Assets

Je nach Asset werden Risiken Verwaltet

Qualitätive Risiken Risiko = Eintrittswarscheinlichkeit * Ausmaß

Quantitative Risikoberechnung ALE = Annual Role of Occurence * Single Loss Expection

1. Qualitative Risiken (Deskriptiv & Relativ)

Was ist das?

Bei der qualitativen Risikoanalyse werden Risiken anhand von beschreibenden Kategorien (z. B. gering, mittel, hoch, kritisch) bewertet. Man nutzt meist eine Risikomatrix, die die Eintrittswahrscheinlichkeit mit der Schadensauswirkung kreuzt.

• Vorteil: Schnell umsetzbar, benötigt keine genauen historischen Finanzdaten, gut für den Einstieg.

• Nachteil: Subjektiv (hängt von der Einschätzung des Experten ab).

Beispiele für IT-Security:

• Phishing-Mails an Mitarbeiter:

  • Eintrittswahrscheinlichkeit: Mittel (da es immer jemanden gibt, der klickt)

  • Schadensauswirkung: Hoch (möglicher Diebstahl von Zugangsdaten)

  • Gesamtrisiko: Kritisch

• Veraltete Software-Bibliotheken (Outdated Dependencies):

  • Eintrittswahrscheinlichkeit: Hoch

  • Schadensauswirkung: Mittel (je nachdem, ob die Komponente von außen erreichbar ist)

  • Gesamtrisiko: Hoch

2. Quantitative Risiken (Numerisch & Monetär)

Was ist das?

Bei der quantitativen Risikoanalyse werden Risiken in harten Zahlen, Prozentwerten und vor allem in Geldwerten ausgedrückt. Man errechnet konkrete finanzielle Verluste pro Jahr (oft basierend auf Metriken wie SLE (Single Loss Expectancy) oder ALE (Annualized Loss Expectancy)).

• Vorteil: Perfekt für Geschäftsführungen und Budgets (z. B. „Lohnt sich eine Firewall für 10.000 €?“).

• Nachteil: Extrem aufwendig; genaue Daten zu Eintrittswahrscheinlichkeiten und echten Schäden fehlen oft.

Beispiele für IT-Security:

• Ransomware-Angriff:

  • Ein erfolgreicher Angriff kostet laut Statistik im Schnitt 150.000 € (durch Produktionsausfall, Wiederherstellung, Datenverlust und evtl. Lösegeld).

  • Wenn die Wahrscheinlichkeit liegt, dass dies alle 5 Jahre einmal passiert, beträgt der jährliche erwartete Verlust (ALE) statistisch 30.000 € pro Jahr.

• DDoS-Angriff auf einen Webshop:

  • Der Shop erwirtschaftet 2.000 € Umsatz pro Stunde. Ein 4-stündiger Ausfall kostet direkt 8.000 € an entgangenem Umsatz.