Neun Dimensionen, eine Zahl

Am Ende einer Risikoanalyse steht eine Zahl. Sie bestimmt die Position in der Matrix, die Reihenfolge der Maßnahmen und am Ende, wofür Geld ausgegeben wird.

Was sie nicht sagt: welcher Art der Schaden ist.

„Schadenshöhe: hoch" kann bedeuten, dass ein Ausfall teuer wird, dass eine Aufsichtsbehörde ein Bußgeld verhängt oder dass Betroffene in ihren Rechten verletzt werden. Drei verschiedene Sachverhalte, drei verschiedene Gegenmaßnahmen, eine Zahl. Wer sechs Monate später fragt, warum das Risiko als hoch eingestuft wurde, findet die Begründung nicht mehr.

Neun Dimensionen, zwei Geltungsbereiche

Die Bewertung lässt sich deshalb auf einzelne Dimensionen aufteilen. Neun sind vorbereitet, und sie gelten nicht alle überall.

In der Risikoanalyse: finanziell, regulatorisch und rechtlich, Wettbewerbsnachteile.

In der Business Impact Analyse: betriebliche Auswirkung, Compliance, rechtliche Auswirkung, Datenschutz, Vertragsauswirkung.

In beiden: Reputation. Sie ist die einzige, die in beiden Verfahren dieselbe Frage stellt.

Diese Trennung ist kein Ordnungsprinzip, sondern folgt der Sache. Die Risikoanalyse bewertet, wie schlimm ein Ereignis wäre. Die BIA bewertet, was ein Ausfall im Notbetrieb anrichtet. Das sind, wie an anderer Stelle beschrieben, zwei Fragen und nicht eine.

Aus neun Werten wird wieder eine Zahl

Dafür gibt es zwei Verfahren, und die Wahl ist eine methodische Entscheidung, keine Einstellung.

Vorgabe ist das Maximumprinzip: Die höchste bewertete Dimension schlägt durch. Das ist die Regel, die der IT-Grundschutz für die Vererbung des Schutzbedarfs vorsieht, und sie hat einen guten Grund. Ein Bußgeld wird nicht kleiner, weil der finanzielle Schaden gering ist.

Alternativ steht der gewichtete Mittelwert zur Verfügung, gerundet nach oben. Er bildet ab, dass in manchen Häusern eine Dimension schwerer wiegt als eine andere.

Er hat aber eine Eigenschaft, die man kennen muss, bevor man ihn einschaltet: Er glättet. Ein Risiko mit einer sehr hohen regulatorischen und fünf niedrigen anderen Dimensionen landet im Mittel im unauffälligen Bereich. Genau dieses Risiko ist das, das ein Haus in Schwierigkeiten bringt.

Deshalb ist das Maximum die Vorgabe und der Mittelwert die bewusste Abweichung.

Eine unbewertete Dimension ist keine Null

In die Rechnung gehen nur Dimensionen ein, die tatsächlich bewertet wurden. Eine leere Dimension wird nicht als „kein Schaden" gewertet.

Der Unterschied ist nicht akademisch. Würde eine unbewertete Dimension als null zählen, zöge jede noch nicht ausgefüllte Spalte den Mittelwert nach unten, und ein zur Hälfte bearbeitetes Risiko sähe harmloser aus als ein unbearbeitetes. Die Vollständigkeit der Erfassung würde die Bewertung verfälschen, in die gefährliche Richtung.

Nichts eingetragen zu haben ist keine Aussage über den Schaden. Es ist die Abwesenheit einer Aussage.

Ausgeliefert wird das Ganze abgeschaltet

Alle neun Dimensionen kommen inaktiv. Nach dem Einspielen ändert sich für kein Haus etwas: Die Konfigurationsmaske ist vorausgefüllt statt leer, aber sie schaltet nichts ein. Das ist Absicht. Eine Bewertungsmethodik sollte kein Update einführen, denn wer sie einschaltet, ändert die Zahlen, auf denen die Maßnahmenplanung steht.

Auch danach bleibt die alte Zahl, wo sie war. An ihr hängen Risikomatrix, Risikoregister, ISO-27001-Ansicht, OSCAL-Export und Schnittstelle; der aus den Dimensionen abgeleitete Wert wird deshalb in genau dieselbe Spalte zurückgeschrieben. Sie wird nur nicht mehr eingegeben, sondern hergeleitet.

Die Prüffrage für den eigenen Bestand

Nehmen Sie drei Risiken, die bei Ihnen als hoch eingestuft sind, und fragen Sie: Hoch in welcher Hinsicht?

Wenn die Antwort in der Dokumentation steht, ist alles in Ordnung. Wenn sie nur im Kopf der Person steht, die es eingetragen hat, ist die Einstufung eine Meinung mit einer Zahl davor. Und wenn diese Person das Haus verlässt, bleibt nur die Zahl.

Mehr zum Modul auf der Modulseite Risikoregister.