Wenn Sie Risiken mit einer Heatmap – hoch, mittel, niedrig – verwalten, sind Sie wahrscheinlich schon einmal auf dieselbe unangenehme Frage gestoßen: Wie bringt man das vor einen Vorstand? Eine Farbe ist keine Entscheidung. Die Risikoquantifizierung wurde genau dafür entwickelt, diese Lücke zu schließen: Risiken in wirtschaftliche und probabilistische Größen zu übersetzen, die sich tatsächlich vergleichen, addieren und verteidigen lassen.
In diesem Leitfaden gehen wir darauf ein, was genau die Quantifizierung eines Risikos bedeutet, warum die Quantifizierung von Einzelrisiken zu kurz greift, wie die Monte-Carlo-Simulation auf dieses Problem angewendet wird und was Sie – eigentlich sehr wenig – benötigen, um zu beginnen.
Wenn Sie in den Bereichen Risiko, Compliance, Kontinuität, Cybersicherheit, interne Revision oder Betriebsleitung tätig sind, haben Sie wahrscheinlich schon einmal eine Priorität mit einem „hohen Niveau“ und wenig mehr verteidigt. Dieser Leitfaden ist genau für diesen Moment gedacht.
Was ist Risikoquantifizierung?
Die Quantifizierung eines Risikos besteht darin, es in wirtschaftlichen Begriffen und Wahrscheinlichkeiten auszudrücken, anstatt in qualitativen Ebenen. Es handelt sich nicht um eine Technik, die die traditionelle Risikoanalyse ersetzt: Es ist eine Übersetzung dieser Analyse in eine Skala, mit der mathematisch gearbeitet werden kann.
Qualitatives Risiko
Es wird mit Stufen oder Farben beschrieben: hoch, mittel, niedrig. Schnell anzuwenden, erlaubt aber keinen strengen Vergleich oder eine Addition von Risiken untereinander.
Quantitatives Risiko
Es wird in einer wirtschaftlichen Größe ausgedrückt: „Dieses Risiko hat einen erwarteten Verlust von X € pro Jahr“. Es ermöglicht den Vergleich, die Addition und die Rechtfertigung von Investitionsentscheidungen.
Warum die Quantifizierung von Einzelrisiken nicht mehr ausreicht
Jedes Risiko separat zu quantifizieren, ist ein Fortschritt gegenüber der Heatmap, beantwortet aber immer noch nicht die Frage, die einen Vorstand wirklich interessiert:
Wie viel kostet Sie eine Krise? Eine Krise ist fast nie ein einzelnes Risiko: Es sind mehrere gleichzeitig. Und das spiegelt keine Berechnung von Einzelrisiken wider.
Es gibt drei konkrete Gründe, warum das Addieren einzelner Risiken nicht dem Verständnis des tatsächlichen Risikos einer Organisation entspricht:
Die Summe lügt
Drei Risiken mit der Auswirkung 1 ergeben nicht 3: Häufig teilen sie sich dieselbe Ursache und verstärken sich gegenseitig. Die tatsächliche Exposition ist nicht additiv.
Gleichzeitigkeit erschöpft
Ein einzeln tragbares Risiko ist es nicht mehr, wenn es zusammen mit anderen auftritt: Die Reaktionsfähigkeit einer Organisation ist eine endliche Ressource.
Konzentration ist unsichtbar
Derselbe Anbieter oder dasselbe System kann mehrere verschiedene Risiken speisen. Separat betrachtet erscheinen sie unabhängig; in Wirklichkeit sind sie ein einziger Point of Failure.
Das Szenario als Analyseeinheit
Die Lösung hierfür besteht darin, die Analyseeinheit zu ändern: Anstatt einzelne Risiken zu quantifizieren, werden Szenarien quantifiziert – schwerwiegende, aber plausible Kombinationen mehrerer Risiken, die als eine einzige Erzählung behandelt werden. Ein Szenario kann auf zwei Arten aufgebaut werden:
Risiken gleicher Art
Zum Beispiel mehrere Cybersicherheitsbedrohungen – Ransomware, Phishing, Systemausfall – kombiniert in einem Szenario, um den aggregierten Verlust eines zusammengesetzten Angriffs zu schätzen.
Risiken unterschiedlicher Art
Zum Beispiel ein rechtliches Risiko, ein Kontinuitätsrisiko und ein Sicherheitsrisiko kombiniert in einem Szenario, so wie eine reale Krise normalerweise ausgelöst wird.
Wie die Monte-Carlo-Simulation auf das Risiko angewendet wird
Um ein Szenario zu quantifizieren, reicht es nicht aus, eine Häufigkeit mit einer Auswirkung zu multiplizieren: In beiden Variablen gibt es Unsicherheiten. Hier kommt die Monte-Carlo-Simulation ins Spiel: Anstatt ein einziges Ergebnis zu berechnen, generiert sie Tausende möglicher Szenarien, indem sie Häufigkeit und Auswirkung jedes Risikos nach den definierten Bereichen zufällig kombiniert und eine vollständige Verlustverteilung erstellt.
| Begriff | Bedeutung |
|---|---|
| Erwarteter Verlust | Der Durchschnitt aller simulierten Verluste. Das, was „im Durchschnitt“ in einem Jahr zu erwarten wäre. |
| Perzentil / VaR | Der Wert, der in einem bestimmten Prozentsatz der Simulationen nicht überschritten wird. Der VaR 95 % ist der Verlust, der in 95 % der Fälle nicht überschritten würde. |
| TVaR | Der durchschnittliche Verlust in den Fällen, in denen der VaR überschritten wird. Er misst die Schwere des Tails, nicht nur, wo er beginnt, und ist in der Regel höher als der VaR. |
| Loss Tail (Verlustende) | Der obere Teil der Verteilung: unwahrscheinliche, aber sehr kostspielige Szenarien. Dort findet eine Krise statt. |
| Überschreitungswahrscheinlichkeit | Die Wahrscheinlichkeit, dass der jährliche Verlust einen bestimmten Referenzschwellenwert überschreitet. |
Das Ergebnis ist keine einzelne Zahl: Es ist ein Bereich mit einer zugehörigen Wahrscheinlichkeit. Genau das ist der Wert der Methode gegenüber einer deterministischen Berechnung – sie zeigt die mögliche Variabilität auf, anstatt eine falsche Präzision zu erzwingen.
So sieht es in der Praxis aus: ein Beispiel mit echten Daten
All diese Theorie lässt sich besser an einem konkreten Fall verstehen. Dies ist ein vereinfachter Auszug aus einem realen Managementbericht, der aus einer Simulation von 50.000 Iterationen über ein Szenario mit 4 Risiken erstellt wurde:
| Indikator | Aktuelles Szenario | Verbessertes Szenario | Variation |
|---|---|---|---|
| Erwarteter Verlust | 5.425.653 € | 1.870.900 € | -66 % |
| VaR 95 % | 8.770.660 € | 2.982.025 € | -66 % |
| VaR 99 % | 10.391.368 € | 3.533.065 € | -66 % |
| TVaR 95 % | 9.774.719 € | 3.323.404 € | -66 % |
| TVaR 99 % | 11.232.190 € | 3.818.945 € | -66 % |
Die Reduzierung ist über alle fünf Metriken hinweg homogen (-66 %), was darauf hindeutet, dass die ausgewählten Kontrollen sowohl den Durchschnitt als auch die Extremszenarien konsequent angreifen – sie beschönigen nicht nur den Durchschnitt, während sie den Tail unangetastet lassen.
Dasselbe Szenario veranschaulicht perfekt, warum „Konzentration in einer Heatmap unsichtbar ist“: Ein einziges Risiko – ein Eindringen in das System – konzentriert 98,4 % des gesamten erwarteten Verlusts auf sich. Die anderen drei Risiken zusammen machen nicht einmal 2 % der tatsächlichen Exposition aus. In einer qualitativen Matrix könnten alle vier die gleiche Stufe „hoch“ teilen, ohne dass erkennbar wäre, welches davon wirklich wichtig ist.
In demselben Szenario sieht das Detail der bewerteten Kontrollen wie folgt aus:
| Kontrolle | Reduzierung | Investition | Jährliche Ersparnis | ROI |
|---|---|---|---|---|
| Multi-Faktor-Authentifizierung | -30 % Häufigkeit | — | 19.148 € | — |
| Erweiterte Firewall + Segmentierung | -35 % Häufigkeit | 150.000 € | 1.867.867 € | 1.145 % |
| Kontinuierliche Überwachung (IDS/IPS) | -25 % Auswirkung | 500.000 € | 1.334.191 € | 167 % |
| Regelmäßiges System-Patching | -20 % Häufigkeit | 100.000 € | 1.067.353 € | 967 % |
Mit einer gemeinsamen Investition von 750.000 € erreicht das Szenario einen konsolidierten ROI von 374 % und einen Payback von 0,7 Jahren (~9 Monate).
Dieser Vergleich – der automatisch in einem Managementbericht generiert wird – ist genau das Ziel des zuvor beschriebenen Weges: Priorisierung nach Exposition, Simulation der Kontrolle, Vorher-Nachher-Vergleich und Dokumentation mit Zahlen statt Adjektiven. In GlobalSuite® GRC wird dieser Bericht mit einem Klick aus der Simulation heraus erstellt, bereit für die Vorlage im Vorstand.
Sie benötigen keine perfekten Daten, um zu beginnen
Einer der häufigsten Einwände gegen die Quantifizierung lautet: „Ich habe nicht genügend Daten“. Die gute Nachricht ist, dass die Strategie mit verschiedenen Reifegraden der Daten funktioniert und man von einem zum anderen übergehen kann, ohne den Ansatz zu ändern:
Expertenurteil
Häufigkeit und Auswirkung werden von den Experten der Organisation selbst geschätzt. Dies ist der Einstiegspunkt: Man braucht keine perfekten Daten, um mit der Quantifizierung zu beginnen.
Automatisierung
Wahrscheinlichkeit und Auswirkung werden automatisch gespeist – zum Beispiel durch die Integration von Threat-Intelligence-Quellen – ohne manuelle Arbeit.
Historische Daten
Reale historische Daten über den Eintritt von Risiken werden einbezogen, um das Ergebnis zu verfeinern und mit Beweisen zu untermauern.
Von den Ergebnissen zur Entscheidung
Ein erwarteter Verlust und ein VaR haben nur dann einen Wert, wenn sie mit einer Entscheidung verknüpft werden. Der übliche Ablauf ist:
Priorisierung nach Exposition, nicht nach Wahrnehmung
Szenarien mit dem höchsten erwarteten Verlust oder dem größten Loss Tail sollten zuerst behandelt werden.
Simulation der Wirkung einer Kontrolle
Anwendung einer Minderung auf das Szenario und Beobachtung, wie stark sich der erwartete Verlust und die Tail-Metriken reduzieren.
Vorher-Nachher-Vergleich
Gegenüberstellung des aktuellen Szenarios mit dem verbesserten Szenario, um die Einsparungen und den Return on Investment der Kontrolle abzuschätzen.
Dokumentieren und Verteidigen
Präsentation des Vergleichs mit Zahlen statt Adjektiven vor dem Vorstand oder der Revision.
„Diese Kontrolle reduziert den erwarteten Verlust von 1,2 Mio. € auf 0,5 Mio. €, mit einem prognostizierten ROI von 240 %.“ – so liest sich in der Praxis eine quantifizierte Empfehlung.
Häufige Fehler bei der Risikoquantifizierung
Die Zahl als exakte Wahrheit behandeln
Ein Monte-Carlo-Ergebnis ist eine auf Annahmen basierende Schätzung, keine garantierte Finanzprognose.
Nur Einzelrisiken quantifizieren
Das Ignorieren der Kombination von Risiken lässt genau die Szenarien außen vor, die am meisten Anlass zur Sorge geben sollten: diejenigen, die mehrere Ursachen kombinieren.
Keine Rückverfolgbarkeit der Annahmen hinterlassen
Wenn niemand überprüfen kann, woher ein Häufigkeits- oder Auswirkungsbereich stammt, ist das Ergebnis gegenüber der Revision nicht mehr vertretbar.
Häufig gestellte Fragen
Was ist der Unterschied zwischen qualitativem und quantitativem Risiko?
Das qualitative Risiko beschreibt das Risiko mit Stufen (hoch, mittel, niedrig); das quantitative Risiko drückt es in einer wirtschaftlichen Größe und Wahrscheinlichkeit aus, was es ermöglicht, es zu vergleichen, zu addieren und Investitionsentscheidungen darüber zu rechtfertigen.
Was ist die Monte-Carlo-Simulation angewendet auf das Risiko?
Es ist eine Technik, die Tausende möglicher Szenarien generiert, indem sie Häufigkeit und Auswirkung jedes Risikos zufällig kombiniert, um eine vollständige Verlustverteilung anstelle eines einzelnen Wertes zu erstellen.
Was ist der VaR eines Risikos?
Der Value at Risk (VaR) ist das Verlustniveau, das mit einer gegebenen Wahrscheinlichkeit nicht überschritten wird. Der VaR 99 % spiegelt beispielsweise extreme Verluste wider, die unwahrscheinlich, aber schwerwiegend sind.
Und der TVaR? Wie unterscheidet er sich vom VaR?
Der TVaR (Tail Value at Risk) ist der durchschnittliche Verlust in den Fällen, in denen der VaR überschritten wird. Während der VaR markiert, wo der Tail beginnt, misst der TVaR, wie schwerwiegend dieser Tail im Durchschnitt ist, und ist in der Regel ein höherer Wert als der VaR.
Warum nach Szenarien und nicht nach Einzelrisiken quantifizieren?
Weil reale Krisen selten ein einzelnes Risiko sind: Es sind mehrere kombinierte Risiken. Das Addieren einzelner Auswirkungen spiegelt keine gemeinsamen Ursachen, Gleichzeitigkeit oder die Konzentration desselben Anbieters oder Systems in mehreren Risiken gleichzeitig wider.
Benötige ich eine Historie von Vorfällen zur Quantifizierung?
Nicht für den Anfang. Sie können mit Schätzungen durch Expertenurteile beginnen und später zu automatisierten Daten oder realen Historien übergehen, ohne die Methodik zu ändern.
Sind die Ergebnisse einer Simulation eine exakte Vorhersage?
Nein. Sie sollten als eine auf Annahmen, Bereichen und Verteilungen basierende Schätzung interpretiert werden. Der Wert der Simulation liegt darin, die mögliche Variabilität aufzuzeigen, nicht darin, eine garantierte Zahl zu liefern.
Was ist der Payback einer Kontrolle und wie wird er berechnet?
Es ist die geschätzte Zeit, um die Investition einer Kontrolle durch die generierte jährliche Ersparnis zurückzugewinnen: Gesamtinvestition geteilt durch die erwartete jährliche Ersparnis. Ein Payback von weniger als einem Jahr ist zusammen mit einem hohen ROI meist das schlagkräftigste Argument, um eine Investition in Kontrollen zu rechtfertigen.
Möchten Sie dies auf Ihre eigenen Risiken angewendet sehen?
All dies manuell anzuwenden – Bereiche definieren, Tausende von Iterationen ausführen, Perzentile berechnen, den Bericht erstellen – ist mit Tabellenkalkulationen möglich, wird aber unpraktisch, je mehr Risiken und Szenarien hinzukommen. Das Beispiel des Managementberichts in diesem Artikel stammt aus GlobalSuite® GRC, das diese Simulation direkt in die bereits registrierte Risikoanalyse integriert, ohne dass etwas von Grund auf neu aufgebaut werden muss oder man auf jahrelange historische Daten warten muss.
Sprechen Sie mit einem Experten für Risikomanagement →
