Um die Risiken zu erfassen und zu minimieren, sollten sicherheitskritische ICT-Systeme einem sorgfältigen Risiko Management nach dem etablierten Industrie-Standard ISO 31000 unterworfen werden. Für komplexe Systeme kann das Risiko Management jedoch sehr aufwendig und schwierig sein. Während die subjektive Einschätzung erfahrener Experten im Kleinen eine akzeptable Methode zur Risikoanalyse sein kann, müssen bei zunehmender Größe und Komplexität andere Ansätze gewählt werden. Eine Möglichkeit zu einer objektiveren Analyse besteht im Einsatz von Security Testing nach ISO 29119. Jedoch kann das Testen an sich auch kompliziert und teuer sein, insbesondere wenn ungewolltes, unbekanntes Verhalten analysiert werden soll. Selbst höchst unsichere Systeme liefern viele unbedenklich scheinende Testergebnisse, sofern die »falschen« Testfälle erstellt und ausgeführt werden.

Mit dem RACOMAT-Tool wird ein komponentenbasiertes, kompositionales Risiko Assessment unterstützt. Dabei werden im Tool intuitiv verständliche Risikographen verwendet, um ein Bild der Risikolage zu modellieren und zu visualisieren. Für die Risikoanalyse können bekannte Verfahren wie Fault Tree Analysis (FTA), Event Tree Analysis (ETA) und die CORAS Methode in Kombination eingesetzt werden, um von den verschiedenen Stärken der einzelnen Verfahren profitieren zu können.

Ausgehend von einem Gesamtbudget für das Risiko Assessment berechnet das RACOMAT Tool, wie viel Aufwand für das Security Testen sinnvoll ist, um die Qualität des Risikobildes durch Reduktion von Unsicherheiten zu verbessern. Das Tool gibt Empfehlungen, wie diese Mittel eingesetzt werden sollen. Dafür identifiziert RACOMAT relevante Tests und priorisiert diese.

RACOMAT unterstützt das Zuordnen von potenziellen Schwachstellen und Gefährdungen mit vorhandenem Expertenwissen aus bestehenden Bibliotheken wie MITRE CAPEC und CWE oder BSI IT-Grundschutz. Erfahrungswerte für wichtige Sicherheitseigenschaften – wie Wahrscheinlichkeiten und Konsequenzen – sind darin bereits enthalten. Je nach Interface und Technologie sind verschiedene potenzielle Schwachstellen und Bedrohungen relevanter. Das RACOMAT Tool schlägt für identifizierte Threat Interfaces automatisch jeweils die relevantesten Schwachstellen und Bedrohungsszenarien vor. So muss der Analyst nur eine handhabbare Checkliste durchgehen, um sicherzustellen, dass nichts übersehen wird.

Automatisches oder zumindest semi-automatisches Testen realisiert das RACOMAT Tool mithilfe von Security Test Pattern. Für typische Bedrohungsszenarien (Attack Pattern) bietet RACOMAT einen Katalog mit vordefinierten Test Pattern, welche ohne manuellen Aufwand instanziiert werden können, um ausgewählte Komponenten zu testen. Wenn noch keine passenden Test Pattern existieren, können im RACOMAT Tool neue Test Pattern erstellt werden.

Die beobachteten Testergebnisse werden insbesondere dafür benutzt, um Wahrscheinlichkeiten dafür zu berechnen, dass Angreifer bestimmte ungewollte Ereignisse auslösen können.