📌 Die gĂ€ngige Überzeugung

ArchiMate gilt in der Informationssicherheit als Malkasten der Architektur. Man kennt die bunten KĂ€stchen aus dem Anhang eines Architekturdokuments, drei Schichten ĂŒbereinander, Pfeile dazwischen, und legt das Blatt weg. Der Eindruck hat einen realen Kern: Wer die Sprachspezifikation nach einem Element fĂŒr Bedrohung, Schwachstelle oder Risiko durchsucht, findet keines. ArchiMate kennt Akteure, Prozesse, Anwendungen und Knoten, aber kein Element, das die Sicherheit selbst benennt. Der Schluss liegt nahe: nicht unsere Sprache.

⚡ Das Gegenbeispiel

Der Schluss ĂŒbersieht, woran sich ein Risiko der Informationssicherheit bemisst. Maßstab ist der Schaden fĂŒr die Organisation, und der entsteht in den Fachbereichen: Dort bleibt eine Lieferung liegen, dort lĂ€sst sich keine Rechnung mehr stellen. Die Fachbereiche nutzen IT als Werkzeug, als Service. Ein Server erleidet keinen Schaden, ein GeschĂ€ftsprozess schon.

Genau diese Kette bildet ArchiMate ab, ohne jedes Overlay. Ein Technology Service bedient eine Komponente, die Komponente realisiert einen Application Service, der Service bedient einen GeschĂ€ftsprozess, und ein Akteur verantwortet ihn. Wer wissen will, was ein Ausfall im Fachbereich anrichtet, folgt den Pfeilen. Ohne Modell schĂ€tzt er, und die SchĂ€tzung hat kein Fundament: Die Spanne reicht vom Ärgernis bis zum Stillstand. Epistemische Unsicherheit heißt das in der Fachliteratur, bei Wahrscheinlichkeiten spricht sie von Imprecise Probabilities. Terje Aven verlangt, neben der Wahrscheinlichkeit auch die StĂ€rke des Wissens auszuweisen, auf dem sie ruht.

Das Modell erzeugt dieses Wissen nicht, es macht die AblĂ€ufe der Organisation transparent. Wer sie kennt, schĂ€tzt den Schaden enger. Die Norm verlangt Teile davon ohnehin: ISO/IEC 27001 fordert in Abschnitt 4.3 fĂŒr den Anwendungsbereich die Schnittstellen und AbhĂ€ngigkeiten zu anderen Organisationen. Das Inventar der Informationen und Werte (Anhang A der Fassung 2022, Maßnahme 5.9) listet die Werte auf, ArchiMate verknĂŒpft sie. FĂŒr Finanzunternehmen schreibt DORA in Artikel 8 vor, die Verbindungen und Interdependenzen zwischen Informations- und IKT-Assets zu erfassen. Und Stakeholder, Driver, Goal, Requirement und Principle bilden ab, was die Abschnitte 4.1 und 4.2 verlangen. Das sind die Themen der Organisation und die Anforderungen der interessierten Parteien.

ArchiMate ist zudem eine Sprache im vollen Sinn und nicht nur eine Zeichnung. Die Spezifikation legt Elementtypen, Beziehungen und zulĂ€ssige Verbindungen fest, das Bild ist eine Darstellung davon. FĂŒr den Austausch gibt es ein XML-Format mit Schema, das zertifizierte Werkzeuge seit 2018 beherrschen mĂŒssen.

🔗 Was beide Seiten verbindet

Ein Risikoregister steht nicht neben dem Architekturmodell, es baut darauf auf. Jede Zeile nennt einen Schaden in einem Fachbereich, den Service, dessen Ausfall ihn auslöst, und den Wert, der betroffen ist. Das sind Elemente des Modells. Fehlt das Modell, schreibt jemand sie aus dem Kopf in die Zeile. Was die Zeile mit der nĂ€chsten zu tun hat, weiß dann nur, wer beide geschrieben hat. Mit Modell verweist die Zeile auf die Elemente, und die Verbindungen stehen schon da. Das Register bleibt die Liste der Entscheidungen, das Modell liefert den Boden, auf dem sie stehen. Ein Modell ist ein Graph: Eine Liste kann nicht sagen, welche GeschĂ€ftsprozesse stillstehen, wenn diese Anwendung ausfĂ€llt, ein Graph sagt es jedes Mal gleich. Die AnwendbarkeitserklĂ€rung nennt die Maßnahme, das Inventar nennt die Werte. Welche Maßnahme welchen Wert schĂŒtzt, steht in keinem von beiden.

Dem Modell fehlt noch das Vokabular der Sicherheit: Bedrohung, Schwachstelle, Risiko. DafĂŒr gibt es das Risk and Security Overlay, das ArchiMate Forum und Security Forum der Open Group erarbeitet haben. Es erfindet keine Elemente, es spezialisiert vorhandene. Ein Threat Agent ist ein aktives Strukturelement, Threat Event und Loss Event sind Business Events. Vulnerability und Risk sind Assessments, ein Control Objective ist ein Goal, ein Security Requirement bleibt ein Requirement. Das Vokabular stammt aus Open FAIR. „Die wahrscheinliche HĂ€ufigkeit und das wahrscheinliche Ausmaß kĂŒnftiger Verluste“ ist die Risikodefinition des Overlays und wörtlich die von Open FAIR.

Das Modell verengt allerdings nur eine HÀlfte der SchÀtzung. Es zeigt, was ein Ausfall im Fachbereich anrichtet, also die Schadensseite. Wie oft jemand angreift, sagt es nicht. Diese Unsicherheit bleibt, und wer das Gegenteil verspricht, verspricht zu viel.

⚠ Der Einwand, der bleibt

Ein Modell, das niemand nachzieht, erzeugt falsches Wissen, und das ist schlimmer als erkannter Nebel. Der Nebel warnt, das veraltete Modell beruhigt. Wer es fĂŒhrt, braucht jemanden, der die Änderungen in den Fachbereichen kennt. Hier hilft, dass ArchiMate eine Sprache ist: Eine KI kann das Modell lesen, auf fehlende und unzulĂ€ssige Beziehungen prĂŒfen und nachfĂŒhren, etwa ĂŒber einen der frĂŒhen MCP-Server wie mcp-archimate, der ArchiMate-Regeln prĂŒft. Sie kann aber auch Fehler einfĂŒgen, die plausibel aussehen. Eine Untersuchung zur KI-gestĂŒtzten Unternehmensmodellierung hĂ€lt die Aufsicht durch Fachleute deshalb fĂŒr unverzichtbar.

Hinzu kommt der Stand des Overlays. Es ist kein Standard, es steht in einem White Paper der Open Group und nicht in der Spezifikation. Kein Werkzeug muss es umsetzen, die Norm verlangt es nicht. Die Forschung hat MĂ€ngel gefunden. Mayer und Feltus haben die Fassung von 2015 geprĂŒft. Die Abdeckung ist bis auf das Konzept „Event“ vollstĂ€ndig, die Notation aber ĂŒberladen, elf Symbole haben mehrere Bedeutungen. Sales, Guizzardi und das ĂŒbrige Autorenteam haben das Overlay ontologisch analysiert: Risiko als Assessment zu fĂŒhren vermengt das Urteil mit dem, worĂŒber geurteilt wird. Zwei Modellierende kommen so zu zwei Modellen, beide nach White Paper vertretbar.

Das sind Befunde ĂŒber das Overlay, nicht ĂŒber die Idee, Risiken am Architekturmodell festzumachen. Mayer und Feltus gehören selbst zu den Autoren eines integrierten Modells von 2019. Es verbindet das Risikomanagement der Informationssicherheit mit dem Architekturmanagement, weil das bei vernetzten Systemen und mehreren Regulierungen hilft.

🎯 Die eigentliche Erkenntnis

ArchiMate 4 hat im April 2026 die Zahl der Konzepte um 30 Prozent verringert, von sechzig auf 42. SpezialfÀlle verweist die Sprache auf Spezialisierung, Attribute und vereinbarte Konventionen. Was das Overlay als Ausnahme vorgemacht hat, ist damit der regulÀre Weg der Sprache. Verbindlich wird die Sicherheitsmodellierung dadurch nicht. Sie wird zur Sache derer, die modellieren.

Das ist die Zumutung und zugleich der Gewinn. Wer eine Bedrohung ins Modell setzt, muss sagen, an welchem Element sie hĂ€ngt und welche Maßnahme sich gegen sie richtet. Ein Register ohne Modell darf diese Frage offenlassen; dort steht „Ransomware“ als Zeile, und niemand fragt zurĂŒck. Ein KĂ€stchen ohne Pfeil fĂ€llt dagegen auf, auch einer Maschine: eine WissenslĂŒcke, die jetzt einen Ort hat.

📚🔍