Die meisten Menschen schätzen Gefahren danach, wie oft sie vorkommen. Dabei entscheidet erst der mögliche Schaden, ob ein Risiko ernst genommen werden muss.

Beim Risiko-Management (dem planmäßigen Umgang mit Gefahren) läuft dieser Gedanke immer gleich ab. Er begegnet einem überall: beim Sicherungskasten zu Hause, beim Fahrradschloss, beim Passwortschutz im Büro.

Zuerst wird ein Schadensereignis benannt. Das ist ein Vorfall, der der Organisation schadet, etwa der Ausfall eines Systems oder der Verlust von Daten. Ein Beispiel: ein Brand im Rechenzentrum, dem Rechenraum mit den Servern.

Dann wird die Eintrittswahrscheinlichkeit geschätzt. Sie sagt, wie oft das Ereignis in einem Zeitraum eintritt. Ein Brand ist sehr unwahrscheinlich, er tritt womöglich einmal in vielen Jahren ein.

Danach wird die Schadenshöhe bestimmt. Sie gibt an, wie groß der Verlust im Schadensfall ist, etwa in Geld, Ausfallzeit oder verlorenen Daten. Beim Brand kann sie maximal sein: Alle Daten sind vernichtet.

Zuletzt werden beide Größen zusammengeführt. In der Praxis multipliziert man sie oft zu einem groben Risikowert und vergleicht ihn mit den Kosten einer Schutzmaßnahme. Eine Maßnahme lohnt sich in der Regel, wenn sie das Risiko stärker senkt, als sie kostet. Genau so arbeitet auch die Norm ISO 27001 für Informationssicherheits-Management: Sie ermittelt Risiken, entscheidet über deren Behandlung und leitet daraus die Maßnahmen ab. Ein seltenes Ereignis mit geringem Schaden bleibt ein kleines Risiko; dasselbe Ereignis mit sehr großem Schaden kann ein hohes Risiko sein.

Ein Risiko heißt nicht „wie oft tritt es ein?“, sondern „wie oft, und was bleibt danach übrig?“. Wer nur die Wahrscheinlichkeit sieht, übersieht die Brandgefahr.

📌 Eintrittswahrscheinlichkeit · Schadenshöhe · Risikowert

📚 Zukunftstechnologien verstehen · Tag 2 von 30
#Cybersicherheit #strategie #DigitaleTransformation