legen Sie vorab fest, was jede Wertezone erfordert. Kritische Risiken brauchen einen benannten Verantwortlichen, einen Gegenmaßnahmenplan und einen Überprüfungstermin, bevor die Arbeit weitergeht. Hohe Risiken brauchen innerhalb einer Woche einen Maßnahmenplan. Mittlere Risiken kommen auf die Beobachtungsliste. Niedrige Risiken werden vermerkt und beobachtet. Ohne vorab definierte Schwellen wird die Matrix zur Dekoration statt zum Entscheidungswerkzeug. Eine RACI-Matrix stellt schnell sicher, dass jedes Risiko genau einen Rechenschaftspflichtigen hat statt dreier Personen, die jeweils annehmen, ein anderer kümmere sich darum.

Kostenlose 5x5-Risikomatrix-Vorlage (zum Kopieren)

Kopieren Sie die folgenden Blöcke in Excel, Google Sheets oder Notion und ersetzen Sie den Beispieltext durch Ihre eigenen Definitionen.

Vorlage 1: Das leere 5x5-Raster

Tragen Sie in jede Zelle die IDs der Risiken ein, die dort landen (R1, R4 usw.).

Vorlage 2: Das Bewertungsprotokoll

Das ist das Arbeitsblatt hinter dem Raster. Eine Zeile pro Risiko.

Wenn Sie das Protokoll in einer Tabellenkalkulation aufbauen, legen Sie die Wahrscheinlichkeit in Spalte D und die Auswirkung in Spalte E ab, verwenden Sie dann zwei Formeln in Zeile 2 und ziehen Sie sie nach unten:

• Wert (Spalte F): =D2*E2
• Zone (Spalte G): =IF(F2>=17,"Critical",IF(F2>=10,"High",IF(F2>=5,"Medium","Low")))

Vorlage 3: Die Reaktionsregeln

Fügen Sie die Zonenregeln aus dem Abschnitt zu den Wertezonen oben (Kritisch, Hoch, Mittel, Niedrig und die jeweils ausgelöste Maßnahme) neben dem Raster ein, damit niemand raten muss, was eine Farbe bedeutet.

Übernehmen Sie die Beispielgrenzen nicht unbesehen. Die britische Gesundheits- und Sicherheitsbehörde HSE, die Beispiel-Risikobeurteilungen für Büros, Geschäfte, Lager und Fabriken veröffentlicht, warnt davor, einfach den eigenen Firmennamen auf ein Beispiel zu setzen, weil es die Gefährdungen und Kontrollen Ihres Unternehmens nicht abbildet. Dasselbe gilt für eine Vorlage. Betrachten Sie sie als Gerüst.

Beispiel einer Risikomatrix: IT-Projekt (Cloud-Migration)

Ein SaaS-Unternehmen migriert seine Kundendatenbank zu einem neuen Cloud-Anbieter. Der Projektmanager führt einen Risiko-Workshop durch und identifiziert fünf zentrale Risiken.

Das Risiko des Datenverlusts erhält trotz geringer Wahrscheinlichkeit den Wert 10, weil die Auswirkung katastrophal wäre. Es bekommt einen benannten Verantwortlichen (die technische Leitung), einen vor Migrationsbeginn dokumentierten Rollback-Plan und eine tägliche Statusprüfung während des Umstellungsfensters. Das Risiko der Anbieterverzögerung erhält den Wert 12 und bekommt eine Vertragsklausel sowie einen benannten Ersatzanbieter. Die übrigen drei kommen auf die Beobachtungsliste mit zweiwöchentlichen Abstimmungen.

Weitere Risikomatrix-Beispiele nach Funktionsbereich

Dasselbe Raster funktioniert auch außerhalb der IT. Diese drei Beispiele nutzen die oben genannten Skalen und Zonen. Die Werte sind illustrativ, bewerten Sie sie daher anhand Ihrer eigenen Definitionen neu.

Produktlaunch

Ein Produktteam steht zwei Monate vor der Veröffentlichung eines neuen Preismodells.

Nichts davon ist „Kritisch", und das ist in Ordnung. Würde das Risiko der Rechtsprüfung auf Wahrscheinlichkeit 4 steigen, läge der Wert bei 20, und der Launch-Plan würde sich ändern.

Lieferanten- und Anbieterrisiko

Ein Hersteller ist bei einer Schlüsselkomponente von einem einzigen Lieferanten abhängig.

Die letzte Zeile zeigt, warum es die Übersteuerungsregel gibt: Allein nach dem Wert wirkt der Lieferantenausfall mittelschwer, doch die Auswirkung ist katastrophal.

Arbeits- und Gesundheitsschutz

Ein Vertriebsunternehmen prüft sein Lager und das angrenzende Büro. Die britische Gesundheits- und Sicherheitsbehörde HSE veröffentlicht Beispiel-Risikobeurteilungen für solche Umgebungen und rät, zur Ermittlung von Gefährdungen Unfall- und Krankheitsaufzeichnungen auszuwerten und mit den Beschäftigten zu sprechen. Die Matrix ordnet, was Sie dabei finden.

Im Arbeitsschutz ist die Matrix ein Hilfsmittel zur Priorisierung, keine rechtliche Absicherung. HSE erwartet, dass Sie tun, was „zumutbar durchführbar" ist, und dabei das Ausmaß des Risikos gegen Geld, Zeit oder Mühe der Beherrschung abwägen. Der Wert zeigt Ihnen, wo Sie diesen Aufwand zuerst einsetzen.

Vorteile einer Risikomatrix

• Gemeinsame Sprache. Ein Entwickler, eine Finanzleiterin und ein Vorstandsmitglied können dieselbe Zelle ansehen und sich darauf einigen, was sie bedeutet.
• Priorisierung im großen Maßstab. Bei 30 oder 40 identifizierten Risiken können Sie nicht allen gleich entgegentreten. Die Matrix erzwingt eine Rangfolge.
• Kommunikation mit Stakeholdern. Farbcodierte Zonen sind in einer Präsentation für den Lenkungsausschuss viel leichter lesbar als eine Tabelle mit Rohzahlen.
• Prüfpfad. Eine datierte, versionierte Matrix zeigt Aufsichtsbehörden und Auftraggebern, dass Risiken formal bewertet wurden. In Pharma, Bau und Finanzwesen ist dieser Nachweis oft verpflichtend.

Risikomatrix: Do's und Don'ts

Do

• Definieren Sie jede Stufe schriftlich. Hinterlegen Sie für jede Wahrscheinlichkeitsstufe einen Prozentbereich oder ein konkretes Beispiel, für jede Auswirkungsstufe einen Anker in Tagen, Euro oder Ergebnissen.
• Erst unabhängig bewerten, dann vergleichen. Lassen Sie jede Person ihre Zahlen vor der Diskussion aufschreiben. In den Abweichungen stecken die nützlichen Gespräche.
• Benennen Sie einen Verantwortlichen pro Risiko. Ein Risiko ohne Namen hat keinen Verantwortlichen, was das Register auch behauptet.
• Legen Sie vorab fest, was jede Zone auslöst. Entscheiden Sie die Reaktion, bevor Sie die Werte sehen, damit niemand eine rote Zelle auf Orange herunterverhandelt.
• Kalibrieren Sie anhand der Historie. Verankern Sie die Wahrscheinlichkeit in der tatsächlichen Häufigkeit früherer Risiken. Das Bauchgefühl driftet; Vorfallprotokolle nicht.

Don't

Bewerten Sie nicht ohne Anker. Wenn die Stufen nur „niedrig", „mittel" und „hoch" heißen, vergeben fünf Personen fünf verschiedene Werte für dasselbe Risiko.

Ignorieren Sie die Zonenschwellen nicht. Eine schöne, korrekt eingefärbte Matrix ist wertlos, wenn ein kritisches Risiko auf einer Beobachtungsliste landet, statt eskaliert zu werden.

Behandeln Sie sie nicht als einmaliges Ergebnis. Ein Risiko, das beim Kickoff unwahrscheinlich war, kann bis zum dritten Monat nahezu sicher werden. Bewerten Sie nach dem Einfrieren der Anforderungen, nach der Beschaffung und nach dem Go-live neu. Die HSE-Hinweise zur Überprüfung der Kontrollen nennen dieselben Auslöser: Änderungen bei Personal, Prozess oder Ausrüstung sowie Unfälle und Beinaheunfälle.

Vermischen Sie keine Auswirkungskategorien. Eine zweiwöchige Verzögerung kostet ein internes Team vielleicht fast nichts und kann bei einem Festpreisvertrag mit Vertragsstrafen katastrophal sein. Führen Sie bei Programmen mit hohem Einsatz getrennte Spalten (Kosten, Zeitplan, Sicherheit, Reputation) und bewerten Sie nach der schlechtesten.

Lassen Sie nicht alle Risiken in die Mitte driften. Landet alles in der mittleren Zone, sind Ihre Definitionen zu lose. Die Zellen oben rechts sollten dünn besetzt sein.

Best Practices

• Trennen Sie inhärentes und Restrisiko. Bewerten Sie vor den Kontrollen (inhärent) und danach (Rest). Ist der Restwert weiterhin Hoch, brauchen Sie stärkere Gegenmaßnahmen.
• Kombinieren Sie sie mit einem RAID-Log. Die Matrix ordnet Risiken; das RAID-Log verfolgt sie zusammen mit Annahmen, Problemen und Abhängigkeiten.
• Verknüpfen Sie sie mit einem Projektrisikomanagement-Plan. Der Plan legt fest, wie oft Sie neu bewerten, wer an den Reviews teilnimmt und wie Risiken eskalieren. Ohne ihn schwebt die Matrix im luftleeren Raum.
• Nutzen Sie sie für größere Entscheidungen. Bei Entscheidungen wie dem Eintritt in einen Markt oder der Ablösung eines Anbieters verwenden Sie den Wert als einen Input für risikobasierte Entscheidungsfindung.
• Ergänzen Sie eine quantitative Ebene, wenn es darauf ankommt. Eine Matrix kann nicht modellieren, dass mehrere Risiken gleichzeitig eintreten. Bei großer Termin- oder Budgetexposition nutzen Sie die Monte-Carlo-Simulation.
• Wissen Sie, wer von welchem Risiko erfahren muss. Eine Stakeholder-Analyse-Matrix zeigt, wen welches Risiko interessiert und wer Gegenmaßnahmen freigeben kann. Haben Sie mehr hohe Risiken als Kapazität, ordnen Sie die Maßnahmen mit der MoSCoW-Priorisierung.
• Halten Sie sie dort, wo gearbeitet wird. Ein Raster in einer Folienpräsentation ist nach einer Woche veraltet. Wenn Ihr Team seine Arbeit bereits in einem Projekt-Tool wie Work Ops von Rework plant, legen Sie das Risikoprotokoll neben die Aufgaben, damit Verantwortliche ihre Gegenmaßnahmen zusammen mit allem anderen sehen, wozu sie sich verpflichtet haben.

Eine Risikomatrix gibt Ihnen eine strukturierte Möglichkeit, nicht mehr jedes Risiko als gleich dringend zu behandeln. Bewerten Sie einmal, weisen Sie jeder Zone die passende Reaktion zu und überprüfen Sie sie, wenn sich das Projekt weiterentwickelt. Zusammen mit einem soliden Risikoregister und einem klaren Eskalationsweg wird sie zu einem der praktischsten Werkzeuge im Repertoire jedes Projektmanagers.